Пришёл запрос из прокуратуры, Роскомнадзора, ФСТЭК или ФСБ: что делать

Первые шаги в день получения

1. Зарегистрируйте запрос во входящей корреспонденции с датой и временем получения. От этой даты считается срок: у прокуратуры — с момента поступления требования руководителю или представителю организации, у Роскомнадзора — с даты получения запроса.
2. Посчитайте срок. Сначала — что написано в самом запросе. Затем сверьте с законом: таблица ниже. Сроки в рабочих днях — выходные и праздники не считаются; при проверке прокуратуры 2 рабочих дня считают с момента предъявления требования.
3. Назначьте ответственного за ответ — обычно это ответственный за информационную безопасность или за обработку персональных данных — и разбейте запрос на пункты: кто готовит ответ на каждый, какой документ к нему прикладывается.
4. Проверьте, есть ли документы. Найдите приказы, политики, акты и журналы, о которых спрашивают, и проверьте, что они подписаны, датированы и действуют.
5. Если не успеваете — просите продлить сразу, а не в последний день. Прокурору в пределах срока направляют письменное уведомление с объективными причинами, и он устанавливает новый срок (ст. 6 Закона о прокуратуре). Роскомнадзор срок ответа на запрос продлевает на 5 рабочих дней по мотивированному уведомлению оператора (ч. 4 ст. 20 152-ФЗ). В остальных случаях — ходатайство о продлении с причинами и датой, к которой ответ будет готов.

Кто запрашивает, в какой срок и что обычно просят

Орган	Основание	Срок ответа	Что обычно просят
Прокуратура — требование	ст. 6 и 22 Закона о прокуратуре	5 рабочих дней с момента поступления; в ходе проверки — 2 рабочих дня; в требовании может стоять более длительный срок; при угрозе жизни, здоровью, имуществу или ЧС — сутки	приказы об ответственных, политику обработки ПДн и политику ИБ, сведения об уведомлении в Роскомнадзор, документы о категорировании объектов КИИ
Прокуратура — представление	ст. 24 Закона о прокуратуре	рассмотреть безотлагательно; в течение месяца принять меры и письменно сообщить о результатах	меры по каждому нарушению, подтверждающие документы, решение о дисциплинарной ответственности
Роскомнадзор — запрос оператору ПДн	ч. 4 ст. 20 152-ФЗ	10 рабочих дней с даты получения, продление — не более чем на 5 рабочих дней по мотивированному уведомлению	уведомление об обработке, политику, перечни, согласия, оценку вреда, уровни защищённости, сведения о месте хранения баз
Роскомнадзор — контрольное мероприятие	248-ФЗ, положение о госконтроле за обработкой ПДн (ПП № 1046)	срок, указанный в требовании инспектора	то же, что выше, плюс пояснения по конкретной жалобе или нарушению
ФСТЭК России	ст. 13 187-ФЗ, правила госконтроля за безопасностью значимых объектов КИИ (ПП № 162)	срок, указанный в запросе	сведения о категорировании, акты, перечень объектов, меры защиты значимых объектов
ФСБ России	Закон о ФСБ (40-ФЗ), 187-ФЗ — в части ГосСОПКА	срок, указанный в запросе	учёт и эксплуатация СКЗИ, ответственные, порядок информирования НКЦКИ и план реагирования

Если в запросе нет срока, а закон его не устанавливает, не тяните: позвоните исполнителю, указанному в запросе, уточните срок и зафиксируйте разговор служебной запиской.

Что делать по каждому органу

• Ответ на запрос прокуратуры — сроки по ст. 6 Закона о прокуратуре, что приложить и как ответить по пунктам.
• Ответ на представление прокуратуры — месячный срок, таблица «нарушение — меры — документ», дисциплинарная ответственность.
• Ответ на запрос ФСБ — эксплуатация СКЗИ и взаимодействие с ГосСОПКА.
• Ответ на запрос Роскомнадзора — 10 рабочих дней по 152-ФЗ, какие документы оператора приложить.
• Ответ на запрос ФСТЭК — категорирование объектов КИИ, если вы субъект КИИ и если нет.

Чего делать нельзя

• Игнорировать запрос. Молчание не останавливает проверку, а само по себе становится нарушением — штраф за неисполнение требования прокурора назначают, даже если по существу нарушений не было.
• Отвечать без документов. «В организации ведётся работа по защите информации» без приказов и актов ничего не доказывает. На каждый пункт — ответ и ссылка на конкретный документ с датой и номером.
• Прикладывать неутверждённые или задним числом подписанные документы. Проверка дат, журналов ознакомления и метаданных файлов это вскрывает, а недостоверные сведения — отдельная проблема.
• Отдавать лишнее. Направляйте только то, что запрошено. Не прикладывайте пароли, схемы сети, адреса серверов, перечни средств защиты с версиями, если о них прямо не спрашивают. Документы с коммерческой тайной и персональными данными помечайте грифом ограниченного доступа. Если сведения уже официально опубликованы или ранее передавались в госорган, по закону о прокуратуре можно указать, где их взять.
• Пропускать срок молча. Даже если не успеваете, письменное уведомление о причинах до истечения срока — обязательный минимум.

Ответственность за неисполнение

• Прокуратура. Умышленное невыполнение требований прокурора, вытекающих из его полномочий, — ст. 17.7 КоАП: организации — от 50 до 100 тысяч рублей или приостановление деятельности до 90 суток, должностному лицу — от 2 до 3 тысяч рублей или дисквалификация на срок от 6 месяцев до 1 года.
• Роскомнадзор и другие органы. Непредставление или несвоевременное представление сведений в государственный орган — ст. 19.7 КоАП (организации — от 3 до 5 тысяч рублей). Неповиновение законному требованию должностного лица контрольного органа — ст. 19.4, воспрепятствование проверке — ст. 19.4.1, невыполнение предписания — ст. 19.5 КоАП.
• КИИ. Непредставление или нарушение сроков представления во ФСТЭК сведений о результатах категорирования, а также непредставление информации в ГосСОПКА — ст. 19.7.15 КоАП, подробно — в разборе статьи.

Сам штраф за неответ обычно меньше штрафов за нарушения по существу, которые проверка найдёт в документах: за персональные данные — ст. 13.11 КоАП, за КИИ — ст. 13.12.1. Посчитать возможную сумму для своей ситуации — в калькуляторе штрафов.

Если документов не хватает

Запрос часто показывает пробелы: нет политики обработки ПДн, не назначен ответственный, не завершено категорирование. Порядок действий один и тот же — утвердить недостающее до отправки ответа, а то, что требует времени, включить в план мероприятий со сроками и приложить его.

• Персональные данные — обязанности оператора и образцы документов в разделе «Персональные данные», требования закона — в разборе 152-ФЗ.
• КИИ — категорирование объектов, взаимодействие с НКЦКИ, требования к значимым объектам, закон — в разборе 187-ФЗ.
• Если непонятно, какие режимы вообще касаются организации, — начните со схемы «С чего начать».

Шаблоны ответов на все пять видов запросов — в комплекте «Ответы надзорным органам».