Лицензия ФСБ на техническую защиту информации: какая лицензия нужна для ТЗКИ

Для деятельности по технической защите конфиденциальной информации требуется лицензия ФСТЭК России, а не лицензия ФСБ России. Запрос «Лицензия ФСБ на техническую защиту информации (ТЗКИ)» смешивает разные направления: ФСТЭК лицензирует ТЗКИ, а ФСБ России отвечает за деятельность в области шифрования информации и криптографических средств.

Компании нужно определить фактический состав работ, обязанности исполнителя и применяемые средства защиты. От этого зависит, достаточно ли лицензии ФСТЭК на ТЗКИ или проект требует отдельной оценки по правилам лицензирования ФСБ России.

Коротко о главном

• ТЗКИ лицензирует ФСТЭК России. Официально речь идет о лицензии на деятельность по технической защите конфиденциальной информации.
• Криптографическую деятельность лицензирует ФСБ России. Ее оценивают отдельно, если исполнитель работает с шифрованием и криптографическими средствами.
• Название закупки не определяет вид лицензии. Решающее значение имеют техническое задание, договор и фактические обязанности исполнителя.
• Подрядчику лицензия может потребоваться. Это относится к случаям, когда он выполняет для заказчика работы, входящие в лицензируемую деятельность.
• Обработка персональных данных сама по себе не требует лицензии ФСТЭК. Значение имеет характер выполняемых работ по защите информации.
• До обращения в лицензирующий орган проверяют готовность компании. Анализ охватывает специалистов, помещения, оборудование, средства защиты информации и локальные документы.
• Сведения о подрядчике проверяют по официальному реестру. Реквизитов на коммерческом предложении или копии старого документа недостаточно.

Почему запрос «лицензия ФСБ на ТЗКИ» сформулирован неточно

Это частая терминологическая путаница. ФСБ России связывают с информационной безопасностью в широком смысле, поэтому заказчики и участники закупок иногда называют лицензией ФСБ любой разрешительный документ для защиты информации. Юридическая квалификация устроена иначе: каждый лицензирующий орган отвечает за установленное направление деятельности.

Техническая защита конфиденциальной информации охватывает защиту сведений от утечки по техническим каналам, несанкционированного доступа и иных угроз, которым противодействуют организационными, программными, инженерными и техническими мерами. Лицензирование деятельности по ТЗКИ ведет ФСТЭК России на основании постановления Правительства Российской Федерации № 79.

ФСБ России лицензирует деятельность в области шифрования информации, разработки, производства, распространения и обслуживания определенных криптографических средств в пределах, установленных постановлением Правительства Российской Федерации от 16 апреля 2012 года № 313. Формулировка «лицензия ФСБ на ТЗКИ» не служит официальным наименованием лицензии.

Почему это различие важно для договора? Компания, которая подготовила ресурсы только под ТЗКИ, не получает на этом основании права выполнять криптографические работы. Обратное тоже верно: лицензия ФСБ на криптографию не заменяет лицензию ФСТЭК России, когда исполнитель принимает на себя лицензируемые работы по технической защите конфиденциальной информации.

Развернутое объяснение этой терминологической ошибки также приведено в материале о том, какой разрешительный документ нужен для ТЗКИ.

Что относится к технической защите конфиденциальной информации

Какие задачи решает ТЗКИ

Техническая защита конфиденциальной информации направлена на предотвращение несанкционированного доступа, утечки, искажения и блокирования защищаемых сведений. Конкретные меры зависят от информационной системы, модели угроз, состава обрабатываемой информации, архитектуры объекта и обязанностей исполнителя.

В проектах по информационной безопасности могут встречаться проектирование и создание систем защиты информации, внедрение и настройка средств защиты, контроль эффективности принятых мер, техническое обслуживание, обследование объектов и работа с защищаемыми автоматизированными системами. Этот перечень описывает распространенные направления, но не заменяет сопоставление проекта с актуальным перечнем лицензируемых работ.

Продажа программного обеспечения или оборудования без монтажа, настройки и иных работ по защите информации не равна созданию системы защиты. Однако одно слово «поставка» в названии договора еще не решает вопрос: спецификация, техническое задание и порядок приемки могут возлагать на поставщика внедрение, конфигурирование, испытания либо последующее обслуживание.

Есть и обратная ситуация. Консультация по информационной безопасности не всегда образует лицензируемую деятельность, если консультант не проектирует систему защиты, не внедряет средства и не выполняет другие работы из регулируемого перечня. Квалифицировать услугу нужно по ее содержанию, результату и ответственности исполнителя.

