Регуляторный риск цифрового сервиса
Для оценки модели сервиса нужны описание продукта, пользовательские документы и схема участников: что компания размещает, кому предоставляет доступ и как организует обмен информацией.
Адвокат для бизнеса по вопросам Роскомнадзора, ФСБ, ФСТЭК и КИИ
Претензия к цифровому сервису, вопрос о лицензии и проверка критической информационной инфраструктуры требуют разного разбора. Здесь можно выбрать помощь по своему документу и стадии работы: оценить регуляторный риск, подготовить позицию или разобраться с требованиями к объекту КИИ.
Другие разделы
Коротко
Группа объединяет 8 услуг: претензии Роскомнадзора, статус интернет-сервиса, лицензирование шифровальных средств или технической защиты информации, категорирование и проверки КИИ — критической информационной инфраструктуры. Название ведомства не определяет способ помощи. По описанию деятельности, документу органа и сведениям о системе я сопоставлю правовой вопрос с техническими фактами и определю состав поручения.
Услуги и темы раздела
8 услуг
- Защита цифрового сервиса от регуляторного риска по линии Роскомнадзора
- Оспаривание претензий Роскомнадзора к обработке персональных данных
- Защита владельца сайта и оператора связи по делам Роскомнадзора
- Реестр организаторов распространения информации и закон о приземлении
- Лицензия ФСБ на шифровальные средства — юридическое сопровождение бизнеса
- Лицензия ФСТЭК на техническую защиту информации — юридическое сопровождение бизнеса
- Категорирование объектов КИИ и защита значимых объектов
- Проверка ФСТЭК по КИИ и ответственность — юридическое сопровождение бизнеса
Показать всёСкрыть
Когда нужна помощь
Ориентируйтесь на событие и документ, а не только на название регулятора.
- Компания запускает цифровой сервис. Для проверки рисков подготовьте описание функций, пользователей, обмена информацией и роли подрядчиков: одинаковый интерфейс может скрывать разные модели работы.
- Получены запрос, акт или предписание Роскомнадзора. Установите, касается ли документ персональных данных, владельца сайта или оператора связи, и соберите подтверждения работы сервиса в спорный период.
- Обсуждается лицензия ФСБ или ФСТЭК. Нужны перечень планируемых работ, описание продукта и договоры. Вопрос о шифровальных средствах следует отделить от технической защиты информации.
- Нужен разбор категорирования КИИ или замечаний к материалам. При начавшейся проверке принесите её документы, переписку и сведения о выполненных мероприятиях.
Виды дел
Каждая задача соответствует отдельной услуге каталога.
Претензии к обработке персональных данных
Конкретное замечание Роскомнадзора требует разбора предъявленного нарушения. Подготовьте текст претензии, документы оператора и подтверждения фактических действий; общей оценки запуска сервиса недостаточно.
Дела владельца сайта и оператора связи
Для защиты важны принадлежность сайта, роль компании и содержание требования. Принесите материалы дела и договоры управления ресурсом или оказания услуг связи.
Реестр ОРИ и закон о приземлении
ОРИ — организатор распространения информации. Статус сервиса и регулирование иностранных интернет-компаний разбираются отдельно. Понадобятся описание функций, структура владельцев и переписка о реестре или требованиях к компании.
Лицензия ФСБ на шифровальные средства
Для оценки необходимости лицензии нужны конкретные операции компании, документация на продукт и договоры. Упоминания шифрования в описании программы недостаточно для вывода.
Лицензия ФСТЭК на техническую защиту информации
Разбор касается состава работ по технической защите информации и документов компании. Выводы о лицензировании шифровальных средств сюда не переносятся: предмет оценки другой.
Категорирование и защита значимых объектов КИИ
Для проверки статуса организации и решений о категории нужны перечень объектов, материалы комиссии и расчёты показателей. Правовая оценка опирается на подтверждённые технические сведения.
Проверка ФСТЭК по КИИ и ответственность
При начавшейся проверке нужны документы органа, материалы категорирования и доказательства защиты объекта. Ответ на замечания — отдельная задача от подготовки первичного решения о категории.
Показать всёСкрыть
Чем поможет адвокат
- Определяю предмет поручения. Сопоставляю деятельность компании с вопросом ведомства, отделяю подготовку документов от защиты по делу. Уточняю сведения у руководителя, разработчика и специалиста по информационной безопасности.
