Защита персональных данных в 2026 году: оборотные штрафы, новые законы и как избежать миллионных потерь

Если вы считаете, что защита персональных данных — это формальность и бумажная работа, 2026 год стал отрезвляющим душем для тысяч российских компаний. Регулирование в области персональных данных в России вышло на принципиально новый уровень: от формальных штрафов, которые воспринимались как издержки бизнеса, законодатель перешел к экономически ощутимым санкциям.

Ключевая особенность 2026 года заключается не в появлении принципиально нового закона, а в том, что заработали поправки, принятые в 2024–2025 годах, и сформировалась правоприменительная практика. 

В этой статье мы разберем актуальные штрафы 2026 года, новые требования к сайтам и информационным системам, а главное — дадим пошаговый план, как выстроить систему защиты в компании и избежать миллионных потерь.

Штрафы за утечки персональных данных в 2026 году: главные цифры

С 30 мая 2025 года штрафы по ст. 13.11 КоАП РФ привязали к масштабу утечки и типу данных, а также введены новые административные правонарушения (ч.ч. 10 – 18), предусматривающие штрафы для бизнеса от 100 тыс. руб. до 500 млн. руб.

Теперь предусмотрена ответственность за:

• неисполнение обязанности уведомлять Роскомнадзор о намерении обрабатывать ПДн – ч. 10;
• сокрытие фактов утечки персональных сведений – ч. 11;
• действия либо бездействие, ставшие причиной утечек – ч.ч. 12 – 18;
• есть важное примечание по категории субъектов, подпадающих под ответственность;
• введено понятие «идентификаторы ПДн».
• введены смягчающие обстоятельства для операторов при возникновении повторных утечек;
• обозначен подход к актуальности технической защиты ПДн;
• введен институт административного расследования со стороны Роскомнадзора.

Представляем вам актуальную таблицу штрафов, основанную на Федеральном законе № 420-ФЗ и разъяснениях регуляторов.

Таблица: Ответственность за утечки ПДн в 2026 году (ст. 13.11 КоАП РФ)

Нарушение (часть ст. 13.11)	Штраф для граждан	Штраф для должностных лиц	Штраф для юридических лиц и ИП
Неуведомление РКН об утечке (ч. 11)	50 000 – 100 000 ₽	400 000 – 800 000 ₽	1 000 000 – 3 000 000 ₽
Утечка данных от 1 000 до 10 000 субъектов (ч. 12)	100 000 – 200 000 ₽	200 000 – 400 000 ₽	3 000 000 – 5 000 000 ₽
Утечка данных от 10 000 до 100 000 субъектов (ч. 13)	200 000 – 300 000 ₽	300 000 – 500 000 ₽	5 000 000 – 10 000 000 ₽
Утечка более 100 000 субъектов (ч. 14)	300 000 – 400 000 ₽	400 000 – 600 000 ₽	10 000 000 – 15 000 000 ₽
Утечка специальных категорий ПДн (ч. 16)	300 000 – 400 000 ₽	1 000 000 – 1 300 000 ₽	10 000 000 – 15 000 000 ₽
Утечка биометрических ПДн (ч. 17)	400 000 – 500 000 ₽	1 300 000 – 1 500 000 ₽	15 000 000 – 20 000 000 ₽
Повторная утечка (оборотный штраф) (ч. 15, 18)	400 000 – 800 000 ₽	800 000 – 2 000 000 ₽	1–3% годовой выручки (мин. 20–25 млн ₽, макс. 500 млн ₽)

На основе: ст. 13.11 КоАП РФ в ред. ФЗ № 420-ФЗ, разъяснения Роскомнадзора 

Обратите внимание на принципиальный момент: оборотные штрафы. Если утечка произошла повторно, компания заплатит не фиксированную сумму, а процент от годовой выручки. Для среднего бизнеса с выручкой 1–2 млрд рублей это удар в 10–30 миллионов минимум.

Условия снижения оборотных штрафов при повторных инцидентах

При возникновении повторного инцидента у оператора есть возможность существенно уменьшить размер санкций. В соответствии с ч. 3.4-2 статьи 4.1 КоАП РФ, предусмотрено десятикратное снижение штрафа при одновременном соблюдении следующих условий.

