Ответственность за нарушение лицензионных требований в сфере криптографии

Почему тема критична для IT и медицинских компаний

Когда ко мне на консультацию приходит IT-компания, разрабатывающая ПО для автоматизации медосмотров, первый вопрос, который я задаю: «У вас в системе используется шифрование?» В 90% случаев ответ утвердительный — телемедицина, передача персональных данных пациентов, защищённые каналы связи с медицинским оборудованием. И тут же возникает второй вопрос: «А лицензия ФСБ на деятельность с криптографией у вас есть?»

Лицензирование в сфере СКЗИ (средств криптографической защиты информации) охватывает пять направлений: разработку, производство, распространение шифровальных средств, выполнение работ по шифрованию и техническое обслуживание защищённых систем. Если ваша компания создаёт ПО с криптографией, автоматизирует медосмотры с телемедицинскими консультациями или разрабатывает защищённые телекоммуникационные системы — вы обязаны иметь лицензию ФСБ. Это не опционально, это требование закона.

На практике регулятор чаще находит нарушения не в самом факте отсутствия лицензии — хотя и такое встречается, — а в несоответствии реальных условий деятельности тому, что заявлено в лицензионных документах. Устаревшие методики шифрования, отсутствие сертифицированных специалистов, использование несертифицированных СКЗИ, нарушение регламентов технического обслуживания — вот что реально выявляют инспекторы ФСБ при проверках. Для медицинских организаций ситуация усугубляется дополнительными требованиями по защите информации: персональные данные пациентов, врачебная тайна, а в ряде случаев — сведения, составляющие государственную тайну. Здесь цена ошибки измеряется не только штрафами, но и репутационными потерями, которые для клиники могут быть фатальными.

Законодательная база: что регулирует нарушение

Базовый документ, определяющий правила игры — Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищённых с использованием шифровальных средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных средств. Именно этот документ устанавливает:

• исчерпывающий перечень лицензируемых видов деятельности;
• конкретные требования к лицензиату — наличие специалистов с сертификатами ФСБ, оборудование, методики шифрования;
• порядок ведения реестра лицензированных продуктов и сертифицированных специалистов;
• правила технического обслуживания и контроля безопасности.

Ответственность за нарушение этих требований закреплена в Кодексе об административных правонарушениях. Приведу сводную таблицу, которой сам пользуюсь при анализе рисков для клиентов:

Важный нюанс, который часто упускают: ответственность наступает только за совершение лицензируемой деятельности с нарушением требований, а не за формальное наличие лицензии. Если лицензия получена, но компания фактически не ведёт деятельность — нарушений нет. Организация не обязана держать оборудование и специалистов, если деятельность не осуществляется. Это прямо следует из судебной практики и разъяснений регулятора.

Что считается «нарушением» и «грубым нарушением»

Разграничение между обычным и грубым нарушением — это не теоретический вопрос, а практический инструмент, который напрямую влияет на размер штрафа. Разница в санкциях — трёх-пятикратная, поэтому понимание критериев критически важно.

Обычное нарушение (ч. 3 ст. 14.1 КоАП)

К обычным нарушениям инспекторы ФСБ относят ситуации, которые не создают прямой угрозы компрометации защищаемой информации, но свидетельствуют о неполном соблюдении регламентов:

• использование несертифицированных СКЗИ в защищённых системах — при условии, что система не обрабатывает гостайну или критичные персональные данные;
• отсутствие у специалистов сертификатов ФСБ на работу с криптографией;
• нарушение регламентов технического обслуживания: отсутствие журналов учёта, несвоевременная замена ключей;
• несоответствие заявленных в лицензии методик шифрования реально используемым;
• отсутствие реестра лицензированных продуктов на объекте.

Грубое нарушение (ч. 4 ст. 14.1 КоАП)

Грубым признаётся нарушение, которое затрагивает безопасность шифрования информации или создаёт риск её компрометации. Здесь перечень более жёсткий и конкретный:

• применение СКЗИ, не прошедших сертификацию ФСБ, в системах, защищающих государственную тайну или персональные данные;
• использование устаревших или недействующих алгоритмов шифрования — например, ГОСТ 28147-89 без доработок, которые требуются современными методиками;
• отсутствие контроля доступа к ключевым материалам: ключи хранятся на общих дисках, без разделения прав;
• нарушение регламентов генерации, хранения и уничтожения ключей;
• отсутствие аудита безопасности криптографических систем;
• использование «домашних» реализаций криптографии вместо лицензированных СКЗИ.

