Требования ФСБ к соискателям лицензии на криптографию

Когда компания впервые сталкивается с необходимостью получить лицензию ФСБ на криптографическую деятельность, чаще всего звучит один и тот же вопрос: «А что, без неё совсем нельзя?» Ответ короткий — нельзя. Без этого документа организация не имеет права ни создавать, ни распространять, ни применять средства криптографической защиты информации. Продажа и использование СКЗИ без лицензии запрещены законом, а последствия — от административной ответственности до полной блокировки деятельности.

За пять лет внедрения криптозащиты на объектах я видел десятки компаний, которые недооценивали объём подготовки. Кто-то считал, что достаточно арендовать офис и нанять пару инженеров. Кто-то был уверен, что «мы же только пользуемся, а не разрабатываем». Реальность оказалась жёстче: лицензирование — это комплексная проверка по трём направлениям: помещение (право собственности или аренды, аттестация рабочих мест, система охраны), персонал (квалификация, подтверждённый стаж, создание органа криптографической защиты) и документация (локальные нормативные акты, регламенты работы с СКЗИ, политика безопасности).

В этой статье я разберу требования ФСБ к соискателям лицензии на криптографию с точки зрения практика: от аудита текущего состояния компании до подготовки пакета документов, который не вернут на доработку. Материал основан на реальных кейсах лицензирования, актуальных требованиях регулятора и нормах 152-ФАПСИ.

Почему лицензия ФСБ обязательна: интент и риски

Законодательство РФ формулирует требование однозначно: лицензия ФСБ на криптографию обязательна для всех разработчиков криптографических средств, работающих на российском рынке. Без неё продажа и использование криптографических средств запрещены. Но практика показывает, что многие компании ошибочно трактуют границы этого требования.

Лицензия нужна не только вендорам, создающим собственные алгоритмы шифрования. Под регулирование попадают компании, которые:

• Передают шифровальные средства (продажа, дистрибуция);
• Передают защищённые информационные системы;
• Изготавливают ключевые документы;
• Осуществляют криптографическую защиту информации в рамках оказания услуг.

Типовые ошибки на старте:

1. Ожидание, что «мы просто используем» СКЗИ. Если вы не разработчик и не продавец, а только пользователь (например, банк, использующий шлюз для защиты каналов), лицензия может не требоваться. Но как только вы начинаете модифицировать продукт, интегрировать его как часть своего решения или перепродавать — лицензия становится обязательной. На практике этот момент часто всплывает при проверках: компания покупает КриптоПро, встраивает его в свою АСУ ТП, и всё — формально это уже распространение СКЗИ в составе комплексного продукта.
2. Игнорирование смежных лицензий. При выборе определённых категорий (пункты 1, 4–6, 16, 19 перечня) заявителю потребуется лицензия на «Осуществление работ, связанных с использованием сведений, составляющих государственную тайну». Без неё получить эти пункты невозможно. Я сталкивался с ситуацией, когда компания полгода готовила пакет документов, а на этапе подачи выяснилось, что для нужной категории требуется лицензия на гостайну, которой у них нет.
3. Работа с ПДн без лицензии ФСТЭК. При работе с персональными данными и выборе соответствующих категорий потребуется лицензия от ФСТЭК на деятельность по технической защите конфиденциальной информации. Это частая развилка: компания планирует работать с криптографией в медицинских системах, где неизбежно обрабатываются персональные данные, и забывает, что одной лицензии ФСБ недостаточно.

Лицензия выдаётся один раз, но через три года назначается плановая проверка выполнения лицензионных требований, которая почти ничем не отличается от первоначальной. Поэтому готовиться нужно не к разовой акции, а к постоянному поддержанию соответствия.

Критерий 1: Требования к помещению и инфраструктуре

Помещение — это первый и самый частый «камень преткновения» при проверке. ФСБ требует не просто наличия офиса, а обеспечения режима безопасности, исключающего доступ неуполномоченных лиц к криптографическим средствам. По опыту, именно здесь возникает больше всего вопросов при согласовании.

Правоустанавливающие документы

У вас должно быть документально подтверждено право на использование помещения:

• Свидетельство о праве собственности (если помещение в собственности);
• Договор аренды (если помещение арендовано) + свидетельство о праве собственности арендодателя.

Важный нюанс: В договоре аренды должно быть чётко указано, что помещение предназначено для осуществления лицензируемой деятельности. Если в договоре написано «для офисных целей» без уточнения, это может стать причиной отказа. Я рекомендую прописывать формулировку максимально конкретно: «для осуществления деятельности по разработке, производству и распространению шифровальных (криптографических) средств». Арендодатели иногда сопротивляются таким формулировкам, но это принципиальный момент — без него пакет документов не примут.

