Антон пришёл на должность специалиста по информационной безопасности в компанию, которая продаёт промышленное оборудование. В первый же день ему выдали ноутбук, доступ к CRM и задачу, сформулированную в одну строку: «Посмотри, всё ли у нас в порядке с базой клиентов». В базе сорок тысяч записей — названия организаций, имена, телефоны, адреса доставки и переписка менеджеров за несколько лет. Юридического образования у Антона нет, поэтому он делает то, что сделал бы на его месте любой: открывает 152-ФЗ.

Первые полчаса уходят на поиск. По запросу «152-ФЗ» находятся десятки страниц: пересказы, разборы, статьи трёхлетней давности, копии текста без даты и редакции. Антон открывает первую попавшуюся, читает знакомые слова про оператора и обработку, но не понимает, что из этого следует для его базы. Он закрывает вкладку с мыслью, что закон — это для юристов, а у него есть работа.

Через день он возвращается к тексту с другим вопросом. Не «что здесь написано», а «что я должен сделать с этими данными, в какой срок и что будет, если не сделаю». Вопрос меняет всё: вместо чтения с первой статьи до последней начинается разговор, в котором у закона есть ответы, а у Антона — свои вопросы. Читать закон — это навык задавать вопросы к тексту, а не запоминать статьи. Дальше — семь вопросов, из которых складывается план.

Сначала выясните, что именно действует

Самый дорогой вопрос при чтении закона — не «что написано», а «когда это написано и что из написанного действует сейчас». Законы меняются часто, и поправки редко выглядят как переписывание: чаще это новая часть в статье или новый срок, который меняет всю процедуру. Если читать копию пятилетней давности, можно уверенно сделать вывод, который уже неверен, и не заметить этого.

Антон почти попал в такую ловушку. В найденной статье про персональные данные не было ни слова о том, что об утечке нужно сообщить в Роскомнадзор в течение 24 часов, а через 72 часа — передать результаты внутреннего расследования. Эти сроки появились в законе в 2022 году, и автор публикации их просто не застал. Дочитав до конца, Антон решил бы, что достаточно «усилить защиту», и пропустил бы обязанность, у которой есть жёсткий дедлайн.

Порядок проверки несложный. Официальный текст ищите на портале опубликования правовых актов, приказы ведомств — на сайтах ФСТЭК, ФСБ и Роскомнадзора, там же обычно лежат разъяснения. Справочные правовые системы удобны для поиска, но найденную формулировку всегда сверяйте с официальным источником.

Отдельная тонкость — редакции связанных документов. Закон может действовать, а постановление или приказ, на который он ссылается, уже заменён; тогда вы читаете действующий закон и недействующий порядок. Поэтому, дойдя до ссылки на подзаконный акт, проверяйте его отдельно, а не считайте, что раз закон свежий, то и всё вокруг него тоже.

Дальше смотрите на две даты: редакцию и вступление в силу. Документ может быть опубликован, но ещё не действовать, а у поправок бывают переходные положения — например, новые требования применяются только к системам, созданным после определённого числа. Для работы с 152-ФЗ в ноябре 2026 года важны не номера редакций, а три даты. С 2022 года действуют сроки уведомления об утечках, с 30 мая 2025-го применяются обновлённые штрафы, а с 1 сентября 2026 года требования к мерам задаёт новый приказ ФСТЭК вместо № 21.

Держать это в голове не нужно — нужно каждый раз смотреть на дату и на пометку о вступлении в силу. Проверка занимает минуту и почти всегда окупается: одна неверная дата может стоить дороже, чем весь план защиты. Но свежий текст сам по себе не отвечает: в нём ещё надо найти нужное место, а для этого понимать, как он устроен.

Как устроен текст и кого он касается

Законы устроены как матрёшка: главы, внутри — статьи, внутри статей — части, внутри частей — пункты. Ссылка «часть 2 статьи 19» означает: возьмите статью 19 и найдите в ней вторую часть, а не второй абзац на глаз. Ссылки на пункты выглядят ещё длиннее, но читаются так же — по ступеням, слева направо.

В 152-ФЗ полезно сразу запомнить не номера, а маршрут. В начале — статья 1 о сфере действия и статья 3 с определениями, где объясняется, кто такой оператор. Дальше статьи 5–9 описывают принципы и основания обработки: зачем данные собирают, на каком основании и как долго можно хранить. Статьи 18 и 19 говорят об обязанностях и мерах, статьи 20 и 21 — о запросах людей и об утечках, статья 22 — об уведомлении регулятора, статья 24 отсылает к ответственности. Этого маршрута хватает, чтобы не читать закон целиком каждый раз.

Перед тем как идти по этому маршруту, загляните в преамбулу и названия глав: они объясняют замысел документа. В преамбуле 152-ФЗ сказано, что закон регулирует отношения при обработке данных, а сами правила появляются дальше, в статьях. Это экономит время: вы сразу понимаете, что перед вами не инструкция, а рамка, внутри которой действуют ещё и подзаконные акты.

