Требования для получения лицензии ФСБ зависят от конкретного вида деятельности. Для работ со сведениями, составляющими государственную тайну, и для деятельности в области криптографии действуют разные правила. До подачи заявления организация должна определить перечень работ, подтвердить квалификацию сотрудников, подготовить помещения, оборудование и внутренние документы.
Коротко о главном
- Под названием «лицензия ФСБ» понимают несколько самостоятельных направлений лицензирования.
- Лицензию получают до начала работ, для которых законодательство предусматривает лицензирование.
- Лицензионные требования зависят от заявленных работ, а не от общего профиля организации или формулировки в договоре.
- Лицензирующий орган оценивает документы, квалификацию работников, помещения, материально-техническую базу и организационные меры.
- Нотификация ФСБ на товар с функцией шифрования не заменяет лицензию на деятельность.
- Допуск к государственной тайне оформляют конкретному гражданину. Он не заменяет лицензию организации.
Нормативная база
| Документ | Что устанавливает |
|---|---|
| Постановление Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств…» | Условия лицензирования: до 28 отдельных пунктов работ и услуг, соискатель получает лицензию на конкретный перечень из них |
| Кадровое требование | В штате организации должны работать сотрудники с высшим образованием по направлению «Информационная безопасность» |
Лицензия на криптографию (ПП №313) и допуск к гостайне — разные процедуры с разными основаниями; для работы со сведениями, составляющими гостайну, действует отдельный порядок лицензирования.
Что называют лицензией ФСБ и кому она нужна
Термин используют как собирательное обозначение разрешений на разные виды деятельности, которые входят в компетенцию Федеральной службы безопасности Российской Федерации. В одной ситуации компания планирует выполнять работы с использованием сведений, составляющих государственную тайну. В другой она разрабатывает криптографические средства, распространяет шифровальные средства либо обслуживает защищённые с их применением системы.
Не каждая работа по государственному контракту требует лицензии ФСБ. Значение имеют содержание задания, категория обрабатываемой информации, назначение продукции и фактические действия исполнителя. Указание лицензии в закупочной документации подтверждает требование заказчика к участнику, однако правовую квалификацию деятельности всё равно проводят по законодательству и применимому положению о лицензировании.
Сначала изучают проект договора, техническое задание, описание информационной системы и перечень операций исполнителя. Затем формируют точный состав заявляемых работ. Полезно также проверить разбор требований к лицензии ФСБ, но итоговый пакет документов всегда связывают с фактической моделью деятельности конкретного соискателя.
Лицензия для работ, связанных с государственной тайной
Лицензия ФСБ на гостайну может потребоваться, когда организация проводит работы с использованием сведений, составляющих государственную тайну, создаёт средства защиты такой информации, выполняет мероприятия или оказывает услуги по её защите в пределах лицензируемого вида деятельности. Само участие в закупке государственного заказчика такого требования не создаёт.
Защита государственной тайны включает организационные, кадровые, режимные и технические меры. Соискатель лицензии подтверждает, что способен обеспечить установленный режим секретности, ограничить доступ к сведениям, организовать их учёт и хранение, а также привлечь работников, которым поручены соответствующие функции.
Вопрос о допуске сотрудников решается отдельно. Лицензия подтверждает право организации выполнять указанные в ней работы, а допуск к государственной тайне относится к конкретному гражданину и оформляется по специальной процедуре. Наличие допуска у руководителя либо специалиста само по себе не подтверждает выполнение всех лицензионных требований организацией.
Лицензия в области криптографии и шифрования
Лицензия ФСБ на криптографию относится к деятельности по разработке, производству и распространению шифровальных средств, защищённых с их использованием информационных и телекоммуникационных систем, а также к предусмотренным законодательством работам и услугам в области шифрования информации. В соответствующих случаях лицензируется техническое обслуживание криптографических средств и защищённых систем.
Коммерческое название продукта не определяет правовой режим. Один и тот же термин «защищённое решение» может обозначать обычную функцию контроля доступа, криптографическую защиту либо комплекс, в котором используются разные средства защиты информации. Для оценки изучают назначение продукта, документацию изготовителя, алгоритмы работы, состав программных и аппаратных компонентов, а также операции поставщика или подрядчика.
