Лицензия ФСБ на шифрование требуется организациям и индивидуальным предпринимателям, которые выполняют лицензируемые работы в отношении криптографических средств: разрабатывают, производят, распространяют, обслуживают их либо оказывают услуги в области шифрования информации. Решение зависит от фактического содержания деятельности и выбранных позиций нормативного перечня, а не от названия программного продукта.
Использование криптографии внутри собственной инфраструктуры, включая VPN, электронную подпись, защищённые каналы связи и сертифицированное программное обеспечение, само по себе не означает, что компании требуется лицензия. Сначала нужно выяснить, какие операции выполняет организация, для кого она работает и передаёт ли результат третьим лицам.
Коротко о главном
- Лицензия выдаётся на конкретные работы и услуги, а не на криптографию вообще.
- Перечень лицензируемых работ и требования к заявителю устанавливает Постановление Правительства Российской Федерации от 29 декабря 2020 года № 641.
- До подачи заявления нужно проверить договоры, технические задания, продукты и реальные процессы компании.
- Требования к специалистам, помещениям, оборудованию и внутренним документам зависят от заявляемых работ.
- Нотификация ФСБ и лицензия ФСТЭК России не заменяют лицензию на деятельность в отношении криптографических средств.
Что называют лицензией ФСБ на шифрование
В деловом обороте используют выражения «лицензия ФСБ на криптографическую деятельность», «лицензия ФСБ на криптографию» и «лицензия на СКЗИ». Юридически речь идёт о лицензировании деятельности в отношении шифровальных, то есть криптографических, средств, а также определённых информационных и телекоммуникационных систем.
Лицензия подтверждает право лицензиата выполнять только те работы и услуги, сведения о которых включены в реестр лицензий. Она не служит универсальным разрешением на любые проекты в информационной безопасности и не распространяется автоматически на новые направления бизнеса, которые компания добавила после лицензирования.
Средства криптографической защиты информации, или СКЗИ, могут быть программными, аппаратными и программно-аппаратными. Однако одна только установка такого средства на компьютер заказчика не позволяет сделать вывод о лицензировании: нужно определить, что именно исполнитель поставляет, настраивает, разрабатывает или обслуживает.
До подготовки заявления составляют перечень продуктов, договоров и фактических операций. По нему видно, нужна ли лицензия ФСБ для ИТ-компании или интегратора и какие позиции следует выбрать из нормативного перечня.
Когда лицензия ФСБ действительно нужна
Статья 12 Федерального закона от 4 мая 2011 года № 99-ФЗ «О лицензировании отдельных видов деятельности» относит к лицензируемым разработку, производство и распространение шифровальных средств, информационных и телекоммуникационных систем, защищённых с их использованием, выполнение работ и оказание услуг в области шифрования информации, а также техническое обслуживание шифровальных средств с учётом установленного законом исключения.
Постановление Правительства Российской Федерации от 29 декабря 2020 года № 641 утверждает положение о лицензировании этой деятельности, перечень составляющих её работ и услуг и лицензионные требования. Лицензирующим органом выступает ФСБ России. С лицензионной процедурой связано профильное подразделение ведомства: Центр по лицензированию, сертификации и защите государственной тайны ФСБ России.
Разработка и производство криптографических средств
Лицензионная оценка требуется, когда компания создаёт или производит программные, аппаратные либо программно-аппаратные решения, реализующие криптографические функции, и её операции соответствуют позициям перечня. Значение имеют архитектура продукта, назначение криптографического модуля, роль разработчика и содержание результата, передаваемого заказчику.
Не всякое программное обеспечение с шифрованием подпадает под один и тот же режим. Использование стандартной библиотеки, разработка прикладного интерфейса и создание самостоятельного криптографического средства представляют разные ситуации. Их нельзя объединять только потому, что в техническом задании встречаются слова «шифрование» или «защищённый канал».
Распространение средств шифрования
Поставщику нужно проверить лицензионные риски, если он продаёт готовые криптографические средства, передаёт их заказчикам, выступает реселлером, поставляет аппаратные модули либо передаёт права использования в составе комплексного проекта. Правовую оценку проводят по конкретной модели распространения и соответствующей позиции перечня.
