На публичное обсуждение вынесены два проекта постановлений Правительства РФ, корректирующих лицензионные требования в сфере защиты информации: ПП № 171  и ПП № 79. Документы 164629 и 164632 доступны на портале regulation.gov.ru. 6 апреля в сети появились дополнения в части требований к сотрудникам, проекты 166970 и 167110.

Ключевые изменения, которые предусматривают проекты

Запрет на иностранное участие.

Лицензию не получат иностранные юрлица, российские компании с руководителями-имеющими гражданство иностранного государства и ИП — имеющие гражданство иностранного государства.

Помещения и инфраструктура.

Помещения — только нежилые, с правом владения или пользования. Информационные системы Лицензиата, предназначенные для работы с конфиденциальной информацией, обязательны к аттестации.

Стандарты разработки.

Для разработчиков СЗИ предусматривают обязательное внедрение системы безопасной разработки ПО в соответствии с ГОСТ Р 5639‑2024.

Документы.

Обязательно подтверждение стажа, подтверждение прав на ПО (лицензии и право использования), для разработчиков СЗИ — описание системы безопасной разработки ПО. При добавлении новых работ или смене адреса деятельности Лицензиата обязательным будет заново подтверждение соответствия всем требованиям.

Госсектор (ПП № 79).

Лицензиаты при осуществлении лицензируемых видов деятельности обязаны будут соблюдать требования к защите информации, содержащейся в ГИС и иных информационных системах гос.учреждений, установленные ст. 16 Федерального закона «Об информации, информационных технологиях и о защите информации»).

Ужесточение требований к персоналу

Отдельно хочется выделить новые планируемые требования к сотрудникам в сфере ИБ.

Для тех.защиты (ПП № 79)

Для работ в п.4 а), б), д), е) — не менее 5 специалистов. Каждый из них должен соответствовать одному из условий:

• • высшее образование в сфере информационной безопасности (ИБ) и опыт работы по указанным подпунктам не менее трёх лет;
  • иное высшее образование, опыт работы по указанным подпунктам не менее 3 лет с профессиональной переподготовкой по согласованным ФСТЭК России программам.

 
Для работ в п.4 в) (мониторинг) минимальная численность — не менее 15 специалистов. Требования к квалификации предусматривают:

• • не менее 5 сотрудников с высшим или средним профессиональным образованием в сфере ИБ и стажем от 3 лет работы, либо иным образованием при подтверждённом опыте работы по подпункту «в» не менее 3 лет с профессиональной переподготовкой по согласованным ФСТЭК России программам;
  • не менее 10 сотрудников — имеющих высшее или среднее профессиональное образование в сфере ИБ, или иное высшее/среднее профессиональное образование и также профессиональная переподготовка по согласованным ФСТЭК России программам.

 
Для работ в п.4 г) (аттестация) — не менее 9 специалистов. Квалификационная структура включает:

• • не менее 3 сотрудников с высшим образованием в сфере ИБ и опытом работы по подпункту «г» не менее 3 лет, либо иное высшее образование, опыт работы 3 года и прохождение профессиональной переподготовки по согласованным ФСТЭК России программам;
  • не менее 6 сотрудников — высшее или среднее профессиональное образование (в области ИБ), для сотрудников с иным образованием — профессиональная переподготовка по согласованным ФСТЭК России программам.

 
Независимо от вида выполняемых работ, в штате организации должен быть руководитель и/или уполномоченное лицо, отвечающее за выполнение мероприятий по ТЗКИ. Требования: высшее образование в области информационной безопасности и стаж работы не менее 3 лет, иное высшее образование, стаж работы не менее 5 лет и профессиональная переподготовка по программам, согласованным ФСТЭК России.

Для разработки и производства СЗИ (ПП № 171)

Строго установлена численность инженерно-технических работников: не менее 5 сотрудников.

Все инженерно-технические работники должны иметь высшее образование в сфере ИБ и опыт работы 3 года, либо иное высшее образование, опыт работы 3 года и пройти профессиональную переподготовку по программам, согласованным ФСТЭК России.
 
Для руководителя работ установлены следующие требования: высшее образование в области ИБ или иное высшее образование с прохождением профессиональной переподготовки по программам, согласованным ФСТЭК России, стаж работы — не менее 5 лет.

Также ко всем работникам (относится как к ПП № 79, так и к ПП № 171) предлагается внести обязательное требование (согласно 166970 и 167110): прохождение повышения квалификации по направлению работ и (или) услуг, в течение 1 года до направления заявления в лицензирующий орган.

Вывод

Лицензионные требования становятся более конкретными и проверяемыми: усиливается контроль за кадровым составом, инфраструктурой и фактическим соответствием компании заявленным условиям.
При этом импортозамещение, использование отечественного ПО и оборудования закрепляются как отдельное направление ужесточения требований.
Ждём результатов рассмотрений проектов.