СКЗИ для собственных нужд

Представьте, что есть организация, не являющаяся лицензиатом ФСБ России. Ей нужно организовать защищенное взаимодействие двух своих офисов с помощью сертифицированных криптошлюзов. Привлекать для этой относительно простой задачи интегратора с лицензией ФСБ далеко не всегда оправдано, особенно если в штате есть специалист, знакомый с криптошлюзами. Возникает логичное решение – закупить и установить криптошлюзы самостоятельно. Есть ли в этом случае риски, связанные с лицензированием? Может ли организация без лицензии ФСБ России установить СКЗИ для собственных нужд?

Изначально кажется, что проблем быть не должно, так как эти работы выполняются для собственных нужд. Однако, если обратить внимание на название Постановления Правительства №313, то мы увидим вот такую оговорку про необходимость наличия лицензии:

за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя.

Т.е. для самостоятельного технического обслуживания лицензия не требуется, а для монтажа требуется. Ситуация довольно странная, поэтому традиционно решил уточнить этот вопрос у регулятора.

Ответ подтверждает формальную позицию:

Установка – это не обслуживание. Для установки лицензия ФСБ обязательна. Поэтому для установки СКЗИ всегда нужно привлекать лицензиата.

Также хочу отметить еще один интересный момент про СКЗИ для собственных нужд. Физическим лицам для установки СКЗИ лицензия не требуется. В контексте ГОСТ TLS, когда пользователю для подключения к сайту нужно установить CSP/клиентское ПО/специальный браузер, это хорошая новость 🙂

PS Ранее я уже делал заметку про ПП313 и лицензирование. Прочитать можно тут.