Требуется ли лицензия на разработку криптографического ПО если это ПО будет использоваться исключительно для собственных нужд?

Здравствуйте!

можно

1. Настоящее Положение определяет порядок лицензирования деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляетсядля обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами и индивидуальными предпринимателями (далее — лицензируемая деятельность).
Постановление Правительства РФ от 16.04.2012 N 313 «Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)» {КонсультантПлюс}

Добрый день!

Полагаю, что все-таки можно, это вытекает их требований Положения «о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя» утвержденного Постановлением Правительства РФ от 16.04.2012 N 313:

1. Настоящее Положение определяет порядок лицензирования деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами и индивидуальными предпринимателями (далее — лицензируемая деятельность).

Здравствуйте!
Обратите внимание на постановление правительства от 16 апреля 2012 года номер 313.
Там как раз говориться о том что, лицензирование такой деятельности не требуется, если,… осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя.
Есть так же ПРИКАЗ ФСБ от 30 августа 2012 г. номер 440.
Который регулирует данный вопрос.
Однако там четко написано, что лицензирование не требуется, если

… осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя.
Анализ других законодательных актов, регулирующих данный вопрос, привел к тому, что либо данная норма дублируется, либо делается отсылка к постановление правительства от 16 апреля 2012 года номер 313.
Поэтому переживать вам не стоит, если вы действительно использовать будуту для собственных нужд.
Про действия физ лиц нет ни слова, из смысла закона нужно быть ип либо физ лицом.
Вы еще просили конкретные пункты. Я везде ссылаюсь на статью первую.
Надеюсь мой ответ помог вам.

Может ли негосударственная компания своими силами создать криптографическое ПО и использовать его для собственных (внутренних) нужд без получения лицензии ФСБ на разработку криптографических средств и без получения сертификата на данное ПО?
Алексей

Добрый день.

В Вашем случае обязательно предполагается лицензирование.

Основополагающий ответ на Ваш вопрос содержится в ст. 12 ФЗ «О лицензировании отдельных видов деятельности»

1. В соответствии с настоящим Федеральным законом лицензированию подлежат следующие виды деятельности:
1) разработка, производство, распространение шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнение работ, оказание услуг в области шифрования информации, техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);

Постановление Правительства РФ от 16.04.2012 N 313
«Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)»

Уже дополнительно определяет,

порядок лицензирования деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами и индивидуальными предпринимателями (далее — лицензируемая деятельность).

Исключение составляют случаи технического обслуживания, не более того.

В подтверждении сказанного стоит обратиться к приложению 1 данного постановления

ПЕРЕЧЕНЬ
ВЫПОЛНЯЕМЫХ РАБОТ И ОКАЗЫВАЕМЫХ УСЛУГ, СОСТАВЛЯЮЩИХ
ЛИЦЕНЗИРУЕМУЮ ДЕЯТЕЛЬНОСТЬ, В ОТНОШЕНИИ ШИФРОВАЛЬНЫХ
(КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ
1. Разработка шифровальных (криптографических) средств.
2. Разработка защищенных с использованием шифровальных (криптографических) средств информационных систем.
3. Разработка защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.
4. Разработка средств изготовления ключевых документов.

Разработка — это самостоятельный вид лицензируемой деятельности.

Дополнительно обратимся к требованию приказа ФСБ РФ от 09.02.2005 N 66

«Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)»

