ЦБ запрашивает всю организационно-распорядительную документацию, запрашивает доступ к информационным системам, проверяет насколько они защищены и настроены (сложность пароля, срок хранения архива и т.д.), после дают рекомендации.
Проверок именно по ГОСТ пока не было, запрашивали только отчет – провели аудит или нет, если да, то проводили проверку технологических мер, проверяли общие требования.
Стандартно по результатам выдается некое предписание, которое формально можно оспорить (есть отдельная услуга по сопровождению проверки Банка России и Роскомнадзора). На данный момент к организациям, которые мы сопровождали, санкций не применяли.