Новости

Что должен сделать руководитель медицинской клиники в 2026 году, чтобы избежать штрафа в 500 000 рублей за нарушения информационной безопасности

В 2026 году медицинские организации оказались под особенно пристальным вниманием регуляторов: требования к эксплуатации объектов критической информационной инфраструктуры (КИИ) и к защите персональных данных пациентов стали ощутимо строже.

Здравоохранение входит в перечень отраслей с обязательным категорированием объектов КИИ, а максимальный штраф для юридических лиц за нарушение правил их эксплуатации сегодня достигает 500 000 рублей.

Информационные системы клиники — МИС, электронная регистратура, личный кабинет пациента, телемедицинские сервисы — часто подпадают под признаки объектов КИИ: ведь именно от их стабильной работы зависят ключевые медицинские процессы.

Параллельно выросли и штрафы за нарушения при обработке персональных данных — особенно специальных категорий, то есть сведений о здоровье, с которыми клиники работают ежедневно.

Если руководитель упускает из виду оба направления — и КИИ, и персональные данные, — совокупные санкции по итогам проверки легко перешагивают отметку в 500 000 рублей.

Реальные риски для руководителя медицинской клиники в 2026 году

Штраф до 500 000 рублей за нарушения правил эксплуатации объектов КИИ

Соответствующие поправки в КоАП уже действуют: у регуляторов появился прямой инструмент воздействия на организации, которые не выполняют требования по безопасности КИИ.

Штрафы за нарушения при обработке персональных данных

За отсутствие уведомления в Роскомнадзор о деятельности оператора ПДн предусмотрены штрафы до 300 000 рублей, а за утечки специальных категорий данных суммы могут исчисляться сотнями тысяч и миллионами рублей.

Штрафы за несообщение об инцидентах и нарушение порядка реагирования

Для организаций санкции достигают сотен тысяч рублей — особенно когда речь идёт об объектах КИИ или о массовой утечке данных пациентов.

Шаг 1. Определить, есть ли у клиники объекты КИИ

Первое, с чего стоит начать руководителю, — понять, подпадает ли IT-инфраструктура клиники под критерии КИИ.

К потенциальным объектам КИИ в медицине относятся медицинские информационные системы, электронная регистратура, системы хранения результатов исследований и телемедицинские сервисы — если именно от их работы зависят ключевые процессы оказания медицинской помощи.

Что нужно сделать

• Провести инвентаризацию всех информационных систем, задействованных в процессах приёма, диагностики, стационара, лаборатории и телемедицины.

• Оценить критичность систем по критериям постановления Правительства РФ о КИИ и методическим материалам по категорированию.

• Зафиксировать результаты в перечне объектов и передать материалы в комиссию по категорированию или внешним экспертам.

Если по итогам категорирования объект признан значимым, на клинику распространяются специальные требования к его защите и более строгие меры ответственности.

Руководителям также рекомендуем пройти профильное обучение по направлению КИИ: https://mediator-dpo.ru/pk-upravlenie-personalom/kii

Шаг 2. Оформить документы субъекта КИИ и переписку с ФСТЭК

Для субъекта КИИ предусмотрен обязательный минимальный пакет документов. Его отсутствие или неполнота — одна из самых частых причин претензий со стороны регулятора.

Организационные документы

• Приказ о создании комиссии по категорированию объектов КИИ с утверждением её состава.

• Перечень (реестр) рассматриваемых объектов КИИ с описанием процессов клиники, которые они обеспечивают.

Документы по категорированию

• Материалы обоснования: описание критических процессов, границ объекта, зависимостей и оценка последствий.

• Акт категорирования каждого объекта КИИ по установленной форме.

• Сведения о результатах категорирования, направленные во ФСТЭК России, и подтверждение их отправки.

Документы для значимых объектов КИИ

Если объект признан значимым, дополнительно потребуются:

• Комплект документов по созданию и функционированию системы безопасности значимого объекта.

• Документы, подтверждающие выполнение требований приказов ФСТЭК: политики, регламенты, инструкции, эксплуатационная документация.

• План реагирования на компьютерные инциденты и порядок информирования уполномоченных органов.

При проверке отсутствие этих документов, ошибки в оформлении или отсутствие подтверждений взаимодействия с ФСТЭК квалифицируются как нарушение и влекут крупный штраф.

Заказать полный комплект обязательных документов по КИИ и подготовку писем во ФСТЭК России: https://mediator-pravo.ru/gotovie-dokumenti-po-vsem-napravleniyam/tproduct/441368178272-komplekt-dokumentov-subekta-kii

Шаг 3. Привести в порядок работу с персональными данными пациентов и сотрудников

Медицинские клиники обрабатывают специальные категории персональных данных — сведения о здоровье. А значит, требования здесь повышенные, а санкции за любое нарушение — весьма серьёзные.

