Лицензия ФСБ на криптографию и шифрование: сначала виды работ, потом документы
Лицензия ФСБ на криптографию и шифрование нужна компаниям и ИП, которые разрабатывают, производят, распространяют, обслуживают шифровальные средства, выполняют работы или оказывают услуги в области шифрования информации. Основной нормативный ориентир — ПП РФ № 313. В нем важен не общий термин «криптография», а конкретный перечень работ, которые заявитель собирается выполнять.
В «Реестр Гарант» мы не начинаем с универсального пакета документов. Сначала разбираем бизнес-модель: продажа СКЗИ, внедрение защищенных систем, техническое обслуживание, разработка ПО с криптографией, сопровождение защищенных каналов, работы для клиентов или только собственные нужды. От этого зависит состав требований, специалисты, оборудование и риск отказа.
Какие работы попадают в лицензирование
ПП РФ № 313 охватывает разработку, производство, распространение шифровальных средств, информационных и телекоммуникационных систем, защищенных с использованием таких средств, выполнение работ и оказание услуг в области шифрования информации, а также техническое обслуживание криптографических средств и защищенных систем. Исключение по собственным нуждам нужно применять осторожно: оно не подходит, когда компания оказывает услуги внешним клиентам.
На практике под вопрос попадают интеграторы, поставщики СКЗИ, IT-компании, сервисные центры, разработчики защищенных решений, операторы защищенных каналов, компании, работающие с электронной подписью, VPN, криптографическими модулями и защищенными информационными системами. Не всякое ПО с паролем требует лицензии, но если есть сертифицированные СКЗИ или услуги шифрования для клиентов, анализ нужен до заключения договоров.
| Сценарий | Что проверяем | Типичный риск |
|---|---|---|
| Продажа СКЗИ | Распространение, документы поставщика, учет | Считают обычной перепродажей без лицензии |
| Внедрение защищенной системы | Работы с СКЗИ, настройка, сопровождение | В договоре есть услуги шифрования, а лицензии нет |
| Разработка ПО | Наличие криптографических функций и назначение | Не отделяют обычную безопасность от криптографии |
| Техобслуживание | Для клиентов или только собственные нужды | Неверно применяют исключение по собственным нуждам |
Сроки, стоимость и что реально влияет на результат
По базе страницы сопровождение начинается от 500 000 рублей. Реальный срок подготовки и прохождения процедуры обычно начинается от 3 месяцев. На него влияет не только работа с заявлением, но и готовность компании: специалисты, помещение, оборудование, локальные акты, учет СКЗИ, договоры, техническая документация и соответствие заявленного перечня работ фактическим возможностям.
Самая дорогая ошибка — заявить слишком широкий перечень работ «на будущее». Каждый пункт требует подтверждения. Если компания пока только продает СКЗИ, не стоит автоматически заявлять разработку, производство и обслуживание сложных систем. Лицензия должна закрывать реальные договоры, иначе подготовка превращается в бесконечное добирание компетенций.
Как мы сопровождаем подготовку
Сначала проводим лицензионный аудит. Смотрим договоры, планируемые услуги, технические решения, роли сотрудников и процессы. Затем формируем перечень работ по ПП РФ № 313 и проверяем, какие требования нужно подтвердить по каждому пункту. Отдельно разбираем персонал: образование, стаж, трудовые отношения, обучение и фактическое участие в работах.
Дальше готовим документы по помещению, оборудованию, программным средствам, хранению, учету, доступу, внутренним регламентам и взаимодействию с клиентами. Наша задача — чтобы пакет не был набором шаблонов, а показывал готовность компании выполнять заявленные работы.
Когда лицензия может быть не нужна
Лицензия ФСБ не требуется просто потому, что компания использует интернет-банк, электронную подпись или защищенный мессенджер для своих нужд. Также не каждый сервис информационной безопасности является криптографической деятельностью. Но если компания распространяет, настраивает, обслуживает СКЗИ или оказывает услуги шифрования для клиентов, вопрос нужно проверять по договору и техническому описанию.
Мы отдельно смотрим исключение по техническому обслуживанию для собственных нужд. Его нельзя применять к клиентским работам. Если договор говорит о настройке, сопровождении или обслуживании средств шифрования у заказчика, риск лицензирования возникает сразу.
Частые ошибки
Первая ошибка — копировать чужой перечень работ. У другой компании другие специалисты, оборудование и договоры. Вторая — не подтверждать квалификацию сотрудников. Третья — описывать криптографические процессы общими словами, без учета, хранения, доступа и ответственности.
Еще одна проблема — маркетинговые формулировки в договорах. Компания фактически продает консультации, но в договоре написано «настройка криптографической защиты» или «обслуживание СКЗИ». Такие слова могут создать лицензионный риск даже там, где его можно было избежать аккуратной структурой услуг.
Кейс из практики
IT-интегратор планировал получить лицензию ФСБ, потому что начал поставлять клиентам защищенные каналы и СКЗИ. В первоначальном перечне они хотели указать почти все виды работ. После аудита выяснилось, что фактически компания занимается распространением, внедрением и сопровождением готовых средств, а разработка и производство им не нужны. Мы сузили перечень, проверили специалистов, подготовили документы по учету и хранению, привели договоры к реальным услугам.
Подготовка стала короче и понятнее. Клиент получил маршрут под свои продажи, а не под абстрактную «максимальную» лицензию.
