Реагирование на инциденты и уведомление об утечках

Это инженерные рекомендации, а не юридическая консультация. Детали подтверждайте у профильных юристов.

Кратко

Когда данные пациентов утекли, счёт по 152-ФЗ идёт на часы: оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента и передать результаты внутреннего расследования в течение 72 часов (ст. 21 ч. 3.1, порядок – приказ Роскомнадзора № 187). Параллельно сведения уходят в ГосСОПКА: напрямую в НКЦКИ, если у оператора есть соглашение о взаимодействии, или через Роскомнадзор (приказ ФСБ № 77). Если пострадала система, которая является значимым объектом критической информационной инфраструктуры, сообщить в НКЦКИ нужно не позднее 3 часов (приказ ФСБ № 547). Не каждый инцидент безопасности – утечка. Отсчёт запускает неправомерная или случайная передача, предоставление, распространение или доступ к персональным данным, повлёкшие нарушение прав пациентов, и идёт он с момента выявления, в том числе Роскомнадзором или посторонним исследователем. Сроки и адресатов уведомлений, сроки из договоров с подрядчиками и первые шаги нужно записать в ранбук (пошаговый план реагирования) до запуска: за неуведомление юрлицу грозит 1–3 млн ₽ (ч. 11 ст. 13.11 КоАП), за саму утечку данных о здоровье – 10–15 млн ₽ (ч. 16).

Зачем это читать

Для телемед-продукта утечка рано или поздно случится, и управляемое реагирование отличается от регуляторной катастрофы тем, подготовили ли вы план заранее. Сутки на первичное уведомление включают ночи и выходные: если в пятницу вечером никто не знает, у кого доступ к порталу Роскомнадзора и кто подписывает уведомление, срок истечёт раньше, чем команда соберётся. Статья – для основателей, продактов, технических лидов и ответственных за защиту данных, которым нужно разобраться в сроках уведомления настолько, чтобы настроить журналирование, договоры и дежурства под реальный инцидент. Ошибка обходится дважды: сначала сама утечка, потом пропущенный срок, который превращает управляемое событие в отдельное правонарушение.

Два разных слова: инцидент безопасности – не всегда утечка

Сначала о терминах: закон по-разному относится к двум похожим событиям, и отсчёт сроков уведомления запускает только одно из них.

Инцидент информационной безопасности – широкая категория. Волна неудачных входов, сканирование портов, фишинговое письмо, которое кто-то заметил и удалил, сбой, после которого сервис полчаса был недоступен, – всё это инциденты. Большинство из них не касается данных пациентов, и за пределы команды о них не сообщают. Для критической информационной инфраструктуры у таких событий есть свой юридический термин – компьютерный инцидент (187-ФЗ), и для неё действуют отдельные правила, о которых ниже.

Утечка в смысле 152-ФЗ – узкое, регулируемое событие. Ст. 21 ч. 3.1 описывает её как установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов. Ключевые здесь два слова. «Случайной» означает, что утечка – это не только действия взломщика, но и открытый по ошибке бакет с записями консультаций. «Доступа» означает, что данные не обязательно должны быть скачаны: достаточно, что посторонний получил к ним доступ. Медданные – персональные данные о здоровье, специальная категория по ст. 10 152-ФЗ, – делают такую утечку ещё и самой дорогой по штрафам.

Разница важна, потому что дальше реагирование разветвляется. Любой инцидент запускает внутренний ранбук: расследовать, сдержать, задокументировать. Отсчёт сроков внешнего уведомления запускает только утечка. Аналогия: инцидент – это каждое срабатывание сигнализации в здании, утечка – случаи, когда кто-то действительно вошёл и что-то увидел или унёс. Вы реагируете на каждую тревогу, но заявление в полицию пишете только при проникновении.

Нажмите, чтобы увеличить

Шифрование: исключения нет, но аргумент есть

Отдельного правила «зашифрованные данные – не утечка» в ст. 21 нет. Закон говорит о передаче персональных данных и доступе к ним, а не о том, можно ли было их прочитать. Но ответ на вопрос, был ли доступ к данным и нарушены ли права пациентов, сильно зависит от шифрования. Потерянный диск, зашифрованный при хранении, когда ключ лежит в отдельной системе управления ключами и не скомпрометирован, – совсем не то же самое, что открытый бакет с записями в открытом виде.