Первый фильтр — сфера действия. Статья 1 говорит, на кого закон распространяется, и делает исключение для обработки данных исключительно в личных и семейных целях. Для компании это значит, что «мы маленькие» и «у нас всего одна форма на сайте» ничего не меняют: если вы собираете данные клиентов, вы попадаете в закон.

Второй фильтр — роль. Оператор организует обработку и решает, зачем и как собираются данные, а обработчик делает это по поручению оператора. Антон быстро выясняет: CRM у компании в облаке, но цели обработки, настройки и доступы определяет она сама, значит, оператор — компания, а не подрядчик. Уведомление регулятора, согласия и меры защиты остаются её обязанностью, даже если технически всё лежит на чужом сервере.

Может показаться, что разбираться во всём этом незачем: есть юрист, пусть он и читает. Но юрист отвечает на вопрос «можно ли так», а решение о том, что именно вы будете делать с базой, принимает тот, кто эту базу видит. Если специалист не понимает, о чём спрашивать, юрист получит задачу «разберитесь с законом» — и вернёт текст, а не план.

Что вы обязаны и в какой срок

Когда сфера и роль понятны, текст читают по глаголам. «Обеспечить», «уведомить», «назначить», «уничтожить», «хранить» — каждый такой глагол означает задачу, у которой есть исполнитель и результат. Это куда полезнее, чем пытаться запомнить структуру статьи: глаголы сами складываются в список дел.

Задачи удобно делить на три группы, и деление помогает не потерять целый пласт работы. Одна группа — документы: политика обработки, согласия, приказы о назначении ответственных. Вторая — действия: ответить человеку на запрос, удалить данные, прекратить обработку. Третья — техника: разграничить доступ, включить журналирование, настроить резервное копирование. Если в вашем списке только документы, значит, вы прочитали закон глазами юриста, а не оператора.

Дальше — сроки, и именно они чаще всего превращают нарушение в доказанное нарушение. У уведомления об утечке есть 24 часа на сообщение и 72 часа на результаты внутреннего расследования, у уведомления о начале обработки — правило «до начала», а у хранения — ограничение «не дольше, чем нужно для цели». Отдельно стоит дата 1 сентября 2026 года: с неё состав мер определяется новым приказом ФСТЭК, и план перехода лучше иметь заранее.

Ответственность в самом 152-ФЗ описана коротко: виновные лица несут ответственность по законодательству. Конкретика живёт в других документах, и это нормальная конструкция, а не недоговорённость. Штрафы за нарушения при обработке — в КоАП, уголовная ответственность за незаконный оборот данных — в УК, а размеры штрафов обновлены законом 2024 года: за утечку данных от тысячи человек организация заплатит от трёх до пяти миллионов рублей, за повторную — оборотный штраф.

Для Антона это не абстракция. В его базе сорок тысяч субъектов, и штраф считается не «за факт», а по масштабу: чем больше людей, тем выше сумма. Поэтому вопрос «сколько у нас записей и все ли они нужны» перестаёт быть техническим и становится юридическим.

Важно. Если в законе написано «влечёт ответственность», конкретный штраф ищите не в нём, а в КоАП или УК. Закон устанавливает обязанность, кодекс — цену. Поэтому вопрос «сколько нам грозит» почти всегда ведёт в другой документ.

Но обязанность «принимать меры» пока звучит слишком общо. Чтобы понять, что именно требуется, нужно открыть статью 19 — и прочитать её целиком, а не первую строку. Именно на этом переходе от обязанности к мере большинство читателей и останавливается.

Одна статья, прочитанная целиком

Статья 19 152-ФЗ называется «Меры по обеспечению безопасности персональных данных при их обработке». В первой части — общая обязанность: оператор принимает правовые, организационные и технические меры, чтобы защитить данные от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования и распространения. Формулировка кажется размытой, пока не дочитаешь до второй части.

Во второй части перечислено, из чего состоят меры. Нужно определить угрозы и применить организационные и технические меры, использовать прошедшие оценку соответствия средства защиты, оценивать эффективность принятых мер, учитывать машинные носители. В этот же перечень входят обнаружение несанкционированного доступа, восстановление изменённых или уничтоженных данных, установление правил доступа и контроль за тем, как всё это выполняется.

Читая этот список, Антон замечает важное: в нём нет ни одного названия программы. Закон говорит, что должно быть, а не чем это сделать, и оставляет пространство для решений. Это не слабость формулировки, а её смысл: меры привязываются к конкретной системе, а не к каталогу продуктов.

Третья и следующие части объясняют, откуда берётся конкретика. Уровни защищённости устанавливает Правительство — постановлением № 1119, состав и содержание мер — ФСТЭК, а для государственных систем и отдельных сфер действуют свои документы. Поэтому статья 19 не отвечает на вопрос «что делать»: она показывает, где искать ответ и по каким правилам его выбирать.