Кому подходит услуга, а кому нет
Запросы «нужна лицензия ФСБ» приходят от компаний с очень разными задачами, и части из них подготовка не нужна вовсе. Сверьтесь с таблицей до звонка.
| Ситуация | Подходит? | Комментарий |
|---|---|---|
| Продаёте или перепродаёте сертифицированные СКЗИ клиентам | Да | Это распространение из перечня ПП РФ № 313: проверим учёт, хранение и документы поставщика. |
| Внедряете и сопровождаете защищённые каналы и VPN у заказчиков | Да | Работы и услуги в области шифрования. Перечень сузим под реальные договоры, а не «на будущее». |
| Обслуживаете СКЗИ клиентов по сервисным договорам | Да | Исключение «для собственных нужд» на клиентские работы не действует, лицензия обязательна. |
| Используете интернет-банк, электронную подпись и мессенджеры только для себя | Нет | Собственное использование криптографии не лицензируется, готовить ничего не нужно. |
| Ввозите роутеры, модули и другое оборудование с функциями шифрования | Нет | Для импорта оформляется нотификация ФСБ, лицензия этот вопрос не решает. |
| Планируете работы со сведениями, составляющими государственную тайну | Нет | Это отдельная лицензия ФСБ с другим составом требований и проверок. |
Когда услуга не нужна
Разведём смежные случаи, с которыми к нам приходят под видом «лицензии на криптографию». Самый частый: компания собирается работать с секретными сведениями по контракту с госзаказчиком. Шифровальная лицензия здесь не поможет, для таких работ оформляется лицензия ФСБ на допуск к государственной тайне с проверкой руководителя и режимно-секретного подразделения. Процедуры не взаимозаменяемы, хотя обе идут через ФСБ.
Второй случай: импортёр везёт партию сетевого оборудования, смарт-карт или модулей с шифрованием и слышит от брокера про «разрешение ФСБ». Для таможни нужна нотификация ФСБ на ввозимые устройства, а лицензированию подлежит деятельность, которую вы ведёте на территории страны. Пока вы не оказываете клиентам услуг шифрования и не обслуживаете СКЗИ, одной нотификации достаточно.
Третий случай: компания защищает информацию заказчиков без криптографии: аудит, межсетевые экраны, антивирусные решения. Такая деятельность идёт по линии ФСТЭК, и заявляться на шифровальную лицензию незачем. Сомневаетесь, по какой линии ваш проект: пришлите договор, разберём формулировки и скажем честно, какое разрешение требуется и требуется ли вообще.
Как начать подготовку
Пришлите описание услуг, договоры или проекты договоров, список специалистов, сведения о помещении и оборудовании. Мы проверим, какие виды работ по ПП РФ № 313 вам нужны, и подготовим маршрут получения лицензии. Связь: +7 920-898-17-18, WhatsApp, Telegram, reestrgarant@mail.ru.
Частые вопросы
Отвечают специалисты «Реестр Гарант». Не нашли свой вопрос? Позвоните +7 920-898-17-18.
В.01 Лицензия нужна для использования электронной подписи?
В.02 Можно ли получить лицензию без профильных специалистов?
В.03 Нужно ли заявлять все виды работ?
В.04 Сколько действует лицензия?
В.05 Мы пишем обычное ПО, там есть HTTPS и хеширование паролей. Нам нужна лицензия?
В.06 Можно указать в лицензии сразу все виды работ, про запас?
В.07 У нас один профильный специалист. Этого хватит для лицензии?
В.08 Работаете ли вы с компаниями в Иванове?
Как мы работаем с клиентами в Иванове
Для заказчиков в Иванове процесс полностью дистанционный: для старта достаточно сканов, оригиналы нужны только там, где этого требует процедура. Процедуры с испытаниями строятся вокруг вашей логистики: образцы едут в лабораторию транспортной компанией, результаты приходят в электронном виде. Документ появляется в официальных реестрах сразу после регистрации, бумажный оригинал отправляем почтой или курьером по вашему адресу.
Требования и условия
определить перечень работ по ПП РФ № 313
подтвердить специалистов, профильное образование, стаж и обучение
подготовить помещение и режим работы с криптографическими средствами
собрать документы на оборудование, ПО, средства защиты и техническую документацию
оформить локальные документы по учету, хранению и выполнению работ
подготовить заявление и комплект для ФСБ, пройти проверку лицензионных требований
Необходимые документы
карточка организации, ОГРН, ИНН и уставные документы
перечень заявляемых работ и услуг в области шифрования
документы специалистов: образование, стаж, трудовые договоры, повышение квалификации
документы на помещение и режимные зоны, если они требуются по заявленным работам
перечень оборудования, программного обеспечения, СКЗИ и технической документации
локальные акты по учету, хранению, доступу, защите информации и выполнению работ
Какие документы собирают вместе с этим
Реальные комплекты из практики наших клиентов: что оформляют одним заходом и зачем.
Интегратор защищённой связи: от ввоза оборудования до полного набора допусков
Компании, которые строят защищённые каналы и поставляют СКЗИ, упираются не только в лицензию ФСБ. Оборудование с криптографией нужно легально ввезти, средства связи — задекларировать, а техническая защита конфиденциальной информации лицензируется отдельно, уже по линии ФСТЭК. Комплект ниже закрывает типовой набор требований к интегратору; для тех, кому старт нужен быстрее проверок, есть готовое юрлицо.
- 01 Нотификация ФСБ Без нотификации устройства с шифровальными функциями не пройдут таможню. для ввоза оборудования от 53 500 ₽
- 02 Декларация связи № 126-ФЗ Оборудование связи в проектах интегратора подтверждают декларацией по закону «О связи». для средств связи от 40 400 ₽
- 03 Лицензия ФСТЭК под ключ Техническая защита конфиденциальной информации — отдельная лицензия, её часто просят те же заказчики. смежный допуск от 90 000 ₽
- 04 Готовая фирма с лицензией ФСБ Действующее юрлицо с лицензией — когда контракт не готов ждать месяцы согласований. альтернатива от 3 500 000 ₽