Какие сведения могут быть конфиденциальными

К защищаемым сведениям могут относиться персональные данные, коммерческая тайна, служебная информация ограниченного распространения и иная информация, доступ к которой ограничивают закон, договор или установленный владельцем режим. Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» задает общий правовой контекст обращения с информацией и ее защиты.

Не вся конфиденциальная информация составляет государственную тайну.

Режим коммерческой тайны, режим обработки персональных данных и правила работы с государственной тайной имеют разные основания и требования. Лицензия на техническую защиту конфиденциальной информации не дает права выполнять работы, для которых законодательство устанавливает иной специальный разрешительный режим.

Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» обязывает оператора принимать меры для защиты персональных данных. Из этого не следует, что каждый оператор должен получить лицензию ФСТЭК России: вопрос возникает, когда организация ведет деятельность, включенную в лицензируемые работы, в частности оказывает соответствующие услуги другим лицам.

Чем лицензия ФСТЭК России отличается от лицензии ФСБ России

Разделение особенно значимо в комплексных проектах. Система защиты может включать межсетевое экранирование, контроль доступа, антивирусную защиту, регистрацию событий и криптографические механизмы. Наличие шифрования в архитектуре еще не позволяет без анализа определить лицензионные обязанности каждого участника: нужно установить, кто поставляет средство, кто его устанавливает, кто настраивает криптографические функции и кто затем обслуживает решение.

Кому может понадобиться лицензия ФСТЭК России на ТЗКИ

Интеграторам и поставщикам решений по информационной безопасности

Вопрос лицензирования возникает, когда интегратор не ограничивается передачей оборудования или программного обеспечения, а проектирует систему защиты информации, внедряет и настраивает средства, проводит предусмотренный договором контроль либо сопровождает созданное решение. Название компании, код деятельности и позиционирование на рынке сами по себе ничего не решают.

Границу между поставкой и лицензируемыми работами проводят по договорным обязанностям. Если результат включает настроенную систему защиты, документацию на ее создание, выполненные испытания или техническое обслуживание средств защиты, компании следует проверить применимость положения о лицензировании ТЗКИ до подписания обязательств.

Подрядчикам по защите информационных систем заказчика

Подрядчик может работать с государственной информационной системой, информационной системой персональных данных, корпоративной автоматизированной системой или отдельным защищаемым помещением. Статус системы влияет на применимые требования к защите, но потребность в лицензии подрядчика определяет прежде всего состав переданных ему работ.

Можно ли решить вопрос одной фразой в договоре о консультационных услугах? Нет. Лицензирующий орган и заказчик оценивают фактическую деятельность, документы о выполнении проекта и реальный результат. Переименование монтажа, настройки или контроля защищенности в консультацию не меняет содержание работ.

Организациям, работающим с государственными и корпоративными заказчиками

Требование представить лицензию встречается в извещениях о закупке, технических заданиях и квалификационных условиях. Участнику следует проверить, какой орган должен был выдать документ, какие работы передает заказчик и совпадает ли доступный компании перечень работ с предметом закупки.

Если документация требует «лицензию ФСБ на ТЗКИ», стоит запросить разъяснение: заказчик мог иметь в виду лицензию ФСТЭК России по постановлению № 79, лицензию ФСБ России по постановлению № 313 либо оба разрешительных документа. Заявлять несуществующее или неподходящее разрешение нельзя.

Компаниям с внутренним подразделением информационной безопасности

Собственная ИБ-служба может администрировать защиту ресурсов работодателя, контролировать доступ, управлять уязвимостями и вести внутренние документы. Такая работа для собственных нужд и оказание лицензируемых услуг стороннему заказчику представляют разные правовые ситуации.

Лицензия не возникает автоматически из-за наличия отдела информационной безопасности.

Оценка меняется, если компания начинает выполнять работы для других юридических лиц, участвует в проектах группы компаний через отдельные договоры или принимает на себя обязанности интегратора. Принадлежность заказчика и исполнителя к одной группе не отменяет самостоятельную правосубъектность организаций.

