Пошаговое руководство: самостоятельное получение лицензии на СКЗИ

Почему лицензия ФСБ на СКЗИ обязательна и когда она нужна

Лицензирование деятельности, связанной со средствами криптографической защиты информации, регулируется Положением Правительства РФ от 16.04.2012 № 313. Это не рекомендация, а жёсткое требование: без лицензии компания не вправе легально работать с криптографией. Продажа, разработка или даже установка СКЗИ без разрешения ФСБ квалифицируется как нарушение, которое может повлечь административную или уголовную ответственность — в зависимости от масштаба и контекста деятельности.

На практике я не раз сталкивался с ситуациями, когда компании до последнего откладывали лицензирование, надеясь, что «масштабы небольшие» или «мы только перепродаём». Это опасное заблуждение. Регулятор смотрит на суть операции, а не на объёмы. Если вы хотя бы раз передали клиенту экземпляр СКЗИ, установили его или разработали модуль шифрования — лицензия обязательна.

Кому обязательно нужна лицензия

Лицензия требуется организациям, осуществляющим следующие виды деятельности:

Для пунктов 2, 3, 7–15, 17, 18 лицензия не требуется, если деятельность не связана с государственной тайной или критическими информационными системами. Но здесь нужна осторожность: как только в цепочке появляется гостайна, требования меняются кардинально.

Типичные ситуации, когда компания сталкивается с требованием лицензии

• IT-разработчик создаёт модуль шифрования для банковского приложения — нужна лицензия на разработку (п. 1).
• Медицинский центр автоматизирует медосмотры с использованием телемедицины и шифрования данных — требуется лицензия на внедрение и криптографическую защиту (п. 6, п. 19).
• Торговая компания продаёт готовые СКЗИ (например, КриптоПро, ViPNet) — обязательна лицензия на распространение (п. 5).
• Сервис-провайдер оказывает услуги по техническому обслуживанию криптографических систем — нужна лицензия на ТО (п. 16).

Если вы сомневаетесь, нужна ли вам лицензия, проверьте свой бизнес-процесс. Ключевой критерий: если вы хотя бы один раз создали, произвели, продали, внедрили или обслуживали СКЗИ — лицензия обязательна. Исключений для «разовых» операций нет.

Этап 1: Выбор пунктов лицензии и определение требований

Первый и критически важный шаг — правильно выбрать пункты лицензии. От этого зависит объём документации, требования к персоналу и помещению, а также стоимость госпошлины. Ошибка на этом этапе способна привести к отказу ещё до начала проверки: если вы заявили пункты, под которые у вас нет ресурсов, или, наоборот, не указали фактически осуществляемую деятельность.

Как выбрать пункты лицензии

1. Опишите все виды деятельности с СКЗИ, которые вы планируете или уже осуществляете.
2. Сопоставьте их с пунктами Положения № 313 (см. таблицу выше).
3. Выберите только те пункты, которые реально нужны. Не включайте «на всякий случай» — это увеличит нагрузку на проверку и потребует дополнительных документов.

Пример из практики: Компания разрабатывает СКЗИ и продаёт его. Нужны пункты 1 (разработка) и 5 (распространение). Пункт 6 (внедрение) не нужен, если вы не оказываете услуги по установке и настройке. Добавление лишнего пункта приведёт к тому, что проверяющий запросит методики внедрения и соответствующие журналы, которых у вас нет.

Лицензионные требования для каждого пункта

Для каждого пункта лицензии существуют свои требования, и они не всегда очевидны:

• Пункт 1 (разработка): требуется наличие ОКЗ, аттестат АРМ, инструкции по работе с СКЗИ, журналы учёта.
• Пункт 4 (производство): дополнительно нужны документы на оборудование, прошедшее поверку по ФЗ «Об обеспечении единства измерений».
• Пункт 5 (распространение): требуется договор с органом сертификации, доверенность на менеджера.
• Пункт 6 (внедрение): обязательны организационно-распорядительные документы (ОРД), подтверждающие конфиденциальность.
• Пункт 16 (ТО): нужны копии трудовых договоров, инструкций, дипломов ответственных сотрудников.
• Пункт 19 (криптозащита): требуется аттестат соответствия АС, инструкции по работе с ключами.