Отдельного внимания требуют смешанные договоры, где поставка объединена с установкой, настройкой, внедрением и последующим обслуживанием. В этом случае одного анализа товарной накладной недостаточно: предмет договора и техническое задание могут содержать несколько самостоятельных операций.
Создание защищённых информационных и телекоммуникационных систем
Обычная интеграция серверов, сетевого оборудования и прикладного ПО не равна созданию защищённой системы с применением криптографических средств. Для разграничения изучают назначение проекта, проектную и эксплуатационную документацию, используемые СКЗИ, границы ответственности подрядчика и результат, который принимает заказчик.
Если интегратор проектирует или создаёт защищённые информационные системы либо защищённые телекоммуникационные системы с использованием криптографических средств, состав работ сопоставляют с Постановлением Правительства Российской Федерации № 641. Формальное название договора решающего значения не имеет.
Работы и услуги в области шифрования информации
Этот блок особенно значим для разработчиков, интеграторов, операторов сервисов и подрядчиков по информационной безопасности. Проверять нужно не абстрактную «защиту информации», а каждое обязательство: какие средства применяются, что настраивает исполнитель, кому принадлежит инфраструктура и какой результат получает внешний заказчик.
А что будет, если в договоре нет слова «криптография»? Это не исключает лицензионный характер деятельности. Фактические операции могут быть описаны через настройку защищённого обмена, внедрение средств защиты каналов, управление ключевой информацией или сопровождение соответствующего программно-аппаратного комплекса.
Техническое обслуживание шифровальных средств
Лицензия на обслуживание СКЗИ оценивается с учётом того, чьи средства обслуживает организация. Техническое обслуживание шифровальных средств для внешних заказчиков нужно сопоставлять с лицензируемым перечнем и условиями конкретного проекта.
Закон предусматривает исключение для технического обслуживания, которое юридическое лицо или индивидуальный предприниматель выполняет для обеспечения собственных нужд. Это исключение нельзя механически переносить на обслуживание инфраструктуры аффилированной компании, арендатора, клиента или иного самостоятельного лица.
Когда лицензия может не потребоваться
Предварительный вывод об отсутствии обязанности возможен, когда организация только использует готовые криптографические функции в собственной инфраструктуре, не разрабатывает и не производит криптографические средства, не распространяет их и не обслуживает СКЗИ сторонних заказчиков. Окончательное решение принимают после анализа реальных процессов.
К собственным нуждам может относиться поддержание работоспособности средств, которые обеспечивают деятельность самой организации. Если сотрудники оказывают те же услуги клиентам, выполняют договорные обязательства перед третьими лицами или обслуживают отдельное юридическое лицо внутри группы компаний, основания для исключения нужно оценивать заново.
Импорт товара с функцией шифрования ставит другой вопрос: требуется ли нотификация ФСБ и соблюдены ли правила ввоза соответствующей продукции. Такая процедура относится к характеристикам товара и его обращению, но не подтверждает право компании вести лицензируемую криптографическую деятельность.
Работы по технической защите конфиденциальной информации также рассматриваются отдельно. Если организация выполняет деятельность из сферы компетенции ФСТЭК России, проверяют необходимость соответствующей лицензии ФСТЭК. Наличие такого разрешения не охватывает работы в области шифрования, отнесённые к компетенции ФСБ России.
Лицензия ФСБ, нотификация ФСБ и лицензия ФСТЭК: в чём разница
| Процедура | Для чего применяется | Что оценивается |
|---|---|---|
| Лицензия ФСБ на криптографическую деятельность | Для выполнения лицензируемых работ и услуг в отношении шифровальных средств | Выбранные работы, персонал, помещения, оборудование, документы и соблюдение лицензионных требований |
| Нотификация ФСБ | Для ввоза и обращения отдельных товаров с криптографическими функциями в рамках применимого регулирования | Назначение товара, технические характеристики и реализованные криптографические функции |
| Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации | Для выполнения работ в области технической защиты конфиденциальной информации | Состав работ и соответствие требованиям, относящимся к компетенции ФСТЭК России |
Нотификация не даёт права разрабатывать, распространять или обслуживать криптографические средства в рамках лицензируемой деятельности. Она характеризует товар для целей применимого регулирования. Лицензия ФСТЭК России также не заменяет разрешение ФСБ, если подрядчик выполняет работы из криптографического перечня.
