.png){kind=small}
В практике бухгалтерского аутсорсинга растёт применение электронного документооборота и передача отчётности по телекоммуникационным каналам связи с применением средств криптографической защиты информации (СКЗИ). В связи с этим возникает вопрос о необходимости получения лицензии ФСБ России для бухгалтера.
Постановлением Правительства РФ от 16.04.2012 № 313 утверждено «Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств». В Приложении к Постановлению указан перечень работ и услуг, подлежащих лицензированию, в том числе пункт 25 – предоставление услуг по шифрованию информации, не содержащей сведений, составляющих государственную тайну, с использованием шифровальных (криптографических) средств в интересах юридических и физических лиц, а также индивидуальных предпринимателей.
Официальная позиция Центра по лицензированию, сертификации и защите государственной тайны ФСБ изложена в письме ФСБ России от 23.06.2022 № С-2133, согласно которому представление бухгалтерской, налоговой и иной отчётности в электронном виде в интересах третьих лиц с использованием средств криптографической защиты информации (СКЗИ) квалифицируется как оказание услуг в области шифрования информации и подлежит лицензированию в установленном порядке.
На практике при подписании и передаче электронной отчётности используются криптографические средства, обеспечивающие создание и проверку электронной подписи, а также защиту информации при передаче. К ним относятся, в частности, программные средства – криптопровайдеры.
Поэтому в ситуации, когда бухгалтерская организация со своего рабочего места подписывает отчетность клиента квалифицированной электронной подписью (КЭП) в сочетании с машиночитаемой доверенностью (МЧД) и направляет ее по телекоммуникационным каналам связи (ТКС), необходимо учитывать используемые при этом криптографические средства. Обязанность по получению лицензии возникает не из-за самого факта обработки конфиденциальной информации, а в связи с осуществлением действий по шифрованию и (или) применению таких средств от имени или в интересах клиента, в том числе при подписании и передаче документов.
В случае если бухгалтерская организация осуществляет исключительно подготовку отчетности, а подписание и передача документов осуществляется самим клиентом, основания для квалификации такой деятельности как лицензируемой могут отсутствовать.
Ответственность за работу без лицензии
Осуществление деятельности, подлежащей лицензированию, без получения соответствующей лицензии может повлечь административную ответственность по статье 13.13 КоАП РФ, а также по статье 14.1 КоАП РФ. В отдельных случаях, при наличии признаков состава преступления, возможно привлечение к ответственности по статье 171 УК РФ.
По части 1 статьи 13.13 КоАП РФ за осуществление деятельности в области защиты информации без обязательной лицензии предусмотрен административный штраф:
- для граждан – от 500 до 1 000 рублей
- для должностных лиц – от 2 000 до 3 000 рублей
- для юридических лиц – от 10 000 до 20 000 рублей
Дополнительно может применяться конфискация средств защиты информации. При этом конфискация не является обязательным наказанием и применяется по решению суда.
Таким образом, бухгалтерским (аутсорсинговым) организациям рекомендуется провести правовой анализ используемой модели электронного документооборота и, при наличии признаков лицензируемой деятельности, оценить необходимость получения лицензии ФСБ для СКЗИ и обеспечить соблюдение требований законодательства о лицензировании в области криптографической защиты информации. Если есть вопросы, пишите на адрес sales@license.ru.
Часто задаваемые вопросы
Соискатель должен иметь необходимые помещения, оборудование и программные средства, обеспечить условия для защиты и конфиденциальности информации, а также располагать персоналом, обладающим необходимыми знаниями и навыками. Для работ по пункту 25 перечня, в частности, предусмотрены требования к руководителю и инженерно-техническому работнику: профильное образование либо переподготовка в области информационной безопасности и установленный стаж работы.
Сам по себе способ передачи – через оператора ТКС или через личный кабинет ФНС – не является решающим критерием. Если бухгалтерская компания от имени или в интересах клиента самостоятельно использует криптографические средства при подписании и передаче отчетности, необходимость лицензии оценивается исходя из характера выполняемых действий, а не только используемого канала связи.
В первую очередь рискует тот, кто ведет лицензируемую деятельность без необходимой лицензии. Поэтому, если бухгалтерская компания самостоятельно подписывает и направляет отчетность клиента с использованием СКЗИ, в первую очередь отвечать за возможное нарушение будет она. При этом правовая оценка зависит от того, как организована работа и какие функции выполняет каждая из сторон.
Лицензия на деятельность в области шифрования информации предоставляется бессрочно, поэтому периодически продлевать ее не требуется. При изменении сведений о лицензиате, адресах осуществления деятельности или перечне выполняемых работ и услуг может потребоваться внесение соответствующих изменений в реестр лицензий.
Конфискация по части 1 статьи 13.13 КоАП РФ возможна, но она не является обязательной: суд может назначить штраф с конфискацией или без нее. Речь идет о средствах защиты информации, а не об автоматической конфискации компьютерной техники организации; вопрос о том, какое конкретно имущество подпадает под конфискацию, решается с учетом обстоятельств дела и связи соответствующего оборудования со средством защиты информации.
Если компания только готовит бухгалтерскую и налоговую отчетность, а действия с КЭП, СКЗИ и отправкой документов выполняет сам клиент, основания для признания деятельности компании лицензируемой могут отсутствовать. При этом вывод нужно делать исходя из модели документооборота и того, кто использует криптографические средства и действует в интересах клиента.
