Виды лицензий ФСБ: полный перечень включает криптографическую деятельность и три направления, связанные с государственной тайной: использование секретных сведений, создание средств их защиты, проведение мероприятий и оказание услуг по защите. Техническую защиту конфиденциальной информации лицензирует Федеральная служба по техническому и экспортному контролю. Нотификация ФСБ лицензией не считается.
Коротко о главном
- ФСБ России лицензирует деятельность в области криптографии и отдельные работы, связанные со сведениями, составляющими государственную тайну.
- Криптографическая лицензия охватывает разработку, производство, распространение и техническое обслуживание шифровальных средств, а также предусмотренные законодательством работы и услуги в области шифрования информации.
- Направления по государственной тайне разделяются по содержанию работ: использование секретных сведений, создание средств их защиты, мероприятия и услуги по защите государственной тайны.
- Лицензии Федеральной службы по техническому и экспортному контролю нельзя называть лицензиями ФСБ. У них другой объект регулирования и отдельные лицензионные требования.
- Нотификация ФСБ связана с перемещением отдельных товаров с функциями шифрования и не разрешает вести лицензируемую криптографическую деятельность.
- Вывод делают после анализа договоров, технических заданий, оборудования, программного обеспечения, функций сотрудников и требований заказчика.
Что называют лицензией ФСБ и почему возникает путаница
Лицензия представляет собой разрешение вести определённый вид деятельности при соблюдении установленных требований. В рамках лицензирования уполномоченный орган оценивает соискателя лицензии: квалификацию работников, помещения, оборудование, средства защиты, внутренние документы и организацию процессов. Состав требований зависит от заявленного направления, поэтому единого комплекта документов для всех лицензий ФСБ нет.
Общий принцип лицензирования устанавливает Федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности». Для проектов с государственной тайной также применяется Закон Российской Федерации № 5485-I «О государственной тайне». Он разграничивает государственную тайну и другие сведения ограниченного доступа, включая коммерческую тайну, персональные данные и конфиденциальную информацию.
Сертификат, аттестат, лицензия и нотификация решают разные задачи. Сертификат может подтверждать соответствие продукции или системы установленным требованиям. Аттестат подтверждает состояние конкретного объекта в пределах применимой процедуры. Лицензия разрешает организации вести обозначенную деятельность, а нотификация содержит сведения о характеристиках товара с функциями шифрования для целей его перемещения через таможенную границу Евразийского экономического союза.
Почему фразы заказчика «нужна лицензия Федеральной службы безопасности» недостаточно? Она не отвечает на главные вопросы: какие операции выполняет подрядчик, используется ли криптография, получает ли персонал доступ к сведениям, составляющим государственную тайну, и кто обслуживает защищённую систему. Перед подготовкой документов нужно отделить собственные работы организации от операций, переданных лицензированным исполнителям.
Виды лицензий ФСБ: полный перечень по направлениям
Официальные лицензируемые виды деятельности нельзя смешивать с коммерческими названиями наподобие «лицензия для интегратора», «лицензия для оператора связи» или «лицензия на федеральные системы связи». Правовой режим определяют фактические действия организации. Для криптографической деятельности применяется Положение, утверждённое постановлением Правительства Российской Федерации № 313, а лицензирование работ с государственной тайной регулирует постановление Правительства Российской Федерации № 333.
Лицензия на деятельность в области шифрования информации
Лицензия на криптографическую деятельность охватывает предусмотренные положением операции с шифровальными и криптографическими средствами. К ним относятся разработка и производство таких средств, их распространение, техническое обслуживание, создание защищённых с их применением информационных систем и телекоммуникационных систем, а также выполнение работ и оказание услуг в области шифрования информации.
Объектом лицензирования служит деятельность компании, а не программа или устройство сами по себе. Использование защищённого мессенджера, электронной подписи либо стандартных функций шифрования в офисном программном обеспечении не означает, что каждой организации требуется лицензия ФСБ. Проверять нужно операции, которые компания выполняет для заказчика или другого лица, и роль средств криптографической защиты информации в этих операциях.
Например, организация может не производить криптографические средства, но распространять их, устанавливать компоненты защищённой системы, выполнять настройку либо техническое обслуживание. Одного утверждения «мы только интегратор» недостаточно. Нужно разобрать действия по договору, техническую документацию производителя, права на программное обеспечение и границы ответственности исполнителя.
