Уголовные риски IT-компании: топ-5 составов (вариант 7)
Уголовная ответственность руководителей и сотрудников IT-компаний регулируется главой 28 Уголовного кодекса РФ (компьютерные преступления), а также общими экономическими составами — статьями 159, 183, 199. По состоянию на май 2026 года число уголовных дел в IT-секторе выросло: МВД фиксирует ежегодно свыше 50 000 возбуждённых дел по статьям 272–274 УК РФ. Без понимания конкретных составов руководитель и разработчик не могут оценить собственные риски и принять превентивные меры.
Получите карту уголовных рисков для вашей IT-компании — бесплатно в Telegram.
(МВД РФ, 2024)
(группа лиц)
по ст. 199 УК РФ (ч. 1)
по ст. 193 УК РФ (валюта)
Кто такой «IT-руководитель» в логике уголовного дела?
Следствие воспринимает IT-компанию не как технологический бизнес, а как субъект хозяйственной деятельности с конкретными физическими лицами на должностях директора, технического директора, CTO и главного бухгалтера. Уголовная ответственность юридического лица в России не предусмотрена — под удар всегда попадают люди, а не организация как таковая. Это принципиальная особенность, которую многие руководители IT-компаний недооценивают, полагая, что «корпоративный щит» защищает от личной ответственности.
Типичная ошибка СТО и технических директоров — считать себя вне зоны уголовного риска, поскольку они «не подписывали финансовые документы». Однако статьи 272 и 273 УК РФ прямо распространяются на лиц, выполняющих технические функции: именно они создают, модифицируют и эксплуатируют программный код. Следствие устанавливает умысел через переписку, техническую документацию и показания коллег.
Три роли с наибольшим уголовным риском в IT-компании: генеральный директор (экономические составы, налоговые преступления, мошенничество); CTO / технический директор (компьютерные составы, вредоносный код, неправомерный доступ); разработчик (статья 273 УК РФ при создании потенциально деструктивного кода). Главный бухгалтер несёт самостоятельный риск по статьям 199 и 199.1 УК РФ.
Состав 1: в каких случаях IT-компании предъявляют статью 272 УК РФ?
Статья 272 Уголовного кодекса РФ устанавливает ответственность за неправомерный доступ к охраняемой компьютерной информации, повлёкший её уничтожение, блокирование, модификацию или копирование. Уголовная ответственность наступает при наличии двух условий одновременно: доступ был неправомерным (не санкционированным владельцем информации) и повлёк один из перечисленных вредных последствий. Санкция по части 1 — до двух лет лишения свободы; по части 3, совершённой группой лиц, — до пяти лет.
В IT-практике эта статья возникает в трёх типовых сценариях. Сценарий «обиженный сотрудник»: уволенный разработчик сохраняет доступ к внутренним системам компании и скачивает базу клиентов или кодовую базу. Потерпевшей стороной выступает бывший работодатель; заявление в полицию — стандартный инструмент корпоративных конфликтов. Сценарий «нечёткие права доступа»: сотрудник в рамках своей роли получает доступ к данным за пределами своих должностных полномочий. Формально доступ был «разрешён» технически, но выходил за рамки трудового договора — следствие квалифицирует это как неправомерный доступ. Сценарий «пентест без договора»: специалист по информационной безопасности проводит тестирование инфраструктуры заказчика без надлежащим образом оформленного письменного разрешения.
Руководитель IT-компании несёт ответственность по статье 272 УК РФ, если он давал указания на получение несанкционированного доступа либо знал о действиях подчинённых и не пресёк их. Следствие устанавливает это через электронную переписку, задачи в системах управления проектами и показания членов команды.
Состав 2: когда код разработчика становится «вредоносной программой» по статье 273 УК РФ?
Статья 273 УК РФ криминализирует создание, распространение и использование компьютерных программ, заведомо предназначенных для уничтожения, блокирования, модификации, копирования информации или нейтрализации средств защиты. Ключевое слово — «заведомо»: следствие обязано доказать умысел. Санкция по части 1 составляет до четырёх лет лишения свободы, по части 2 при наступлении тяжких последствий — до пяти лет.