Что проверяют при подготовке к лицензированию
Лицензионные требования зависят от заявленных работ. Подготовка начинается с сопоставления планируемых услуг с ресурсами компании, а не со сбора одинакового комплекта справок для всех заявителей.
Специалисты
Квалификация, образование и опыт сотрудников должны соответствовать работам, которые организация намерена заявить. Кадровые и квалификационные документы подтверждают реальное наличие специалистов и характер их отношений с заявителем, а распределение обязанностей должно совпадать с внутренними документами и проектными процессами.
Формального включения сотрудника в список недостаточно, если документы не показывают его подготовку и участие в профильных работах. Заявлять максимальный перечень «на будущее» рискованно: готовность нужно подтвердить по каждой выбранной позиции.
Помещения и организационная база
Заявитель подтверждает наличие помещений и законное основание их использования в объёме, необходимом для соответствующих работ. Требование не сводится к обязательной собственности: значение имеют правовое основание пользования, характеристики площадки, размещённые ресурсы и возможность выполнять заявленные процессы.
Внутренние правила должны распределять ответственность, регулировать доступ, использование оборудования, работу с документацией и другие операции, обусловленные характером деятельности. Содержание таких документов связывают с реальными процессами, а не копируют из универсального шаблона.
Оборудование и программные средства
Материально-техническая база должна позволять выполнять именно выбранные работы. В перечне ресурсов указывают оборудование, программные средства и документацию, объясняя их назначение в разработке, производстве, распространении, создании защищённых систем или техническом обслуживании.
Общая опись компьютеров и офисной техники не показывает готовность к криптографическим работам. Проверяющему должна быть понятна связь между ресурсом, технологической операцией, ответственным специалистом и заявленной позицией перечня.
Какие документы и сведения подготовить
- Описание планируемых работ, услуг и продуктов с криптографическим функционалом.
- Проекты договоров, технические задания, спецификации и другие материалы, раскрывающие фактический состав обязательств.
- Сведения о специалистах, их образовании, квалификации, опыте и трудовых отношениях с заявителем.
- Документы о праве пользования помещениями, задействованными в лицензируемой деятельности.
- Сведения об оборудовании, программных средствах, документации и другой материально-технической базе.
- Внутренние документы, регулирующие выполнение выбранных работ и распределение ответственности.
- Регистрационные и иные сведения, необходимые для заявления и подтверждения соответствия требованиям.
Точный состав сведений и способ подтверждения зависят от заявляемых позиций. Перед подачей нужно сверить документы с актуальной редакцией положения о лицензировании и действующим порядком взаимодействия с ФСБ России.
Как проходит подготовка и оформление лицензии
- Анализ деятельности. Компания изучает продукты, услуги, действующие договоры, технические задания и планируемые проекты, чтобы отделить обычное использование криптографии от лицензируемых операций.
- Выбор работ. Фактические процессы сопоставляют с перечнем, утверждённым Постановлением Правительства Российской Федерации № 641. Каждую позицию выбирают осознанно, без добавления работ «с запасом».
- Аудит готовности. Проверяют квалификацию специалистов, помещения, оборудование, программные средства, документацию и организационные процессы.
- Устранение несоответствий. Компания корректирует процессы, комплектует ресурсы и приводит подтверждающие документы в соответствие с выбранными работами.
- Подготовка заявления. Заявитель формирует заявление на лицензию и комплект предусмотренных сведений для лицензирующего органа.
- Рассмотрение материалов. ФСБ России рассматривает заявление и проводит проверку соответствия лицензионным требованиям в установленном порядке.
- Работа после лицензирования. Лицензиат контролирует соответствие деятельности реестровым сведениям и оценивает необходимость переоформления при изменении предусмотренных законом данных.