Первое условие — финансовое. Расходы оператора на обеспечение информационной безопасности за каждый из трех календарных лет, предшествующих году выявления правонарушения, должны составлять не менее 0,1% валовой выручки компании за соответствующий год.

Важное ограничение: Роскомнадзор принимает к учету только те мероприятия по информационной безопасности, которые выполнялись организацией, имеющей лицензию ФСТЭК России на техническую защиту информации. Если компания проводила такие мероприятия самостоятельно, у нее в обязательном порядке должна быть оформлена соответствующая лицензия. При этом даже выполнение всех указанных требований не гарантирует полного освобождения от ответственности — риск привлечения к ней при утечках сохраняется.

Второе условие — документальное подтверждение. Оператор должен соблюдать требования к защите персональных данных при их обработке в информационных системах персональных данных (ИСПДн), причем факт соблюдения должен быть документально подтвержден по результатам проверки, проведенной в течение 12 месяцев, предшествующих моменту выявления административного правонарушения .

Третье условие — отсутствие отягчающих обстоятельств. К ним относятся:

• продолжение противоправного поведения, несмотря на требование Роскомнадзора его прекратить
• наличие на момент совершения административного правонарушения или вынесения постановления по делу факта привлечения оператора к административной ответственности за правонарушения, предусмотренные частями 1–11 статьи 13.11 КоАП РФ

Пределы снижения. Даже при применении смягчающих норм минимальный размер штрафа не может быть ниже 15 миллионов рублей, а максимальный — не превышает 50 миллионов рублей.

Что понимается под утечкой персональных данных

Для корректной оценки инцидентов необходимо опираться на терминологию, закрепленную в национальных стандартах. Согласно ГОСТ Р 53114-2008, под утечкой информации понимается неконтролируемое распространение защищаемых сведений, которое может происходить в результате их разглашения, несанкционированного доступа или получения данными иностранными разведками. Персональные данные (ПДн), согласно Федеральному закону №152-ФЗ «О персональных данных», — любая информация, которая прямо или косвенно относится к определённому физическому лицу и помогает его идентифицировать.

К утечкам относят следующие ситуации:

• получение доступа к ПДн лицами, не имеющими на это полномочий;
• публикация баз данных в открытых источниках или их несанкционированная выгрузка;
• передача данных третьим сторонам при отсутствии законных оснований;
• компрометация информации вследствие взлома сайтов, серверов или информационных систем;
• утечки через веб-формы, программные интерфейсы приложений (API), сторонние скрипты или облачные сервисы.

Порядок действий при инциденте

В силу требований ч. 3.1 ст. 21 ФЗ № 152 при выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор. Момент исчисления сроков начинается с момента обнаружения инцидента — самим оператором, Роскомнадзором или иной заинтересованной стороной.

Установлены следующие сроки направления уведомлений:

• 24 часа — первичное уведомление о факте инцидента;
• 72 часа — дополнительное уведомление с результатами внутреннего расследования.

Ответственность за нарушение

Неисполнение данной обязанности квалифицируется по ч. 11 ст. 13.11 КоАП РФ и влечет наложение административного штрафа на юридических лиц в размере от 1 до 3 миллионов рублей.

Не только утечки: за что еще штрафует Роскомнадзор в 2026 году

Риски не ограничиваются утечками данных. В 2026 году регулятор активно применяет и другие составы правонарушений.

Нарушение локализации данных

С 1 июля 2025 года действует новая редакция ч. 5 ст. 18 Закона № 152-ФЗ, первичная обработка данных российских пользователей должна проходить в России. Официально установлен запрет на сбор, запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн с использованием баз данных, находящихся за пределами территории России. Несоблюдение указанного условия наказуемо штрафом по ч.ч. 8 – 9 ст. 13.11 КоАП РФ: 

• от 100 до 800 тыс. руб. для должностных лиц;
• от 1 до 18 млн руб. для юридических лиц.

Обновленный порядок оформления согласий на обработку ПДн 

С 1 сентября 2025 г. вступила в силу обновленная редакция ч. 1 ст. 9 Федерального закона № 152-ФЗ. В соответствии с новыми требованиями, операторы персональных данных обязаны получать согласие на обработку ПДн в виде отдельного документа, не совмещенного с иными сведениями и (или) документами, которые подписывает или подтверждает физическое лицо.

