Лицензия ФСБ для банков и финансовых организаций требуется не из-за самого использования СКЗИ, а при самостоятельном выполнении лицензируемых криптографических работ. К ним могут относиться разработка, производство, распространение и техническое обслуживание шифровальных средств, а также оказание услуг в области шифрования информации.
Правовую основу определяют Федеральный закон «О лицензировании отдельных видов деятельности» № 99-ФЗ и Постановление Правительства Российской Федерации от 16 апреля 2012 года № 313. Для верного вывода нужно сопоставить предусмотренный этим постановлением перечень работ с реальной архитектурой системы, обязанностями сотрудников и функциями подрядчиков.
В банковском проекте одновременно участвуют ИБ-служба, ИТ-подразделение, разработчик, поставщик СКЗИ, интегратор и комплаенс. Ошибка возникает, когда лицензионный режим определяют только по названию договора или по наличию криптографии в программном обеспечении, не выясняя, кто фактически разрабатывает, передаёт, настраивает и обслуживает криптографическую часть.
Коротко о главном
- Использование криптографии внутри банка не равнозначно лицензируемой криптографической деятельности.
- ФСБ России лицензирует предусмотренные законодательством работы с шифровальными средствами и услуги в области шифрования информации.
- Банк России устанавливает отраслевые требования к защите информации, но не выдаёт лицензию ФСБ России.
- Лицензия ФСТЭК России регулирует другой вид деятельности и не заменяет лицензию ФСБ России.
- Передача работ подрядчику требует проверки его лицензии и фактического распределения функций.
- Нотификация продукции с криптографическими функциями не даёт организации права выполнять лицензируемые работы.
Что такое лицензия ФСБ России и почему её обсуждают в банковской сфере
Лицензирование ФСБ России охватывает установленную законом деятельность, связанную с шифровальными и криптографическими средствами, защищёнными информационными и телекоммуникационными системами, а также с услугами в области шифрования. Постановление Правительства Российской Федерации № 313 устанавливает лицензионный режим, перечень соответствующих работ и требования к соискателям и лицензиатам.
Кредитные организации используют средства криптографической защиты информации в дистанционном банковском обслуживании, платёжной инфраструктуре, электронном документообороте и защищённых каналах связи. Криптография также применяется при обмене данными с контрагентами и обработке персональных данных клиентов. Однако наличие СКЗИ в инфраструктуре показывает способ защиты информации, а не автоматически возникающий статус лицензиата.
Федеральный закон «О национальной платёжной системе» № 161-ФЗ и нормативные акты Банка России требуют защищать информацию при переводе денежных средств. Федеральный закон «О персональных данных» № 152-ФЗ регулирует обработку и защиту персональных данных. Эти нормы формируют обязанности по безопасности, но вопрос о лицензии ФСБ решается отдельно, исходя из характера выполняемых криптографических работ.
Иными словами, определяющим становится не название организации и не присутствие функции шифрования в банковском ПО. Анализировать нужно фактический перечень действий.
В каких случаях банку может потребоваться лицензия ФСБ России
Проверка нужна, когда финансовая организация перестаёт быть только пользователем готового решения и самостоятельно выполняет операции, которые могут входить в лицензируемую криптографическую деятельность. Особого внимания требуют собственная разработка, поставка решений другим лицам, техническое обслуживание СКЗИ и сервисы шифрования для клиентов или партнёров.
Банк разрабатывает собственное программное обеспечение с криптографическими функциями
Самостоятельная разработка банковского приложения ещё не даёт готового ответа. Нужно выяснить, создаёт ли команда банка криптографическое средство, изменяет ли криптографические функции либо только интегрирует готовый компонент, который поставляет вендор. Значение имеют содержание технической документации, границы программных модулей и ответственность за криптографические алгоритмы и ключевую информацию.
Отдельно изучают обновления. Если разработчики меняют пользовательский интерфейс, отчётность или бизнес-логику, не затрагивая средство криптографической защиты, правовая квалификация будет одной. Если сотрудники создают или модифицируют криптографическую часть решения, состав работ требует сопоставления с Постановлением Правительства Российской Федерации № 313.
