Вопрос «нужна ли нам лицензия ФСТЭК» возникает у компаний в трёх ситуациях: заказчик вписал такое требование в договор, юристы контрагента прислали запрос, или компания сама собирается зарабатывать на информационной безопасности. Ответ зависит не от отрасли и не от размера бизнеса, а от того, какие именно работы вы выполняете и в чьих интересах.
Базовое правило простое: лицензируется деятельность в интересах третьих лиц. Защищаете собственную информацию своими силами — лицензия по общему правилу не нужна. Оказываете услуги по защите информации другим, разрабатываете средства защиты, аттестуете чужие объекты — попадаете под лицензирование. Проблема в том, что реальные договоры редко выглядят однозначно: аутсорсинг ИТ с элементами ИБ, внутригрупповые сервисы, поставка с настройкой.
Эта консультация закрывает вопрос письменно: что вы делаете фактически, подпадает ли это под лицензирование, какие виды лицензий нужны и что делать, если работы уже ведутся.
Какие бывают лицензии
- Техническая защита конфиденциальной информации — проектирование и внедрение систем защиты, аттестация объектов информатизации, обслуживание средств защиты у заказчика. Самая массовая, её и имеют в виду, когда говорят «лицензия ФСТЭК на защиту информации».
- Разработка и производство средств защиты конфиденциальной информации — для вендоров, создающих сами средства защиты.
- Деятельность по выявлению устройств негласного получения информации — отдельное направление со своими требованиями.
- Лицензия ФСБ России на работы со средствами криптографической защиты — другое ведомство, но в проектах обычно требуется вместе с ФСТЭК.
Что вы получаете по итогам:
- письменное заключение: нужна ли лицензия по вашим фактическим работам и какая именно;
- разбор ваших договоров и ТЗ — что в них формулирует лицензируемую деятельность, а что нет;
- оценку рисков продолжения работ без лицензии и вариантов их снижения;
- предварительный аудит соответствия требованиям, если лицензия нужна: что уже есть и чего не хватает;
- ориентировочный план и бюджет получения — по этапам, без обещаний по срокам ведомства;
- рекомендации по формулировкам в договорах с заказчиками, чтобы не брать на себя лишнее.
Типичные ситуации
Заказчик требует лицензию «на всякий случай». Бывает, что требование скопировано из чужой закупки и к предмету договора отношения не имеет. Тогда задача — аргументированно снять требование, а не получать лицензию.
ИТ-аутсорсер настраивает защиту у клиента. Здесь всё решают детали: настраивает ли он средства защиты информации, отвечает ли за их работоспособность, оформлено ли это как отдельная услуга. Формулировки договора часто описывают лицензируемую деятельность, даже когда стороны так не думали.
Головная компания защищает инфраструктуру дочерних. Формально это услуги другому юридическому лицу. Вопрос решается через анализ того, как оформлены отношения внутри группы.
Компания хочет выйти на закупки по ГИС и КИИ. Здесь лицензия нужна почти наверняка, и вопрос переходит в плоскость сроков и подготовки.
Как проходит консультация
- Присылаете описание деятельности, типовые договоры и технические задания.
- Задаём уточняющие вопросы по фактическому распределению работ между вами и заказчиком.
- Готовим письменное заключение с выводом и обоснованием.
- Обсуждаем его на встрече: что делать дальше, какие есть варианты.
- При необходимости переходим к сопровождению получения лицензии — стоимость консультации засчитывается.
Сроки и стоимость
Консультация с письменным заключением — от 10 000 ₽, срок 2–3 рабочих дня. Разбор пакета договоров и нескольких направлений деятельности считается отдельно. Устная консультация по одному конкретному вопросу — в рамках бесплатной оценки задачи.
Вопросы и ответы
Мы обрабатываем персональные данные. Нужна ли нам лицензия?
Сам факт обработки персональных данных лицензирования не требует. Обязанности оператора по 152-ФЗ существуют независимо от лицензии. Лицензия понадобится, если вы защищаете данные других организаций как услугу.
Мы субъект КИИ. Это значит, что нужна лицензия?
Нет. Обязанности субъекта КИИ — категорирование, меры защиты, взаимодействие с ГосСОПКА — не равны лицензированию. Лицензия потребуется подрядчику, который будет выполнять для вас работы по защите, либо вам самим, если вы решите делать это для других.
Чем грозит работа без лицензии?
Ответственность за деятельность без лицензии предусмотрена КоАП, а при извлечении крупного дохода вопрос выходит за рамки административного. Плюс гражданско-правовые последствия: заказчик может отказаться от договора и потребовать возврата оплаты.
Где проверить лицензию подрядчика?
В открытых реестрах лицензиатов на официальном сайте ФСТЭК России. Смотреть нужно не только наличие, но и перечень работ и услуг — он может не покрывать ваш предмет договора.
Сколько занимает получение, если лицензия всё-таки нужна?
Основное время уходит не на рассмотрение заявления, а на подготовку: помещения, оборудование, специалисты. На практике это месяцы. Реалистичный план мы даём по итогам предварительного аудита.
Получить консультацию
Опишите, что делает ваша компания и откуда возник вопрос о лицензии — требование заказчика, планы по закупкам или проверка. Дадим ответ с обоснованием и скажем, что делать дальше. Оценка задачи бесплатная.
Другие услуги по кибербезопасности и IT-праву — в разделе «IT, искусственный интеллект и кибербезопасность».
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.