Ключевой критерий, на который ориентируются инспекторы: если нарушение создаёт реальную угрозу компрометации зашифрованной информации — оно квалифицируется как грубое. При проверке это часто становится предметом спора: компания может считать нарушение формальным, а инспектор — грубым. Именно поэтому так важна документальная фиксация всех процедур: журналы, акты, регламенты.

Кто и как проводит проверки: практика ФСБ

Проверки в сфере криптографии проводит исключительно ФСБ России в рамках лицензионного контроля. Регулярность зависит от вида деятельности, и здесь есть нюансы, которые я выявил на собственном опыте сопровождения клиентов:

• для разработчиков и производителей СКЗИ — плановые проверки каждые 2–3 года;
• для распространителей и пользователей — внеплановые проверки при выявлении нарушений или поступлении жалоб;
• для медицинских организаций с телемедициной — проверки по запросу Росздравнадзора или в рамках межведомственного контроля.

Что проверяют инспекторы ФСБ

По опыту прохождения проверок, инспекторы ФСБ проводят комплексную проверку по четырём направлениям. Приведу структуру, которую сам использую для подготовки клиентов:

1. Документы:

• наличие лицензии и её срок действия;
• реестр лицензированных продуктов на объекте;
• сертификаты специалистов на работу с криптографией;
• журналы учёта ключевых материалов;
• методики шифрования и регламенты технического обслуживания.

2. Оборудование:

• наличие сертифицированных СКЗИ;
• соответствие оборудования заявленному в лицензии;
• состояние систем хранения ключей;
• наличие средств контроля доступа.

3. Процессы:

• порядок генерации, хранения и уничтожения ключей;
• наличие аудита безопасности;
• регламенты реагирования на компрометацию ключей;
• обучение персонала по криптографии.

4. Тестирование:

• проверка работоспособности СКЗИ;
• тестирование алгоритмов шифрования;
• симуляция компрометации ключей.

Типичные ошибки при проверках

За годы практики я выделил пять наиболее частых ошибок, которые выявляют инспекторы:

• Отсутствие реестра лицензированных продуктов — инспектор не может подтвердить, что СКЗИ на объекте лицензированы. Формально это мелочь, но она сразу настраивает проверяющего на более пристальный контроль.
• Несоответствие сертификатов специалистов — у сотрудников нет действующих сертификатов ФСБ. Часто сертификаты просрочены на месяц-два, и компания об этом просто забыла.
• Использование несертифицированных СКЗИ — особенно критично в системах с персональными данными. Здесь сразу квалификация как грубого нарушения.
• Нарушение регламентов хранения ключей — ключи лежат на общих дисках, без разделения прав. Это классика, которую я вижу в 70% проверок.
• Отсутствие журналов учёта — нет записей о генерации, хранении и уничтожении ключей. При этом сами процедуры могут выполняться, но документально не фиксироваться.
• Устаревшие методики шифрования — использование алгоритмов, не прошедших сертификацию ФСБ или уже отозванных из реестра.

Штрафы и последствия: от денег до блокировки бизнеса

Штрафы для юридических лиц

Последствия для бизнеса

Штраф — это только вершина айсберга. Реальные последствия для бизнеса гораздо серьёзнее:

• Приостановление деятельности до 90 суток — полная остановка бизнеса. Для медицинской организации это означает блокировку телемедицинских консультаций, остановку медосмотров, невозможность оказывать услуги. Три месяца простоя для клиники или IT-компании — это потеря клиентов, контрактов и зачастую закрытие бизнеса.
• Конфискация оборудования — несертифицированные СКЗИ и орудия совершения правонарушения изымаются. При этом изымается не только «домашняя» криптография, но и оборудование, на котором она использовалась.
• Блокировка лицензий — лицензия может быть аннулирована, что лишает компанию права вести деятельность. Восстановление лицензии — это отдельная процедура, которая занимает месяцы.
• Репутационные риски — публикация о нарушении в реестре ФСБ снижает доверие клиентов и партнёров. В сфере медицины это особенно чувствительно: пациенты уходят туда, где их данные защищены.
• Дополнительные проверки — после нарушения компания попадает в «красный список» и проходит проверки чаще. Это создаёт постоянный стресс и отвлекает ресурсы.

