Ответственность за работу без лицензии ФСБ возникает, когда организация фактически ведёт деятельность, для которой такая лицензия обязательна. Чтобы оценить риск, нужно проверить предмет договора, техническое задание, используемые средства защиты информации, обязанности исполнителя и реальные операции, а не только название услуги или формулировки закупочной документации.
Коротко о главном
- Лицензия ФСБ России требуется для определённых видов деятельности, а не для любой работы с программным обеспечением, электронной подписью, персональными данными или защищёнными каналами связи.
- Деятельность без лицензии может повлечь административную ответственность, договорные претензии, отстранение от закупки и другие последствия, зависящие от состава нарушения.
- Лицензия ФСБ России, лицензия ФСТЭК России, допуск к государственной тайне и нотификация шифровальных средств решают разные задачи и не заменяют друг друга.
- Проверяющие органы и суд оценивают фактически выполняемые работы. Название договора само по себе не определяет лицензионный режим.
- До подписания контракта компании стоит провести правовую и техническую квалификацию проекта, определить исполнителей лицензируемых операций и проверить их статус.
Что считается работой без лицензии ФСБ России
Федеральный закон «О лицензировании отдельных видов деятельности» № 99-ФЗ устанавливает общие основы лицензионного режима. Применительно к компетенции Федеральной службы безопасности Российской Федерации нужно разграничивать деятельность, связанную с государственной тайной, и работы в области шифрования информации, включая отдельные операции со средствами криптографической защиты информации.
Какие виды деятельности относятся к лицензируемым
Постановление Правительства Российской Федерации № 313 регулирует лицензирование деятельности, связанной с разработкой, производством, распространением шифровальных средств, информационных и телекоммуникационных систем, защищённых с использованием таких средств, а также с выполнением работ и оказанием услуг в области шифрования информации. Решение зависит от конкретного вида работ, назначения продукта и условий его использования.
К этой сфере могут относиться разработка и производство криптографических средств, отдельные виды их распространения и технического обслуживания, оказание криптографических услуг, а также передача ключевой информации при наличии условий, предусмотренных лицензионным режимом. Само упоминание шифрования в документации ещё не доказывает, что компания ведёт лицензируемую деятельность.
Постановление Правительства Российской Федерации № 333 применяется к лицензированию деятельности организаций, связанной с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также осуществлением мероприятий или оказанием услуг по защите государственной тайны. Здесь оценивают содержание работ, степень секретности сведений, договорную модель и соблюдение режима секретности.
Лицензирование определяют не по отрасли заказчика и не по названию исполнителя. ИТ-компания, производитель оборудования, интегратор или консультант могут попасть под лицензионные требования только при выполнении конкретных операций, предусмотренных нормативным регулированием.
Когда лицензия может не требоваться
Использование компанией собственных корпоративных сервисов с шифрованием в общем случае не означает оказание криптографических услуг третьим лицам. Электронная подпись, защищённое соединение с банком, шифрование рабочего ноутбука или применение готового облачного сервиса сами по себе также не создают лицензионную обязанность.
Приобретение готового программного продукта с криптографическими функциями нужно отличать от его разработки, производства, распространения, специального обслуживания и оказания услуг по шифрованию. Значение имеют условия поставки, объём настройки, функции исполнителя, передача ключевой информации и техническая документация на продукт.
Обработка персональных данных сама по себе не требует лицензии ФСБ России. Иной вывод возможен, если компания одновременно оказывает третьим лицам услуги или выполняет работы со средствами криптографической защиты информации, которые относятся к лицензируемым видам деятельности.
Обычная поставка оборудования также может находиться вне лицензионного режима, если поставщик не устанавливает, не настраивает и не обслуживает шифровальные средства, не передаёт ключевую информацию и не принимает на себя иные лицензируемые операции. Окончательный вывод всегда зависит от функций продукции, текста договора и фактического исполнения.
Какая ответственность возможна за деятельность без лицензии
Административная ответственность
Часть 2 статьи 14.1 Кодекса Российской Федерации об административных правонарушениях применяется к предпринимательской деятельности без обязательной лицензии. Для должностных лиц предусмотрен штраф от 4 000 до 5 000 рублей, для юридических лиц от 40 000 до 50 000 рублей. Суд также может назначить конфискацию изготовленной продукции, орудий производства и сырья.