14. Разработка СКЗИ в интересах негосударственных организаций может осуществляться по заказу конкретного потребителя информации конфиденциального характера или по инициативе разработчика СКЗИ. При этом в качестве заказчика СКЗИ может выступать любое лицо.
15. Разработка СКЗИ осуществляется путем постановки и проведения необходимых научно-исследовательских работ (далее — НИР) по исследованию возможности создания нового образца СКЗИ и опытно-конструкторских работ (далее — ОКР) по созданию нового образца СКЗИ или модернизации действующего образца СКЗИ.
16. НИР по исследованию возможности создания нового образца СКЗИ проводится в соответствии с тактико-техническим заданием (далее — ТТЗ) или техническим заданием (далее — ТЗ), разработанным на основе национальных стандартов на проведение НИР.
7. В ТТЗ или ТЗ на проведение НИР рекомендуется дополнительно включать сведения:
о заказчике СКЗИ (для юридического лица — наименование юридического лица с указанием номера лицензии на право осуществления отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, при ее наличии, и срока ее действия, адрес юридического лица, телефон; для индивидуального предпринимателя — фамилия, имя, отчество, данные документа, удостоверяющего личность, номер лицензии на право осуществления отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, при ее наличии, срок ее действия, адрес индивидуального предпринимателя и телефон);
о предполагаемой области применения планируемого к разработке нового образца СКЗИ (указывается система связи, в составе которой планируется использование создаваемого образца СКЗИ, ее основные технические характеристики, в том числе требования по безопасности информации, а также вид защищаемой информации (речевая, данные и т.д.);
о предполагаемом исполнителе НИР (приводятся данные о предполагаемом исполнителе (наименование юридического лица, его адрес, телефон) и соисполнителе (при его наличии) с указанием номеров лицензий на право осуществления отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, и сроков их действия (при их наличии).
18. ТТЗ (ТЗ) на проведение НИР (составной части НИР) по исследованию возможности создания нового образца СКЗИ заказчик СКЗИ направляет на рассмотрение в ФСБ России, которая в течение двух месяцев с момента получения документов обязана согласовать ТТЗ (ТЗ) на проведение НИР (составной части НИР) или дать мотивированный отказ.
Письменное согласование с ФСБ России ТТЗ (ТЗ) на проведение НИР (составной части НИР) является основанием для проведения НИР (составной части НИР).

36. Результаты тематических исследований и оценки влияния аппаратных, программно-аппаратных и программных средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявленных к ним требований, а также опытные образцы СКЗИ и аппаратные, программно-аппаратные и программные средства, необходимые для штатного функционирования СКЗИ, передаются в ФСБ России для проведения экспертизы.
Аппаратные, программно-аппаратные и программные средства, необходимые для штатного функционирования СКЗИ, и опытные образцы СКЗИ для проведения тематических исследований и экспертизы передаются специализированной организации и ФСБ России на время выполнения указанных исследований.

Добрый день!

Вопрос у Вас, действительно, интересный. Позволю себе несколько заметок.

Во-первых, конечно, не мешает получить разъяснение ФСБ. Т.к. именно она, в случае чего, будет привлекать Вас к ответственности за осуществление деятельности без лицензии. И оправдательное письмо от них будет хорошим аргументом.

Во-вторых, по поводу Ваших опасений из серии «студент, который выполняет лабораторную работу по курсу криптографии, нарушает Закон». Не нарушает. Лицензированию подлежит деятельность юр лиц и ИП. См. закон о лицензировании:

Статья 3. Основные понятия, используемые в настоящем Федеральном законе
2) лицензия — специальное разрешение на право осуществления юридическим лицом или индивидуальным предпринимателем конкретного вида деятельности (выполнения работ, оказания услуг, составляющих лицензируемый вид деятельности),
6) лицензиат — юридическое лицо или индивидуальный предприниматель, имеющие лицензию;

Т.е. предъявить обвинение в нелицензируемой деятельности можно только лицу, которое оказывает услуги либо выполняет работы, подлежащие лицензированию. Это должно быть юр лицо либо ИП.

Если продолжать эту логику, то лицензируется именно деятельность, т.е. разработка в виде услуг или работ. Т.е., то, что Вы предлагаете во вне. Если разработали, но не продаете, то нет деятельности в смысле закона о лицензировании. Это подтверждается и заголовком, о котором упоминал Сергей Вишневский — ПЕРЕЧЕНЬ ВЫПОЛНЯЕМЫХ РАБОТ И ОКАЗЫВАЕМЫХ УСЛУГ, СОСТАВЛЯЮЩИХ ЛИЦЕНЗИРУЕМУЮ ДЕЯТЕЛЬНОСТЬ.

При такой трактовке все хорошо и понятно, кроме одного момента — зачем это уточнение про тех обслуживание для собственных нужд, если в любом случае в ситуации собственных нужд нет оказания услуг и выполнения работ? Другими словами, без этого уточнения тех обслуживание для собственных нужд, по идее, лицензируется. Что ломает вообще логику лицензирования как такового.

Как верно указали коллеги, никаких разъяснений подобных ситуаций, как и судебной практики нет. Что, конечно, развязывает руки проверяющим органам.

Также хочу обратить Ваше внимание на перечень исключений в Постановлении 313 (п. 3 Положения). Возможно, Ваша ситуация решается через этот перечень