Уведомление НКЦКИ о компьютерном инциденте: сроки и канал
Роскомнадзор ждёт утечку персональных данных. НКЦКИ ждёт компьютерный инцидент и компьютерную атаку на объекты критической информационной инфраструктуры и на ряд госресурсов. Это разные письма, разные сроки и разные ведомства. Ниже канал и сроки для субъекта КИИ. Как тушить пожар на сервере — в статье про первые 24 часа; здесь только обязанность сообщить.
Оговорка. Статья не юридическая консультация. С 1 сентября 2025 года пункт 1 части 2 статьи 9 187-ФЗ требует незамедлительно информировать и о компьютерных атаках, и о компьютерных инцидентах (закон от 07.04.2025 № 58-ФЗ). Конкретные часы сверены по письму НКЦКИ от 20.01.2026 № Р-168, которое цитирует пункт 3 приказа ФСБ России от 25.12.2025 № 547. Приказ и каналы меняются, перед инцидентом откройте cert.gov.ru и актуальную редакцию 187-ФЗ: КонсультантПлюс. Банкам дополнительно смотреть порядок, согласованный с Банком России. Суммы штрафов не копируем: порядок информирования — статья 13.12.1 КоАП.
Что требует норма
| Событие | Куда | Срок с момента обнаружения |
|---|---|---|
| Компьютерный инцидент на значимом объекте КИИ | НКЦКИ | Не позднее 3 часов |
| Компьютерный инцидент на ином объекте КИИ (категории нет) | НКЦКИ | Не позднее 24 часов |
| Компьютерная атака на объект КИИ, даже если штатный режим не нарушен | НКЦКИ | Не позднее 24 часов |
| Утечка ПДн | Роскомнадзор (и при соглашении с НКЦКИ — ещё и туда по приказу ФСБ № 77) | 24 и 72 часа по 152-ФЗ: уведомление РКН |
Закон называет компьютерным инцидентом нарушение или прекращение функционирования объекта КИИ (или сети электросвязи для взаимодействия объектов) и (или) нарушение безопасности обрабатываемой информации, в том числе из-за атаки. Нештатная работа из-за канала связи в зоне оператора тоже может быть инцидентом — так поясняет форма на сайте НКЦКИ. Не ждите «подтверждённого хакера».
Технические шаги изоляции и сбора улик: первые 24 часа. В той статье ещё указан приказ ФСБ № 282: сверьте действующий номер на cert.gov.ru, сейчас НКЦКИ опирается на № 547.
Куда послать
Официальный сайт НКЦКИ: cert.gov.ru. Помощник составления уведомления: форма об атаке или инциденте. Сформированный текст направляйте на incident@cert.gov.ru. На главной указаны телефон по инцидентам и раздел «Как подключиться к ТИ НКЦКИ»: если техническая инфраструктура уже подключена, используйте её, а не только почту. Почта threats@cert.gov.ru — про угрозы, не замена уведомления об инциденте.
Заготовьте до события: кто нажимает «отправить» в нерабочее время, где лежит выгрузка из формы, какой канал запасной, если корпоративная почта лежит. Риск: спор из‑за «обнаружили утром, письма нет до обеда» на значимом объекте — три часа, не три дня.
Кто субъект и есть ли ЗОКИИ, выясните заранее: субъект КИИ, обязанности без значимого объекта. Комиссия не отменяет уведомление: объект без категории всё равно объект КИИ. С 1 сентября 2025 года часть 4 статьи 9 распространяет информирование НКЦКИ ещё на ряд госорганов и подконтрольных РФ юридических лиц — даже если они не субъекты КИИ; это не тема этой статьи, но в письме НКЦКИ № Р-168 тот же канал и срок 24 часа для их информационных ресурсов.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Отправили только форму РКН | Закрыли 152-ФЗ, не закрыли 187-ФЗ. Если есть инцидент на объекте КИИ — отдельное письмо в НКЦКИ |
| Ждали окончания расследования | Срок от обнаружения, не от отчёта. Первое уведомление можно уточнять |
| Письмо ушло ИБ-интегратору, не в НКЦКИ | Подрядчик не заменяет канал. Поручите ему черновик, кнопку оставляет субъект |
| На значимом объекте уложились «в сутки» | Для ЗОКИИ лимит 3 часа. Перепишите плейбук |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Гигиена — заранее известный канал НКЦКИ и часы в плейбуке, а не поиск адреса ФСБ во время атаки. Это не ГосСОПКА как продукт и не полный контур значимого объекта.
Как проверить
- В плейбуке инцидента есть строки 3 часа / 24 часа и адрес
incident@cert.gov.ru. - Назначен дежурный, который умеет заполнить форму на cert.gov.ru без доступа к «тому самому юристу в отпуске».
- Уведомление РКН и уведомление НКЦКИ разведены, не одной галочкой.
- Для банков отдельно прописан канал в Банк России.
- Учения хотя бы раз прогнали отработку письма (без выдуманной атаки на чужие системы): время от «обнаружили» до исходящего.
Как делают в международной практике
NIST CSF 2.0 относит оповещение заинтересованных сторон к коммуникации реагирования (функция Respond). Сроки в часах задаёт национальный закон, не CSF. Это не замена 187-ФЗ и приказа ФСБ. Текст: nist.gov/cyberframework.
Источники
- Федеральный закон от 26.07.2017 № 187-ФЗ, статьи 2 (компьютерный инцидент) и 9: КонсультантПлюс.
- Письмо НКЦКИ от 20.01.2026 № Р-168 (сроки пункта 3 приказа ФСБ № 547): Гарант.
- НКЦКИ, форма и контакты: cert.gov.ru, уведомление.