Важно: Для пунктов 1, 4–6, 16, 19 наличие лицензии обязательно. Для остальных — только при работе с гостайной. Этот момент часто вызывает споры при согласовании методик, поэтому рекомендую перепроверить перечень дважды.

Этап 2: Подготовка организационно-распорядительной документации (ОРД)

Организационно-распорядительная документация — это основа лицензионного дела. Без неё проверка не начнётся, даже если у вас есть все технические средства. Более того, именно ОРД чаще всего становится причиной замечаний: документы либо отсутствуют, либо оформлены формально, без привязки к реальным процессам компании.

Ключевые документы, которые нужно создать

Создайте и оформите следующие документы:

1. Приказ о создании Органа криптографической защиты (ОКЗ)
   Назначьте ответственных лиц (руководитель ОКЗ, специалист по работе с ключами, сотрудник по охране). Определите цели и задачи ОКЗ.
2. Должностные инструкции сотрудников ОКЗ
   Укажите функционал, обязанности, условия труда. Инструкции должны быть подписаны каждым сотрудником — это принципиально.
3. Инструкция по работе с СКЗИ
   Регулируйте порядок хранения, учёта, передачи СКЗИ. Включите правила обращения с ключами и пломбами.
4. Журналы учёта и контроля
   Журнал учёта СКЗИ, журнал режима охраны помещений ОКЗ, журнал учёта ключей и пломб. В каждом журнале должно быть указано лицо, ответственное за ведение.
5. Ограничение доступа в помещение ОКЗ
   Установите режим охраны: правила допуска сотрудников и посетителей в рабочее и нерабочее время. Периодически контролируйте состояние технических средств охраны.
6. Заявление на получение лицензии и опись документов
   Используйте форму из Приложения № 2 к Административному Регламенту от 30.08.2012. Опись документов должна быть разбита по разделам.

Типовая ошибка: Инструкции и журналы оформлены «для отчёта», без реального соблюдения. Проверка ФСБ выявляет это по фактам: например, в журнале нет записей за последнюю неделю, или инструкции не подписаны. Я сталкивался с этим при внедрении на объекте: формально журнал был, но записи в нём обрывались трёхмесячной давности — этого достаточно для отказа.

Как оформить документы правильно

• Все документы должны быть на русском языке.
• Используйте официальные бланки компании (с реквизитами, подписью руководителя, печатью).
• Подписи сотрудников обязательны.
• Журналы ведутся в электронном (приоритет) или бумажном формате.
• Документы должны быть актуальными: не используйте старые версии приказов или инструкций.

Этап 3: Создание Органа криптографической защиты (ОКЗ)

ОКЗ — это внутренняя структура компании, отвечающая за криптографическую защиту информации. Его создание — обязательное требование для всех пунктов лицензии, кроме некоторых случаев (например, только распространение без разработки). На практике ОКЗ становится центром ответственности: именно его сотрудники будут взаимодействовать с проверяющими и вести всю документацию.

Что входит в ОКЗ

ОКЗ включает:

• Руководитель ОКЗ — назначается приказом, отвечает за общую организацию работы.
• Специалист по работе с ключами — хранение, учёт, передача ключей.
• Сотрудник по охране — контроль доступа в помещение ОКЗ.
• Системный администратор — обеспечение работы АРМ и АС.

Пример из практики: В компании с 10 сотрудниками ОКЗ может состоять из 3 человек: руководитель (генеральный директор), специалист по ключам (инженер ИБ), сотрудник по охране (офис-менеджер). Важно, чтобы роли не пересекались формально: один человек не может одновременно быть руководителем ОКЗ и специалистом по ключам, если это не предусмотрено внутренними регламентами.

Требования к ОКЗ

• ОКЗ должен быть оформлен документально (приказ, инструкции).
• Помещение ОКЗ должно быть изолировано: ограниченный доступ, охрана, замки.
• На рабочем месте руководителя ОКЗ должен быть установлен аттестат соответствия АРМ.
• Все сотрудники ОКЗ должны иметь документы об образовании (дипломы, аттестаты, свидетельства о повышении квалификации).

Важно: Сотрудники ОКЗ должны работать на основной работе в компании. Временные работники или фрилансеры не подходят. Этот пункт часто вызывает споры при согласовании методик: некоторые пытаются привлечь совместителей, но регулятор чётко требует основных сотрудников.