Аттестация рабочих мест (АРМ)

Рабочие компьютеры специалистов, работающих с СКЗИ, должны быть аттестованы (АРМ) компанией, имеющей лицензию ФСТЭК. Это означает, что:

• Вы не можете просто купить компьютер и установить на него КриптоПро;
• Нужен акт аттестации, подтверждающий, что АРМ соответствует требованиям по защите информации (отсутствие скрытых каналов передачи, наличие средств контроля целостности, антивирусной защиты и т.д.);
• Аттестацию проводит сторонняя организация с лицензией ФСТЭК.

На практике это выглядит так: вы закупаете оборудование, устанавливаете на него аттестованные версии ОС и СКЗИ, затем приглашаете аттестующую организацию. Она проводит инструментальный контроль, проверяет настройки, формирует акт. Сроки — от двух недель до месяца, стоимость зависит от количества рабочих мест. Важно: аттестация должна быть проведена до подачи заявления, а не после.

Система охраны и доступа

В организации должен быть установлен режим коммерческой тайны. Это не просто фраза в уставе, а комплекс мер:

• Охрана помещения: наличие системы видеонаблюдения, датчиков движения, сигнализации;
• Ограничение доступа: в помещение Органа криптографической защиты (ОКЗ) доступ должен быть ограничен только для уполномоченных сотрудников;
• Правила допуска: чёткие регламенты для сотрудников и посетителей в рабочее и нерабочее время.

Чек-лист по помещению:

• Имеется договор аренды или свидетельство о собственности;
• В договоре аренды указано назначение помещения для лицензируемой деятельности;
• Рабочие места (АРМ) аттестованы компанией с лицензией ФСТЭК;
• Установлена система охраны (видеонаблюдение, сигнализация);
• Доступ в помещение ОКЗ ограничен (турникеты, пропускная система);
• Введён режим коммерческой тайны (приказы, инструкции, маркировка документов).

Критерий 2: Требования к персоналу и квалификации

Персонал — второй критический элемент. ФСБ проверяет не только наличие дипломов, но и подтверждённый стаж работы с СКЗИ. И здесь начинается самое интересное: формальное наличие «корочек» не гарантирует прохождение проверки.

Квалификация и стаж

Для работы с криптографией сотрудники должны иметь:

• Копии дипломов о профильном образовании (информационная безопасность, криптография, прикладная математика);
• Удостоверения о профильном обучении (курсы повышения квалификации по СКЗИ);
• Трудовые договоры и приказы о назначении ответственных за выполнение лицензионных требований;
• Сведения о подтверждении стажа работы с СКЗИ (выписки из трудовых книжек, справки от предыдущих работодателей).

Важно: Стаж должен быть реальным. Если в трудовой книжке написано «инженер по ИБ», но нет конкретных проектов с СКЗИ, это может быть признано недостаточным. Я рекомендую заранее подготовить справки от предыдущих работодателей с перечислением конкретных систем и проектов, в которых сотрудник участвовал. Это существенно ускоряет проверку.

Орган криптографической защиты (ОКЗ)

Компания обязана создать Орган криптографической защиты (ОКЗ) — специальный отдел или группу сотрудников, отвечающих за криптографическую безопасность. Это не формальность: ОКЗ должен быть реально функционирующим подразделением с выделенными обязанностями.

Для ОКЗ необходимо подготовить:

• Должностные инструкции сотрудников ОКЗ (п.18 152-ФАПСИ);
• Инструкцию по работе с СКЗИ;
• Приказ о назначении руководителя ОКЗ и ответственных лиц.

ОКЗ должен быть официально зарегистрирован в компании, его сотрудники должны иметь доступ только к необходимому оборудованию и документации. На практике это означает, что в штатном расписании должны быть выделены соответствующие должности, а в организационной структуре — зафиксировано подразделение.

Лицензия на гостайну (для некоторых категорий)

Если вы выбираете категории, связанные с гостайной (пункты 1, 4–6, 16, 19), у вас должна быть лицензия ФСБ на осуществление работ, составляющих государственную тайну. Без неё получение этих пунктов невозможно. Это отдельная процедура со своими требованиями, и её лучше проходить параллельно или до подачи заявления на криптографическую лицензию.

