Лицензия ФСБ на СКЗИ — разрешение на работу со средствами криптографической защиты информации: их разработку, производство, распространение, техническое обслуживание и оказание услуг в области шифрования. Формулировка «лицензия на использование СКЗИ», которую чаще всего ищут, юридически неточна: собственное применение сертифицированного средства защиты для нужд самой организации лицензированию не подлежит. Лицензия нужна тогда, когда вы делаете что-то с криптосредствами для других — продаёте, настраиваете, обслуживаете, встраиваете в свой продукт.
Именно на этой границе строится половина ошибок. Компания устанавливает клиентам систему электронного документооборота с встроенным криптопровайдером и считает, что «просто внедряет софт», а фактически распространяет и обслуживает СКЗИ. Или наоборот: организация заказывает лицензию, хотя ей достаточно приобрести средство защиты у лицензиата и использовать его внутри контура. Ниже — как разделить эти ситуации и что реально требуется для получения лицензии.
Что вы получаете:
- ответ на главный вопрос — нужна ли вам лицензия и по каким именно пунктам перечня работ;
- подбор состава лицензируемых работ под вашу бизнес-модель, без лишних позиций;
- аудит готовности: помещения, оборудование, кадры, документы;
- подготовку и подачу комплекта документов в ФСБ России;
- сопровождение проверки соискателя и устранение замечаний;
- поддержку после получения лицензии: внесение изменений, добавление работ, лицензионный контроль.
Кому это нужно
- удостоверяющим центрам и продавцам электронной подписи — распространение и обслуживание СКЗИ входит в лицензируемую деятельность;
- разработчикам ПО со встроенным шифрованием — мессенджеры, VPN, системы документооборота, банковские приложения;
- системным интеграторам, которые настраивают и обслуживают криптошлюзы у заказчиков;
- операторам связи и провайдерам, предоставляющим защищённые каналы;
- финансовым организациям и платёжным сервисам, оказывающим клиентам услуги в области шифрования;
- компаниям, участвующим в закупках, где лицензия ФСБ прямо указана в требованиях к участнику;
- производителям оборудования с криптографическими функциями.
Нормативная рамка
- Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» — общая процедура, сроки, основания отказа, порядок лицензионного контроля;
- постановление Правительства РФ от 16.04.2012 № 313 — Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных и телекоммуникационных систем, защищённых с их использованием, выполнению работ и оказанию услуг в области шифрования информации, техническому обслуживанию таких средств. К Положению приложен перечень выполняемых работ и оказываемых услуг, разбитый на пронумерованные пункты, — именно по этим пунктам и выдаётся лицензия;
- Налоговый кодекс РФ, статья 333.33 — государственная пошлина за предоставление лицензии;
- Указ Президента РФ от 03.04.1995 № 334 — базовые ограничения на использование средств шифрования;
- приказы и регламенты ФСБ России — порядок предоставления государственной услуги и порядок лицензионного контроля.
Лицензирующий орган — ФСБ России. Не путайте с лицензией ФСТЭК на техническую защиту конфиденциальной информации: это разные регуляторы, разные лицензии и разные требования. Многим компаниям в итоге нужны обе. Смежные задачи разобраны отдельно: комплект внутренней документации — документы по защите информации под ключ и политика информационной безопасности предприятия; обязанности тех, кто попадает под требования по КИИ, — субъект КИИ по 187-ФЗ; режим обработки данных, ради которого чаще всего и внедряется криптография, — защита персональных данных по 152-ФЗ.
Когда лицензия нужна, а когда нет
Лицензия не нужна:
- организация использует сертифицированное СКЗИ для собственных нужд — защищает свой канал, подписывает свою отчётность, шифрует свою базу;
- сотрудники применяют средства электронной подписи, полученные в удостоверяющем центре;
- компания приобрела криптошлюз и эксплуатирует его в своём контуре силами штата.
Лицензия нужна:
- распространение СКЗИ — передача криптосредств третьим лицам, в том числе продажа, поставка в составе комплекса, передача по договору;
- техническое обслуживание СКЗИ у сторонних организаций — установка, настройка, сопровождение, обновление на чужих объектах;
- разработка и производство криптосредств и защищённых с их использованием систем;
- услуги в области шифрования — в частности, изготовление и распространение ключевых документов, работа удостоверяющего центра;
- встраивание СКЗИ в собственное программное или аппаратное изделие, которое затем передаётся заказчикам.
