Выводы базируются на анализе 100 приговоров судов по статье 274.1 УК РФ, вынесенных за этот период, общее количество рассмотренных дел и критерии выборки не приводятся.
Больше всего нарушений, связанных с неправомерным воздействием на КИИ, происходили в организациях из сфер связи и телекоммуникаций (47% случаев), здравоохранения (25%), финансового сектора (10%). Нарушения в этих отраслях распространены из-за большого количества сотрудников, которые могут легитимно вносить изменения в информационные системы. Вместе с тем низкий уровень цифровой грамотности персонала множит риски неправомерного использования ИТ-систем и создает угрозу нарушений. В большинстве случаев к ответственности привлекались сотрудники пострадавших организаций: рядовые сотрудники (75%), руководители подразделений (14%), ИТ- и ИБ-специалисты (5%), топ-менеджмент (1%). Намного реже в уголовных делах виновными признавали внешних нарушителей (5%).
«В 95% случаев к уголовной ответственности за неправомерное воздействие на КИИ привлекаются сотрудники пострадавших организаций. Однако, по данным МВД, общий показатель раскрываемости преступлений в сфере компьютерной информации не превышает 21% в 2022–2026 годах. Это значит, что большинство преступлений по вине внешних нарушителей остаются нераскрытыми в силу разных причин, в т. ч. нахождения атакующих за границей. Вместе с этим, большое количество раскрытых преступлений по вине сотрудников организаций говорит о распространенности внутренних угроз ИБ для КИИ», — отмечает специалист по связям с государственными органами «СёрчИнформ» Дмитрий Вощуков.
В 67% проанализированных уголовных дел основной сценарий нарушений – внесение недостоверных сведений в системы КИИ. В 12% случаев среди нарушений встречались «пробив», копирование данных из систем КИИ, в 10% – воздействие на установленное ПО или внедрение нежелательного ПО.
«Самые частые нарушения – внесение ложных данных в ИС операторов связи для завышения плана продаж и создание недостоверных записей в медицинских ИС для оформления подложных документов. В некоторых из изученных дел зафиксировано сразу по несколько подобных инцидентов. Наличие недостоверной информации в таких критически важных системах как ЕГИСЗ и системы для учета абонентских номеров создают угрозу реализации политики в сферах здравоохранения и противодействия мошенничеству», — комментирует Дмитрий Вощуков.
В большинстве случаев (94%) нарушителям выносили обвинительный приговор. В 19% случаев дел стороны предпринимали попытки обжалования приговоров. В 81% судебных дел основным наказанием стало лишение свободы условно, в 9% — судебный штраф. В 22% дел виновным были назначены дополнительные наказания, среди них: штраф (11%), запрет работы с объектами КИИ (9%), запрет работы на организационных и руководящих должностях (1%).
Чаще всего суды не применяли суровые меры для нарушителей, потому что они, как правило, признавали вину и сотрудничали со следствием. Однако в 98% дел не заявлены или оставлены без рассмотрения иски потерпевших о возмещении ущерба (затрат на восстановление ИТ-объектов и информации, прямых убытков, репутационного или морального вреда). Такая ситуация обусловлена позицией законодателя и Верховного Суда РФ: в рамках уголовного дела может быть удовлетворен гражданский иск о компенсации имущественного вреда, причиненного непосредственно преступлением. Поэтому инициирование гражданских дел о взыскании сумм последующих затрат, иных расходов и упущенной выгоды, понесенных в результате нарушений, и доказывание такого ущерба – задача самих потерпевших, добавили авторы исследования.
Напомним, что за нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в КИИ, введена административная ответственность. Соответствующий закон N 77-ФЗ вступил в силу 20 апреля 2026 года. Ранее «Телеспутник» узнал у экспертов, в чем главная идея законодательного нововведения и в каком случае компаниям грозит штраф.
_67d17e1021317.jpg)