Таблица: Требования к персоналу в зависимости от категорий

Критерий 3: Документация и локальные нормативные акты

Документация — это основа, на которой строится проверка. ФСБ требует не просто наличия документов, а их актуальности, полноты и соответствия реальным процессам. По опыту, именно на этом этапе чаще всего экономят время, а потом получают возврат заявления на доработку.

Обязательный пакет документов

Перед подачей заявления необходимо подготовить:

1. Заявление на получение лицензии (оформленное по установленной форме) с указанием сведений о компании, виде деятельности и перечне материалов.
2. Учредительные документы:
   • Устав (для юридических лиц);
   • Свидетельства о регистрации и постановке на учёт;
   • Протокол о назначении гендиректора;
   • Актуальная выписка из ЕГРЮЛ.
3. Правоустанавливающие документы на помещение:
   • Договор аренды или свидетельство о собственности;
   • План помещения;
   • Краткое описание системы безопасности (охрана, доступ, хранение).
4. Документы о персонале:
   • Копии дипломов и удостоверений о обучении;
   • Трудовые договоры;
   • Приказы о назначении ответственных;
   • Сведения о стаже работы с СКЗИ.
5. Описание технических и организационных мер безопасности:
   • Перечень используемых технических средств;
   • Сведения о СКЗИ (если применяются);
   • Характеристика охранных систем;
   • Порядок организации контроля доступа.
6. Локальные нормативные акты:
   • Политика информационной безопасности;
   • Инструкции по работе с носителями;
   • Регламенты уничтожения и хранения;
   • Приказы о назначении ответственных лиц;
   • Программа производственного контроля (в отдельных случаях).

Специфические документы для ОКЗ

Для Органа криптографической защиты обязательно наличие:

• Должностные инструкции ОКЗ (п.18 152-ФАПСИ);
• Инструкция по работе с СКЗИ;
• Ограничение доступа в помещение ОКЗ (п.54, 55, 63 152-ФАПСИ).

Компания обязана ограничить доступ к криптографии неуполномоченным работникам. Это можно сделать, установив режим охраны помещений ОКЗ, в том числе правила допуска сотрудников и посетителей в рабочее и нерабочее время. На практике это означает, что у вас должны быть журналы учёта посетителей, пропускная система и физическое разграничение зон доступа.

Лицензии-спутники

В зависимости от выбранных категорий могут потребоваться дополнительные лицензии:

• Лицензия ФСБ на гостайну (для пунктов 1, 4–6, 16, 19);
• Лицензия ФСТЭК на техническую защиту ПДн (при работе с персональными данными);
• Лицензия Роскомнадзора на телематические услуги (при выборе пункта 27 в перечне категорий).

Процесс подачи заявления и проверки

Подача заявления на получение лицензии ФСБ — это строго регламентированный процесс, который требует предварительной подготовки. За пять лет я выработал чёткую последовательность, которая минимизирует риск возврата документов.

Шаг 1: Аудит и подготовка

Перед подачей заявления необходимо:

1. Провести аудит текущей деятельности на предмет необходимости лицензии.
2. Проверить соответствие помещений лицензионным требованиям (охрана, аттестация АРМ, режим коммерческой тайны).
3. Убедиться в наличии квалифицированного персонала с подтверждённым стажем.
4. Подготовить внутренние распорядительные документы (инструкции, приказы, политики).

Шаг 2: Формирование заявления

К заявлению соискатель прикрепляет сведения:

• о помещении, в котором планируется проводить лицензируемые виды деятельности;
• о персонале, уполномоченном на работу со средствами шифрования;
• о программных и аппаратных средствах, с помощью которых будет осуществляться лицензируемая деятельность;
• об обеспечении условий по безопасности информации и организационно-распорядительные документы компании-соискателя лицензии;
• опись документов.

Шаг 3: Подача заявления

Заявление можно подать одним из способов:

• Через Единый портал государственных услуг (Gosuslugi.ru) (электронный вид);
• Непосредственно на бумажном носителе в территориальное отделение ФСБ;
• Заказным почтовым отправлением с уведомлением о вручении.

Заявление подаётся в территориальное отделение ФСБ, где зарегистрирована компания. Важно: если вы подаёте через Госуслуги, убедитесь, что все сканы документов читаемы и заверены надлежащим образом. Несколько раз сталкивался с тем, что заявление возвращали из-за нечитаемых копий дипломов.

Шаг 4: Проверка и выдача лицензии

После подачи заявления:

• ФСБ проводит проверку соответствия организации и её сотрудников требованиям по безопасности и защите государственной тайны;
• Уплачивается государственная пошлина за рассмотрение заявления и выдачу лицензии (с 1 января 2015 года размер пошлины составляет 7 500 рублей);
• Если организация соответствует всем требованиям, ФСБ выдаёт лицензию на криптографию.

