Почему подрядчикам Россетей нужна лицензия ФСТЭК на ТЗКИ

Если компания планирует участвовать в закупках ПАО «Россети» с целью поставки оборудования и ИТ-систем на объекты электросетевого комплекса, выполнения монтажа и наладки информационных систем, автоматизированных систем управления и информационно-телекоммуникационных сетей, получение лицензии ФСТЭК России на техническую защиту конфиденциальной информации (ТЗКИ) становится практически обязательным условием.

Это связано не только с формальными требованиями к подрядчикам, но и с действующими процедурами допуска оборудования и систем защиты к эксплуатации в инфраструктуре ПАО «Россети», включая требования по информационной безопасности и защите объектов критической информационной инфраструктуры.

Почему Россети требуют лицензию ФСТЭК

Внутренние документы ПАО «Россети» прямо указывают, что проверка цифрового оборудования и программного обеспечения проводится в рамках законодательства Российской Федерации в области защиты информации.

Особенно важно, что проверка осуществляется не только документарно, но и в формате функциональных испытаний программного обеспечения и встроенных средств защиты информации.

Согласно Методике ПАО «Россети» №391 от 28.08.2020:

• проводятся функциональные испытания программного обеспечения;
• осуществляется анализ встроенных средств защиты информации;
• привлекаются экспертные организации;
• допускается использование результатов работ организаций, аккредитованных ФСТЭК России;
• выполняется исследование исходного кода программного обеспечения для выявления уязвимостей.

Требования Россети Московский регион

Согласно пункту 3.6.2 Методических указаний, утверждённых приказом ПАО «Россети Московский регион» от 24.04.2023 №380, при создании и модернизации информационных систем и объектов ИТ-инфраструктуры должны выполняться мероприятия по обеспечению информационной безопасности.

Требования на этапе проектирования

На этапе проектирования предусматривается:

• определение перечня информации, подлежащей защите;
• определение класса и уровня защищённости системы;
• разработка модели угроз безопасности информации;
• учёт требований законодательства к защите информации;
• разработка архитектуры системы информационной безопасности;
• выбор средств защиты информации.

Для выполнения данных работ требуется лицензия ФСТЭК России на ТЗКИ по пункту «Д».

Требования на этапе внедрения

На этапе внедрения выполняются:

• монтажные и пусконаладочные работы средств автоматизации;
• внедрение встроенных функций защиты информации;
• разработка организационно-распорядительной документации;
• предварительные испытания системы защиты информации;
• опытная эксплуатация;
• приёмочные испытания;
• аттестация объектов информатизации.

Для выполнения указанных работ необходима лицензия ФСТЭК на ТЗКИ по пункту «Е».

Аттестация объектов информатизации

В Методических указаниях ПАО «Россети» отдельно указано, что оценка соответствия объектов автоматизации требованиям безопасности информации проводится в форме аттестации.

Аттестация выполняется в соответствии с:

• Приказом ФСТЭК России от 29.04.2021 №77;
• требованиями по защите информации ограниченного доступа;
• правилами проведения испытаний подсистем безопасности.

Проведение данных работ требует наличия лицензии ФСТЭК России на ТЗКИ по пункту «Г».

Какие пункты лицензии ТЗКИ необходимы подрядчикам Россетей

Подрядчикам ПАО «Россети» обычно требуется лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации по следующим пунктам:

• пункт «б»;
• пункты «д1», «д2», «д3»;
• пункты «е4», «е5», «е6».

Указанные пункты охватывают:

• анализ защищённости информации;
• контроль эффективности мер защиты;
• проведение работ с использованием технических средств защиты информации;
• монтаж и внедрение систем защиты;
• испытания и сопровождение подсистем безопасности.

Дополнительные лицензии для подрядчиков Россетей

Помимо лицензии ФСТЭК России на ТЗКИ, подрядчику могут потребоваться:

• лицензии на услуги связи по предоставлению каналов связи;
• лицензия МЧС на монтаж, техническое обслуживание и ремонт средств обеспечения пожарной безопасности зданий и сооружений.

Нормативно-правовая база

Основные нормативные документы:

1. Постановление Правительства РФ №79 от 03.02.2012 — регулирует лицензирование деятельности по технической защите конфиденциальной информации.
2. Приказ ФСТЭК России №117 от 11.04.2025 — устанавливает требования по защите информации в государственных информационных системах.
3. Указ Президента РФ №1085 от 16.08.2004 — утверждает Положение о ФСТЭК России.
4. Письмо ФСТЭК России от 28.10.2024 №240/13/5159 — разъясняет порядок лицензирования отдельных видов деятельности в области защиты конфиденциальной информации.

Судебная практика

Судебная практика подтверждает правомерность требований о наличии лицензии ФСТЭК у участников закупок.

Например, в Постановлении АС Дальневосточного округа от 30.01.2024 по делу № А24-1968/2023 суд поддержал требование о наличии лицензии ФСТЭК для выполнения работ по информационной безопасности.

Внутренние документы Россетей

При участии в закупках подрядчикам необходимо учитывать:

• Методику ПАО «Россети» проведения проверки цифрового оборудования и систем на соответствие требованиям безопасности информации;
• Методические указания ПАО «Россети Московский регион» по эксплуатации, реконструкции и строительству электросетевых объектов;
• требования по защите объектов критической информационной инфраструктуры.

Особенности конкурсной документации

При формировании требований к участникам закупок важно корректно указывать:

• какие именно работы относятся к деятельности по технической защите информации;
• почему для их выполнения требуется лицензия ФСТЭК;
• какие функции подрядчик выполняет самостоятельно, а какие могут передаваться субподрядчикам.

При этом судебная практика Верховного Суда РФ указывает, что требование лицензии может быть признано избыточным, если работы по защите информации не являются самостоятельным объектом закупки и допускается привлечение субподрядчиков с соответствующей лицензией.

Заключение

Для подрядчиков ПАО «Россети» лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации является не формальностью, а необходимым условием участия в проектах, связанных с цифровой инфраструктурой, автоматизированными системами управления и объектами критической информационной инфраструктуры.