Уведомление Роскомнадзора

Убедитесь, что уведомление об обработке персональных данных подано, а сведения в реестре операторов актуальны. С 30 мая 2025 года штраф для организаций за отсутствие такого уведомления составляет от 100 000 до 300 000 рублей.

Локальные акты по персональным данным

В клинике должны быть оформлены:

• политика в отношении обработки персональных данных;

• положения и регламенты;

• журналы учёта;

• инструкции по реагированию на инциденты.

Согласия пациентов и сотрудников

Согласия должны соответствовать целям и объёму обработки. Формальное наличие шаблонов не защитит клинику от претензий при проверке.

Технические меры защиты

Необходимо обеспечить:

• разграничение прав доступа;

• защиту каналов связи;

• резервное копирование данных;

• журналирование действий пользователей;

• применение сертифицированных средств защиты информации.

Порядок реагирования на утечки

В клинике должны действовать внутренние инструкции по фиксации инцидента и уведомлению руководства и Роскомнадзора. Игнорирование этих требований в сочетании с утечкой данных пациентов грозит штрафами от сотен тысяч до десятков миллионов рублей.

Заказать полный комплект обязательных документов по персональным данным с учётом изменений 2026 года: https://mediator-pravo.ru/personal-dannie

Шаг 4. Назначить ответственных и обучить персонал

Информационная безопасность клиники невозможна без вовлечения сотрудников. Большинство инцидентов происходит именно из-за человеческого фактора, и регуляторы оценивают не только наличие документов, но и то, как они применяются на практике.

Назначение ответственных

Приказом назначьте ответственных за:

• информационную безопасность;

• защиту персональных данных;

• взаимодействие при инцидентах.

Обучение сотрудников

Персонал должен чётко понимать:

• правила работы в МИС;

• требования к обращению с персональными данными;

• алгоритм действий при подозрении на утечку;

• запрет передачи информации через несанкционированные мессенджеры.

Профильное обучение сотрудников по требованиям 152-ФЗ: https://mediator-pravo.ru/personal-dannie

Внутренний контроль

Рекомендуется регулярно проводить:

• выборочный анализ журналов доступа;

• проверку инструктажей;

• разбор инцидентов и нарушений.

Системная работа существенно снижает риск нарушений и крупных штрафов.

Шаг 5. Провести внутренний аудит информационной безопасности

Не дожидайтесь визита проверяющих — проведите внутренний аудит по требованиям КИИ и персональных данных заранее. Это позволяет выявить уязвимости и закрыть их ещё до проверки.

Документы по КИИ

• Наличие полного комплекта документов субъекта КИИ.

• Акты категорирования.

• Переписка с ФСТЭК.

Документы по персональным данным

• Актуальность локальных актов.

• Соответствие законодательству.

• Соответствие фактическим процессам клиники.

Технические меры защиты

Оцените, соответствуют ли заявленные меры защиты фактической IT-инфраструктуре и требованиям регуляторов.

План корректирующих мероприятий

Составьте план устранения нарушений с указанием сроков и ответственных лиц. Наличие внутреннего аудита показывает добросовестный подход руководства и заметно снижает риск максимальных санкций.

Что выгоднее делегировать специалистам, чтобы не рисковать штрафом 500 000 рублей

Самостоятельно подготовить весь комплект документов субъекта КИИ, наладить взаимодействие с ФСТЭК и одновременно систематизировать работу с персональными данными — задача, требующая серьёзных временных и экспертных ресурсов. Любые ошибки в документах, пропуск обязательных сведений или неверное оформление уведомлений могут обернуться крупными санкциями.

Какие задачи логично передать профильным специалистам

• Разработка и актуализация комплекта документов по КИИ.

• Подготовка писем и сведений во ФСТЭК России.

• Аудит процессов обработки персональных данных.

• Подготовка плана устранения нарушений.

Это позволяет руководителю сосредоточиться на управлении клиникой и не погружаться в сложные требования информационной безопасности.

Как получить готовый комплект документов по КИИ для медицинской клиники

Если ваша задача — надёжно защитить клинику и сэкономить время руководства, закажите готовый комплект документов у специалистов с реальным опытом прохождения проверок.

Готовый комплект включает:

• документы субъекта КИИ;

• образцы писем во ФСТЭК России;

• материалы, адаптированные под медицинскую организацию.

Заказать полный комплект обязательных документов по КИИ + подготовку писем во ФСТЭК России: https://mediator-pravo.ru/gotovie-dokumenti-po-vsem-napravleniyam/tproduct/441368178272-komplekt-dokumentov-subekta-kii

2026-07-01 09:00 Документы Юридическая безопасность