Этап 4: Аттестация автоматизированных рабочих мест (АРМ) и систем

Для выполнения лицензируемой деятельности компания должна иметь аттестированные автоматизированные рабочие места (АРМ) и автоматизированные системы (АС). Это технический фундамент: без аттестатов соответствия проверка даже не начнётся.

Что такое АРМ и АС

• АРМ — системный блок или ноутбук, на котором работает сотрудник ОКЗ.
• АС — комплекс программных и аппаратных средств, обеспечивающих обработку информации с использованием СКЗИ.

Требования к аттестации

1. АРМ должен пройти аттестацию и получить аттестат соответствия.
2. АС должна иметь аттестат соответствия.
3. Аттестация проводится аккредитованным органом сертификации.
4. После аттестации вы получаете аттестат, который нужно включить в лицензионное дело.

Типовая ошибка: Компания не аттестует АРМ, считая, что это «не обязательно». Без аттестата проверка не начнётся — это требование, которое проверяющий озвучит в первую очередь.

Как пройти аттестацию

1. Заключите двухсторонний договор с аккредитованным органом сертификации.
2. Предоставьте органу сертификации: документы на помещение, документы на оборудование, ОРД (инструкции, приказы).
3. Орган сертификации проведёт проверку и выдаст аттестат.
4. Включите аттестат в пакет документов для ФСБ.

Стоимость: Аттестация АРМ стоит от 15 000 до 40 000 рублей (зависит от сложности). Это одна из основных статей расходов при самостоятельном лицензировании.

Этап 5: Подготовка помещения и оборудования

Лицензирующий орган проверяет не только документы, но и фактическое состояние помещения и оборудования. Это выездная часть: инспектор лично убедится, что помещение изолировано, а оборудование имеет поверку.

Требования к помещению ОКЗ

• Изолированное помещение: доступ только для уполномоченных сотрудников.
• Охрана: установка технических средств охраны (замки, датчики, видеонаблюдение).
• Периодический контроль: проверка состояния средств охраны.
• Документы на помещение:
  • Копия договора аренды или свидетельство о праве собственности.
  • Если субаренда — вся цепочка договоров.
  • Выписка из ЕГРН (если права зарегистрированы).

Требования к оборудованию

• Оборудование должно пройти поверку в соответствии с ФЗ «Об обеспечении единства измерений».
• Нужны документы:
  • Свидетельство о поверке.
  • Договоры на приобретение или аренду оборудования.
• Для пунктов 4 (производство) и 16 (ТО) оборудование должно быть в штате компании.

Типовая ошибка: Оборудование не прошло поверку, или документы на него отсутствуют. Проверка ФСБ выявляет это сразу — инспектор запросит свидетельство о поверке в числе первых документов.

Этап 6: Подготовка персонала и документов на сотрудников

Персонал — ключевой элемент лицензионного дела. ФСБ проверяет наличие квалифицированных сотрудников, их образование и трудовые отношения. Именно здесь часто всплывают проблемы: дипломы не соответствуют профилю, сотрудники оформлены по совместительству, или документы об образовании отсутствуют.

Требования к персоналу

• Сотрудники должны работать на основной работе в компании.
• Должны иметь документы об образовании:
  • Дипломы.
  • Аттестаты.
  • Свидетельства о повышении квалификации.
• Должны быть должностные инструкции с указанием функционала.
• Нужны трудовые книжки и трудовые договоры.

Как подготовить документы на сотрудников

1. Собрать копии всех документов об образовании.
2. Оформить должностные инструкции (подписаны сотрудниками).
3. Включить копии трудовых книжек и договоров в пакет документов.
4. Убедиться, что все сотрудники работают на основной работе (не по совместительству).

Важно: Если у сотрудника нет диплома или аттестата, его нельзя включить в ОКЗ. Это приведёт к отказу. На моей практике был случай, когда компания пыталась заявить сотрудника с непрофильным дипломом — проверяющий сразу указал на несоответствие.

Этап 7: Сбор полного пакета документов для подачи в ФСБ

После подготовки всех элементов нужно собрать полный пакет документов и подать его в лицензирующий орган. Это кульминация подготовительного этапа: от полноты и правильности оформления зависит, примут ли документы к рассмотрению.

Полный список документов для лицензии ФСБ на СКЗИ

Важно: Все копии документов должны быть нотариально заверены. Это требование часто упускают из виду, но оно обязательное.