Как определить, нужна ли лицензия: практический алгоритм

1. Соберите перечень работ. Используйте проект договора, техническое задание, спецификации, закупочную документацию, требования к результату и условия последующего обслуживания.
2. Разделите содержание проекта. Отдельно выделите техническую защиту конфиденциальной информации, криптографические операции, поставку продукции, консультации, разработку документации и работы, которые выполняет заказчик.
3. Определите фактического исполнителя. Зафиксируйте, что компания делает самостоятельно, какие задачи передает субподрядчику и кто отвечает перед заказчиком за конечный результат.
4. Сопоставьте работы с регулированием ТЗКИ. Проверьте их по актуальной редакции положения, утвержденного постановлением Правительства Российской Федерации № 79.
5. Оцените ресурсы. Сравните заявляемый профиль со специалистами, помещениями, оборудованием, средствами защиты информации, внутренними процедурами и подтверждающими документами.
6. Проверьте криптографическую составляющую. Установите, входит ли в обязанности компании деятельность, которую регулирует постановление Правительства Российской Федерации № 313.
7. Зафиксируйте обоснованный вывод. Рабочее правовое и техническое заключение должно связывать каждый вид работ с исполнителем, применимым режимом и требуемым разрешительным документом.

Оценивать следует не общее название проекта, а действия исполнителя. Формулировка «внедрение информационной системы» слишком широка: она может означать обычную установку программного продукта, создание подсистемы защиты, настройку криптографических функций или сочетание нескольких направлений.

Что проверяют при подготовке к лицензированию ТЗКИ

Специалисты

Компания подтверждает, что располагает специалистами, способными выполнять заявленные работы. При подготовке оценивают профиль образования, квалификацию, опыт, трудовые функции и распределение ответственности. Формальный диплом без связи с реальными задачами не доказывает готовность организации.

Допустимость привлечения внешних экспертов нельзя определять по универсальному шаблону. Она зависит от действующих лицензионных требований, заявляемых работ и модели организации деятельности. До подачи документов нужно проверить, какие функции компания обязана обеспечить собственными ресурсами и как она подтверждает участие каждого специалиста.

Помещения и рабочая инфраструктура

Организация подтверждает наличие законных оснований использовать помещения, в которых выполняет лицензируемые работы и размещает соответствующее оборудование. В зависимости от профиля деятельности оценивают порядок доступа, размещение рабочих мест и технических средств, условия хранения документов, а также внутренний режим обращения с конфиденциальной информацией.

Адрес в заявлении должен соответствовать фактической модели работы. Виртуальный офис, используемый только для получения корреспонденции, не подтверждает наличие инфраструктуры, если заявленные операции требуют оборудованного рабочего пространства.

Оборудование и средства защиты информации

Универсального списка закупок для любой лицензии ФСТЭК на ТЗКИ нет. Состав технических средств определяют после выбора работ: оборудование для контроля защищенности, разработки систем защиты или обслуживания решений формирует разные наборы ресурсов и компетенций.

Сначала профиль, затем закупка.

Оборудование без специалистов, методик и документированных процессов не подтверждает соответствие лицензионным требованиям. Одновременно не следует приобретать средства только ради наличия в инвентарной ведомости: организация должна понимать их назначение, порядок применения, учета и обслуживания.

Внутренние документы

Локальные акты связывают заявленную деятельность с реальными процессами компании. Они распределяют ответственность, определяют порядок выполнения и контроля работ, регулируют доступ к конфиденциальной информации, закрепляют учет технических средств и описывают действия сотрудников при выявлении нарушений.

Организация утверждает внутренние положения, инструкции и регламенты в пределах своей структуры полномочий. Внешнее согласование каждого локального документа с ФСТЭК России или заказчиком не предполагается, если специальное требование не следует из применимого режима либо конкретных обязательств компании.

Какие документы и сведения готовят для лицензирования

Комплект формируют после того, как компания определила заявляемые работы. Обычно подготовка охватывает следующие группы сведений и подтверждений:

• Корпоративные сведения. Данные о заявителе, местах ведения деятельности и выбранном направлении лицензирования.
• Описание заявляемой деятельности. Перечень работ, который организация сопоставила с действующим положением о лицензировании.
• Документы о специалистах. Подтверждения образования, квалификации, опыта и закрепленных трудовых обязанностей.
• Сведения о помещениях. Информация об адресах, правовых основаниях использования и условиях выполнения работ.
• Данные об оборудовании. Перечень применяемых технических средств, программного обеспечения и средств защиты информации с объяснением их назначения.
• Локальные документы. Положения, инструкции, приказы и регламенты, описывающие организацию работ, учет ресурсов, доступ и внутренний контроль.
• Иные подтверждения. Материалы, которые предусматривает действующая редакция положения с учетом заявленного профиля.

Этот список не исчерпывающий. Ошибка возникает, когда заявитель сначала скачивает чужой набор документов, а затем пытается подогнать под него деятельность. Правильная последовательность обратная: определить профиль работ, провести проверку соответствия лицензионным требованиям и только после этого собирать подтверждения.