Отдельно оценивают техническое обслуживание криптографических средств для собственных нужд юридического лица или индивидуального предпринимателя. Положение о лицензировании предусматривает для такой ситуации исключение. Оно не распространяется автоматически на обслуживание систем клиентов или работы, которые организация продаёт как самостоятельную услугу.
Лицензия на работы, связанные с использованием сведений, составляющих государственную тайну
Это направление применяется, когда организация при выполнении работ получает доступ именно к сведениям, отнесённым к государственной тайне в установленном порядке. Значение имеют степень секретности, форма допуска работников, режим помещений, содержание задания и порядок обращения с носителями. Наличие слов «секретно» или «закрытая информация» в переписке не заменяет правовую квалификацию сведений.
Пометка «для служебного пользования» также не означает автоматически, что документ содержит государственную тайну. Коммерческая тайна, служебная информация ограниченного распространения и персональные данные регулируются иначе. До оформления лицензии организация должна установить, предусмотрен ли реальный доступ к государственной тайне и какие функции будет выполнять её персонал.
Лицензия на создание средств защиты информации, содержащей государственную тайну
Направление касается создания средств защиты информации, предназначенных для работы со сведениями, составляющими государственную тайну. Оно не охватывает любое программное обеспечение для информационной безопасности, антивирусные продукты, системы контроля доступа или средства защиты обычных корпоративных данных.
Разграничение проводят по объекту защиты и назначению разработки. Если продукт предназначен для защиты конфиденциальной информации, но не сведений, составляющих государственную тайну, необходимо проверять компетенцию Федеральной службы по техническому и экспортному контролю и другой разрешительный режим.
Лицензия на мероприятия и услуги в области защиты государственной тайны
К этому направлению относятся предусмотренные законодательством мероприятия и услуги по защите государственной тайны. Для квалификации изучают содержание договора, перечень операций, режим обрабатываемой информации, доступ работников, используемые средства защиты и результат, который исполнитель передаёт заказчику.
Коммерческое название услуги не имеет решающего значения. Формулировки «аудит безопасности», «защищённая связь» или «сопровождение закрытого объекта» могут описывать разный состав работ. Если один договор сочетает криптографические операции и работы со сведениями, составляющими государственную тайну, к исполнителю могут применяться требования нескольких направлений.
Какие документы часто ошибочно называют лицензией ФСБ
Лицензия Федеральной службы по техническому и экспортному контролю на техническую защиту конфиденциальной информации
Техническая защита конфиденциальной информации относится к компетенции Федеральной службы по техническому и экспортному контролю. Порядок её лицензирования регулирует постановление Правительства Российской Федерации № 79. Такая лицензия не заменяет лицензию ФСБ на криптографическую деятельность, а криптографическая лицензия не разрешает автоматически выполнять все работы по технической защите конфиденциальной информации.
В одном проекте могут одновременно использоваться криптографические и некриптографические методы защиты. Тогда заказчику и исполнителю нужно разделить операции и определить, какая часть относится к компетенции каждого ведомства. Ориентироваться только на общее выражение «защита информации» нельзя.
Лицензия на разработку и производство средств защиты конфиденциальной информации
Разработку и производство средств защиты конфиденциальной информации также лицензирует Федеральная служба по техническому и экспортному контролю. Процедуру регулирует постановление Правительства Российской Федерации № 171. Здесь объектом защиты выступает конфиденциальная информация, которая не тождественна сведениям, составляющим государственную тайну.
Различие особенно важно для производителей программного обеспечения и оборудования. Назначение продукта, состав функций, техническая документация и заявленная область применения определяют, какой разрешительный режим следует анализировать.
Нотификация ФСБ
Нотификация ФСБ используется при ввозе и вывозе отдельных товаров, содержащих функции шифрования. В ней отражаются сведения о продукции и её криптографических возможностях. В рамках таможенных операций наличие и применимость нотификации проверяют с учётом характеристик товара и правил Евразийского экономического союза; Федеральная таможенная служба не выдаёт лицензии ФСБ.
Нотификация не подтверждает, что импортёр вправе разрабатывать, производить, распространять или обслуживать криптографические средства. Если организация помимо ввоза товара выполняет лицензируемые работы в области шифрования информации, право на такие работы оценивают отдельно.
Как определить, нужна ли организации лицензия ФСБ
- Опишите фактические работы. Зафиксируйте, что именно делает организация: разрабатывает продукт, передаёт права, поставляет оборудование, устанавливает компоненты, настраивает систему, обслуживает средства или предоставляет доступ к сервису.
- Определите роль криптографии. Установите, какие шифровальные средства и средства криптографической защиты информации используются, кто их производит, кому они передаются и какие операции выполняет персонал.