Это единственное место, где «зашифровано» действительно меняет вашу позицию, но аргумент работает только при двух условиях. Шифрование должно быть настоящим: ключ хранится отдельно от данных, доступ к ключу журналируется, а там, где защита по модели угроз держится на криптографии, используются сертифицированные ФСБ средства криптозащиты (приказ ФСБ № 378). И вывод «доступа к данным не было» нужно записать с доказательствами – журналами ключевой системы и хранилища. Решение, уведомлять ли регулятора, принимает оператор вместе с юристом; ваша задача – дать им факты за часы, а не за дни. Где именно нужны ГОСТ-алгоритмы и СКЗИ – в статье о шифровании для телемедицины.

Утечка или нет: четыре вопроса, которые нужно закрыть за сутки

Формального многофакторного теста, как отличить утечку от неопасного инцидента, 152-ФЗ не даёт. Зато он точно говорит, что должно быть в первичном уведомлении в течение 24 часов: сведения об инциденте, предполагаемых причинах, предполагаемом вреде правам субъектов, принятых мерах и контактное лицо оператора. Получается, что одни и те же вопросы отвечают и на «утечка ли это», и на «что писать в уведомлении». Удобно свести их к четырём.

Ни один вопрос не решает дело сам по себе: ответы нужно взвесить вместе и записать ход рассуждений. Число пациентов важно ещё и потому, что от него зависит штраф: для обычных персональных данных составы ч. 12–14 ст. 13.11 КоАП растут с масштабом утечки, а для данных о здоровье действует отдельный состав ч. 16 с вилкой 10–15 млн ₽.

К какому бы выводу вы ни пришли, задокументируйте его. Если оператор решил, что уведомлять не нужно, основания этого решения должны быть записаны в журнал инцидентов вместе с выгрузками логов и хронологией. Для проверяющего оценки, которая осталась только в чьей-то памяти, не существует.

Сроки: когда начинается отсчёт и что значит «выявление»

Если событие – утечка, оператор обязан уведомить Роскомнадзор в течение 24 часов и передать результаты внутреннего расследования в течение 72 часов (ст. 21 ч. 3.1). Часы астрономические: ночь, суббота и праздник считаются так же, как рабочий вторник.

Отсчёт начинается с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом. Последние слова важнее, чем кажется. Если исследователь безопасности написал вам о бакете в субботу утром, а письмо прочитали в понедельник, вопрос о том, когда инцидент был выявлен, станет предметом спора, и спорить вы будете с невыгодной позиции. Поэтому мониторинг и входящие каналы – часть не только безопасности, но и комплаенса: адрес для сообщений об уязвимостях, ящик поддержки и алерты мониторинга кто-то должен читать круглосуточно.

Посчитаем на примере. Дежурный инженер замечает аномальные запросы к базе записей на приём во вторник, 10 ноября 2026 года, в 23:10 – это момент выявления.

23:10 вт + 3 ч  = 02:10 ср – НКЦКИ, если система клиники – значимый объект КИИ
23:10 вт + 24 ч = 23:10 ср – первичное уведомление в Роскомнадзор
23:10 вт + 72 ч = 23:10 пт – результаты внутреннего расследования

Второй сценарий хуже. Исследователь пишет о незакрытом хранилище в субботу, 5 декабря 2026 года, в 11:00, а письмо открывают в понедельник в 09:00. Если отсчёт идёт от письма, первичное уведомление нужно было подать до 11:00 воскресенья, а к понедельнику из 72 часов осталось 26. В это окно нужно уложить закрытие доступа, оценку вреда и поиск причин. Успевают те, у кого ранбук был готов до инцидента.

Кого и когда вы обязаны уведомить

Подтверждённая утечка медданных может затронуть до трёх внешних адресатов. Каких именно – зависит от того, есть ли у оператора соглашение с НКЦКИ и является ли система объектом критической информационной инфраструктуры.

Роскомнадзор – всегда. Первичное уведомление за 24 часа: что случилось, предполагаемые причины, предполагаемый вред, принятые меры, контактное лицо. Результаты расследования за 72 часа: что установлено и кто виноват, если это выяснено. Уведомления подают через портал персональных данных Роскомнадзора с входом через ЕСИА и электронной подписью (приказ Роскомнадзора № 187). Заранее проверьте, у кого есть учётная запись и подпись: выяснить, что их нет, в два часа ночи – худший вариант.

ГосСОПКА – всегда, но разными путями. Оператор обязан информировать государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак об инцидентах, повлёкших неправомерную передачу персональных данных (ст. 19 ч. 12). Операторы с соглашением о взаимодействии сообщают в НКЦКИ напрямую в течение 24 часов; остальные подают сведения через Роскомнадзор, который передаёт их в НКЦКИ. Запросы НКЦКИ нужно исполнить в течение 24 часов (приказ ФСБ № 77).