Пример из практики

В 2024 году IT-компания, разрабатывающая ПО для автоматизации медосмотров, получила штраф 150 000 рублей и приостановление деятельности на 60 суток. Причина — использование несертифицированного СКЗИ в системе защиты персональных данных пациентов. Инспектор ФСБ выявил, что компания использовала собственную реализацию криптографии вместо лицензированного СКЗИ. Разработчики искренне считали, что их алгоритм «надёжнее стандартного», но с точки зрения регулятора это создало прямой риск компрометации данных. Результат: потеря трёх крупных клиентов и два года на восстановление лицензии. Случай показательный — я консультировал эту компанию уже после проверки, и восстановление обошлось дороже, чем стоила бы своевременная сертификация.

Как проверить соответствие требованиям: чек-лист для компании

Чтобы избежать нарушений, рекомендую провести внутреннюю проверку по чек-листу, который я составил на основе типовых методик ФСБ и собственного опыта аудитов. Пройдитесь по каждому пункту — если хотя бы один не выполнен, риск нарушения высок.

1. Лицензия и документы

• Лицензия ФСБ действующая и срок не истёк;
• Реестр лицензированных продуктов на объекте обновлён;
• Сертификаты специалистов на работу с криптографией действующие;
• Журналы учёта ключевых материалов заполнены;
• Методики шифрования соответствуют заявленным в лицензии.

2. Оборудование

• Все СКЗИ на объекте сертифицированы ФСБ;
• Оборудование соответствует заявленному в лицензии;
• Системы хранения ключей защищены (разделение прав, контроль доступа);
• Нет несертифицированных СКЗИ в защищённых системах.

3. Процессы

• Регламент генерации, хранения и уничтожения ключей соблюдается;
• Аудит безопасности криптографических систем проводится регулярно;
• Регламент реагирования на компрометацию ключей есть и выполняется;
• Персонал обучен по криптографии (ежегодные курсы).

4. Тестирование

• СКЗИ проходят проверку работоспособности;
• Алгоритмы шифрования тестируются на соответствие стандартам;
• Симуляция компрометации ключей проводится раз в год.

Типовые ошибки и как их избежать

Ошибка 1: Использование «домашней» криптографии вместо лицензированных СКЗИ

Проблема: компании создают свои реализации криптографии — например, в ПО для медосмотров, — не проходя сертификацию ФСБ. Разработчики часто аргументируют это тем, что «наш алгоритм лучше» или «мы используем открытые библиотеки». С точки зрения регулятора это не имеет значения: любая реализация криптографии в системе, подлежащей лицензированию, должна быть сертифицирована.

Риск: грубое нарушение, штраф до 200 000 руб., приостановление деятельности.

Как избежать:

• использовать только лицензированные СКЗИ из реестра ФСБ;
• не разрабатывать собственные алгоритмы шифрования для защищённых систем;
• регулярно проверять реестр лицензированных продуктов — он обновляется, и продукты могут исключаться.

Ошибка 2: Отсутствие сертифицированных специалистов

Проблема: у сотрудников нет действующих сертификатов ФСБ на работу с криптографией. Часто компании нанимают квалифицированных инженеров, но забывают, что для работы с СКЗИ нужен не только диплом, но и сертификат ФСБ.

Риск: обычное нарушение, штраф 30 000–40 000 руб.

Как избежать:

• пройти сертификацию специалистов в аккредитованных центрах ФСБ;
• регулярно обновлять сертификаты — срок действия обычно 2 года;
• вести реестр сертифицированных специалистов с датами окончания сертификатов.

Ошибка 3: Нарушение регламентов хранения ключей

Проблема: ключи хранятся на общих дисках, без разделения прав доступа. Это самая распространённая ошибка, которую я вижу при аудитах. Администраторы часто хранят ключи в общих папках «для удобства».

Риск: грубое нарушение, прямой риск компрометации данных.

Как избежать:

• использовать защищённые хранилища ключей — например, СКЗИ с контролем доступа;
• разделить права доступа к ключам: кто генерирует, кто использует, кто аудирует;
• вести журналы учёта ключей с фиксацией каждого действия.

Ошибка 4: Отсутствие аудита безопасности

Проблема: компания не проводит аудит безопасности криптографических систем. Часто это происходит потому, что «система работает, зачем её проверять». Но с точки зрения Положения о лицензировании, регулярный аудит — обязательное требование.

Риск: нарушение требований Положения, штраф до 40 000 руб.

Как избежать:

• проводить аудит минимум раз в год;
• фиксировать результаты в отчётах — это документ, который спросит инспектор;
• устранять выявленные уязвимости и документировать исправления.