- Проверьте режим сведений. Выясните, присутствует ли в проекте государственная тайна. Не приравнивайте к ней персональные данные, коммерческую тайну и любую информацию с ограниченным доступом.
- Сопоставьте работы с лицензируемыми направлениями. Сравнивать нужно каждую операцию, а не общее название договора. Особое внимание требуется проектам, где одновременно используются криптографические средства и секретные сведения.
- Разделите собственные и подрядные операции. Укажите, какие действия выполняют штатные специалисты, а какие переданы стороннему лицензиату. Само привлечение подрядчика не всегда снимает требования с основного исполнителя.
- Изучите закупочную документацию. Проверьте предмет закупки, требования к участнику, техническое задание, проект государственного контракта и критерии допуска. Запросите разъяснение, если заказчик указал только общее выражение «лицензия ФСБ».
- Получите профильную оценку спорных операций. Это следует сделать до подписания договора, закупки оборудования и формирования штата, поскольку требования к персоналу, помещениям и процессам зависят от выбранного направления.
Что проверить внутри компании
- Договоры и задания: предмет договора, перечень операций, результат работ, распределение ответственности и условия доступа к информации.
- Техническую часть: описание программного обеспечения, оборудования, криптографических функций и защищённых информационных систем.
- Персонал: образование, квалификацию, должностные функции и основания для доступа к защищаемым сведениям.
- Ресурсы: помещения, оборудование, средства защиты, внутренние регламенты и документы о праве пользования необходимыми объектами.
- Подрядчиков: содержание переданных им работ, реквизиты разрешительных документов и распределение функций между участниками проекта.
После определения нужного направления сведения о потенциальном исполнителе или партнёре стоит сверить через реестр. Отдельный порядок проверки разобран в материале «Реестр лицензий ФСБ: как проверить лицензию».
Частые сложности при выборе лицензии
Заказчик требует лицензию ФСБ, но не называет вид деятельности
Попросите заказчика связать требование с конкретными работами, средствами и режимом информации. В закупочной документации желательно проверить, требуется ли лицензия от каждого участника, только от непосредственного исполнителя определённых операций либо от привлекаемого подрядчика. Требование в письме не отменяет анализ законодательства и предмета договора.
Компания внедряет оборудование, но не производит криптографические средства
Производство составляет лишь одно из направлений криптографической деятельности. Правовой оценки также требуют распространение шифровальных средств, техническое обслуживание, разработка защищённых систем, выполнение работ и оказание услуг в области шифрования. Простая поставка и лицензируемые операции с оборудованием не всегда совпадают по содержанию.
В проекте есть закрытая информация, но её режим неизвестен
Сначала определяют правовой статус сведений. Государственная тайна устанавливается не по желанию сторон договора. Конфиденциальная информация, коммерческая тайна, персональные данные и сведения для служебного пользования имеют собственные режимы. Пока статус информации не установлен, выбирать направление лицензирования по одному слову «закрытая» нельзя.
В документах встречается выражение «лицензия на федеральные системы связи»
Самостоятельного универсального вида лицензии ФСБ с таким названием выделять не следует. За этой формулировкой могут скрываться криптографические работы, обслуживание защищённой связи либо деятельность со сведениями, составляющими государственную тайну. Решение зависит от состава системы и функций исполнителя.
Пример из практики: почему нотификацию нельзя путать с лицензией
В «Реестр Гарант» обратилась компания, которой требовалось оценить возможность оформления нотификации ФСБ на товар. Для первичного анализа запросили техническое описание продукции, сведения о функции шифрования, заявление и документ, подтверждающий полномочия представителя. Основная сложность состояла в ограниченном объёме технической информации, полученной от изготовителя.
Такой запрос относится к характеристикам товара и его перемещению, а не к лицензированию деятельности импортёра. Даже полный комплект документов для нотификации не подтверждает право выполнять техническое обслуживание криптографических средств или оказывать услуги в области шифрования информации. Сначала нужно определить цель процедуры: ввоз продукции, её выпуск на рынок либо выполнение работ с криптографией.
Что проверить перед подачей документов на лицензию
- Наименование деятельности. Оно должно соответствовать реальным операциям, которые планирует выполнять соискатель лицензии.
- Статус заявителя. Следует проверить организационно-правовую форму, регистрационные сведения и полномочия лиц, подписывающих документы.
- Договорную модель. Технические задания и проекты договоров не должны противоречить заявленному виду деятельности.