Банк распространяет или поставляет решения с функциями шифрования
Приобретение готового продукта для собственной инфраструктуры отличается от его поставки другим организациям. Вторая модель возникает, например, когда финансовая организация передаёт программный комплекс участникам сервиса, поставляет защищённое решение связанным компаниям либо выступает оператором платформы, в составе которой клиент получает криптографический функционал.
Термины «поставка», «передача», «внедрение» и «распространение» нельзя считать взаимозаменяемыми только по формулировкам договора. Юристы и специалисты по информационной безопасности должны проверить предмет сделки, порядок предоставления экземпляров, права получателей, действия сотрудников и роль вендора. После этого фактическую модель сопоставляют с лицензируемыми работами.
Банк обслуживает или сопровождает СКЗИ
Поддержка банковской информационной системы и техническое обслуживание СКЗИ имеют разную правовую природу. Перезапуск сервера, администрирование учётных записей или обработка обращений пользователей сами по себе не описывают обслуживание шифровального средства. Доступ к его настройкам, замена компонентов, диагностика криптографической части и иные специальные действия требуют отдельной квалификации по составу работ.
Что будет, если договор называет услугу обычной ИТ-поддержкой, а специалисты фактически обслуживают криптографические компоненты? Для лицензионной оценки имеют значение реальные операции, а не выбранное сторонами название. Техническое задание, регламент сопровождения, матрица доступа и журналы работ должны подтверждать заявленное распределение обязанностей.
Финансовая организация оказывает услуги в области шифрования информации
Когда криптографическая функция обслуживает только внутренние процессы, организация выступает пользователем системы. Иная модель складывается, если она предоставляет клиентам или партнёрам самостоятельную услугу по шифрованию, управляет соответствующим сервисом либо выполняет предусмотренные лицензионным режимом операции в интересах третьих лиц.
Коммерческое название продукта не решает вопрос. Облачный сервис, операторская платформа или банковский цифровой продукт могут включать разные функции, поэтому оценка охватывает техническую архитектуру, пользовательский сценарий, условия договора и действия обслуживающего персонала. Только после этого можно определить, оказывает ли организация услуги в области шифрования информации.
Организация передаёт криптографические работы подрядчику
Лицензированный подрядчик вправе выполнять только те работы, которые охватывает его лицензия. До заключения договора банк проверяет сведения об исполнителе и сопоставляет разрешённые работы с техническим заданием. Для первичной проверки пригодится материал о том, как проверить лицензию в реестре ФСБ.
Сам договор не освобождает банк от анализа собственной роли. Если сотрудники финансовой организации управляют работами, которые требуют специального допуска, обслуживают криптографические компоненты или выполняют иные лицензируемые функции, наличие лицензии у интегратора не закрывает вопрос для банка. Договорная схема и фактический процесс должны совпадать.
Когда лицензия ФСБ России обычно не требуется
Собственная лицензия обычно не нужна только из-за того, что банк эксплуатирует готовые СКЗИ в своей инфраструктуре, использует защищённый канал или выполняет требования Банка России к информационной безопасности. Такой вывод допустим, если организация не осуществляет работы, отнесённые законодательством к лицензируемой деятельности.
Например, банк приобретает готовый продукт, применяет его по эксплуатационной документации, а специальные работы с шифровальным средством передаёт подрядчику с подходящей лицензией. В этой модели нужно подтвердить, что персонал банка остаётся пользователем и не выполняет разработку, распространение, лицензируемое техническое обслуживание либо услуги в области шифрования.
Граница зависит от архитектуры и полномочий. В одной системе администратор банка управляет только общими настройками приложения, в другой получает доступ к криптографической части и выполняет специальные операции. Одинаковое коммерческое название услуг не означает одинакового правового режима.