НКЦКИ по правилам КИИ – если система относится к критической инфраструктуре. Здравоохранение – одна из сфер КИИ, и с 2026 года в перечень типовых отраслевых объектов вошли информационные системы медорганизаций, лабораторные системы и сегменты ЕГИСЗ (распоряжение Правительства № 360-р). Если система клиники-заказчика категорирована, действуют сроки приказа ФСБ № 547, который с 30 января 2026 года заменил приказ № 282.

Нажмите, чтобы увеличить

Отдельный вопрос – пациенты. Жёсткий срок закон задаёт для регуляторов; как и когда сообщить самим пациентам, оператор решает с юристом, и лучше заранее, с готовым шаблоном сообщения на простом языке. Пациент вправе обжаловать действия оператора в Роскомнадзор или в суд и требовать возмещения морального вреда, поэтому честное и быстрое сообщение – это ещё и управление риском, а не только вежливость.

Если вы обработчик: сроки оператора зависят от вас

Большинство телемед-платформ работают по поручению клиник: клиника – оператор, а платформа – лицо, обрабатывающее данные по её поручению. Тогда обязанность уведомлять доходит до вас через договор, и срочность легко недооценить.

Поручение по ст. 6 ч. 3 152-ФЗ должно содержать в том числе обязанность обработчика уведомлять оператора об инцидентах, с которых начинается отсчёт по ст. 21 ч. 3.1. Срок такого уведомления задаёт договор, и здесь кроется ловушка. Если инцидент первым выявил ваш дежурный, разумно исходить из того, что 24 часа клиники уже идут. Подрядчик, который сообщит клиенту «в течение трёх рабочих дней», не оставит ему шансов уложиться в срок. Поэтому в хорошо составленном поручении окно подрядчика измеряется часами, а для заказчиков с объектами КИИ – минутами, и прямо перечислено, какие сведения подрядчик передаёт: что затронуто, сколько пациентов, какие меры приняты, кто контактное лицо.

Регулирование движется в ту же сторону. В июле 2026 года ФСТЭК России опубликовала проект приказа о мерах защиты персональных данных на замену приказу № 21: в нём есть оценка защищённости после каждого инцидента и отдельные требования к обработчикам. На 24 сентября 2026 года проект не подписан, так что это направление движения, а не действующая норма. Но строить обнаружение инцидентов и процесс уведомления под короткие сроки стоит уже сейчас. Как оформить поручение и что в него вписать – в статье о поручении обработки и договорах с подрядчиками.

Под каким режимом ваша система: только 152-ФЗ, ГИС или КИИ

Распространённое и опасное допущение: «мы не медорганизация, значит, медицинские правила к нам не относятся». Для уведомлений об утечках это не работает. Сроки ст. 21 ч. 3.1 одинаковы для любого оператора персональных данных: сервис психологов без медицинской лицензии, фитнес-приложение и телемед-клиника уведомляют Роскомнадзор в одни и те же 24 и 72 часа.

Различается другое – сколько требований добавляется сверху. Частная клиника и её платформа обычно живут в рамках 152-ФЗ и ГосСОПКА. Платформа для государственных клиник может оказаться частью государственной информационной системы с требованиями приказа ФСТЭК № 117, который с 1 марта 2026 года заменил приказ № 17. А если система клиники категорирована как объект КИИ, добавляются сроки НКЦКИ по приказу ФСБ № 547. Ранбук должен называть режим для каждого потока данных: если в срок уведомить не того адресата, нарушение всё равно останется.

До инцидента: ранбук реагирования

Всё описанное выше – реакция. Уложитесь ли вы в сроки, определяет работа, сделанная заранее, и закон действительно требует подготовки. Ст. 19 ч. 2 152-ФЗ включает в меры безопасности обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты, а также восстановление данных, изменённых или уничтоженных в результате несанкционированного доступа. Приказ ФСТЭК № 21 выделяет для этого отдельную группу мер по выявлению инцидентов и реагированию на них. Ранбук превращает эти требования в конкретные шаги с конкретными исполнителями.

Сам процесс изобретать не нужно. Международный стандарт ISO/IEC 27035-1:2023 описывает управление инцидентами как цикл: подготовка; обнаружение и сообщение; оценка и решение; реагирование; извлечение уроков, которые возвращаются в подготовку. На этот цикл вы накладываете российские обязанности. Этап обнаружения фиксирует момент выявления и запускает отсчёт. На этапе сдерживания вы закрываете доступ и отзываете ключи, на этапе оценки отвечаете на четыре вопроса и решаете, уведомлять ли. Разбор после инцидента обновляет модель угроз и сам ранбук.