Если оборудование использовалось как орудие производства, вопрос о его конфискации оценивают с учётом обстоятельств дела и применяемой нормы. Конфискация оборудования не следует автоматически из любой проверки или из самого факта отсутствия разрешительного документа.
Статья 14.1 КоАП РФ содержит четыре части. Работа без обязательной лицензии и нарушение условий уже выданной лицензии образуют разные составы: во втором случае проверяют, какие лицензионные требования нарушил лицензиат и относится ли нарушение к грубым.
Статья 13.13 КоАП РФ предусматривает ответственность за незаконную деятельность в области защиты информации, кроме информации, составляющей государственную тайну. Применять её ко всем отношениям с криптографическими средствами нельзя. Квалификация зависит от характера информации, вида работ, статуса исполнителя и признаков конкретного состава.
Статья 19.20 КоАП РФ касается деятельности без специального разрешения, если такая деятельность не связана с извлечением прибыли. Выбор между этой нормой и положениями о предпринимательской деятельности требует оценки цели и обстоятельств работы. Приостановление деятельности, конфискация и другие последствия применяются лишь тогда, когда их предусматривает соответствующая норма и назначает уполномоченный орган или суд.
Риски по договору и закупке
Государственные закупки и коммерческие тендеры часто содержат требования к разрешительным документам исполнителя. Заказчик вправе потребовать подтверждение лицензии, если она объективно нужна для предмета закупки, однако фразы «защита информации» или «информационная безопасность» недостаточно для окончательного вывода. Нужно изучить техническое задание, проект контракта и ожидаемый результат.
Участника могут признать не соответствующим требованиям закупочной документации, если он обязан подтвердить лицензию, но не сделал этого. На стадии исполнения заказчик может отказаться передавать лицензируемую часть работ, предъявить претензии или применить договорные последствия, предусмотренные контрактом и законом.
Привлечение лицензированного субподрядчика иногда позволяет корректно распределить работы, но такая схема не делает заказчика или генерального подрядчика лицензиатом. Договор должен ясно определять, кто выполняет лицензируемые операции, а фактическая модель исполнения обязана соответствовать этому распределению.
Передача работ нелицензированному субподрядчику создаёт отдельный риск. Даже если основной исполнитель имеет лицензию ФСБ России, её действие не распространяется на другую организацию, её работников или партнёров. Полезно заранее провести проверку лицензии ФСБ России в реестре, сопоставив сведения о лицензиате с предметом и адресами деятельности, когда они имеют значение для конкретной лицензии.
Когда возможна уголовная ответственность
Отсутствие лицензии ФСБ России само по себе не означает уголовную ответственность. Статья 171 Уголовного кодекса Российской Федерации рассматривается только при наличии всех признаков незаконного предпринимательства и обстоятельств, установленных уголовным законом.
Статьи 272 и 273 Уголовного кодекса Российской Федерации связаны с неправомерным доступом к компьютерной информации и вредоносными компьютерными программами. Статьи 283 и 284 относятся к разглашению государственной тайны и утрате документов, содержащих такие сведения. Эти нормы не применяются автоматически лишь потому, что у компании отсутствует лицензия.
Лицензия ФСБ, лицензия ФСТЭК, допуск к гостайне и нотификация: в чём разница
| Документ или режим | Для чего применяется | Чего не подтверждает |
|---|---|---|
| Лицензия ФСБ России | Подтверждает право организации выполнять определённые работы в области защиты государственной тайны либо шифрования информации в пределах предоставленной лицензии | Не заменяет лицензию ФСТЭК России и не подтверждает допуск конкретных сотрудников к государственной тайне |
| Лицензия ФСТЭК России | Применяется к отдельным видам деятельности в сфере технической защиты конфиденциальной информации, а также к разработке и производству средств защиты конфиденциальной информации | Не даёт права выполнять работы, лицензирование которых относится к компетенции ФСБ России |
| Допуск к государственной тайне | Позволяет конкретному лицу получать доступ к секретным сведениям при наличии законных оснований и соблюдении установленного режима | Не является лицензией организации и не заменяет организационные меры по защите государственной тайны |
| Нотификация шифровального средства | Содержит сведения о товаре с криптографическими функциями и используется в предусмотренном порядке внешнеэкономического оборота такой продукции | Не подтверждает право оказывать криптографические услуги или выполнять другие лицензируемые работы |
Федеральная служба по техническому и экспортному контролю лицензирует виды деятельности в пределах своей компетенции. Федеральная служба безопасности Российской Федерации отвечает за другие лицензионные направления. Организация должна определить нужный разрешительный режим по содержанию работ, а не выбирать документ по сходству названий.