Риск для разработчиков возникает в нескольких неочевидных ситуациях. Двойное использование кода: скрипт для автоматизации тестирования может быть переквалифицирован как вредоносный инструмент, если он модифицирует данные без явного согласия пользователя. Инструменты парсинга: парсеры сайтов в ряде случаев трактуются как средства несанкционированного копирования информации. Exploit-код: написанный в образовательных целях или для доклада на конференции по безопасности без надлежащего оформления.
Среди IT-специалистов распространена иллюзия, что хранение такого кода в приватном репозитории исключает уголовный риск. Это не так: статья 273 УК РФ не требует факта причинения вреда — достаточно самого факта создания программы с заведомо деструктивными свойствами.
IT-компании, занимающиеся разработкой инструментов информационной безопасности или автоматизации, сталкиваются с наибольшим риском по статьям 272 и 273 УК РФ. Оценить, какие конкретные продукты компании попадают в зону риска, можно в ходе уголовно-правового аудита.
Состав 3: как мошенничество по статье 159 УК РФ применяется к IT-проектам?
Мошенничество по статье 159 УК РФ — обман или злоупотребление доверием с целью хищения чужого имущества или приобретения права на него. В IT-секторе этот состав возникает при трёх обстоятельствах: завышение объёмов работ по договору разработки ПО; привлечение инвестиций на основе заведомо ложных финансовых показателей; продажа «несуществующего» программного обеспечения или лицензий. Уголовная ответственность по части 2 наступает при ущербе свыше 250 000 рублей, по части 3 — свыше 1 млн рублей, по части 4 — свыше 4,5 млн рублей (особо крупный размер, до 10 лет лишения свободы).
Пленум Верховного суда РФ № 51 «О судебной практике по делам о мошенничестве, присвоении и растрате» разъяснил: обман при мошенничестве — это сознательное сообщение заведомо ложных сведений либо умолчание о фактах, которые лицо было обязано сообщить. В IT-контексте особую опасность представляют ситуации, когда компания подписывает акты приёмки выполненных работ по программным продуктам, которые фактически не функционируют в соответствии с техническим заданием.
Генеральный директор IT-компании, выручка 180 млн ₽
Состав 4: когда разработчики рискуют по статье 183 УК РФ о коммерческой тайне?
Статья 183 Уголовного кодекса РФ устанавливает ответственность за незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну. Санкция по части 1 — до двух лет лишения свободы; по части 3, если деяние повлекло тяжкие последствия или совершено из корыстной заинтересованности, — до пяти лет. Норма применима к IT-компаниям в двух направлениях: компания выступает потерпевшей (сотрудник уходит к конкуренту с базой данных) или обвиняемой (сотрудники получили доступ к данным клиента, составляющим его коммерческую тайну).
Ключевое условие применения статьи 183 УК РФ — наличие надлежащим образом введённого режима коммерческой тайны в соответствии с Федеральным законом № 98-ФЗ «О коммерческой тайне». Если компания не утвердила перечень сведений, составляющих коммерческую тайну, не ознакомила с ним сотрудников под подпись и не нанесла гриф на носители — информация не является коммерческой тайной в правовом смысле, и статья 183 УК РФ неприменима.
Для IT-компании особую ценность представляют: исходный код, алгоритмы, база клиентов, методологии разработки, данные о ценообразовании. Каждый из этих объектов требует отдельного документального оформления в рамках режима коммерческой тайны.
- Утвердить перечень сведений, составляющих коммерческую тайну
- Нанести гриф «Коммерческая тайна» на все носители с охраняемой информацией
- Ознакомить каждого сотрудника с перечнем под роспись при трудоустройстве
- Внести обязательства по неразглашению в трудовой договор и NDA
- Настроить систему логирования доступа к критическим репозиториям и базам данных
Состав 5: какой налоговый риск создаёт IT-компания при работе с самозанятыми и иностранными контрактами?
