Одна дата вместо этапов
Календарь тут предельно простой: 30 ноября 2024 года — подписание, 30 мая 2025 года — вступление в силу. Все штрафные составы заработали одновременно, «мягкого запуска» не было. Сравните с другим треком регулирования, где нормы включаются поэтапно в течение полутора лет, — разница принципиальна для планирования.
Почему так получилось: документ менял уже существующую статью КоАП, а не создавал новую сферу контроля. Для поправок такого рода законодатель не предусматривает длинные переходные режимы — иначе отсрочка означала бы окно безнаказанности для повторных утечек.
Операционные сроки: часы вместо дней
Главные сроки для практики живут не в календаре, а в регламенте реакции на инцидент:
- 24 часа — сообщение в Роскомнадзор с момента обнаружения утечки. Что сообщать: факт, предполагаемый объём, характер данных.
- 72 часа — направление итогов внутреннего расследования: причины, границы инцидента, принятые меры.
- Просрочка любого из двух сроков — самостоятельный состав со штрафом 1–3 млн ₽ для юрлица, независимо от масштаба самой утечки.
Практический смысл: у команды должна быть отрепетированная последовательность действий. В выходной день, ночью, в отпуск — часы идут одинаково.
Дедлайн, которого у этого закона нет
Самый устойчивый поисковый миф — «сделать всё до 1 марта 2027 года, иначе штрафы». Дата реальная, но принадлежит закону о поддержке развития нейротехнологий от 26.07.2026: именно у него второй этап стартует 01.03.2027 и приносит обязанности разработчиков больших моделей, правила пометки аудио и видео, режим обучения на охраняемых данных.
Штрафному же акту о данных «готовиться» бессмысленно — он уже полностью в силе с 30 мая 2025 года. Если ваш контур дыряв, риск существует прямо сейчас, а не весной 2027-го.
Календарь на одной странице
| Дата | Событие | Что это меняет |
|---|---|---|
| 30.11.2024 | Подписан акт о штрафах за утечки | Начало обратного отсчёта |
| 11.12.2024 | Вступила в силу ст. 272.1 УК | Уголовная линия за оборот данных |
| 30.05.2025 | Штрафные составы заработали | Новая цена инцидента: от 3 млн ₽ |
| 26.07.2026 | Подписан закон о поддержке нейротехнологий | Отдельный трек регулирования |
| 01.09.2026 | Его первый этап | Понятия и полномочия, без обязанностей |
| 01.03.2027 | Его второй этап | Обязанности для больших моделей |
Что успеть к каждой дате
К прошедшим датам шкала уже применена — остаётся жить с ней: ревизия данных, разграничение доступа, процедура инцидента с контрольными точками 24 и 72 часа. К 01.03.2027 готовятся только те, кто работает с большими моделями: инвентаризация, тест порога в 1 млрд параметров, пользовательские соглашения. Полный разбор — в чек-листе к 01.03.2027.
Частая ошибка планирования
Компании складывают оба трека в один план «комплаенс-2027» и получают перекос: полгода готовятся к нормам, которые их не касаются, и не закрывают действующие риски утечек. Разделите документы, владельцев и бюджеты: за данные отвечает один процесс, за модели — другой. Проверить себя можно тестом зрелости защиты ИИ — он покажет, какой трек у вас реально проседает.
Как построить регламент реакции
Минимальный работающий регламент умещается в пять строк: кто может объявить инцидент (любой сотрудник — дежурному); дежурный фиксирует время обнаружения; ответственный за данные оценивает состав и границы; уведомление в надзор уходит в пределах 24 часов от фиксации; итоги расследования — в пределах 72 часов. Пара прогонов «на учениях» — и команда укладывается в сроки даже в выходные.
Ключевая деталь — время обнаружения записывается в момент первого сообщения, а не после внутренних согласований. Пока идёт «уточнение», часы тикают: просрочка считается от обнаружения.
Что считать обнаружением утечки
Момент, когда оператору стал известен факт неправомерной передачи или доступа к данным — получил сигнал мониторинга, жалобу, отчёт сотрудника. Не момент оценки масштаба и не момент завершения внутренней проверки. Поэтому регламент начинается с фиксации времени сигнала, а уже потом считается всё остальное.
Итог о сроках
Вся временная логика нормы умещается в три правила. Правило первое: штрафной контур уже полностью работает с 30.05.2025 — «переходного периода» не существует, готовиться было нужно вчера. Правило второе: настоящие дедлайны — это 24 и 72 часа после обнаружения инцидента; их соблюдение зависит от регламента, а не от юристов. Правило третье: все даты 2026–2027 годов, которые вы встречаете в новостях, относятся к другому закону — о поддержке нейротехнологий; не позволяйте им искажать ваши приоритеты защиты данных. Проверьте свой регламент реакции сегодня — это единственный срок, который действительно горит.