Формат и продолжительность подготовки зависят от исходного состояния компании и состава работ. Универсальный срок некорректен: одной организации требуется уточнить договорные формулировки, другой нужно подтвердить квалификацию персонала или доработать материально-техническую базу.
После оформления сведения проверяют через реестр. Порядок такой проверки разобран в материале о реестре лицензий ФСБ и выписках из него. Общие изменения лицензионных процедур рассматриваются в обзоре порядка лицензирования деятельности.
Частые ошибки при лицензировании криптографической деятельности
Заявление работ с запасом
Компания включает максимальный перечень, хотя не располагает специалистами, помещениями или оборудованием для части позиций. Каждая дополнительная работа увеличивает объём требований, соответствие которым нужно подтвердить.
Расхождение между договорами и заявлением
В заявлении указаны одни процессы, а технические задания и договоры описывают другие. Такой разрыв мешает установить фактическую модель деятельности и корректно определить требуемые ресурсы.
Формальные сведения о специалистах
Список сотрудников не заменяет документы об образовании, квалификации, опыте и трудовых отношениях. Также нужно показать, какие функции выполняет каждый специалист в заявленных процессах.
Общее описание материально-технической базы
Перечень техники без связи с конкретными работами не подтверждает готовность. Описание должно показывать, для какой операции используется каждый существенный ресурс.
Подмена лицензии нотификацией
Компания получает нотификацию на импортируемый товар и считает, что после этого вправе распространять или обслуживать криптографические средства. Нотификация решает товарный и внешнеторговый вопрос, а не лицензирует деятельность организации.
Подмена лицензии ФСБ лицензией ФСТЭК
Разрешение на техническую защиту конфиденциальной информации относится к другой лицензируемой деятельности. Если проект включает работы в отношении шифровальных средств, их проверяют отдельно.
Изменение услуг после оформления
Новый продукт, другая модель распространения, обслуживание внешних заказчиков или расширение проектных функций способны изменить лицензионную оценку. Перед запуском направления нужно сопоставить его с реестровыми сведениями и требованиями к переоформлению.
Какие риски возникают при работе без необходимой лицензии
Предпринимательская деятельность без требуемой лицензии может повлечь ответственность по статье 14.1 Кодекса Российской Федерации об административных правонарушениях, если обстоятельства соответствуют составу этого правонарушения. Для деятельности, не связанной с извлечением прибыли, в применимых ситуациях может рассматриваться статья 19.20 Кодекса Российской Федерации об административных правонарушениях.
Правовые последствия не ограничиваются административным производством. Отсутствие нужной лицензии создаёт риски при квалификационном отборе, участии в закупках, заключении договора и приёмке результата, особенно если заказчик прямо установил требование к разрешительным документам исполнителя.
Решение нужно принимать до подписания договора и начала технических работ. Если проверка начинается после запуска проекта, компании приходится менять предмет обязательств, привлекать надлежащего исполнителя или приостанавливать операции, для которых требуется лицензия.
Пример из практики: как отличить нотификацию от лицензии ФСБ
В центр по вопросам разрешительной документации обратился клиент, который планировал оформить нотификацию ФСБ для продукции с функцией шифрования. Для определения процедуры потребовалось уточнить наименование товара, техническое описание, криптографический функционал, роль заявителя и наличие полномочий действовать от имени изготовителя.
В рамках предварительной подготовки рассматривались следующие документы:
- техническое описание продукции с информацией о реализованных функциях;
- заявление для соответствующей процедуры;
- доверенность, подтверждающая полномочия заявителя.
Этот случай показывает различие объектов оценки. Нотификация связана с техническими характеристиками товара и правилами его ввоза или обращения. Лицензирование криптографической деятельности касается права организации выполнять определённые работы и услуги, а также наличия персонала, помещений, оборудования и внутренних процессов.
Ограниченного описания товара может оказаться недостаточно даже для определения применимой процедуры. Сначала изучают назначение продукции и криптографические функции, затем отделяют вопросы ввоза от распространения, внедрения, разработки и технического обслуживания.