Антон выписывает пункты второй части как вопросы к своей системе. Есть ли модель угроз, и кто её утвердил? Чем подтверждается, что средства защиты прошли оценку соответствия? Кто ведёт учёт носителей и как узнаёт о несанкционированном доступе? Что произойдёт, если данные изменят, и проверяли ли восстановление хотя бы раз? По постановлению № 1119 он предварительно относит систему к третьему или четвёртому уровню защищённости — УЗ-3 или УЗ-4: специальных категорий и биометрии нет, но точный уровень фиксируется в акте и зависит от типа угроз и количества субъектов.

И тут же обнаруживается следующая дверь. Выбрав уровень защищённости, он открывает приказ ФСТЭК № 21 и видит, что через несколько месяцев тот перестанет действовать. Значит, читать закон нужно вместе с тем, что написано вокруг него.

Закон не работает в одиночку

Приказ № 21 от 18 февраля 2013 года — это и есть та самая конкретика, которой не хватало статье 19: перечень мер и указание, какие из них обязательны для каждого уровня защищённости. С 1 сентября 2026 года его заменяет новый приказ ФСТЭК, который смещает акцент с формального набора мер на управление защитой и оценку зрелости. Для Антона это означает, что план нельзя писать «навсегда»: в нём должна быть дата пересмотра.

Дальше выясняется, что и это не конец цепочки. Если бы компания обслуживала государственные системы, к ней пришёл бы приказ № 117 от 11 апреля 2025 года, который с 1 марта 2026-го заменил приказ № 17 и задаёт требования к защите информации в ГИС. Напрямую к торговле оборудованием он не применяется, но подрядчикам госорганов требования часто передают через договор — и тогда документ становится вашим.

И здесь же начинается ловушка, на которой спотыкаются даже опытные специалисты. Приказов с номером 117 два: от 25 декабря 2017 года — о защите информации в значимых объектах критической инфраструктуры, и от 11 апреля 2025 года — о государственных информационных системах. Поиск по номеру находит оба, а советы в интернете смешивают их ещё чаще. Различать их нужно по дате подписания, объекту в названии и дате вступления в силу. Если вы работаете с КИИ, вам нужен 2017 год и приказ № 239; если с ГИС — 2025-й.

Связанные акты — не приложение к закону, а его продолжение. Закон говорит «обеспечьте безопасность», подзаконный акт говорит, какие меры для этого нужны и сколько их должно быть на вашем уровне. Без этой связки вы понимаете принцип, но не понимаете, как его выполнять, и в отчёте появляется красивая фраза вместо работающей защиты. У 187-ФЗ про критическую инфраструктуру своя цепочка: сам закон задаёт обязанности, а приказ № 239 — требования к значимым объектам. Так что «прочитать закон» почти всегда означает «прочитать закон и два-три документа вокруг него».

Если собрать всё, что Антон делал за эти дни, получится не список статей, а последовательность вопросов. Сначала он проверяет, что документ действует и в какой редакции. Потом смотрит, как устроен текст и где в нём искать ответ. Дальше — касается ли его написанное и в какой роли он выступает. После этого выписывает глаголы и превращает их в задачи.

Затем он ищет сроки, потому что срок превращает обязанность в дедлайн. Потом смотрит, что будет за невыполнение и в каком документе об этом написано. И наконец — какие ещё акты нужно открыть, чтобы общий принцип стал конкретным действием. Семь вопросов, и ни один из них не звучит как «запомнить статью 19».

Именно так закон превращается в карточку, а не в конспект. В ней есть реквизиты, круг лиц, требования, сроки, ответственность, связанные акты и дата проверки — потому что карточка устаревает вместе с законом, и через год её нужно перечитать. Так устроен и наш навигатор по законам: он хранит не пересказ, а ориентиры, по которым можно вернуться к официальному тексту.

Главная мысль

Через неделю Антон не цитирует 152-ФЗ наизусть. Он открывает карточку, проверяет дату и статью, смотрит на связанные акты и только потом идёт к руководителю с планом. Навык оказался не в памяти, а в порядке вопросов: что действует, как устроено, касается ли меня, что я обязан сделать, в какой срок, чем рискую и с чем это связано.

Это работает не только с персональными данными. Любой акт — 187-ФЗ, приказы ФСТЭК, требования регулятора — читается по той же логике, потому что законы устроены похоже, а вопросы у практика всегда одни и те же. Меняются номера и даты, но не способ разговора с текстом.

Самая опасная ошибка здесь — не незнание, а уверенность в старой формулировке. Человек, который помнит «как было», иногда вреднее человека, который честно открыл документ и посмотрел. Поэтому лучший признак профессионала — не выученные статьи, а привычка проверять и задавать вопрос, на который текст обязан ответить.

Если хочется пройти этот путь на одном документе, начните с 152-ФЗ: он небольшой по объёму и хорошо показывает, как закон связан с подзаконными актами. Откройте карточку 152-ФЗ и разбор закона простыми словами. Дальше стоит посмотреть приказ № 21 и приказ № 117 (2025), если вы работаете с госсектором, а незнакомые термины искать в словаре.