Важно: Лицензию соискателю выдают один раз, но через три года могут назначить плановую проверку выполнения лицензионных требований. Поэтому все документы и регламенты должны быть не просто подготовлены, а реально внедрены в работу.

Стоимость и сроки оформления

Стоимость

• Государственная пошлина: 7 500 рублей (фиксированная сумма, не зависит от категорий).
• Стоимость оформления лицензии с категориями 21–24: 150 тысяч рублей (включает услуги консалтинга, подготовку документов, аудит).

В эту сумму входит полный цикл: от первичного аудита до сопровождения на этапе проверки. Если вы готовите документы самостоятельно, затраты ограничиваются госпошлиной, но риски возврата заявления существенно выше.

Сроки

• Рассмотрение заявления: до 30 дней (стандартный срок по закону);
• Проверка соответствия: до 60 дней (включает выездную проверку помещений и персонала);
• Общий срок оформления: от 3 до 6 месяцев (в зависимости от готовности компании и сложности категорий).

Типовые ошибки, затягивающие сроки:

1. Отсутствие аттестации АРМ (нужно время на проведение аттестации);
2. Неполный пакет документов (ФСБ возвращает заявление на доработку);
3. Отсутствие ОКЗ или его неправильное оформление;
4. Несоответствие помещения требованиям охраны.

Чек-лист: 15 шагов до подачи заявления

Чтобы не упустить ничего критичного, пройдите по этому чек-листу:

1. Определите необходимость лицензии: проанализируйте, попадает ли ваша деятельность под перечень лицензируемых видов (передача, изготовление, использование СКЗИ).
2. Выберите категории: определите, какие пункты перечня категорий вам нужны (передача шифровальных средств, изготовление ключевых документов и т.д.).
3. Проверьте наличие смежных лицензий: если нужны категории с гостайной или ПДн, убедитесь, что у вас есть лицензия ФСБ на гостайну или ФСТЭК на ПДн.
4. Оформите право на помещение: договор аренды или свидетельство о собственности, с указанием назначения для лицензируемой деятельности.
5. Аттестуйте АРМ: заключите договор с компанией с лицензией ФСТЭК для аттестации рабочих мест.
6. Установите систему охраны: видеонаблюдение, сигнализация, датчики движения.
7. Введите режим коммерческой тайны: приказы, инструкции, маркировка документов.
8. Создайте ОКЗ: оформите приказ о назначении руководителя ОКЗ, должностные инструкции.
9. Подготовьте инструкцию по работе с СКЗИ: разработайте регламент работы с криптографическими средствами.
10. Ограничьте доступ в ОКЗ: установите пропускную систему, правила допуска.
11. Подготовьте документы о персонале: дипломы, удостоверения, трудовые договоры, приказы, сведения о стаже.
12. Разработайте локальные нормативные акты: политика ИБ, инструкции по носителям, регламенты уничтожения.
13. Опишите технические меры безопасности: перечень средств, сведения о СКЗИ, охранные системы.
14. Сформируйте заявление: оформите по установленной форме, приложите опись документов.
15. Подайте заявление: через Госуслуги, почтой или в территориальное отделение ФСБ.

Типовые ошибки и как их избежать

Ошибка 1: «У нас нет ОКЗ, мы просто работаем»

Риск: ФСБ вернёт заявление, так как создание ОКЗ — обязательное требование (п.6 152-ФАПСИ).
Как исправить: Оформите приказ о назначении руководителя ОКЗ, разработайте должностные инструкции, зарегистрируйте ОКЗ в компании. На практике это означает не просто бумажку, а реальное выделение сотрудников с соответствующими обязанностями.

Ошибка 2: «АРМ у нас обычный, мы не аттестовали»

Риск: Проверка не пройдёт, так как рабочие компьютеры должны быть аттестованы компанией с лицензией ФСТЭК.
Как исправить: Заключите договор с аттестующей компанией, проведите аттестацию, получите акт. Важно: аттестация должна быть проведена на конкретные рабочие места, которые будут использоваться для работы с СКЗИ.

Ошибка 3: «Мы не работали с СКЗИ, но хотим лицензию»

Риск: Сотрудники не пройдут проверку, так как требуется подтверждённый стаж работы с СКЗИ.
Как исправить: Привлеките сотрудников с реальным опытом, предоставьте справки от предыдущих работодателей, оформите стаж в трудовых книжках. Если таких сотрудников нет, имеет смысл сначала нанять их, а потом подавать заявление.

