Нужна ли моей компании лицензия ФСБ, если мы используем шифрование, VPN или работаем с защищённой информацией? Ответ зависит от фактической деятельности, роли компании, состава работ и применяемых средств. Лицензию ФСБ, нотификацию ФСБ, лицензию ФСТЭК России и идентификационное заключение нельзя считать взаимозаменяемыми документами.
Коротко о главном
- Лицензия ФСБ относится к определённым видам деятельности, а не к любому использованию шифрования.
- Криптографическая деятельность и работы по защите государственной тайны регулируются разными положениями о лицензировании.
- Лицензия ФСТЭК России не заменяет лицензию ФСБ, поскольку ведомства контролируют разные направления защиты информации.
- Нотификация ФСБ относится к отдельным товарам с криптографическими функциями и применяется в рамках регулирования ввоза продукции в Евразийский экономический союз.
- Лицензия закреплена за конкретным лицензиатом. Передать её другой компании как самостоятельный актив нельзя.
- При изменении значимых сведений может потребоваться переоформление лицензии, а не её продление.
Что обычно называют лицензией ФСБ
Выражение «лицензия ФСБ» используют для нескольких разрешительных режимов. Универсальной лицензии, которая одновременно разрешает любую работу с криптографией, защищёнными информационными системами и государственной тайной, не существует. Заявитель определяет конкретные работы и услуги, а лицензирующий орган оценивает соблюдение требований, установленных для соответствующего направления.
Первое направление связано с деятельностью в отношении шифровальных, то есть криптографических, средств. Постановление Правительства Российской Федерации № 313 регулирует лицензирование определённых работ, включая разработку, производство, распространение и обслуживание таких средств, а также оказание предусмотренных положением услуг. Применимость нормы устанавливают по фактическим операциям компании.
Второе направление охватывает деятельность, связанную с использованием сведений, составляющих государственную тайну, созданием средств защиты такой информации, проведением мероприятий и оказанием услуг по её защите. Правовой режим формируют Закон Российской Федерации № 5485-1 «О государственной тайне» и постановление Правительства Российской Федерации № 79.
Вид лицензии определяет лицензионные требования к заявителю, работникам, помещениям, оборудованию и организации деятельности. Одного упоминания ФСБ России в документации заказчика недостаточно, чтобы выбрать процедуру.
Когда может потребоваться лицензия ФСБ
Разработка, производство и распространение криптографических средств
Постановление Правительства Российской Федерации № 313 охватывает установленные им виды деятельности, связанные с криптографическими средствами, информационными и телекоммуникационными системами, защищёнными с их использованием. Для первичной квалификации нужно разобрать функции продукта и действия компании с ним, а затем сопоставить их с перечнем лицензируемых работ и услуг.
Например, покупка готового программного обеспечения с функцией шифрования для корпоративной инфраструктуры и разработка криптографического компонента для последующего распространения представляют разные модели деятельности. Название программы, наличие сертификата на продукт или ссылка на шифрование в техническом описании сами по себе не решают вопрос о лицензировании.
Работы и услуги с применением криптографии
При оказании услуг третьим лицам значение имеют предмет договора, получатель результата и технические операции исполнителя. Анализируют, устанавливает ли компания криптографические средства, настраивает ли их, ремонтирует, обслуживает, передаёт заказчику либо предоставляет сервис, построенный на их применении. Затем проверяют, входит ли установленный состав работ в сферу постановления № 313.
Фраза «используем защищённый канал» не раскрывает правовую модель. Компания может подключаться к корпоративной сети заказчика, обслуживать средство криптографической защиты информации, распространять программный продукт либо пользоваться VPN для доступа сотрудников к собственным ресурсам. Для этих ситуаций нельзя давать один ответ.
Работы со сведениями, составляющими государственную тайну
Гриф секретности и режим государственной тайны нельзя подменять общим понятием конфиденциальной информации. Коммерческая тайна, персональные данные и служебная информация охраняются по своим правилам, но сами по себе не становятся сведениями, составляющими государственную тайну.
Если проект предполагает доступ к государственной тайне или оказание услуг по её защите, оценивают характер сведений, договорную роль исполнителя, места выполнения работ, допуски сотрудников и режимные условия. Требования могут затрагивать организацию секретного делопроизводства и функции режимно-секретного подразделения. Конкретный набор условий зависит от заявляемой деятельности и применимого положения.
Внутреннее использование средств шифрования
Использование криптографических средств для собственных нужд организации не всегда означает, что компания ведёт лицензируемую криптографическую деятельность. Нужно установить, какие операции выполняют сотрудники, предоставляется ли результат третьим лицам и занимается ли организация разработкой, распространением либо техническим обслуживанием средств защиты информации.