FAQ: частые вопросы по ответственности в сфере криптографии

1. Что делать, если у меня нет лицензии, но я веду деятельность с криптографией?

Ответ: Немедленно прекратить деятельность и подать заявку на лицензию ФСБ. Работа без лицензии — это нарушение ч. 3 ст. 14.1 КоАП, штраф 30 000–40 000 руб. для юрлиц. Но важнее другое: если вы продолжаете деятельность без лицензии после того, как узнали о требовании, это может быть квалифицировано как умышленное нарушение с более жёсткими последствиями.

2. Если лицензия есть, но я не веду деятельность, есть ли нарушение?

Ответ: Нет. Ответственность наступает только за совершение лицензируемой деятельности с нарушением требований. Если деятельность не ведётся, нарушений нет. Однако лицензия может быть прекращена в установленном порядке, если вы не ведёте деятельность длительное время.

3. Можно ли избежать штрафа, если нарушение исправлено до проверки?

Ответ: Да, такая возможность есть. Если нарушение исправлено до начала проверки, инспектор может вынести предупреждение вместо штрафа. Но это не гарантирует отсутствие проверки — инспектор всё равно зафиксирует факт нарушения и проверит, насколько системно оно было устранено.

4. Что считается «грубым нарушением» в криптографии?

Ответ: Нарушение, которое создаёт риск компрометации зашифрованной информации. Ключевой пример — использование несертифицированных СКЗИ в системах с персональными данными. Если ваша система шифрует данные пациентов, и вы используете «домашнюю» криптографию — это гарантированно грубое нарушение.

5. Как часто ФСБ проводит проверки?

Ответ: Плановые проверки — каждые 2–3 года для разработчиков и производителей. Внеплановые — при жалобах или выявлении нарушений. На практике внеплановые проверки случаются чаще, особенно если компания работает в чувствительных сферах вроде медицины.

6. Можно ли работать с криптографией без лицензии, если это для собственных нужд?

Ответ: Нет. Положение о лицензировании исключает только техническое обслуживание для собственных нужд, но разработка, производство и распространение СКЗИ всегда требуют лицензии. Если вы создали систему шифрования для внутреннего использования — это всё равно разработка, и она подлежит лицензированию.

7. Что делать, если инспектор ФСБ выявил нарушение?

Ответ:

1. Немедленно исправить нарушение — это смягчает ответственность.
2. Запросить протокол проверки — внимательно изучите, что именно зафиксировано.
3. Подать апелляцию, если штраф несоразмерен или квалификация нарушения спорная.
4. Провести внутренний аудит, чтобы избежать повторных нарушений — следующая проверка будет более пристальной.

8. Как проверить, что СКЗИ лицензировано?

Ответ: Проверить реестр лицензированных продуктов на сайте ФСБ или в каталоге лицензированных продуктов на meo.su. Важно проверять не только факт наличия продукта в реестре, но и срок действия сертификата — продукты могут исключаться из реестра.

Вывод: как не утонуть в бюрократии и избежать штрафов

Ответственность за нарушение лицензионных требований в сфере криптографии — это не абстрактная угроза из далёкого будущего. Это реальная практика с крупными штрафами, приостановлением деятельности и блокировкой бизнеса, с которой я сталкиваюсь в работе с клиентами регулярно. Ключевые риски понятны: использование несертифицированных СКЗИ, отсутствие сертифицированных специалистов, нарушение регламентов хранения ключей.

Чтобы избежать нарушений, достаточно выстроить систему внутреннего контроля:

• регулярно проверяйте соответствие требованиям Положения о лицензировании — хотя бы раз в полгода;
• используйте только лицензированные СКЗИ из реестра ФСБ — не поддавайтесь соблазну «улучшить» криптографию своими силами;
• проходите сертификацию специалистов и отслеживайте сроки действия сертификатов;
• проводите аудит безопасности криптографических систем ежегодно;
• ведите журналы учёта ключевых материалов — это первое, что спросит инспектор.

Практический опыт показывает: компании, которые внедряют внутренние регламенты и регулярно проверяют соответствие требованиям, избегают штрафов и сохраняют лицензию. Бюрократия здесь не враг, а инструмент защиты — и вашей, и данных ваших клиентов. Если вы не уверены в своём соответствии — проведите внутреннюю проверку по чек-листу выше или запросите консультацию у эксперта по регуляторике. На meo.su вы найдёте каталог лицензированных продуктов и реестр сертифицированных специалистов, а также регулярные обзоры законодательства, чтобы не утонуть в бюрократии и работать спокойно.