Отдельно проверяют, что именно делает компания. Простая поставка готового товара, разработка средства шифрования, установка криптографического программного обеспечения и техническое обслуживание защищённой системы имеют разное содержание. Лицензия на разработку криптографических средств не должна подразумеваться только потому, что организация продаёт продукцию с функцией шифрования.
Какие акты регулируют требования
Общий порядок лицензирования устанавливает Федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности». Специальные вопросы работы со сведениями, составляющими государственную тайну, регулирует Закон Российской Федерации № 5485-1 «О государственной тайне». Для этой сферы действует специальное регулирование, поэтому одного обращения к общим нормам о лицензировании недостаточно.
Постановление Правительства Российской Федерации № 333 регулирует лицензирование работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, мероприятиями и услугами по защите государственной тайны. Постановление Правительства Российской Федерации № 313 устанавливает правила лицензирования деятельности в области шифровальных средств, защищённых систем и шифрования информации.
Федеральная служба безопасности Российской Федерации выступает лицензирующим органом в пределах закреплённой компетенции. Территориальные органы безопасности принимают и рассматривают материалы по подведомственности. Перед подачей заявления нужно проверять актуальные редакции нормативных актов, полномочия выбранного подразделения и перечень требований для заявленных работ.
Чем лицензия ФСБ отличается от нотификации, сертификации и допуска к государственной тайне
Смешение процедур приводит к неверному комплекту документов. Лицензия относится к деятельности организации, нотификация связана с характеристиками товара, а допуск определяет возможность конкретного работника знакомиться с секретными сведениями. Документы об оценке соответствия продукции решают ещё одну самостоятельную задачу.
| Процедура | Для чего применяется | Что является объектом | Что не заменяет |
|---|---|---|---|
| Лицензия ФСБ | Подтверждает право выполнять указанные лицензируемые работы | Деятельность организации или предпринимателя в предусмотренных случаях | Нотификацию товара, допуск работника и документы об оценке соответствия продукции |
| Нотификация ФСБ | Используется для уведомительного оформления сведений об отдельных товарах с криптографическими функциями | Продукция и сведения о её функциях шифрования | Лицензию на разработку, распространение, оказание услуг или техническое обслуживание |
| Допуск к государственной тайне | Определяет возможность гражданина работать со сведениями соответствующей степени секретности | Конкретный гражданин | Лицензию организации и её режимные меры |
| Сертификат или декларация соответствия | Подтверждает соответствие продукции применимым обязательным требованиям | Товар, оборудование или иная продукция | Право организации вести лицензируемую деятельность |
| Лицензия ФСТЭК России | Относится к установленным видам деятельности в сфере технической защиты конфиденциальной информации и разработки или производства средств её защиты | Конкретная деятельность, входящая в компетенцию ФСТЭК России | Лицензию ФСБ на криптографию или работы с государственной тайной |
Росаккредитация не выдаёт лицензии ФСБ. Единый реестр Росаккредитации применяют для проверки документов об оценке соответствия, которые оформляют аккредитованные органы и испытательные лаборатории, но такой документ не подтверждает право выполнять лицензируемые работы в области шифрования или защиты государственной тайны.
Основные требования к соискателю лицензии ФСБ
Точный состав условий устанавливает применимое положение о лицензировании. Проверка лицензионных требований охватывает не формальное наличие папки документов, а способность соискателя выполнять конкретные работы заявленным способом. Одинаковый комплект нельзя использовать для деятельности с государственной тайной и для разработки либо обслуживания криптографических средств.
Статус и виды деятельности организации
Сведения о заявителе должны совпадать с данными государственных реестров и представленными документами. Возможность лицензирования индивидуального предпринимателя или юридического лица проверяют применительно к выбранному направлению. Универсального правила о достаточности определённого кода ОКВЭД нет: оцениваются заявляемые операции и требования специального положения.
Перечень работ в заявлении формулируют после анализа договоров, технических заданий, внутренних регламентов и описаний услуг. Слишком широкий список создаёт проблему, если у компании нет работников, оборудования или помещений для части заявленных направлений. Слишком узкий перечень не позволит законно выполнять работы, которые выходят за пределы предоставленной лицензии.
Требования к работникам и квалификации
Организация подтверждает наличие работников, способных выполнять заявленные работы. Применимое положение может устанавливать требования к образованию, профессиональной подготовке, стажу и характеру трудовых отношений. Подтверждающие документы нужно сопоставить с должностными инструкциями, штатной структурой и фактическими обязанностями каждого специалиста.
