313 постановление правительства о лицензировании ФСБ устанавливает порядок лицензирования деятельности, связанной с разработкой, производством, распространением и обслуживанием шифровальных и криптографических средств, а также с выполнением работ и оказанием услуг в области шифрования информации. Лицензия ФСБ России требуется не из-за самого факта использования средств криптографической защиты, а при ведении видов деятельности, включённых в положение о лицензировании.
Вокруг документа много путаницы: его называют «приказом ФСБ», смешивают с лицензией ФСТЭК и считают, что лицензия нужна за любое применение шифрования. Ниже разберём, что на самом деле регулирует постановление, какие работы лицензируются, кто выдаёт лицензию и когда она не требуется.
Коротко о главном
- Постановление № 313 принято 16 апреля 2012 года и утверждает положение о лицензировании криптографической деятельности.
- Лицензирующим органом выступает ФСБ России.
- Документ касается не любого использования криптографии, а конкретных работ, услуг и операций со средствами.
- Отдельное исключение связано с техническим обслуживанием для собственных нужд организации или предпринимателя.
- Применимость лицензии оценивают по фактическим работам, предмету договора и роли компании в проекте.
- Актуальную редакцию постановления проверяют на дату подготовки документов.
Что такое постановление № 313 и почему его связывают с лицензией ФСБ
Сначала снимем частую терминологическую ошибку: это постановление Правительства Российской Федерации, а не «приказ ФСБ». Документ принят 16 апреля 2012 года под номером 313 и утвердил Положение о лицензировании деятельности в отношении шифровальных и криптографических средств. Правовой основой лицензирования служит Федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности», статья 12 которого включает эту деятельность в перечень лицензируемых.
Шифровальные средства представляют собой средства криптографической защиты информации (СКЗИ). Постановление связывают с ФСБ России, потому что именно эта служба выступает лицензирующим органом по данному виду деятельности. Отдельные требования к разработке, производству и эксплуатации шифровальных средств установлены и профильными актами ФСБ России, поэтому тему рассматривают в комплексе, а не по одному документу.
Какая деятельность подлежит лицензированию
Положение охватывает работы и услуги, связанные со средствами криптографии, а не сам факт их наличия. К лицензируемым обычно относят несколько направлений.
- разработка шифровальных и криптографических средств;
- производство таких средств;
- распространение шифровальных средств;
- техническое обслуживание шифровальных средств;
- выполнение работ и оказание услуг в области шифрования информации.
Конкретный перечень работ закреплён в положении, и его сверяют с фактической деятельностью компании. Именно вид работ, а не название программного продукта или оборудования, определяет необходимость лицензии. Порядок оформления профильной лицензии подробно разобран в материале о лицензии ФСБ на шифрование.
Кому нужна лицензия, а кому нет
Ключевой вопрос темы: нужна ли лицензия конкретной организации. Ответ зависит от того, какие именно работы она выполняет и для кого.
Когда лицензия обычно требуется
Лицензия нужна, когда компания разрабатывает, производит или распространяет шифровальные средства либо оказывает услуги по шифрованию и техническому обслуживанию сторонним заказчикам. В этих случаях деятельность образует лицензируемый вид работ, и вести её без лицензии нельзя.
Когда лицензия может не требоваться
Использование или установка СКЗИ внутри организации не всегда образует лицензируемую деятельность. Важное исключение связано с техническим обслуживанием шифровальных средств для собственных нужд юридического лица или индивидуального предпринимателя. Поэтому сначала выясняют, обслуживает ли компания средства для себя или оказывает услуги сторонним заказчикам, ведь от этого зависит вывод.
Чем лицензия ФСБ отличается от лицензии ФСТЭК
Две лицензии часто смешивают, хотя они относятся к разным сферам. Сведём различие в таблицу.
| Признак | Лицензия ФСБ России | Лицензия ФСТЭК России |
|---|---|---|
| Сфера | Шифровальные и криптографические средства | Техническая защита конфиденциальной информации |
| Что регулирует | Работы и услуги с СКЗИ | Деятельность по технической защите информации |
| Лицензирующий орган | ФСБ России | ФСТЭК России |
Отсюда практический вывод: криптографическую деятельность лицензирует ФСБ России, а деятельность по технической защите конфиденциальной информации регулирует ФСТЭК России. Компетенции не пересекаются, и одна лицензия другую не заменяет. Разграничение с технической защитой информации подробнее разобрано в материале о лицензии на техническую защиту информации.
Лицензия, сертификат и учёт СКЗИ: разные вещи
Лицензию нередко путают с другими документами в сфере криптографии. Наличие сертификата на средство защиты, лицензии разработчика или лицензии поставщика не заменяет лицензию, требуемую для конкретного вида работ. Сертификат подтверждает соответствие самого средства требованиям, а лицензия даёт право вести определённую деятельность.