Ошибка 4: «Договор аренды не подходит, мы просто офис»

Риск: ФСБ не примет заявление, так как в договоре должно быть указано назначение для лицензируемой деятельности.
Как исправить: Внесите изменение в договор аренды, укажите, что помещение предназначено для осуществления криптографической деятельности. Обычно это делается дополнительным соглашением к договору.

Ошибка 5: «Мы не знаем, какие категории нужны»

Риск: Выберете неправильные категории, что приведёт к отказу или необходимости повторной подачи.
Как исправить: Проведите аудит деятельности, проконсультируйтесь с экспертом, определите точный перечень категорий. Это тот случай, когда консультация на старте экономит месяцы работы.

FAQ: Часто задаваемые вопросы

Нужна ли лицензия ФСБ, если я только использую СКЗИ, но не продаю?

Если вы только используете СКЗИ (например, банк, использующий шлюз для защиты каналов), лицензия может не требоваться. Но если вы модифицируете продукт, интегрируете его как часть своего решения или перепродавайте — лицензия обязательна. Ключевой критерий: становитесь ли вы звеном в цепочке распространения СКЗИ.

Сколько времени занимает получение лицензии?

Общий срок оформления — от 3 до 6 месяцев, в зависимости от готовности компании и сложности категорий. Рассматривание заявления — до 30 дней, проверка соответствия — до 60 дней.

Что будет, если я не получу лицензию, но буду работать?

Без лицензии продажа и использование криптографических средств запрещены. Нарушение влечёт административную ответственность, риск блокировки деятельности и штрафы. В моей практике были случаи, когда компании приходилось экстренно приостанавливать проекты из-за отсутствия лицензии.

Нужно ли проходить проверку каждые 3 года?

Да, через три года назначается плановая проверка выполнения лицензионных требований, которая почти ничем не отличается от первоначальной. Поэтому все регламенты должны быть не просто написаны, а реально работающими.

Можно ли подать заявление через Госуслуги?

Да, заявление можно подать через Единый портал государственных услуг (Gosuslugi.ru) в электронном виде.

Сколько стоит госпошлина?

С 1 января 2015 года размер государственной пошлины за выдачу лицензии составляет 7 500 рублей.

Нужна ли лицензия ФСТЭК, если я работаю с ПДн?

При работе с персональными данными и выборе соответствующих категорий потребуется лицензия от ФСТЭК на деятельность по технической защите конфиденциальной информации.

Что делать, если у меня нет лицензии на гостайну, но я выбрал категории с гостайной?

Без лицензии ФСБ на осуществление работ, составляющих государственную тайну, получение пунктов 1, 4–6, 16, 19 перечня невозможно. Нужно сначала получить эту лицензию.

Можно ли получить лицензию, если у меня нет ОКЗ?

Нет, создание Органа криптографической защиты (ОКЗ) — обязательное требование (п.6 152-ФАПСИ).

Как проверить, аттестованы ли мои АРМ?

Получите акт аттестации от компании с лицензией ФСТЭК. Если акта нет — АРМ не аттестованы, и нужно провести аттестацию.

Заключение: путь к лицензии — это системная работа

Получение лицензии ФСБ на криптографию — это не просто подача документов, а системная работа по подготовке компании к требованиям регулятора. За пять лет я убедился: компании, которые воспринимают лицензирование как разовую акцию, неизбежно сталкиваются с проблемами на первой же плановой проверке. Те, кто выстраивает процессы — проходят её без замечаний.

Ключевые элементы успеха:

• Помещение: правоустанавливающие документы, аттестация АРМ, система охраны, режим коммерческой тайны;
• Персонал: квалификация, подтверждённый стаж, создание ОКЗ, должностные инструкции;
• Документация: локальные нормативные акты, инструкции по работе с СКЗИ, описание технических мер безопасности.

Если вы готовы к этому процессу, начните с аудита текущей деятельности и проверки соответствия помещений. Если есть сомнения — проконсультируйтесь с экспертом, который поможет избежать типичных ошибок и ускорить процесс.

Лицензия ФСБ — это не только право на работу, но и гарантия для клиентов, что вы соответствуете требованиям безопасности и защиты информации. Без неё вы не сможете легально работать на российском рынке криптографических решений.

Важно: Все требования актуальны на 2026 год. Перед подачей заявления проверьте последние изменения в законодательстве и проконсультируйтесь с территориальным отделением ФСБ (телефоны для консультаций: (499) 141-15-04, 149-90-58, 149-82-85).