За несоблюдение правил получения согласия (включая случаи сбора данных через веб-сайты) предусмотрены штрафные санкции по ч.ч. 1 – 1.1 ст. 13.11 КоАП РФ:

• для должностных лиц — до 200 тыс. рублей;
• для юридических лиц — до 500 тыс. рублей.

Если же письменное согласие требовалось по закону, но не было получено, ответственность наступает по ч.ч. 2 – 2.1 ст. 13.11 КоАП РФ, а суммы штрафов возрастают:

• должностные лица могут заплатить до 500 тыс. рублей;
• организации — до 1,5 млн рублей.

Нововведения в процедуре государственного контроля (надзора) за обработкой ПДн

Постановлением Правительства РФ от 27.08.2025 № 1286 утверждены обновленные критерии отнесения организаций к одной из четырех категорий риска в зависимости от потенциальной тяжести последствий нарушений в области обработки персональных данных.

С 5 сентября 2025 г. к группе наивысшего риска (категория А) относятся компании, обрабатывающие в своих информационных системах персональных данных (ИСПДн) сведения о более чем 100 000 физических лиц в пределах одного региона или России в целом, а также организации, получающие согласие на обработку ПДн в случаях, когда по закону такое согласие не является обязательным.

Для группы Б предусмотрены следующие уточнения: скорректирована формулировка, касающаяся сбора данных, — вместо указания на «через иностранные программы и сервисы» теперь говорится «с помощью зарубежных баз данных в ряде случаев». Кроме того, добавлен новый критерий, связанный с трансграничной передачей персональных данных без предварительного уведомления о намерении осуществлять такую передачу.

Изменение сроков хранения данных организаторами распространения информации

С 1 января 2026 г. вступили в силу новые требования к продолжительности хранения информации организаторами распространения информации в сети «Интернет». Согласно обновленным нормам, срок хранения увеличен до 3 лет.

Основание — Постановление Правительства РФ от 23.09.2020 № 1526, которое устанавливает обязанность хранить на территории России информацию о фактах приема, передачи, доставки, обработки голосовой информации, письменного текста, изображений, звуков, видео или иных электронных сообщений пользователей, а также сведения о самих пользователях. Ранее этот срок составлял 1 год с момента прекращения указанных действий, теперь же он продлен до 3 лет.

Ответственность за игнорирование данного требования предусмотрена ст. 15.4 Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Нарушителям грозит предупреждение от Роскомнадзора, а в дальнейшем — судебное разбирательство, которое может привести к ограничению доступа к информационным системам и программам организации.

Планируемый запрет на использование зарубежного ПО и облачных сервисов

Минцифры выступило с инициативой, адресованной Минпромторгу, о введении запрета для крупных российских компаний на использование иностранного программного обеспечения и зарубежных облачных сервисов при работе с персональными данными. Ограничения планируется ввести с 1 сентября 2027 года.
Важно отметить, что запрет затронет далеко не всех участников рынка. Малый и средний бизнес, индивидуальные предприниматели и физические лица смогут по-прежнему пользоваться иностранными сервисами без каких-либо ограничений.

Под регуляторные ограничения подпадают:

• крупные корпорации с годовым оборотом свыше 2 млрд рублей или численностью персонала более 5000 человек;
• государственные корпорации;
• стратегически важные предприятия.

Этим категориям организаций предстоит полностью отказаться от использования зарубежных облачных решений и перенести свои данные на российские платформы. Под запрет попадают такие широко распространенные сервисы, как Microsoft 365, Google Workspace, Gmail, Slack, Dropbox, Google Drive, а также облачные инфраструктуры AWS, Azure и Google Cloud Platform.

Новый порядок трансграничной передачи персональных данных: что меняется

10 декабря 2025 года Государственная Дума приняла в первом чтении законопроект № 951518-8, вносящий коррективы в статью 12 Федерального закона № 152-ФЗ «О персональных данных». Разработчики инициативы ставят перед собой задачу упорядочить и сделать более прозрачной процедуру передачи персональных данных за пределы Российской Федерации.