Как подать документы

1. Через Госуслуги: отправьте заявление в электронном виде.
2. Почтой: отправьте бумажный вариант в территориальное отделение ФСБ по месту регистрации компании.
3. Лично: подайте документы в Центр по лицензированию, сертификации и защите государственной тайны ФСБ России (ЦЛСЗ ФСБ).

Рекомендация: Используйте Госуслуги — это быстрее и удобнее. Но если у вас нет электронной подписи, подавайте почтой или лично. При личной подаче можно сразу получить отметку о приёме документов.

Этап 8: Оплата госпошлины и ожидание проверки

Стоимость госпошлины

Госпошлина за получение лицензии ФСБ на СКЗИ — 7 500 рублей.

Важно: Реквизиты для оплаты нужно получить в территориальном отделении ФСБ. Не платите по старым реквизитам — платёж может не пройти, и документы вернут без рассмотрения.

Срок рассмотрения и проверка

• Срок рассмотрения: обычно 30–45 дней после подачи документов.
• Выездная проверка: проводится через 3 года после получения лицензии (плановая), но первая проверка может быть и раньше, если есть подозрения.
• Проверка почти ничем не отличается от первоначальной: проверяют документы, помещение, оборудование, персонал.

Типовая ошибка: Компания не готовится к выездной проверке, считая, что «лицензия уже есть». ФСБ проверяет соблюдение требований даже после выдачи лицензии. Я сталкивался с ситуацией, когда через год после получения лицензии пришла внеплановая проверка из-за жалобы — и компания оказалась не готова.

Этап 9: Прохождение выездной проверки и получение лицензии

Что проверяют на выездной проверке

1. Документы: наличие всех ОРД, журналов, инструкций.
2. Помещение ОКЗ: изоляция, охрана, доступ.
3. Оборудование: наличие поверки, документов.
4. Персонал: наличие сотрудников на основной работе, документы об образовании.
5. СКЗИ: наличие сертификатов ФСБ (если есть), учёт.

Как пройти проверку успешно

• Подготовьтесь заранее: проверьте все документы, журналы, инструкции.
• Обеспечьте доступ: откройте помещение ОКЗ, покажите оборудование.
• Ответьте на вопросы: будьте готовы объяснить, как работает ОКЗ, как ведётся учёт.
• Не скрывайте: если есть проблемы, признайте их и предложите решение.

Пример из практики: Если в журнале учёта СКЗИ нет записей за последнюю неделю, объясните, что СКЗИ не использовалось, и покажите, что учёт ведётся правильно. Проверяющие ценят честность и готовность исправить недочёты.

Получение лицензии

• После успешной проверки лицензирующий орган сообщает о готовности лицензии.
• Лицензию можно получить по доверенности.
• Лицензия выдаётся один раз, но через 3 года назначается плановая проверка.

Типовые ошибки и как их избежать

Ошибка 1: Неправильный выбор пунктов лицензии

• Проблема: Компания включила лишние пункты, что увеличило нагрузку на проверку.
• Как избежать: Выберите только те пункты, которые реально нужны. Проверьте бизнес-процессы и сопоставьте их с перечнем.

Ошибка 2: Отсутствие ОКЗ или неправильно оформленный ОКЗ

• Проблема: ОКЗ не создан, или приказ не подписан.
• Как избежать: Создайте ОКЗ, оформите приказ, назначьте ответственных. Убедитесь, что все сотрудники ОКЗ работают на основной работе.

Ошибка 3: Отсутствие аттестата АРМ или АС

• Проблема: Компания не аттестовала АРМ, считая, что это «не обязательно».
• Как избежать: Аттестуйте АРМ и АС, включите аттестаты в пакет документов. Это обязательное требование.

Ошибка 4: Документы на персонал не готовы

• Проблема: У сотрудников нет дипломов, аттестатов, или они работают по совместительству.
• Как избежать: Соберите все документы, убедитесь, что сотрудники на основной работе. Проверьте соответствие профиля образования заявленной деятельности.

Ошибка 5: Помещение не изолировано или не охраняется

• Проблема: Помещение ОКЗ открыто для всех, нет охраны.
• Как избежать: Изолируйте помещение, установите охрану, оформите режим доступа. Проверьте наличие замков и датчиков.