Пограничные случаи, где ошибаются чаще всего: облачный сервис с шифрованием данных клиента; поставка «коробки» с уже интегрированным криптопровайдером; сервисный договор, по которому подрядчик обновляет криптошлюзы у заказчика. Все три ситуации на практике тянут за собой лицензию, и разбирать их нужно до старта продаж, а не после запроса регулятора.
Отдельное ограничение: лицензия выдаётся юридическим лицам и индивидуальным предпринимателям, физическое лицо соискателем быть не может.
Требования к соискателю
Положение предъявляет требования по четырём направлениям, и все они проверяются фактически, а не по бумагам.
1. Помещения и оборудование. Нужны помещения на праве собственности или на ином законном основании, пригодные для заявленных работ, а также технологическое, испытательное и контрольно-измерительное оборудование. Средства измерений должны быть поверены или калиброваны. Формулировка «арендуем стол в коворкинге» здесь не работает: помещение должно допускать режим обращения с криптосредствами.
2. Кадры. Ключевое требование — профильное образование и стаж. По наиболее «тяжёлым» видам работ (разработка, производство, ряд услуг в области шифрования) требуется руководитель или уполномоченное им лицо с высшим образованием по направлению «Информационная безопасность» и стажем в области лицензируемой деятельности, а также инженерно-технические работники с высшим образованием и стажем. По более простым работам — распространение, отдельные виды обслуживания — требования к образованию и стажу ниже, а для части позиций перечня достаточно профильного среднего профессионального образования. Конкретная связка «пункт перечня — образование — стаж» задана в Положении построчно, и подбирать состав работ нужно именно от неё: лишний пункт в заявлении автоматически поднимает планку к персоналу.
Важная деталь: профильное образование можно заменить профессиональной переподготовкой по направлению информационной безопасности установленного объёма. Это самый частый способ закрыть кадровое требование без найма.
3. Нормативная и организационная база. Внутренние документы о порядке обращения с криптосредствами и о конфиденциальности, должностные инструкции работников, приказы о назначении ответственных, наличие актуальных нормативных документов регулятора по заявленным работам.
4. Отсутствие препятствий. По ряду работ дополнительно проверяются допуски к государственной тайне и сведения о правах на объекты недвижимости.
Порядок получения: этапы
Этап 1. Определение состава работ. Из перечня в приложении к Положению выбираются пункты, соответствующие вашей реальной деятельности. Это самое важное решение всего проекта: от него зависят и требования к персоналу, и объём подготовки, и вероятность отказа.
Этап 2. Аудит готовности. Сверяем фактическое состояние с лицензионными требованиями: есть ли помещения, поверено ли оборудование, есть ли люди с нужным образованием и стажем, есть ли документы. По итогам — список того, что нужно доделать, с оценкой сроков.
Этап 3. Подготовка. Оформление прав на помещения, закупка и поверка оборудования, переподготовка или наём специалистов, разработка внутренних документов и должностных инструкций.
Этап 4. Подача заявления. Заявление с приложением копий правоустанавливающих документов на помещения, документов об образовании и переподготовке работников, сведений о трудовой деятельности, должностных инструкций, документов на приборы и оборудование, внутренних документов о конфиденциальности. Пошлина уплачивается до подачи.
Этап 5. Проверка соискателя. Лицензирующий орган проверяет достоверность сведений и соответствие требованиям, в том числе с выездом. Именно на этом этапе выявляются расхождения между заявленным и фактическим.
Этап 6. Решение. Предоставление лицензии либо мотивированный отказ. Лицензия бессрочная, но действует только в отношении заявленных работ; расширение состава работ оформляется отдельно.
Что входит в работу
- Правовая квалификация деятельности: нужна ли лицензия и по каким пунктам перечня — с письменным обоснованием.
- Аудит соответствия лицензионным требованиям и дорожная карта устранения разрывов.
- Подготовка кадрового блока: подбор требований к должностям, оформление стажа, сопровождение переподготовки.