Частые сложности при подготовке к лицензии ФСТЭК России

Договор не позволяет понять, относится ли работа к ТЗКИ

Сложность: предмет договора сформулирован широко, например как внедрение ИТ-решения или сопровождение информационной системы. Из заголовка не видно, кто создает подсистему защиты, настраивает средства и контролирует результат.

Как подойти к решению: разобрать техническое задание, этапы, результаты, акты приемки и границы ответственности. Особое внимание требуется формулировкам о проектировании, монтаже, настройке, испытаниях, контроле защищенности и обслуживании.

Заказчик требует «лицензию ФСБ на ТЗКИ»

Сложность: закупочная документация использует бытовое название, которое не позволяет однозначно установить требуемый вид разрешения.

Как подойти к решению: уточнить, подразумевает ли заказчик лицензию ФСТЭК России на основании постановления № 79, лицензию ФСБ России по криптографическому направлению или сочетание документов. Ответ нужно сопоставить с реальным предметом закупки.

У ИТ-специалистов нет подтвержденного профиля по защите информации

Сложность: сотрудники умеют администрировать системы, но документы об образовании, квалификации и должностные обязанности не соответствуют характеру заявляемых работ.

Как подойти к решению: провести оценку компетенций по каждой функции. Формальная смена названия должности не устраняет пробел в подготовке, если сотрудник не располагает требуемыми знаниями и подтверждениями.

Оборудование закупили до определения видов работ

Сложность: компания приобрела технические средства по чужому перечню, но не может объяснить их связь со своим лицензируемым профилем.

Как подойти к решению: сначала утвердить перечень планируемых работ, затем оценить пригодность уже имеющегося оборудования. Недостающие ресурсы определяют по функциям, а не по названию типового комплекта.

Компания планирует закупку, но лицензии еще нет

Сложность: участник рассчитывает оформить разрешение после победы или использовать документ другой организации.

Как подойти к решению: проверить условия допуска, требования к участнику и исполнителю, модель субподряда и сведения в реестре. Нельзя декларировать наличие лицензии до ее предоставления лицензирующим органом и отражения необходимых сведений в реестре.

Практический разбор: как проверить применимость лицензии до договора

Компания получает техническое задание на внедрение системы защиты информации у заказчика. Документ одновременно содержит требования к защите конфиденциальных сведений, настройке программных средств и использованию шифрования. До подписания договора нужно разделить работы по содержанию и определить исполнителя каждой операции.

Сначала устанавливают, какие задачи относятся к технической защите конфиденциальной информации. Затем выделяют криптографическую составляющую, проверяют, кто настраивает и обслуживает соответствующие средства, а также выясняют, передает ли генеральный подрядчик часть функций субподрядчикам.

Для анализа используют:

• Техническое задание. Оно показывает задачи, требования к системе и ожидаемый результат.
• Проект договора. В нем закреплены ответственность, границы работ, приемка и условия привлечения третьих лиц.
• Спецификации. По ним определяют состав оборудования, программного обеспечения и средств защиты информации.
• Требования заказчика к лицензиям. Их сопоставляют с предметом проекта, а при неточной формулировке запрашивают разъяснение.
• Описание архитектуры. Схема помогает установить место защитных и криптографических механизмов.
• Сведения об исполнителях. Анализ показывает, какое юридическое лицо и какие специалисты выполняют каждую операцию.
• Внутреннюю оценку ресурсов. Компания сравнивает требуемые компетенции со своими специалистами, помещениями, оборудованием и процедурами.

После анализа формируют матрицу работ. Для каждой позиции указывают содержание операции, исполнителя, применяемое средство, результат и возможное лицензионное основание. Такой подход обнаруживает ситуации, когда договор назван поставкой, но включает настройку защиты, либо когда генеральный подрядчик принимает ответственность за работы, переданные сторонней компании.

Лицензию определяет совокупность конкретных работ, а не отдельная фраза из технического задания.

Как проверить лицензию подрядчика

Копия лицензии показывает только те сведения, которые были внесены в документ на момент ее подготовки. Для договорной проверки нужны актуальные данные официального реестра и сопоставление найденной записи с предстоящими работами.