- Квалификацию работников. Оцениваются образование, подготовка, опыт и закреплённые должностные функции с учётом конкретных лицензионных требований.
- Помещения и оборудование. У организации должны быть необходимые ресурсы и законные основания ими пользоваться.
- Внутренние процессы. Проверяются документы по защите информации, распределение ответственности, учёт средств и порядок выполнения работ.
- Привлекаемых исполнителей. Нужно определить, какие операции передаются подрядчикам и какие разрешительные документы требуются им.
- Смежные разрешения. В отдельных проектах требуется анализ лицензий Федеральной службы по техническому и экспортному контролю или иных документов.
Одинаковый пакет для всех видов лицензий ФСБ подготовить нельзя. Разработка криптографических средств, обслуживание защищённых систем и использование сведений, составляющих государственную тайну, предполагают разные основания проверки. Сначала выбирают направление, затем формируют документы под применимые лицензионные требования.
Ответственность за работу без нужной лицензии
Ошибка в квалификации деятельности может привести к отклонению заявки на участие в закупке, претензиям заказчика, расторжению договора или проверке соблюдения обязательных требований. Отдельный риск возникает, когда компания заявляет наличие лицензии одного органа, хотя фактически выполняет работы, относящиеся к компетенции другого ведомства.
При наличии состава правонарушения правовую оценку могут проводить с учётом статьи 14.1 Кодекса Российской Федерации об административных правонарушениях об осуществлении предпринимательской деятельности без требуемого специального разрешения, статьи 13.12 о нарушении правил защиты информации и статьи 13.13 о незаконной деятельности в области защиты информации. Применимость конкретной нормы зависит от характера работ, статуса исполнителя, обстоятельств проекта и собранных доказательств.
Частые вопросы
Какая лицензия ФСБ нужна для работы с криптографией?
Ответ зависит от фактических операций. Лицензируемая сфера включает разработку, производство, распространение и техническое обслуживание криптографических средств, создание защищённых систем, а также предусмотренные работы и услуги в области шифрования информации. Отрасль и название компании необходимости лицензии не определяют.
Нужна ли лицензия ФСБ для интегратора или оператора связи?
Отдельной универсальной лицензии «для интегратора» или «для оператора связи» нет. Проверяют, выполняет ли организация лицензируемые действия с криптографическими средствами, какие системы она внедряет или обслуживает и кому оказывает соответствующие услуги.
Чем лицензия ФСБ отличается от лицензии Федеральной службы по техническому и экспортному контролю?
ФСБ России лицензирует криптографическую деятельность и отдельные направления, связанные с государственной тайной. Федеральная служба по техническому и экспортному контролю отвечает за лицензирование технической защиты конфиденциальной информации и разработки и производства средств её защиты. Одна лицензия не заменяет другую.
Можно ли работать по нотификации ФСБ без лицензии?
Нотификация и лицензия предназначены для разных процедур. Нотификация может потребоваться при перемещении товара с функциями шифрования, но не разрешает организации выполнять лицензируемые криптографические работы. Деятельность компании оценивают отдельно от таможенного режима продукции.
Нужна ли лицензия организации, которая просто использует шифрование?
Сам факт использования электронной подписи, защищённого соединения, мессенджера или стандартной функции шифрования не означает обязательного лицензирования. Значение имеют действия с криптографическими средствами, получатель работ и условия исключений, установленных для отдельных операций.
Как проверить, действует ли лицензия контрагента?
Проверку проводят по официальным реестровым сведениям, сопоставляя лицензиата, лицензируемый вид деятельности и статус записи. Ответы на связанные практические вопросы собраны в материале «Часто задаваемые вопросы о лицензии ФСБ».
Итоги: как выбрать правильное направление лицензирования
Сначала опишите фактические работы компании. Затем разделите криптографию, государственную тайну, конфиденциальную информацию и внешнеэкономические операции с товарами. Только после этого можно определить компетентный орган и проверить лицензионные требования.
Ошибки чаще всего возникают из-за попытки выбрать документ по названию проекта. Надёжнее сопоставить каждую операцию с регулируемым видом деятельности, проверить договоры, техническую документацию, функции сотрудников и роль подрядчиков.
- Лицензия ФСБ России относится к деятельности, а не к товару или названию компании.
- Криптографические работы и деятельность с государственной тайной образуют разные направления.
- Лицензии Федеральной службы по техническому и экспортному контролю не заменяют лицензии ФСБ.
- Нотификация ФСБ относится к товару с функциями шифрования и не разрешает лицензируемые работы.