 
Ключевые нововведения законопроекта

Корректировка критерия «адекватной защиты».
Из действующей редакции убирается прямое указание на автоматическое включение в перечень «адекватных» государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных 1981 года. Теперь определяющим становится не формальное участие в Конвенции, а реальное соответствие правового регулирования и применяемых мер ее положениям. Такой подход, с одной стороны, дает больше гибкости, с другой — предъявляет более предметные требования к оценке защиты данных.

 
Упрощение процедуры для государств вне «адекватного» перечня.
Из частей 5, 10 и 11 статьи 12 Федерального закона № 152-ФЗ исключаются упоминания о том, является ли иностранное государство участником Конвенции Совета Европы. Это важное изменение: теперь единый порядок будет применяться ко всем странам, не включенным в специальный перечень, независимо от их участия в Конвенции.

 
Что это значит для оператора 

Процедура становится более предсказуемой:

• если страна-получатель данных присутствует в перечне Роскомнадзора, оператору достаточно направить уведомление;
• если страна в перечне отсутствует, необходимо направить уведомление и выждать 10 рабочих дней до начала передачи.

 
Таким образом, участие страны в Конвенции Совета Европы перестает быть самостоятельным основанием для упрощенного порядка. Решающим фактором становится включение государства в официальный перечень, утверждаемый Роскомнадзором

Административное расследование: альтернатива проверкам в условиях моратория

Несмотря на действующий до 2030 года мораторий на проведение плановых контрольных мероприятий, операторы персональных данных не могут чувствовать себя в полной безопасности. Риск внеплановых проверок со стороны Роскомнадзора сохраняется, однако у регулятора появился еще более действенный инструмент — административное расследование, предусмотренное частью 1 статьи 28.7 КоАП РФ.

Принципиальное отличие административного расследования от обычной внеплановой проверки заключается в его процессуальной глубине. Это не просто контрольное мероприятие, а целый комплекс требующих значительных временных затрат процессуальных действий, которые уполномоченные должностные лица проводят для выяснения всех обстоятельств административного правонарушения. В рамках расследования осуществляется фиксирование доказательств, юридическая квалификация деяния и процессуальное оформление материалов.

Ключевая особенность, запускающая механизм именно расследования, а не проверки, — необходимость проведения экспертиз, сложных исследований или иных процессуальных действий, которые объективно не позволяют составить протокол об административном правонарушении немедленно, непосредственно в момент выявления признаков нарушения.

Какие нарушения становятся поводом для административного расследования РКН

На основании части 1 статьи 28.7 КоАП РФ, Роскомнадзор инициирует административное расследование при выявлении следующих категорий правонарушений в сфере персональных данных:

Составы правонарушений	Части ст. 13.11 КоАП РФ
Обработка ПДн без законных оснований Нецелевая обработка персональных данных	ч. 1 – 2.1
Неправомерная передача (предоставление, распространение, доступ) ПДн: • от 1 000 до 100 000 субъектов • от 10 000 до 1 млн и более идентификаторов	ч. 12 – 15
Неправомерная передача (предоставление, распространение, доступ): • специальных категорий ПДн • биометрических персональных данных	ч. 16 – 18

Что важно знать об административном расследовании Роскомнадзора

Истребование информации
В ходе административного расследования Роскомнадзор вправе запросить у оператора необходимые сведения, направив определение об истребовании сведений на основании ч. 1 ст. 26.1 КоАП РФ.

Срок ответа — 3 дня
Предоставить информацию нужно в трехдневный срок с момента получения определения. Если это невозможно, необходимо письменно уведомить регулятора в тот же срок.

Ответственность по ст. 17.7 КоАП РФ
За невыполнение требования предусмотрены санкции, более серьезные, чем по ст. 13.11:

• дисквалификация директора на 6–12 месяцев;
• приостановление деятельности компании до 90 суток;
• штраф до 100 000 рублей.

Процессуальные особенности

• Проводится независимо от моратория на плановые проверки.
• Не требует предварительного уведомления оператора.
• Не нужно согласование с прокуратурой.
• Срок предоставления информации — 3 дня.
• Обжалование определения об административном расследовании КоАП РФ не регулируется.