Отдельно существует поэкземплярный учёт средств криптографической защиты и правила обращения с ними. Эти правила действуют независимо от вопроса о лицензировании и применяются к пользователям СКЗИ. Поэтому организация может одновременно быть обязана вести учёт средств и при этом не иметь лицензируемой деятельности, если она не оказывает соответствующие работы и услуги.
Виды работ со средствами криптографии подробнее
Чтобы понять применимость лицензии, полезно различать сами виды работ, а не оценивать деятельность общим впечатлением.
Разработка и производство
Разработка охватывает создание шифровальных средств, их алгоритмов и реализаций, а производство — изготовление таких средств для последующего оборота. Обе стадии относятся к деятельности со средствами криптографии и рассматриваются в положении о лицензировании. Компания, которая создаёт или изготавливает СКЗИ, оценивает применимость лицензии по фактическому характеру работ.
Распространение
Распространение связано с передачей шифровальных средств другим лицам, в том числе через продажу и поставку. Именно передача средств сторонним лицам отличает эту деятельность от использования средств внутри организации. Поэтому продавец и поставщик СКЗИ проверяют, образует ли их деятельность лицензируемый вид работ.
Техническое обслуживание и услуги по шифрованию
Техническое обслуживание шифровальных средств и оказание услуг в области шифрования выделены отдельно. Ключевой критерий здесь — для кого выполняются работы: для собственных нужд организации или для сторонних заказчиков. Обслуживание средств для собственных нужд юридического лица или предпринимателя рассматривают как отдельный случай, тогда как услуги сторонним заказчикам обычно образуют лицензируемую деятельность.
Лицензионные требования к соискателю
Лицензирование предполагает соответствие соискателя установленным требованиям. Их точный состав закреплён в положении, а общая логика сводится к нескольким группам условий.
- квалификация и подготовка работников для соответствующих работ;
- наличие помещений, оборудования и технических средств для заявленной деятельности;
- наличие необходимой документации и порядка работы со средствами криптографии;
- соблюдение правил обращения со средствами и их учёта.
Конкретные требования зависят от заявленного состава работ: набор условий для разработки, производства, распространения и обслуживания различается. Поэтому соискатель сопоставляет свои ресурсы и процессы именно с теми видами работ, которые планирует вести, а не с абстрактным «получением лицензии вообще».
Что проверить в договоре, техническом задании и закупке
Необходимость лицензии часто выясняется на этапе подготовки к сделке, а не постфактум. Поэтому предмет обязательств анализируют заранее.
- какие именно работы со средствами криптографии предусмотрены договором или заданием;
- кто и для кого их выполняет: исполнитель для заказчика или организация для себя;
- требует ли предмет закупки наличия лицензии у участника;
- совпадает ли фактический состав работ с заявленным в документах;
- не подменяется ли лицензируемая деятельность формулировками о «поставке» или «настройке».
Расхождение между формулировками договора и реальными работами создаёт риск: компания может фактически вести лицензируемую деятельность, не имея лицензии. Поэтому предмет обязательств уточняют до их принятия, а спорные формулировки согласовывают заранее.
Постановление № 313 и правила обращения с СКЗИ
Лицензирование по постановлению № 313 и правила обращения со средствами криптографической защиты информации — это разные, хотя и связанные темы. Лицензия отвечает на вопрос, вправе ли организация вести определённый вид деятельности со средствами. Правила обращения и поэкземплярный учёт отвечают на вопрос, как правильно использовать и хранить средства, независимо от наличия лицензируемой деятельности.
Пользователь СКЗИ соблюдает правила обращения даже тогда, когда лицензия ему не нужна, потому что он не оказывает лицензируемые работы и услуги. И наоборот, наличие лицензии не освобождает от правил обращения со средствами. Поэтому обе темы рассматривают вместе, но не подменяют одну другой.
Как определить, нужна ли лицензия
Оценку ведут не по названию продукта, а по фактическим работам и договорным обязательствам.
- Определите, какие именно работы со средствами криптографии выполняет компания.
- Установите, ведутся ли они для собственных нужд или для сторонних заказчиков.
- Сопоставьте деятельность с перечнем лицензируемых работ в положении.
- Проверьте предмет договора, техническое задание и предмет закупки до подписания обязательств.
- Сверьте действующую редакцию постановления и положения на текущую дату.
- При сомнениях уточните вывод у профильного специалиста до начала работ.
Такой порядок защищает от двух крайностей: получить лицензию там, где она не нужна, и вести лицензируемую деятельность без разрешения. Оба варианта создают издержки и риски.
Как оформляют лицензию: общая логика
Получение лицензии подчиняется общему порядку лицензирования, установленному Федеральным законом № 99-ФЗ, с учётом особенностей криптографической деятельности. Соискатель подтверждает соответствие лицензионным требованиям и представляет документы в лицензирующий орган, а решение о предоставлении лицензии принимает ФСБ России.