Граница меняется, когда компания начинает оказывать заказчикам самостоятельные работы или услуги. Внутренний корпоративный доступ через VPN и обслуживание криптографической инфраструктуры клиента нельзя объединять в одну категорию только из-за общей технологии шифрования.
Лицензия ФСБ, лицензия ФСТЭК России, нотификация и идентификационное заключение: в чём разница
| Документ или процедура | Для чего применяется | Что оценивают | Кто участвует | Что документ не заменяет |
|---|---|---|---|---|
| Лицензия ФСБ на криптографическую деятельность | Для установленных видов работ и услуг, связанных с шифровальными средствами | Виды деятельности и соответствие лицензионным требованиям | Заявитель, ФСБ России и уполномоченные подразделения в рамках процедуры | Лицензию ФСТЭК России, нотификацию и разрешения для работ с государственной тайной |
| Лицензия на деятельность, связанную с государственной тайной | Для соответствующих работ с использованием секретных сведений и направлений их защиты | Характер деятельности, организационные и режимные условия | Заявитель и компетентные государственные органы | Лицензию на криптографическую деятельность и разрешения по технической защите конфиденциальной информации |
| Лицензия ФСТЭК России | Для деятельности по технической защите конфиденциальной информации в рамках постановления Правительства Российской Федерации № 171 | Заявляемые работы и выполнение требований к их организации | Заявитель и Федеральная служба по техническому и экспортному контролю | Лицензию ФСБ на криптографическую деятельность |
| Нотификация ФСБ | Для отдельных категорий товаров с криптографическими функциями при ввозе в Евразийский экономический союз | Назначение, характеристики товара и реализованные функции шифрования | Изготовитель или уполномоченное им лицо, компетентные органы и участники внешнеэкономической деятельности | Право компании выполнять лицензируемые работы и услуги |
| Идентификационное заключение | Для определения характеристик и правового статуса товара применительно к конкретной внешнеторговой операции | Техническое описание, назначение, состав и функции продукции | Заявитель и организация либо орган, компетентные в соответствующей процедуре | Лицензию на деятельность, нотификацию и другие документы, если они требуются отдельно |
Нотификация ФСБ связана с товаром, а лицензия подтверждает право конкретного лица вести определённую деятельность. Решение Коллегии Евразийской экономической комиссии № 30 регулирует меры нетарифного регулирования, в рамках которых рассматривается ввоз отдельных товаров с криптографическими функциями. Наличие нотификации у продукции не предоставляет импортёру или интегратору права выполнять любые криптографические работы.
Идентификационное заключение также не служит универсальной заменой разрешительных документов. Оно помогает квалифицировать товар для конкретной операции, включая таможенное оформление, но вопрос о лицензировании деятельности компании рассматривают отдельно.
Ответы на ключевые вопросы о лицензировании
VPN-сервис и правовая квалификация деятельности
VPN представляет собой техническое решение, а не самостоятельный юридический критерий. Сначала устанавливают, кто разработал программное обеспечение, какие функции выполняет оператор сервиса, кому предоставляют защищённое соединение и входят ли действия компании в перечень лицензируемых работ с криптографическими средствами.
Если организация применяет VPN только для доступа сотрудников к собственным информационным системам, это одна модель. Разработка криптографического компонента, его распространение, обслуживание средств клиента или оказание внешнего сервиса требуют отдельного анализа. Формулировку «лицензия на VPN» без описания деятельности использовать некорректно.
Правовой статус индивидуального предпринимателя
Возможность получить разрешение зависит от вида лицензируемой деятельности и требований соответствующего положения. Нельзя распространять один ответ на все направления, которые в деловом обороте называют лицензиями ФСБ. Криптографическая деятельность и работы, связанные с защитой государственной тайны, предъявляют разные требования к заявителю и организации процессов.
До подготовки заявления проверяют, допускает ли конкретный режим заявленный статус, а также сможет ли соискатель подтвердить наличие работников, помещений, оборудования и внутренних процедур. Регистрация индивидуального предпринимателя сама по себе не подтверждает соответствие лицензионным требованиям.
Разграничение компетенции ФСБ России и ФСТЭК России
ФСБ России и ФСТЭК России отвечают за разные направления. К компетенции ФСБ относятся установленные виды деятельности с криптографическими средствами и отдельные вопросы защиты государственной тайны. ФСТЭК России лицензирует деятельность по технической защите конфиденциальной информации в пределах своего регулирования.
В одном проекте могут одновременно использоваться криптографическая защита и меры технической защиты конфиденциальной информации. Тогда организация проверяет требования каждого режима. Одна лицензия не расширяет автоматически перечень разрешённых работ по другой.