1. Запросите реквизиты. Получите наименование лицензиата, идентифицирующие сведения и данные лицензии.
2. Проверьте официальный реестр. Убедитесь, что запись относится к нужному юридическому лицу и сохраняет актуальный статус.
3. Сопоставьте стороны. Лицензиат должен соответствовать организации, которая заключает договор и выполняет регулируемые работы.
4. Изучите лицензируемый профиль. Наличие записи еще не доказывает право на любые работы в сфере информационной безопасности.
5. Проверьте модель исполнения. Установите, выполняет ли подрядчик работы своими ресурсами или передает их третьим лицам.
6. Закрепите условия в договоре. Укажите обязанности поддерживать требуемый статус, сообщать об изменениях и соблюдать ограничения при привлечении субподрядчиков.

Для криптографического направления полезен отдельный порядок проверки лицензии ФСБ России по реестру. Проверка записи не заменяет анализ предмета договора: разрешение должно подходить именно к тем операциям, которые подрядчик принимает на себя.

А что делать, если лицензия оформлена на другое юридическое лицо группы? Проверить участника закупки, сторону договора и фактического исполнителя. Общий бренд, учредитель или адрес не позволяют одной компании пользоваться разрешением другой.

Изменения после получения лицензии и лицензионный контроль

Получение лицензии не завершает работу с лицензионными требованиями. Лицензиат должен сохранять соответствие заявленному профилю, поддерживать необходимые ресурсы и контролировать изменения в организации деятельности. Значение могут иметь перемены в составе работ, местах их выполнения, специалистах, инфраструктуре и корпоративных данных.

Нужно ли переоформление при изменении адреса или перечня работ? Ответ зависит от характера изменения и действующих правил ведения реестра лицензий. До начала деятельности на новой площадке или расширения профиля следует определить, требуется ли внести сведения в реестр, пройти оценку соответствия либо выполнить другую предусмотренную процедуру.

Во время лицензионного контроля ФСТЭК России проверяет соблюдение требований в пределах своих полномочий. Компания должна подтвердить не только наличие документов, но и то, что сотрудники исполняют утвержденные процедуры, оборудование используется по назначению, а заявленные условия работы сохраняются.

FAQ

Нужна ли лицензия ФСБ для технической защиты информации?

Нет, если компания ведет именно деятельность по технической защите конфиденциальной информации. Это направление лицензирует ФСТЭК России. Лицензия ФСБ рассматривается при деятельности в области шифрования информации и криптографических средств.

Может ли компании понадобиться одновременно лицензия ФСТЭК и лицензия ФСБ?

Да. Это возможно, когда проект объединяет работы по ТЗКИ и регулируемые операции с криптографическими средствами. Компания должна разделить виды деятельности и подтвердить соответствие требованиям по каждому направлению.

Нужна ли лицензия ФСТЭК для обработки персональных данных?

Сам факт обработки персональных данных не создает автоматической обязанности получить лицензию. Потребность оценивают по работам организации, в частности по тому, оказывает ли она третьим лицам лицензируемые услуги по технической защите конфиденциальной информации.

Можно ли участвовать в закупке, если лицензия оформлена на другую организацию группы компаний?

Лицензия одного юридического лица не распространяется на другие компании группы. Нужно установить, кто участвует в закупке, заключает договор и фактически выполняет лицензируемые работы, а затем проверить именно этого исполнителя в реестре.

Нужна ли лицензия ФСТЭК организации, которая внедряет средства защиты информации?

Ответ зависит от содержания внедрения. Если исполнитель проектирует систему защиты, устанавливает, настраивает или обслуживает средства в рамках лицензируемых работ, вопрос о лицензии нужно решать до заключения договора. Простая поставка оценивается отдельно.

Можно ли использовать привлеченных специалистов для выполнения требований?

Универсального ответа для любого профиля работ нет. Допустимую модель занятости и привлечения экспертов проверяют по действующим лицензионным требованиям, функциям специалистов и фактической организации деятельности заявителя.

Вывод

Запрос «лицензия ФСБ на ТЗКИ» требует правового и технического уточнения. Деятельность по технической защите конфиденциальной информации лицензирует ФСТЭК России, а криптографическое направление относится к компетенции ФСБ России.

• Определите фактические работы по договору и техническому заданию.
• Разделите ТЗКИ, криптографические операции, поставку и консультационные задачи.
• Сопоставьте выбранный профиль со специалистами, помещениями, оборудованием и документами.
• Проверьте сведения исполнителя в официальном реестре до заключения договора.

При сложной структуре проекта полезно заранее проанализировать договор, техническое задание и распределение функций между участниками. Центр «Реестр Гарант» сопровождает подготовку к лицензированию по России и помогает сформировать комплект документов с учетом фактического профиля работ.