Точный состав документов, сроки и порядок рассмотрения устанавливают положение о лицензировании и профильные акты, которые сверяют на дату обращения. Формулировка «согласование деятельности с ФСБ» здесь неуместна: речь идёт именно о лицензировании, а не о согласовании. Поэтому подготовку ведут не по слухам, а по действующей редакции норм и перечню лицензионных требований.
Срок действия и переоформление лицензии
Лицензия на криптографическую деятельность действует в порядке, предусмотренном законодательством о лицензировании. При изменении сведений о лицензиате или состава работ лицензию переоформляют по установленным правилам. Поэтому организация отслеживает изменения в своей деятельности, которые влияют на лицензионный статус.
Прекращение или приостановление действия лицензии возможно в случаях, предусмотренных законодательством, например при нарушении лицензионных требований. Отсюда практический смысл поддерживать соответствие требованиям постоянно, а не лишь на момент получения лицензии. Актуальный статус документа важнее самого факта его получения в прошлом.
Кому на практике чаще нужна лицензия
Тема касается прежде всего организаций, работающих со средствами криптографии как с предметом деятельности, а не как со вспомогательным инструментом.
- разработчики и производители средств криптографической защиты информации;
- поставщики и распространители таких средств;
- интеграторы и сервисные компании, обслуживающие СКЗИ для сторонних заказчиков;
- организации, оказывающие услуги в области шифрования информации;
- участники закупок, где условие о лицензии предусмотрено документацией.
Для организаций, которые лишь используют СКЗИ для собственной защиты информации, вопрос решается иначе: у них чаще возникают обязанности по правилам обращения и учёту средств, а не по лицензированию. Поэтому вывод делают по фактической роли компании, а не по отраслевой принадлежности.
Как проверить лицензию контрагента
Перед заключением договора или участием в закупке полезно проверить лицензионный статус исполнителя. Сведения о лицензиях ведутся в установленном порядке, и наличие лицензии подтверждают официальные данные, а не копия документа от поставщика. Проверка помогает убедиться, что контрагент вправе выполнять заявленные работы со средствами криптографии.
Порядок проверки лицензии разобран в материале о реестре лицензий ФСБ, а перечень видов лицензируемой деятельности разобран в статье о видах лицензий ФСБ. При расхождении сведений запрашивают разъяснения, а не полагаются на устные заверения.
Ответственность и правовое регулирование
Порядок лицензирования задаёт Федеральный закон № 99-ФЗ, а конкретику по криптографической деятельности задают постановление Правительства № 313 и профильные акты ФСБ России. Ведение предпринимательской деятельности без специального разрешения, когда оно требуется, а также нарушение лицензионных требований образуют состав, предусмотренный статьёй 14.1 Кодекса Российской Федерации об административных правонарушениях.
Формулировка «деятельность требует согласования с ФСБ» некорректна: лицензия оформляется в порядке, установленном законодательством о лицензировании, а решение принимает лицензирующий орган. Конкретная квалификация нарушений зависит от обстоятельств, поэтому спорные случаи оценивают отдельно и с учётом актуальной редакции норм.
Частые ошибки при работе с темой
- Называть постановление № 313 «приказом ФСБ».
- Считать, что лицензия нужна за любое использование СКЗИ.
- Смешивать лицензию ФСБ по криптографии с лицензией ФСТЭК по технической защите информации.
- Полагать, что сертификат на средство защиты заменяет лицензию на деятельность.
- Определять необходимость лицензии по названию продукта, а не по фактическим работам.
- Не проверять предмет договора и закупки до подписания обязательств.
Каждая ошибка ведёт либо к лишним расходам, либо к работе без нужного разрешения. Поэтому вывод о лицензии делают после анализа деятельности, а не по общему впечатлению о теме.
Частые вопросы
Постановление № 313: это приказ ФСБ?
Нет. Это постановление Правительства Российской Федерации от 16 апреля 2012 года № 313, которое утвердило положение о лицензировании деятельности со средствами криптографии. Лицензирующим органом при этом выступает ФСБ России.
Нужна ли лицензия за использование СКЗИ внутри организации?
Не всегда. Использование средств криптографии для собственных нужд не образует лицензируемую деятельность автоматически. Отдельное исключение связано с техническим обслуживанием средств для собственных нужд организации или предпринимателя.
Чем лицензия ФСБ отличается от лицензии ФСТЭК?
Лицензия ФСБ России относится к шифровальным и криптографическим средствам, а лицензия ФСТЭК России относится к технической защите конфиденциальной информации. Это разные сферы и разные лицензирующие органы, и одна лицензия другую не заменяет.
Заменяет ли сертификат на СКЗИ лицензию?
Нет. Сертификат подтверждает соответствие самого средства требованиям, а лицензия даёт право вести определённый вид деятельности со средствами криптографии. Это разные документы с разным назначением.