Нажмите, чтобы увеличить

Отдельно о восстановлении. Цели восстановления – сколько данных можно потерять и за сколько часов сервис должен вернуться – вы задаёте сами, но для клинической услуги разумная планка – часы, а не дни. Для электронных медицинских документов приказ 209н о медицинской документации требует резервного копирования и журналирования доступа, а материалы телемедицинских консультаций по 193н, в том числе записи, если их ведут, подлежат хранению. Значит, восстановление из резервной копии должно быть отрепетировано, а резервная площадка – находиться в России, внутри того же контура медданных.

Ранбук, которым команда действительно воспользуется, называет как минимум: кто дежурит и как его разбудить; уровни серьёзности и что запускает каждый из них; первые шаги сдерживания для самых вероятных инцидентов; кто отвечает за четыре вопроса оценки; у кого доступ к порталу Роскомнадзора через ЕСИА и электронная подпись; есть ли у оператора соглашение с НКЦКИ и является ли система объектом КИИ; договорные сроки уведомления для каждого подрядчика. Мы собрали это в одностраничный шаблон ранбука реагирования на утечку, который можно скачать ниже и адаптировать.

Чек-лист частых ошибок

Телемед-команды спотыкаются на одних и тех же вещах:

• Поздний старт отсчёта. Считать моментом выявления день, когда собрали совещание, а не минуту, когда сработал алерт или пришло письмо исследователя. Как правило, в расчёт берут более раннюю дату.
• Нет доступа к порталу Роскомнадзора. Учётная запись ЕСИА и электронная подпись есть только у генерального директора, а он в отпуске. Проверяйте доступ на учениях, а не во время инцидента.
• Медданные в логах и аналитике. Логи приложения, отчёты о сбоях и сторонние аналитические SDK незаметно собирают персональные данные, так что утечка из «неклинической» системы – всё равно утечка. Составьте карту того, где на самом деле лежат данные; об этом – статья о том, где хранятся медданные.
• Поручение без срока уведомления. «В разумный срок» или «в течение трёх рабочих дней» в договоре с подрядчиком съедает 24 часа оператора. Указывайте срок в часах.
• Не тот адресат. Уведомить Роскомнадзор за 24 часа и забыть, что система – значимый объект КИИ с окном в 3 часа.
• Незадокументированное «это не утечка». Решение без записанных фактов не выдержит первого же вопроса проверяющего.

Где здесь Фора Софт

Фора Софт разрабатывает видеософт с 2005 года: телемедицину, видеоконференции, стриминг, e-learning и видеонаблюдение. Готовность к инцидентам – то место, где работа с системами реального времени встречается с регуляторными требованиями. Мы проектируем от требований: обнаружение и журналы аудита, которые фиксируют момент выявления так, что его можно доказать; карта мест хранения медданных, чтобы было понятно, какие системы и логи попадают под требования; резервные копии и площадка восстановления в России; условия поручения, в которых окно уведомления от подрядчика измеряется часами. Цель – платформа, где при инциденте ранбук называет людей, сроки и адресатов и команде не приходится импровизировать.

Главное

• Инцидент безопасности – любое нештатное событие; утечка – неправомерная или случайная передача персональных данных или доступ к ним, повлёкшие нарушение прав пациентов.
• Сроки 152-ФЗ: Роскомнадзору – 24 часа на первичное уведомление и 72 часа на итоги расследования, с момента выявления.
• «Выявление» – в том числе Роскомнадзором или посторонним исследователем; входящие каналы и мониторинг нужно читать круглосуточно.
• ГосСОПКА – всегда: напрямую в НКЦКИ за 24 часа при соглашении или через Роскомнадзор; для значимого объекта КИИ – 3 часа.
• Обработчик по поручению должен уведомлять оператора в течение часов, а не дней; срок и состав сведений прописывают в договоре.
• Неуведомление – 1–3 млн ₽, утечка данных о здоровье – 10–15 млн ₽, повторная – оборотный штраф до 500 млн ₽.

Что читать дальше

• Чек-лист готовности по 152-ФЗ и 323-ФЗ и подготовка к проверкам – как готовность к инцидентам встраивается в общую подготовку к проверке.
• Журналы аудита и контроль доступа для клинического видео – слой обнаружения, который фиксирует момент выявления.
• Моделирование угроз телемедицинской платформы – как найти инциденты до того, как они станут утечками.