Ошибка 6: Оборудование не прошло поверку

• Проблема: Оборудование не имеет свидетельства о поверке.
• Как избежать: Пройдите поверку, включите свидетельство в пакет документов. Убедитесь, что поверка актуальна на момент подачи.

Ошибка 7: Журналы не ведутся или ведутся неправильно

• Проблема: В журналах нет записей, или они не подписаны.
• Как избежать: Ведите журналы регулярно, подписывайте их, указывайте ответственное лицо. Проверяющий обязательно пролистает журналы и обратит внимание на даты последних записей.

Чек-лист: что нужно сделать перед подачей заявки

Проверьте, что вы выполнили все шаги:

• ✅ Выбраны правильные пункты лицензии.
• ✅ Создан ОКЗ, оформлен приказ.
• ✅ Оформлены должностные инструкции.
• ✅ Создана инструкция по работе с СКЗИ.
• ✅ Ведутся журналы учёта СКЗИ, ключей, охраны.
• ✅ Аттестованы АРМ и АС.
• ✅ Помещение ОКЗ изолировано и охраняется.
• ✅ Оборудование прошло поверку.
• ✅ Сотрудники на основной работе, имеют документы об образовании.
• ✅ Все копии документов нотариально заверены.
• ✅ Оплата госпошлины 7 500 рублей.
• ✅ Подготовлено заявление и опись документов.

FAQ: частые вопросы о лицензии ФСБ на СКЗИ

1. Сколько стоит получение лицензии ФСБ на СКЗИ?

Госпошлина — 7 500 рублей. Стоимость услуг по лицензированию через посредников — от 112 000 рублей. При самостоятельном получении вы платите только госпошлину и расходы на аттестацию (от 15 000 до 40 000 рублей за АРМ).

2. Можно ли получить лицензию без посредников?

Да, лицензию можно получить самостоятельно. Но процесс требует подготовки документации, аттестации, проверки. Если у вас нет опыта в регуляторике, лучше обратиться к специалистам, чтобы избежать отказов и повторных проверок.

3. Сколько времени занимает получение лицензии?

Срок рассмотрения — 30–45 дней после подачи документов. Выездная проверка может быть назначена сразу или через 3 года.

4. Нужна ли лицензия для распространения СКЗИ с сертификатом ФСБ?

Да, даже если СКЗИ имеет сертификат ФСБ, для распространения нужна лицензия (п. 5). Наличие сертификата на продукт не освобождает от лицензирования деятельности.

5. Что будет, если работать без лицензии?

Работа без лицензии — нарушение закона. Возможны административная ответственность (штраф) или уголовная ответственность (если деятельность связана с гостайной).

6. Можно ли получить лицензию через Госуслуги?

Да, заявление можно отправить в электронном виде через портал Госуслуги. Это самый быстрый способ подачи.

7. Нужно ли нотариально заверять копии документов?

Да, все копии документов должны быть нотариально заверены. Это обязательное требование.

8. Что проверяют на выездной проверке?

Документы, помещение ОКЗ, оборудование, персонал, СКЗИ. Проверка охватывает все аспекты, заявленные в лицензионном деле.

9. Как часто проходит проверка после получения лицензии?

Плановая проверка — через 3 года после получения лицензии. Внеплановые проверки возможны при наличии оснований.

10. Можно ли получить лицензию по доверенности?

Да, лицензию можно получить по доверенности. Доверенность должна быть оформлена на уполномоченное лицо.

Вывод

Самостоятельное получение лицензии ФСБ на СКЗИ — сложный, но выполнимый процесс. Ключ к успеху — тщательная подготовка организационно-распорядительной документации, создание ОКЗ, аттестация АРМ и АС, подготовка помещения и персонала, и правильное оформление всех документов.

Если вы выполните все шаги из этого руководства, вы сможете получить лицензию без посредников, сэкономив более 100 000 рублей. Но если у вас нет опыта в регуляторике, лучше обратиться к специалистам, чтобы избежать отказов и повторных проверок.

Лицензия ФСБ на СКЗИ — это не просто формальность, а гарантия легальности вашей деятельности. Без неё вы не сможете разрабатывать, производить, продавать или внедрять криптографические решения в России. Начните подготовку сегодня — и вы избежите правовых рисков в будущем.