Срок действия и переоформление
Федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности» предусматривает бессрочное действие лицензий, выдаваемых по установленному им общему режиму. Если специальное регулирование конкретного направления закрепляет иные условия, применяют специальную норму. По этой причине срок нужно проверять по виду лицензии и сведениям реестра.
Изменение значимых сведений о лицензиате может потребовать переоформления. Вопрос возникает при реорганизации юридического лица, изменении наименования, адресных сведений, мест осуществления деятельности либо перечня выполняемых работ, когда соответствующее изменение затрагивает реестровую запись и лицензионные требования. Называть такую процедуру продлением неверно.
Передача лицензии другой компании
Лицензию выдаёт лицензирующий орган конкретному лицензиату после оценки его соответствия установленным требованиям. Другая компания не получает право работать на основании чужой реестровой записи, даже если использует тот же персонал, оборудование, бренд или помещение.
Последствия реорганизации оценивают по её форме и применимому порядку переоформления. При покупке бизнеса проверяют не только копию документа, но и актуальную запись о лицензиате, адресах и разрешённых работах. Для этого полезен материал о проверке лицензии ФСБ в реестре.
Какие сведения проверить до обращения за лицензией
- Опишите фактические работы. Зафиксируйте, занимается ли компания разработкой, производством, поставкой, внедрением, ремонтом, техническим обслуживанием или оказанием услуг.
- Определите применяемые средства. Укажите программные и аппаратные решения, функции шифрования, назначение средств и их роль в информационной либо телекоммуникационной системе.
- Разделите внутренние и внешние операции. Отдельно опишите собственные корпоративные процессы и работы, результат которых получает заказчик.
- Проверьте предмет договора. Название проекта часто не совпадает с реальным составом обязанностей исполнителя, поэтому нужны техническое задание, спецификация и описание операций.
- Установите категорию информации. Разграничьте государственную тайну, конфиденциальную информацию, персональные данные и коммерческую тайну.
- Определите цель документа. Лицензия относится к деятельности, а нотификация или идентификационное заключение могут потребоваться для ввоза и таможенного оформления товара.
- Сопоставьте ресурсы с требованиями. Проверьте работников, квалификацию, помещения, оборудование, распределение функций и внутренние документы.
- Разграничьте компетенцию ведомств. Установите, относится ли задача к ФСБ России, ФСТЭК России, таможенному регулированию или нескольким самостоятельным процедурам.
Такая самопроверка помогает не готовить комплект для неподходящего вида лицензии. Расширенный разбор смежных терминов содержит материал о частых вопросах по лицензии ФСБ.
Какие документы и сведения обычно анализируют
Состав материалов зависит от вида деятельности и применимого положения о лицензировании. Универсальный перечень без описания работ вводит заявителя в заблуждение: одинаковые регистрационные документы не означают одинаковых требований к помещениям, специалистам и техническим средствам.
- Регистрационные сведения: данные о юридическом лице или индивидуальном предпринимателе, руководителе, адресах и местах выполнения работ.
- Описание деятельности: перечень заявляемых работ и услуг, договорная модель, технические задания и сведения о заказчиках результата.
- Информация о работниках: квалификация, образование, опыт, трудовые функции и распределение ответственности.
- Сведения о помещениях: основания использования объектов и условия, в которых компания планирует выполнять работы.
- Техническая база: оборудование, программное обеспечение, криптографические средства и иные средства защиты информации.
- Внутренние документы: порядок организации работ, защиты информации, учёта средств и контроля выполнения установленных требований.
- Полномочия представителя: документы, подтверждающие право действовать от имени заявителя, если процедуру ведёт представитель.
- Материалы на товар: техническое описание, данные изготовителя или правообладателя и сведения о криптографических функциях, когда вопрос относится к нотификации.
До подачи заявления документы сопоставляют с реальными процессами. Формальное наличие должностной инструкции или договора на помещение не решает задачу, если заявитель не может подтвердить выполнение соответствующего лицензионного требования.
Пример из практики: почему нотификацию нельзя смешивать с лицензией
В «Реестр Гарант» обратился клиент с вопросом о возможности оформить нотификацию ФСБ при ограниченном объёме документации от изготовителя. На первичном разборе специалисты проверили, есть ли техническое описание продукции, заявка и документ, подтверждающий полномочия представителя.
Основная сложность заключалась в достаточности технических данных. Для квалификации товара требовалось понять назначение изделия, реализованные криптографические функции и характеристики программной либо аппаратной части. Без подтверждённой информации от изготовителя нельзя надёжно определить применимость процедуры и корректно описать товар.
- Определили цель обращения. Клиент решал вопрос о ввозе конкретной продукции, а не о праве компании оказывать криптографические услуги.