Статья 199 Уголовного кодекса РФ устанавливает уголовную ответственность за уклонение от уплаты налогов при недоимке свыше 18,75 млн рублей за три финансовых года подряд (крупный размер) или свыше 56,25 млн рублей (особо крупный). IT-компании создают налоговый уголовный риск по трём типичным схемам: дробление бизнеса для сохранения права на IT-льготы; переквалификация договоров с самозанятыми в трудовые отношения; необоснованное применение пониженных страховых взносов при несоответствии критериям аккредитации.
ФНС направляет материалы в Следственный комитет по истечении 75 рабочих дней после вступления в силу решения по налоговой проверке, если недоимка не погашена. Это «дорожная карта» ФНС → СК, прописанная в статье 32 Налогового кодекса РФ. На практике IT-компании имеют от 6 до 18 месяцев с момента начала выездной налоговой проверки до возможного возбуждения уголовного дела — это окно для превентивных мер.
Матрица рисков по налоговому составу для IT-компании:
| Сценарий | Состав | Срок санкции | Порог |
|---|---|---|---|
| Уклонение через самозанятых | Ст. 199 УК РФ | до 2 лет (ч. 1) / до 6 лет (ч. 2) | 18,75 / 56,25 млн ₽ |
| Ложная аккредитация IT-компании | Ст. 159 УК РФ | до 5 лет (ч. 3) | от 1 млн ₽ ущерба |
| Незачисление валютной выручки | Ст. 193 УК РФ | до 3 лет (ч. 1) / до 5 лет (ч. 2) | 100 / 150 млн ₽ |
| Сокрытие имущества от взыскания | Ст. 199.2 УК РФ | до 3 лет (ч. 1) / до 7 лет (ч. 2) | от 2,25 млн ₽ |
После предъявления обвинения по части 2 статьи 199 УК РФ у стороны защиты есть, как правило, 48–72 часа до выбора судом меры пресечения. Промедление с привлечением адвоката в этот период существенно сужает процессуальные возможности защиты — в том числе возможность заявить о деятельном раскаянии и возместить ущерб до суда.
Как IT-руководителю действовать при реальной угрозе уголовного преследования?
При получении первых признаков уголовного интереса к компании — запросов силовых структур, появления «свидетелей» из числа сотрудников, утечки информации о доследственной проверке — у руководителя есть конкретный порядок действий. Промедление на этом этапе сужает процессуальные возможности защиты: большинство ключевых решений по делу принимается следствием в первые 30 дней.
Важно понять разницу между статусами участника уголовного дела. Свидетель обязан давать показания (ст. 56 УПК РФ), но вправе не свидетельствовать против себя (ст. 51 Конституции РФ). Подозреваемый вправе отказаться от дачи показаний без каких-либо правовых последствий. Обвиняемый не обязан доказывать свою невиновность — бремя доказывания лежит на обвинении (ст. 14 УПК РФ).
Подробнее о порядке действий при обыске в офисе IT-компании и о том, как организовать защиту документов и серверов — в разделе материалов о следственных действиях.
Технический директор IT-стартапа, выручка 95 млн ₽
Одностраничная карта с порогами, санкциями и первыми действиями по каждому составу — для генерального директора, CTO и главного бухгалтера.
Напишите «IT-риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
- Уголовно-правовой аудит бизнеса — выявление рисков по 5 составам до проверки
- «Красная кнопка» 24/7 — экстренная юридическая помощь при обыске или задержании
Уголовные риски IT-компании охватывают пять принципиально разных составов: компьютерные преступления (статьи 272–273 УК РФ), мошенничество (статья 159 УК РФ), нарушение режима коммерческой тайны (статья 183 УК РФ) и налоговые преступления (статьи 199, 199.2 УК РФ). Каждый из них требует отдельной системы превентивных мер — единого «шаблонного» решения не существует.
«Ветров. 49» специализируется на уголовной защите бизнеса с 2017 года. Рейтинг Право·300, Best Lawyers 2021, более 1000 проектов. Мы работаем с IT-компаниями на стадии доследственной проверки, следствия и суда — а также на этапе, когда признаков уголовного преследования ещё нет, но риски уже накапливаются.