Функции руководителя, специалистов по защите информации, технических работников и сотрудников режимно-секретного подразделения распределяют в локальных документах. Одна должность в штатном расписании без подтверждённой квалификации и понятного круга обязанностей не закрывает кадровое требование. Равным образом диплом специалиста не подтверждает, что именно он отвечает за заявленные процессы.
Для работ с секретными сведениями отдельно решают вопросы допуска к государственной тайне и организации режимно-секретной работы. Создание собственного режимно-секретного подразделения оценивают с учётом характера деятельности и установленного порядка. Нельзя заранее считать его универсальным условием либо заменять договором с внешней организацией без проверки допустимости такой модели.
Помещения, режим и материально-техническая база
Помещения должны позволять выполнять заявленные работы и соблюдать требования к доступу, хранению документов и защите информации. Право пользования подтверждают документами на собственность, арендой или иным законным основанием. Один договор аренды не доказывает, что помещение подходит для операций с защищаемой информацией.
Материально-техническая база включает оборудование, программные средства, техническую документацию и иные ресурсы, необходимые для выбранного направления. Их состав зависит от того, разрабатывает ли соискатель криптографические средства, распространяет готовые решения, обслуживает системы или работает со сведениями, составляющими государственную тайну.
Не существует универсального требования, которое можно закрыть наличием одного компьютера или стандартного офиса. Лицензирующий орган сопоставляет ресурсы с описанием процессов. Если в документах заявлено техническое обслуживание криптографических средств на объектах заказчика, организационная и техническая модель должна объяснять, кто выполняет работы, какими средствами и по каким правилам.
Внутренние документы и организационные меры
Локальные акты фиксируют распределение ответственности, порядок допуска к работам, учёт оборудования и документов, обращение с защищаемой информацией, контроль доступа и действия при выявлении нарушений. Содержание регламентов должно соответствовать реальным процессам. Документ, скопированный из чужого комплекта, часто описывает отсутствующие подразделения, должности или технические средства.
Для деятельности, связанной с государственной тайной, предусматривают документы по режиму секретности и защите соответствующих сведений. Для криптографического направления комплект строят вокруг конкретных работ, используемых средств и квалификации исполнителей. Окончательный перечень формируют после классификации деятельности.
Какие документы нужны для лицензии ФСБ
Документы не стоит собирать по универсальному шаблону: состав материалов зависит от лицензируемой деятельности. Базовый комплект обычно включает сведения, которые позволяют идентифицировать соискателя и проверить его соответствие кадровым, организационным и техническим условиям.
- Заявление о предоставлении лицензии. В нём указывают сведения о заявителе и конкретный перечень работ.
- Регистрационные сведения. Они подтверждают правовой статус организации или предпринимателя, когда такая форма допустима для выбранной деятельности.
- Документы о работниках. В комплект входят сведения о трудовых отношениях, образовании, подготовке, стаже и выполняемых функциях в объёме применимых требований.
- Сведения о помещениях. Представляют основания пользования и информацию об условиях выполнения работ.
- Перечень оборудования и средств. Описывают программные, технические и иные ресурсы, связанные с заявленной деятельностью.
- Внутренние регламенты. Они устанавливают организацию работ, распределение ответственности и меры защиты информации.
- Материалы по режиму секретности. Их готовят, когда заявляется деятельность, связанная с государственной тайной.
- Иные подтверждения. Состав определяется положением о лицензировании и выбранными видами работ.
Название файла не имеет самостоятельного значения. Лицензирующий орган оценивает содержание и достоверность сведений, поэтому трудовые договоры, должностные инструкции, перечень оборудования и описание процессов не должны противоречить друг другу.
Порядок получения лицензии: практический алгоритм
- Определить характер деятельности. Компания описывает все планируемые операции без использования общего термина «информационная безопасность».
- Разграничить правовые режимы. Отдельно оцениваются государственная тайна, криптографические средства, техническая защита конфиденциальной информации, поставка продукции и нотификация ФСБ.
- Сформировать перечень работ. В него включают только те направления, которые компания намерена выполнять и способна подтвердить документами.
- Провести внутреннюю проверку. Сопоставляют квалификацию работников, помещения, оборудование, программные средства и локальные акты с лицензионными требованиями.