Лицензия ФСБ России, лицензия ФСТЭК России, нотификация и сертификация: в чём разница
| Процедура или статус | Для чего нужна | Кто участвует | Что не заменяет |
|---|---|---|---|
| Лицензия ФСБ России | Подтверждает право выполнять включённые в лицензию работы в сфере криптографической деятельности | Соискатель или лицензиат и ФСБ России как лицензирующий орган | Не заменяет лицензию ФСТЭК России, оценку продукта и выполнение требований Банка России |
| Лицензия ФСТЭК России | Даёт право выполнять соответствующие работы по технической защите конфиденциальной информации | Соискатель или лицензиат и ФСТЭК России | Не даёт права на лицензируемую криптографическую деятельность |
| Нотификация товаров с функцией шифрования | Применяется в предусмотренных правилами внешней торговли случаях при перемещении определённой продукции с криптографическими функциями | Изготовитель, заявитель, уполномоченные органы и участники внешнеторговой процедуры | Не заменяет лицензию организации и не подтверждает право обслуживать СКЗИ |
| Сертифицированные средства защиты информации | Подтверждают свойства конкретного продукта в соответствующей системе оценки | Изготовитель, заявитель, орган по сертификации и испытательная лаборатория в пределах применимой процедуры | Сертификат продукта не заменяет лицензию исполнителя |
| Требования Банка России к защите информации | Устанавливают отраслевые организационные и технические меры для регулируемых финансовых организаций | Банк России и организации, входящие в круг субъектов конкретного нормативного акта | Не заменяют лицензии ФСБ России или ФСТЭК России |
Лицензия ФСТЭК России регулируется самостоятельным правовым режимом. Постановление Правительства Российской Федерации от 3 февраля 2012 года № 79 посвящено лицензированию деятельности по технической защите конфиденциальной информации. Такая защита и криптографическая деятельность могут присутствовать в одном проекте, но разрешительные основания у них разные.
Нотификация относится к продукции с функциями шифрования и может потребоваться в рамках внешнеторговых процедур. Она описывает характеристики товара в предусмотренном порядке, но не предоставляет поставщику, банку или интегратору право осуществлять лицензируемые работы. Недостаток технической информации о функции шифрования мешает квалифицировать продукцию, однако этот вопрос нельзя переносить на лицензирование организации без отдельного анализа.
Сертификат на средство защиты также отвечает на другой вопрос: соответствует ли конкретный продукт установленным требованиям в применимой системе оценки. Он не подтверждает квалификацию персонала банка и не разрешает организации разрабатывать, распространять или обслуживать шифровальные средства.
Как требования Банка России связаны с лицензией ФСБ России
Банк России регулирует безопасность финансовой инфраструктуры и устанавливает требования к защите информации при банковской деятельности и переводах денежных средств. В зависимости от статуса организации и процессов применяются профильные нормативные акты, включая Положение Банка России № 683-П и Положение Банка России № 719-П. Перед проектированием системы проверяют актуальную редакцию документа и круг его адресатов.
ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» используют как профильный стандарт для построения мер защиты в пределах его применимости. Стандарт помогает определить организационные и технические меры, но не выступает лицензией на выполнение криптографических работ.
Требования Банка России могут привести к внедрению СКЗИ, усилению аутентификации, защите платёжной информации и созданию защищённых каналов. Однако отсюда не следует автоматическая обязанность получить лицензию ФСБ. Такая обязанность оценивается по Постановлению Правительства Российской Федерации № 313 с учётом того, кто и какие работы выполняет.
Как провести внутреннюю проверку до запуска проекта
- Описать продукт или сервис. Зафиксируйте назначение банковской системы, состав участников, пользовательские сценарии и место криптографии в обработке информации.
- Определить применяемые средства. Составьте перечень СКЗИ, криптографических модулей, защищённых каналов и функций, связанных с электронной подписью, шифрованием или управлением ключевой информацией.
- Распределить роли. Укажите, кто разрабатывает, поставляет, устанавливает, настраивает и обслуживает каждый компонент: банк, вендор, интегратор или оператор внешнего сервиса.