Как Роскомнадзор использует ИИ для проверки сайтов

С 2025 года Роскомнадзор внедрил в практику контрольно-надзорной деятельности автоматизированную систему мониторинга персональных данных – АС МПДн. Данная система функционирует как автосканер с элементами искусственного интеллекта, осуществляющий автоматическую проверку публичных страниц интернет-ресурсов.

В функционал АС МПДн входит анализ кодовой базы сайтов, изучение веб-форм, фиксация подключений к внешним сервисам и выявление иных признаков, свидетельствующих об обработке персональных данных. При обнаружении несоответствий установленным требованиям владелец сайта получает официальное уведомление, содержащее требование об устранении выявленных нарушений.

Проверка включает:

• оценку наличия и содержания политики конфиденциальности, а также корректности оформления согласий на обработку ПДн;

• анализ HTML-кода и JavaScript-скриптов, используемых на сайте;

• мониторинг внешних подключений к сторонним сервисам и API-интерфейсам;

• определение местоположения хостинга и серверов баз данных;

• проверку форм сбора информации и скриптов, обрабатывающих куки-файлы.

Применение алгоритмов машинного обучения и технологий искусственного интеллекта позволяет выявлять несоответствия и потенциальные угрозы безопасности персональных данных в полностью автоматическом режиме. По итогам проведенной проверки, в случае отсутствия устранения нарушений в установленный срок, для сайта могут наступить серьезные последствия – от наложения административных штрафов до полной блокировки интернет-ресурса.

Признаки повышенного риска при обработке персональных данных на сайте

Нормативное основание: Постановление Правительства РФ № 1286 от 27 августа 2025 года (внесение изменений в Положение о федеральном государственном контроле за обработкой ПДн) .

Категории риска для операторов
Сайты и компании попадают в категорию повышенного риска (группы «А» и «Б»), если их деятельность или технические характеристики обрабатываемых данных создают повышенную вероятность нарушений 152-ФЗ.

Перечень признаков повышенного риска

Категория признака	Конкретные критерии
Масштаб обработки	Обработка данных более чем 100 000 субъектов персональных данных (в пределах одного региона или по всей РФ)
Основания обработки	Сбор персональных данных по согласию в случаях, когда федеральным законом это не требуется (избыточный сбор через формы подписки, обратной связи, рекламы)
Категории данных	Обработка специальных категорий (медицинская, финансовая, образовательная информация) или биометрических данных (фото и видео, позволяющие идентифицировать личность)
Обезличенные данные	Обработка обезличенных персональных данных с возможностью обратной идентификации (новый критерий 2025 года)
Трансграничная передача	Передача данных за рубеж или использование иностранных облачных сервисов без описания и согласия субъектов
Иностранные сервисы	Использование зарубежных платформ аналитики и рекламы, передающих данные в третьи страны (Google Analytics, Meta Pixel, Cloudflare)
Репутационные риски	Наличие более 10 жалоб от пользователей или организаций, выявленные утечки ПДн, несвоевременное устранение ранее обнаруженных нарушений
Регистрационные признаки	Отсутствие регистрации оператора в реестре Роскомнадзора при фактической обработке ПДн на сайте

Какие сайты АС МПДн проверяет в первую очередь

Система автоматизированного мониторинга Роскомнадзора (АС МПДн) выстраивает приоритеты проверок на основе анализа деятельности сайтов и связанных с ней рисков нарушения законодательства о персональных данных.

Приоритетные категории для автоматизированного контроля

Категория сайтов	Причина повышенного внимания
Интернет-магазины и e-commerce площадки	Масштабный сбор клиентских данных: контактная информация, платежные реквизиты, адреса доставки
Банковские и финансовые сервисы, МФО	Высокие риски утечек, жалобы на несанкционированные рассылки, чувствительность обрабатываемых данных
Образовательные платформы и онлайн-курсы	Обработка данных учащихся, родителей и сотрудников в значительных объемах
Сайты бронирования, доставки и медицинских услуг	Работа с чувствительными персональными данными, включая информацию о здоровье и биометрию
Госзакупочные и муниципальные порталы	Обязанность публиковать персональные данные в открытом доступе в силу законодательства
IT-компании и SaaS-платформы	Использование cookie-идентификаторов, систем аналитики и рекламных пикселей без корректного описания в политике приватности
Малый бизнес и личные страницы предпринимателей	Отсутствие регистрации в реестре операторов ПДн при фактической обработке данных

Важное процессуальное изменение

С 28 декабря 2025 года дела о нарушениях по ст. 13.11 КоАП РФ вернулись в юрисдикцию мировых судей (ФЗ № 508-ФЗ). Ранее их рассматривали арбитражные суды. Изменился путь осуществления обжалования: теперь он идет через районные суды общей юрисдикции, а не через профильный арбитраж.