Работа с государственной тайной регулируется также Законом Российской Федерации «О государственной тайне». Помимо лицензии организации, проект может требовать допуска работников, режимных помещений, защиты носителей, установленного порядка доступа и иных мер. Допуск одного специалиста не заменяет лицензию компании, если её деятельность подлежит лицензированию.
Нотификация ФСБ и лицензия ФСБ России тоже не взаимозаменяемы. Первая относится к сведениям о продукции с криптографическими функциями для целей её внешнеэкономического оборота, вторая подтверждает право лицензиата выполнять установленные виды деятельности.
Как проверить, нужна ли лицензия до начала работ
- Изучить договорные документы. Проверьте предмет договора, техническое задание, спецификацию, ожидаемые результаты, обязанности по настройке и обслуживанию, порядок передачи ключевой информации и критерии приёмки.
- Выделить операции с защищаемой информацией. Установите, есть ли в проекте шифрование, разработка, производство, распространение или обслуживание криптографических средств, а также работа со сведениями, составляющими государственную тайну.
- Разграничить товар и услугу. Поставка готового решения, его внутреннее использование и оказание лицензируемых услуг представляют разные модели. Установка или настройка продукта способна изменить квалификацию проекта, если включает регулируемые операции.
- Определить фактического исполнителя. Зафиксируйте, что делает сама компания, какие задачи выполняют штатные специалисты и какие операции передаются субподрядчику. Лицензия должна принадлежать тому участнику, который ведёт лицензируемую деятельность.
- Сопоставить работы с требованиями. Сравните состав проекта с лицензионными требованиями ФСБ России. Отдельно проверьте, не относится ли часть задач к компетенции ФСТЭК России или к режиму государственной тайны.
- Проверить лицензиата. Изучите реестровые сведения, статус лицензии и разрешённые виды деятельности. Одной копии документа от контрагента недостаточно, если её содержание не соответствует проекту.
- Зафиксировать вывод. Оформите правовое заключение, внутреннюю записку или матрицу требований, где указаны регулируемые операции, исполнители, нужные разрешения и ограничения.
- Разобрать условия закупки. Выясните, требует ли заказчик лицензию от участника, стороны контракта или непосредственного исполнителя работ. Спорное требование следует оценивать вместе с предметом закупки, а не отдельно от него.
Формулировка «услуги по информационной безопасности» слишком широка для правовой оценки. Проверка необходимости лицензии строится вокруг реальных технологических операций, функций оборудования, характера защищаемых сведений и ответственности каждого исполнителя.
Для первичной самопроверки можно использовать практический разбор ответственности и лицензионных критериев, после чего сопоставить выводы со своим техническим заданием и договорной моделью.
Частые ошибки компаний
Считать, что лицензия нужна для любого программного обеспечения с шифрованием
Наличие криптографической функции в продукте не равно оказанию криптографической услуги. Внутреннее использование готовой программы, её поставка, разработка и техническое обслуживание требуют разной правовой оценки.
Опираться только на название договора
Договор может называться консультационным или сервисным, хотя его техническое задание предусматривает настройку и обслуживание средств криптографической защиты информации. Проверяющие и суд исследуют фактическое содержание деятельности, первичные документы и действия специалистов.
Путать нотификацию и лицензию
Нотификация шифровальных средств описывает продукцию и её криптографические функции в рамках соответствующего режима внешнеэкономического оборота. Она не предоставляет организации право выполнять лицензируемые работы или оказывать услуги по шифрованию информации.
Передавать работы субподрядчику без проверки его статуса
В договорной цепочке нужно проверить лицензию непосредственного исполнителя, распределение обязанностей и фактическую схему взаимодействия. Общая формулировка о праве привлекать третьих лиц не подтверждает соблюдение лицензионных требований.
Считать лицензию контрагента собственной
Лицензия связана с конкретным лицензиатом. Она не переходит к заказчику, партнёру или аффилированной компании и не разрешает их сотрудникам самостоятельно выполнять лицензируемые операции.
