Но масштаб проблемы остаётся огромным. С 30 мая 2025 года в России действуют оборотные штрафы за повторные утечки — до 3% годовой выручки. В 2026 году регулирование ужесточилось: появились новые составы правонарушений, судебная практика только начинает складываться. Цена ошибки выросла многократно.

Однако цифры в отчёте о прибылях и убытках — лишь часть реальной стоимости инцидента. Прямые финансовые потери, репутационный ущерб и долгосрочное обесценивание бизнеса часто превышают регуляторные штрафы. При этом масштаб последствий сильно зависит от типа данных, отрасли и реакции компании. Поэтому важно не паниковать, а трезво оценивать риски.

Для CFO и инвесторов настало время признать: информационная безопасность — не просто статья расходов, а инструмент защиты капитализации.

Прямой ущерб: что можно посчитать в рублях

Штрафы Роскомнадзора: от 3 до 500 миллионов рублей

С 30 мая 2025 года действуют новые штрафы за утечку персональных данных (ст. 13.11 КоАП РФ):

Масштаб утечки	Штраф для организации
1 000 – 10 000 человек	3 – 5 млн рублей
10 000 – 100 000 человек	5 – 10 млн рублей
Свыше 100 000 человек	10 – 15 млн рублей
Утечка биометрических данных	15 – 20 млн рублей
Повторная утечка (любого масштаба)	1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей

За неуведомление Роскомнадзора об инциденте в течение 24 часов — штраф от 1 до 3 млн рублей.

Важно понимать, что судебная практика по новым нормам только формируется. Один из первых судебных прецедентов — утечка 300–500 тыс. записей в онлайн-школе Ukids. Формально штраф для юрлица составляет 10–15 млн рублей, но суд назначил 400 тыс. рублей, применив льготу для малых предприятий (ст. 4.1.2 КоАП РФ). Это исключение: для среднего и крупного бизнеса такая норма не действует. Однако сам факт показывает, что реальные суммы могут отличаться от максимальных в зависимости от обстоятельств.

Скрытые расходы: от 11 до 41 млн рублей за инцидент

По оценкам исследования ГК InfoWatch (2024), средний ущерб от одной утечки в России достигает 11,5 млн рублей, а в отдельных случаях — более 41 млн рублей. Стоит учитывать, что методология не раскрыта, а автор — коммерческий разработчик средств защиты информации, поэтому цифры лучше воспринимать как верхнюю границу возможных потерь.

В типичный состав прямых расходов входят:

• проведение расследования и компьютерно-технической экспертизы;
• аудит информационной безопасности и устранение уязвимостей;
• юридическое сопровождение и возможные иски клиентов;
• восстановление инфраструктуры;
• увеличение страховых взносов (при наличии киберстрахования);
• компенсации пострадавшим.

Это только операционные расходы. Есть ещё одна статья, которую сложно измерить, но невозможно игнорировать.

Репутационный ущерб: невидимые потери, которые видны в балансе

Репутация — нематериальный актив, но её потеря имеет вполне материальные последствия. Сила эффекта зависит от типа данных и отрасли: утечка адресов электронной почты интернет-магазина вызовет меньший резонанс, чем компрометация медицинских данных или биометрии.

Потеря клиентов и падение выручки

Когда клиенты узнают, что их данные скомпрометированы, доверие снижается. Для B2B-компании потеря одного крупного клиента может означать десятки миллионов рублей недополученной выручки. Для B2C — отток пользователей к конкурентам. Но многое зависит от скорости и качества реакции: грамотная кризисная коммуникация способна смягчить удар.

Например, стоимость привлечения одного B2B-клиента может составлять от 2 до 5 тысяч рублей. Если утекла база на 3 000 контактов, это эквивалентно потере 6–15 млн рублей, вложенных в её формирование, — и эти средства фактически достаются конкуренту. Это условный расчёт, но он показывает порядок цифр.