- Разработка внутренних документов по обращению с криптосредствами и конфиденциальности.
- Формирование и подача комплекта документов, взаимодействие с лицензирующим органом, ответы на запросы.
- Сопровождение проверки соискателя, включая подготовку площадки и персонала.
- Обжалование отказа и повторная подача после устранения причин.
- Поддержка лицензиата: изменение состава работ, смена адреса, подготовка к лицензионному контролю.
Сроки и стоимость
Срок принятия решения по заявлению установлен законодательством о лицензировании и составляет 45 рабочих дней со дня приёма надлежащим образом оформленного заявления и документов — это общий срок части 1 статьи 14 Федерального закона № 99-ФЗ, который положением о лицензировании конкретного вида деятельности может быть только сокращён. Реальный срок проекта «под ключ» существенно больше и определяется этапом подготовки: если нет людей с нужным образованием и стажем, срок задаёт переподготовка, а не регулятор. Практический ориентир — от нескольких месяцев для компании, у которой уже есть помещения и профильные специалисты, до полугода и дольше при подготовке с нуля.
Государственная пошлина за предоставление лицензии установлена подпунктом 92 пункта 1 статьи 333.33 Налогового кодекса и составляет 7 500 рублей, но по заявлениям, поданным с 1 января 2024 года по 31 декабря 2029 года, она не уплачивается: постановление Правительства РФ от 12.03.2022 № 353 освободило от неё все лицензируемые виды деятельности, кроме предусмотренных пунктами 14, 15, 36 и 42 части 1 статьи 12 закона № 99-ФЗ, а деятельность с шифровальными средствами идёт в этом перечне под пунктом 1. То есть сейчас входной платёж в бюджет по такому заявлению нулевой, и основные расходы проекта — не пошлина, а оборудование, поверка, помещения и обучение персонала. Стоимость нашего сопровождения зависит от количества заявленных пунктов перечня и от состояния готовности на старте. Цены не являются публичной офертой.
Вопросы и ответы
Нужна ли лицензия, если мы просто пользуемся электронной подписью?
Нет. Применение средства электронной подписи и сертифицированного криптопровайдера для собственных нужд организации лицензирования не требует. Лицензия появляется там, где вы передаёте, настраиваете или обслуживаете криптосредства для других лиц.
Мы разрабатываем приложение с шифрованием переписки. Лицензия нужна?
Скорее всего да — как минимум по разработке и распространению. Значение имеет то, реализована ли криптография вами или используется встроенное сертифицированное средство, и передаётся ли продукт третьим лицам. Квалификацию нужно проводить по перечню работ до выхода продукта на рынок: переоформлять бизнес-модель после запроса регулятора дороже.
Чем лицензия ФСБ отличается от лицензии ФСТЭК?
Разные регуляторы и разные предметы. ФСБ лицензирует работы с шифровальными средствами, ФСТЭК — техническую защиту конфиденциальной информации и разработку средств защиты. Компании, которые строят системы защиты «под ключ», как правило получают обе.
На какой срок выдаётся лицензия?
Лицензия предоставляется бессрочно. Ограничен не срок, а состав работ: делать можно только то, что указано в лицензии. При расширении деятельности состав работ дополняется отдельной процедурой.
Что чаще всего становится причиной отказа?
Несоответствие персонала требованиям к образованию и стажу по заявленным пунктам перечня и неготовность помещений и оборудования. На третьем месте — расхождение между заявленным составом работ и фактической деятельностью, которое вскрывается при проверке.
Можно ли не получать лицензию, а привлечь лицензиата?
Часто это рабочий вариант: лицензируемые работы выполняет партнёр-лицензиат по договору, вы остаётесь в своей зоне. Схема законна, но требует аккуратного оформления — важно, чтобы фактические действия ваших сотрудников не подпадали под лицензируемые работы. Разбирается это по договору и по реальному распределению функций, а не по названию услуги.
Получить консультацию
Опишите, что именно вы делаете с криптосредствами — продаёте, встраиваете, обслуживаете, выдаёте ключи. По этому описанию скажем, нужна ли лицензия, по каким пунктам перечня, и что у вас уже есть для соответствия требованиям. Если лицензия не нужна — так и скажем: это дешевле для вас и честнее для нас.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.