Основной надзорный орган в сфере персональных данных - Роскомнадзор. Именно он ведет реестр операторов, принимает уведомления об обработке персональных данных, проводит плановые и внеплановые проверки, рассматривает жалобы субъектов персональных данных и привлекает нарушителей к ответственности по статье 13.11 КоАП.
ФСТЭК и ФСБ - не надзорные органы в этом смысле, а регуляторы конкретных технических требований. ФСТЭК устанавливает требования к защите информации и ведет реестр сертифицированных средств защиты, ФСБ отвечает за требования к средствам криптографической защиты, если оператор их применяет. С проверкой по 152-ФЗ к обычному сайту или интернет-магазину эти ведомства приходят крайне редко - только если речь о специфических информационных системах с высоким уровнем защищенности.
Для большинства бизнесов с сайтом, формой заявки или интернет-магазином готовиться нужно именно к Роскомнадзору: у оператора должны быть в порядке уведомление в реестре, политика обработки персональных данных, согласия посетителей сайта и понятный ответ на вопрос, где хранятся базы данных.