- Отделить использование от специальных работ. Зафиксируйте, какие действия относятся к обычной эксплуатации готового продукта, а какие затрагивают само шифровальное средство или криптографическую часть системы.
- Проверить договорную документацию. Сопоставьте договоры, технические задания, регламенты сопровождения, матрицы доступа и эксплуатационные инструкции.
- Сравнить работы с нормативным перечнем. Каждую фактическую операцию сопоставьте с видами работ, предусмотренными Постановлением Правительства Российской Федерации № 313.
- Проверить исполнителей. Установите наличие у подрядчиков действующих лицензий и убедитесь, что состав разрешённых работ соответствует проекту.
- Зафиксировать позицию. Оформите внутреннее заключение или матрицу ответственности с указанием функций банка и каждого привлечённого исполнителя.
Такую проверку лучше завершить до закупки и утверждения архитектуры. Если лицензионный вопрос возникает после выбора поставщика, банку приходится менять техническое задание, разграничивать доступы или искать другого исполнителя. Для дополнительной сверки можно использовать наш профильный материал про лицензирование криптографической деятельности финансовых организаций.
Какие документы и сведения нужны для оценки необходимости лицензии
Для первичной квалификации не нужен формальный комплект соискателя лицензии. Сначала собирают материалы, которые показывают реальную модель проекта и позволяют отделить эксплуатацию готового решения от лицензируемых работ.
- Описание продукта или ИТ-сервиса. В нём указывают назначение системы, пользователей, обрабатываемые данные и роль криптографии.
- Схема взаимодействия участников. Она показывает обязанности банка, разработчика, вендора, интегратора и оператора сервиса.
- Архитектура решения. Нужны состав компонентов, точки интеграции, защищённые каналы и перечень средств защиты информации.
- Техническая и эксплуатационная документация. По ней определяют функции СКЗИ, допустимые операции пользователей и порядок обслуживания.
- Описание криптографических функций. Общей фразы о наличии шифрования недостаточно: должны быть понятны назначение функции и место криптографического компонента в системе.
- Договоры и технические задания. Они раскрывают объём поставки, настройки, сопровождения и ответственности сторон.
- Внутренние регламенты и сведения о персонале. Эти документы показывают, кто получает доступ к СКЗИ и какие операции выполняет.
- Сведения о лицензиях подрядчиков. Проверяют не только наличие лицензии, но и соответствие перечня работ условиям проекта.
Если техническое описание ограничивается формулировкой «используется шифрование», квалифицировать процесс трудно. Название алгоритма или продукта тоже не заменяет функционального описания. Нужна связь между компонентом, действиями персонала, управлением криптографическими ключами и услугами, которые получает банк или его клиент.
Типовые ошибки банков и финансовых организаций
- Считать защищённый канал достаточным основанием для лицензии. Канал подтверждает использование криптографии, но не доказывает выполнение банком лицензируемых работ.
- Приравнивать сертификат продукта к лицензии организации. Сертифицированные средства защиты информации и право исполнителя осуществлять определённую деятельность относятся к разным объектам оценки.
- Путать нотификацию и лицензию. Нотификация шифровальных средств применяется к товару в предусмотренной внешнеторговой процедуре, а лицензия относится к деятельности организации.
- Оценивать только текст договора. Если сотрудники выполняют больше функций, чем указано в документах, вывод по договору окажется ненадёжным.
- Не проверять перечень работ подрядчика. Само наличие лицензии ещё не подтверждает право выполнять любой вид работ с СКЗИ.
- Считать лицензию ФСТЭК заменой лицензии ФСБ. Эти документы относятся к разным видам деятельности и могут потребоваться независимо друг от друга.
- Подключать ИБ-службу и юристов после выбора архитектуры. На позднем этапе изменить состав работ, уровни доступа и договорную модель сложнее.
Осуществление предпринимательской деятельности без специального разрешения, когда оно требуется, может повлечь ответственность по статье 14.1 Кодекса Российской Федерации об административных правонарушениях. Конкретный состав и последствия зависят от обстоятельств, поэтому задача предварительной проверки состоит не в формальном поиске лицензии, а в правильной квалификации деятельности.