Взгляд эксперта

Подробнее изменения в законодательстве по обработке персональных данных, типовые уязвимости сайтов, ведущие к утечкам, а также правоприменительную практику по делам о сайтах разобрали на вебинаре вместе с экспертом по защите информации Эльшаном Мамедовым. Посмотреть запись вебинара

О спикере: Эльшан Мамедов: Кандидат юридических наук, доцент Руководитель центра компетенций по кибербезопасности ФГБОУ ВО ИРНИТУ Совет Торгово-промышленной палаты РФ по развитию информационных технологий и цифровой экономики Российская ассоциация специалистов по защите данных (RPPA) Межрегиональная ассоциация теоретиков государства и права Представитель рабочей группы при Минцифры ИО по созданию киберполигона

Как выстроить систему безопасности в компании

Чтобы избежать колоссальных штрафов, бизнесу нужен комплексный подход. Недостаточно просто назначить ответственного или купить сервер. Необходимо выстроить систему на двух уровнях: организационно-правовом и техническом.

Уровень 1. Организация работы с персональными данными и понимание базовых правил защиты

На этом уровне решаются вопросы:

• Разработка и актуализация локальных актов
• Получение корректных согласий
• Взаимодействие с Роскомнадзором
• Обучение сотрудников
• Реагирование на инциденты в установленные сроки

Штрафы и предписания часто являются следствием не злого умысла, а непонимания сотрудниками своих обязанностей. Чтобы защитить компанию, недостаточно иметь папку с документами — нужно, чтобы каждый, кто работает с данными клиентов и сотрудников, знал алгоритм действий.

 
Для системного выстраивания этой работы на базе актуальных требований 2026 года мы предлагаем практический курс «Защита персональных данных в организации». Вы и ваши сотрудники научитесь не только составлять документы, но и применять требования закона в ежедневных бизнес-процессах — от маркетинга до работы с кадрами.

Уровень 2. Техническая защита в информационных системах

Технический уровень включает:

• Защиту баз данных, cистем управления взаимоотношениями с клиентами (CRM), сайтов от взлома и утечек.
• Настройку средств защиты информации (СЗИ).
• Выстраивание системы разграничения доступа.
• Реагирование на кибератаки и инциденты информационной безопасности.
• Применение сертифицированных ФСТЭК средств защиты.

 
Для ИТ-специалистов, администраторов безопасности и разработчиков у нас есть предложение — курс «Обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных». Это не просто теория: программа согласована со ФСТЭК России, что подтверждает её высокий уровень и соответствие самым строгим требованиям регуляторов к технической защите .

Заключение

2026 год окончательно закрепил переход от «бумажного» соблюдения закона к реальной ответственности. Регуляторы перестали делать скидку на незнание: автоматизированные системы Роскомнадзора сканируют сайты круглосуточно, а штрафы за утечки исчисляются уже не сотнями тысяч, а миллионами и процентами от годовой выручки.

Главный риск сегодня — это иллюзия защиты. Наличие политики конфиденциальности на сайте уже не спасает, если система видеонаблюдения в офисе передает данные на зарубежный сервер, а отдел маркетинга собирал согласия с помощью одной отметки в форме, совмещенной с договором купли-продажи.

Поэтому ключевой вывод для бизнеса прост: безопасность персональных данных — это сквозной процесс, который требует одновременной работы и с правом, и с техническими средствами защиты. Невозможно избежать миллионных потерь, исправляя ошибки постфактум.

Чтобы выстроить надежную систему и защитить компанию от описанных выше рисков, недостаточно просто прочитать статью — нужно, чтобы ваши сотрудники освоили актуальные алгоритмы действий на практике. Именно для этого мы подготовили специализированные курсы, которые помогут перевести требования 2026 года из разряда угроз в рабочие бизнес-процессы.