- Устранить несоответствия. До подачи заявления корректируют должностные инструкции, распределение ответственности, документы на помещения и описание технических процессов.
- Подготовить заявление и приложения. Все сведения проверяют на непротиворечивость и соответствие фактической деятельности.
- Подать материалы. Заявление направляют в лицензирующий орган с соблюдением установленного порядка и подведомственности.
- Пройти оценку соответствия. Соискатель предоставляет сведения и подтверждает соблюдение требований, включая готовность к оценочным мероприятиям, предусмотренным процедурой.
- Соблюдать условия после получения лицензии. Фактические работы не должны выходить за указанный перечень, а кадровые и технические условия требуется поддерживать в период деятельности.
Единый срок для всех вариантов лицензии ФСБ указывать некорректно. Продолжительность зависит от направления, состояния документов, готовности материально-технической базы, результатов проверки и порядка взаимодействия с лицензирующим органом.
Типовые ошибки при подготовке к лицензированию
- Не определён вид деятельности. Компания запрашивает «лицензию ФСБ», хотя не описала продукт, услуги и операции специалистов.
- Нотификацию принимают за лицензию. Документ на товар ошибочно рассматривают как разрешение оказывать услуги в области криптографии.
- Заявляется лишний перечень работ. Для части направлений отсутствуют квалифицированные сотрудники или необходимая техническая база.
- Квалификация не связана с функциями. Дипломы и документы о подготовке есть, но должностные инструкции не закрепляют соответствующие обязанности.
- Документы расходятся с реальностью. Регламенты описывают оборудование, помещения и подразделения, которых нет у соискателя.
- Подготовка начинается после заключения контракта. Условия договора уже определены, а право выполнять предусмотренные работы ещё не подтверждено.
- Лицензии ФСБ и ФСТЭК России смешиваются. Разные разрешительные режимы ошибочно считают взаимозаменяемыми.
Лицензионные процедуры нельзя переносить из одной отрасли в другую. Например, лицензирование деятельности с отходами регулируется самостоятельными нормами и не даёт шаблона для проверки кадров, помещений или документов в сфере криптографии.
Ответственность и почему вид лицензии определяют до начала работ
Осуществление предпринимательской деятельности без требуемой лицензии может получить правовую оценку по статье 14.1 Кодекса Российской Федерации об административных правонарушениях. Конкретная квалификация зависит от характера работ, статуса исполнителя, условий договора и других обстоятельств.
Нарушения правил защиты информации и незаконная деятельность в этой сфере могут образовывать самостоятельные составы правонарушений. Применимость конкретной нормы проверяют по фактической ситуации, поэтому нельзя заранее сводить последствия к одной статье или фиксированной санкции.
Для бизнеса риск не ограничивается административной ответственностью. Отсутствие нужной лицензии способно привести к отклонению заявки на закупке, невозможности приступить к исполнению договора и претензиям заказчика. Если лицензия получена на более узкий перечень работ, выход за его пределы также требует отдельной правовой оценки.
Пример из практики: почему нотификация ФСБ не заменяет лицензию
В Реестр Гарант обратился поставщик товара с функцией шифрования. Компания планировала оформить нотификацию ФСБ и располагала ограниченным объёмом сведений от изготовителя. Для предварительной оценки рассматривались доверенность, техническое описание продукции и информация о криптографической функции.
Основной вопрос касался не полноты пакета, а назначения процедуры. Нотификация описывает товар и его функции шифрования в предусмотренных случаях. Она не подтверждает право поставщика разрабатывать криптографические средства, оказывать услуги в области шифрования информации или выполнять техническое обслуживание защищённых систем.
Проверка строилась в следующем порядке:
- Установили объект процедуры. Им была продукция, а не деятельность организации.
- Изучили техническое описание. Для оценки требовались сведения о назначении и функции шифрования.
- Определили роль компании. Нужно было разграничить поставку товара, его разработку, настройку и обслуживание.
- Разделили документы. Доверенность и сведения изготовителя относились к оформлению продукции, а возможная лицензия требовала бы самостоятельной проверки организации.
Практический вывод прост: до сбора документов устанавливают, нужна ли нотификация на продукцию, лицензия на деятельность либо несколько самостоятельных процедур. В вопросах оценки товара также нужно отдельно определить, какие документы подтверждают соответствие продукции, поскольку сертификаты и декларации не подменяют отраслевые лицензии.