Смешивать лицензию с допуском к государственной тайне
Допуск оформляют для конкретного лица, которому требуется доступ к секретным сведениям. Лицензия относится к деятельности организации. Для проекта могут одновременно понадобиться оба элемента, а также соблюдение режима секретности.
Пример из практики: почему сначала проверяют документы
В центр сертификации «Реестр Гарант» обратилась компания, рассматривавшая нотификацию продукции с криптографической функцией. Изготовитель предоставил ограниченный объём информации, поэтому специалист не мог определить правовой маршрут только по коммерческому названию товара.
Для предварительной оценки запросили техническое описание продукции, заявку и доверенность представителя. Эксперту предстояло установить назначение криптографической функции, достаточность сведений от изготовителя и возможность продолжить процедуру через уполномоченного представителя в России.
Этот пример не относится к оформлению лицензии ФСБ России и не подтверждает результат регистрации нотификации. Он показывает общий принцип: сначала специалист изучает функции продукта и документы, затем определяет, нужна ли нотификация, лицензирование или другой разрешительный режим.
Когда стоит провести предварительную проверку
Проверка нужна до принятия обязательств, если компания впервые добавляет криптографические функции в продукт, начинает оказывать услуги с использованием средств криптографической защиты информации либо получает техническое задание с неоднозначными требованиями к шифрованию.
Разобрать проект заранее также стоит в следующих ситуациях:
- заказчик требует лицензию ФСБ России в закупочной документации;
- работы затрагивают государственные информационные системы или сведения ограниченного доступа;
- компания планирует привлечь субподрядчика по защите информации;
- импортируется оборудование или программное обеспечение с криптографическими функциями;
- договор одновременно предусматривает поставку, установку, настройку и последующее обслуживание защищённого решения;
- планируется работа с государственной тайной, но роли организации и допущенных сотрудников ещё не определены.
До начала исполнения полезно сопоставить техническое задание, договорную модель и фактические действия исполнителя с применимым лицензионным режимом. Такая проверка выявляет расхождения до закупки оборудования, привлечения персонала и подписания актов.
FAQ
Кто решает, можно ли провести оформление?
Предварительный вывод зависит от документов и цели процедуры. Специалист оценивает техническое описание, функции шифрования, состав работ, договорную модель и статус заявителя, после чего определяет, относится ли вопрос к лицензированию, нотификации или другому разрешительному режиму.
В техописании требуется функция шифрования?
Для продукции или программного обеспечения с криптографическими функциями техническое описание должно раскрывать назначение и характеристики этих функций в объёме, необходимом для квалификации. Само наличие шифрования ещё не означает, что владельцу или поставщику нужна лицензия ФСБ России.
Вы занимаетесь нотификацией ФСБ?
«Реестр Гарант» сопровождает процедуры, связанные с нотификацией шифровальных средств. Сначала мы проверяем технические документы и полномочия заявителя. Нотификация относится к продукции и не заменяет лицензию на выполнение криптографических работ или услуг.
Можно оформить через Россию?
Ответ зависит от конкретной процедуры, статуса заявителя, полномочий представителя и комплекта документов. Для нотификации и лицензирования действуют разные правила, поэтому сначала нужно определить требуемый документ и проверить доверенность.
Участие в закупке уже требует лицензии ФСБ России?
Само участие в закупке не создаёт лицензионную обязанность. Требование оценивают по предмету закупки, техническому заданию, проекту контракта и тому, кто фактически выполнит лицензируемые работы.
Можно выполнять работы по лицензии подрядчика?
Подрядчик вправе выполнять работы в пределах собственной лицензии. Его разрешение не распространяется на заказчика, генерального подрядчика или другого субподрядчика, поэтому договор должен точно распределять лицензируемые операции между участниками.
Что подготовить для итоговой оценки
- Договор, проект контракта и полное техническое задание.
- Описание продукции, программного обеспечения и криптографических функций.
- Перечень фактических операций каждого участника проекта.
- Сведения о подрядчиках, субподрядчиках и имеющихся лицензиях.
«Реестр Гарант» работает с разрешительной документацией по всей России и проводит предварительную проверку проекта до выбора процедуры. Мы сопоставляем документы и фактические работы, но не выдаём нотификацию за лицензию и не обещаем получение разрешения без выполнения установленных требований.