Практический разбор: дистанционное банковское обслуживание с готовыми СКЗИ
Рассмотрим типовую модель без привязки к реальному клиентскому случаю. Банк внедряет сервис дистанционного банковского обслуживания, в котором применяются готовые сертифицированные средства криптографической защиты информации. Вендор поставляет программное решение, интегратор настраивает его и затем сопровождает систему.
Сначала устанавливают, кто отвечает за криптографические функции. Если вендор разрабатывает соответствующие компоненты и выпускает обновления, нужно отделить его деятельность от действий интегратора. Следующий вопрос касается сопровождения: обслуживает ли интегратор обычные прикладные функции или получает доступ к шифровальному средству и выполняет его техническое обслуживание.
Роль банка также нельзя описать одной фразой «внутренний пользователь». Проверяют, кто управляет криптографическими ключами, какие настройки доступны администраторам, кто устанавливает обновления и какие операции выполняет служба поддержки. Доступ к системе ещё не означает лицензируемой деятельности, но содержание выполняемых действий должно быть документировано.
Распределение ролей подтверждают договор поставки, техническое задание, регламент сопровождения, эксплуатационная документация, матрица доступов и сведения о лицензии исполнителя. Если эти документы противоречат реальному процессу, правовой режим определяют по фактическим функциям участников, а не по названию коммерческого предложения.
FAQ
Нужна ли банку лицензия ФСБ, если он использует СКЗИ?
Не всегда. Использование СКЗИ в собственной инфраструктуре не означает, что банк выполняет лицензируемые работы. Проверять нужно разработку, распространение, техническое обслуживание шифровальных средств и оказание услуг в области шифрования информации.
Нужно ли получать лицензию ФСБ России, если криптографические работы выполняет подрядчик?
Ответ зависит от функций, которые остаются у банка. Нужно проверить лицензию подрядчика, перечень разрешённых ему работ, техническое задание и реальные действия сотрудников финансовой организации. Передача части процессов не исключает отдельную оценку роли банка.
Заменяет ли лицензия ФСТЭК России лицензию ФСБ России?
Нет. ФСТЭК России лицензирует деятельность по технической защите конфиденциальной информации, а ФСБ России отвечает за лицензирование криптографической деятельности. Один проект может затрагивать оба режима, но основания оценивают раздельно.
Может ли после получения заключения потребоваться лицензия ФСТЭК?
Да, если фактический состав работ подпадает под требования к технической защите конфиденциальной информации. Заключение, сертификат, нотификация или иной документ по конкретной процедуре не исключает отдельной обязанности получить лицензию для другого вида деятельности.
Заменяет ли нотификация шифровальных средств лицензию ФСБ России?
Нет. Нотификация относится к характеристикам продукции с криптографическими функциями в предусмотренных внешнеторговых процедурах. Она не подтверждает право организации разрабатывать, распространять или обслуживать шифровальные средства.
Как понять, относится ли сопровождение банковского ПО к техническому обслуживанию СКЗИ?
Нужно разобрать конкретные операции, уровни доступа и содержание эксплуатационной документации. Общая поддержка приложения и работа с криптографическим компонентом могут иметь разный правовой режим, даже если входят в один договор сопровождения.
Что зафиксировать по результатам проверки
- Фактический перечень действий банка, вендора и интегратора.
- Границы между использованием готового СКЗИ и специальными работами с ним.
- Соответствие лицензий подрядчиков порученному объёму работ.
- Вывод по каждому применимому режиму: требования Банка России, лицензии ФСБ и ФСТЭК России, сертификация и нотификация.
Необходимость лицензии зависит от конкретных криптографических работ, а не от статуса банка или самого факта применения СКЗИ. «Реестр Гарант» помогает разобрать техническую и договорную модель, проверить роли участников и подготовить обоснованную позицию до запуска проекта.