- Проверили исходные материалы. Анализ охватил техническое описание, сведения о функциях товара и полномочия заявителя.
- Выявили недостающие данные. Для дальнейшей квалификации потребовалась информация изготовителя о криптографических возможностях изделия.
- Разделили процедуры. Нотификацию рассматривали применительно к товару, а необходимость лицензии на деятельность оставили самостоятельным вопросом.
Этот пример показывает практическую границу: нотификация ФСБ может относиться к ввозимой продукции, но не подтверждает право импортёра, разработчика или интегратора выполнять лицензируемые работы. Результат по одному разрешительному режиму нельзя переносить на другой.
Частые сложности и как их решить
Компания не понимает, какой документ ей нужен
Начните с цели: выполнение работ, поставка товара, участие в закупке, импорт продукции или доступ к определённой информации. Затем опишите функции продукта и роль компании. Только после этого можно выбирать между лицензированием деятельности, нотификацией, идентификационным заключением и иными процедурами.
От изготовителя недостаточно технической информации
Краткого каталога или коммерческого описания часто недостаточно для оценки криптографических функций товара. Запросите у изготовителя или правообладателя техническое описание, сведения о программных компонентах, назначении шифрования и доступных пользователю функциях. Неподтверждённые предположения нельзя переносить в разрешительные документы.
В документах указана ФСТЭК России, а заказчик ищет лицензию ФСБ
Такое упоминание может указывать на техническую защиту конфиденциальной информации, экспортный контроль или иной режим. Сначала определяют предмет документа и регулируемую операцию. Требования ФСТЭК России нельзя автоматически относить к лицензированию криптографической деятельности ФСБ России.
Требование закупки сформулировано слишком широко
Запросите пояснение о виде лицензии, перечне разрешённых работ и основании требования. Затем сопоставьте его с предметом контракта. Формулировка «наличие лицензии ФСБ» без указания направления не позволяет проверить, подходит ли документ участника для исполнения договора.
Контрагент показывает только копию лицензии
Копия может не отражать актуальное состояние сведений. Проверяйте лицензиата, разрешённые работы, места деятельности и статус записи в официальном реестре. Рекламного заявления о наличии разрешения для такой проверки недостаточно.
FAQ
Вы занимаетесь нотификацией ФСБ?
«Реестр Гарант» сопровождает процедуры, связанные с нотификацией отдельных товаров с криптографическими функциями. Сначала специалисты анализируют технические документы и применимость процедуры. Нотификацию нельзя считать лицензией на ведение криптографической деятельности.
Какие бывают лицензии?
Под выражением «лицензия ФСБ» могут подразумевать криптографическую деятельность или работы, связанные с государственной тайной. Отдельно существует лицензия ФСТЭК России на техническую защиту конфиденциальной информации. Выбирать документ нужно по составу работ, а не по общему названию.
Почему нельзя назвать точную стоимость лицензии?
Сначала требуется определить вид лицензии, перечень работ и исходное соответствие компании установленным требованиям. Объём подготовки зависит от персонала, помещений, оборудования и документации. Оценка без этих сведений не показывает реальный состав процедуры.
Нужна ли лицензия ФСБ для VPN-сервиса?
Единого ответа по слову VPN нет. Проверяют, разрабатывает ли компания криптографические средства, распространяет или обслуживает их, оказывает услуги третьим лицам либо использует защищённое соединение только для собственных нужд.
Можно ли передать лицензию ФСБ другой компании?
Нет. Лицензия относится к конкретному лицензиату и подтверждает соответствие именно его ресурсов и процессов. При реорганизации или изменении существенных сведений проверяют основания для переоформления, но свободная передача разрешения другой компании не предусмотрена.
Уточнить, достаточно ли идентификационного заключения по двигателю и потребуется ли лицензия ФСТЭК?
Идентификационное заключение помогает определить статус товара для конкретной операции, включая таможенное оформление. Оно не заменяет проверку необходимости лицензии ФСТЭК России или другого разрешительного документа. Ответ зависит от характеристик двигателя, состава поставки, назначения и планируемых действий с товаром.
- Лицензию выбирают по фактическим работам и услугам.
- Внутреннее использование шифрования отделяют от обслуживания заказчиков.
- Нотификация относится к товару и не предоставляет право вести лицензируемую деятельность.
- Сведения о лицензиате и разрешённых работах проверяют по официальному реестру.
«Реестр Гарант» помогает квалифицировать задачу, проверить исходные документы и разграничить процедуры ФСБ России, ФСТЭК России и таможенного регулирования. До обращения подготовьте описание деятельности, технические материалы на продукцию и проект договора или закупочной документации.