Падение стоимости бизнеса

Для организаций, чья ценность основана на данных или интеллектуальной собственности, утечка исходного кода, клиентской базы или стратегических планов напрямую обесценивает её в глазах инвесторов. Они учитывают не только текущие доходы, но и устойчивость. Компания с историей инцидентов может получить:

• повышенную премию за риск при оценке;
• более жёсткие условия кредитования;
• снижение мультипликаторов при M&A.

Единой методики количественной оценки такого дисконта нет, и его величина сильно варьируется.

Потеря конкурентных преимуществ

Утёкшие стратегические планы, условия договоров, ноу-хау переходят к конкурентам. Восстановление позиций может занять годы и потребовать значительных ресурсов. И здесь всё зависит от уникальности данных и способности компании быстро адаптироваться.

Что изменилось в 2026 году: новые риски и правила

С января 2026 года Верховный суд подтвердил: за утечку данных полностью отвечает оператор, даже если обработкой занимался внешний подрядчик (Постановление ВС РФ от 21.01.2026 № 5-АД25-119-К2). Передача обработки данных на аутсорсинг не освобождает от обязательств перед пользователями и регуляторами.

Оборотные штрафы за повторные утечки уже действуют, и для среднего бизнеса они могут стать ощутимым финансовым ударом. В сочетании с новыми составами правонарушений это заметно повышает цену халатности при обработке персональных данных.

Личные риски руководителей

Центральный банк рассматривает возможность учитывать факты неправомерного использования персональных данных при оценке деловой репутации топ-менеджеров финансовых организаций. Это часть более широкого тренда: регуляторы задают курс на персональную ответственность руководителей, и в перспективе подобные требования могут распространиться на весь рынок.

Почему российский бизнес часто недооценивает риски

Существует несколько причин, по которым компании систематически занижают вероятность и последствия инцидентов:

• Отсутствие системной оценки ущерба. Многие организации не ведут учёт инцидентов и не анализируют их стоимость. По некоторым опросам, до 20% компаний вообще не подсчитывали убытки после утечек.
• Иллюзия «мы слишком малы». Автоматизированные атаки сканируют всех подряд. Малый бизнес часто более уязвим из-за слабой защиты.
• Недостаточное знание собственной инфраструктуры. Неучтённые серверы, теневые копии баз, избыточные права доступа увеличивают поверхность атаки.
• Смещённое восприятие риска. Люди склонны недооценивать маловероятные события с тяжёлыми последствиями.

Не стоит впадать и в другую крайность: не каждая утечка приводит к катастрофе. Задача — выстроить защиту, соразмерную реальным угрозам.

Как оценить риски для вашей компании: практический подход

Для предварительной оценки можно использовать простой алгоритм:

1. Определите критичные активы. Что для вашего бизнеса наиболее ценно: клиентская база, исходный код, финансовая информация?
2. Оцените потенциальную стоимость утечки. Сколько эти данные могут стоить на чёрном рынке или для конкурента? Используйте консервативные оценки.
3. Посчитайте регуляторные риски. Подпадаете ли вы под оборотные штрафы или только под фиксированные суммы?
4. Оцените косвенные потери. Как отреагируют клиенты, партнёры, инвесторы?
5. Оцените вероятность инцидента. Она зависит от отрасли, уровня защиты, активности атак. Универсальной цифры нет.
6. Сравните с затратами на профилактику. Если ожидаемый ущерб превышает стоимость мер защиты — инвестиции оправданы.

Такой подход помогает понять масштаб проблемы и обосновать бюджет на ИБ перед руководством.

Заключение: безопасность как защита капитализации

В 2026 году защита данных выходит за рамки IT-задач и становится частью бизнес-стратегии. Инвесторы и покупатели бизнеса уже учитывают репутационные риски при оценке компаний. Для CFO это означает, что инвестиции в информационную безопасность — не просто затраты, а вложения в сохранение стоимости бизнеса.

Стоимость профилактики, как правило, ниже стоимости ликвидации последствий. Регулярный аудит, прозрачная политика работы с данными, контроль подрядчиков и готовность к инцидентам — это базовая страховка капитализации.

Вопрос не в том, «произойдёт ли утечка». Вопрос в том, насколько компания к ней готова и как быстро сможет восстановиться.