- Проверяю согласованность материалов. Сравниваю договоры, описание системы, внутренние решения и прежние ответы регулятору. Выявляю документальные расхождения и вопросы, требующие технического заключения.
- Готовлю правовую позицию. Разбираю основания требования, формулирую пояснения и возражения, оцениваю способы обжалования. Объём представительства согласую после изучения материалов дела.
- Сопровождаю лицензионную задачу. Сопоставляю операции компании с лицензионными требованиями ФСБ или ФСТЭК. Проверяю комплект заявления, готовлю ответы на замечания органа.
- Разбираю документы КИИ. Проверяю обоснование решения комиссии и направленные сведения. При проверке ФСТЭК сопоставляю каждое замечание с документами по категорированию и защите объекта.
Как я веду дело
- 1Зафиксировать исходную ситуациюУточняю роль компании, функции продукта, стадию обращения и даты получения документов. Если есть требование органа, сначала выделяю его предмет и указанные в нём сроки.
- 2Собрать подтвержденияОпределяю, какие документы нужны для позиции и какие факты следует уточнить у технических специалистов. Прошу сохранить версии материалов спорного периода отдельно от текущих исправлений.
- 3Выбрать действиеОбсуждаю с доверителем выводы, состав ответа, подготовку лицензионных материалов или работу с документами КИИ. При споре отдельно оцениваю порядок обжалования и необходимые доказательства.
- 4Подготовить пакет для органаСоставляю ответ или заявление, связываю доводы с приложениями. Технические пояснения сверяю со специалистом компании.
- 5Разобрать результат рассмотренияИзучаю ответ ведомства и новые замечания. Определяю, какие материалы дополнить, что подтвердить исполнением и какие основания решения оспаривать.
Что подготовить к консультации
- Полученные запросы, акты, предписания и решения вместе с подтверждениями даты их получения и прежними ответами.
- Описание сервиса или системы, схему участников, перечень работ компании и относящиеся к ним договоры.
- По вопросу КИИ — перечень объектов, решения комиссии, сведения о категории и документы по защите; по лицензии — имеющиеся материалы заявления.
- Действующие и прежние политики обработки данных, пользовательские правила, журналы и переписку за спорный период.
Типичные ошибки
Сначала установите факты, затем формулируйте выводы.
- Смешивать разные задачи ведомств. Универсальное письмо по обработке данных, лицензии и КИИ может оставить требование без ответа по существу. Выберите предмет разбора по документу и фактическим действиям компании.
- Заменять доказательства новой редакцией документов. Исправленная политика или обновлённый внутренний акт не показывают сами по себе, как компания работала раньше. Сохраните прежние версии, журналы и переписку, а дату изменения фиксируйте отдельно.
- Давать правовую оценку без описания системы. Название продукта не раскрывает операции, права на объект и последствия сбоя; вывод может оказаться ошибочным. Запросите техническое описание системы для проверки правовых оснований.
- Откладывать ответ до завершения аудита. Сбор технических сведений может занять время и привести к пропуску срока. Зафиксируйте дату получения требования и сразу определите порядок ответа.
- Считать лицензию подрядчика достаточной для компании. Так можно пропустить оценку собственных работ. Разделите операции сторон по договорам и фактическому исполнению, затем проверьте требования к каждой.
Что нужно доказать
- Полномочия по персональным данным. Статья 23 Закона № 152-ФЗ предусматривает запрос информации, проверку сведений уведомления и другие полномочия уполномоченного органа, а также судебное обжалование его решений. Для выбора позиции важно установить, какое именно полномочие реализуется в полученном документе.
- Объект КИИ и значимый объект. По определениям ст. 2 Закона № 187-ФЗ значимый объект имеет присвоенную категорию и включён в соответствующий реестр. Наличие информационной системы само по себе не отвечает на вопрос о статусе организации и значимости объекта.
- Решение о категории. Статья 7 Закона № 187-ФЗ регулирует категорирование, направление сведений о его результатах и проверку этих сведений. Закон предусматривает и отсутствие необходимости присвоения категории: такой вывод требует обоснования по применимым критериям.
- Обязанности после категорирования. Статья 9 Закона № 187-ФЗ различает обязанности субъектов КИИ и дополнительные обязанности владельцев значимых объектов, а также предусматривает обязанности иных перечисленных организаций. Отсутствие категории не следует автоматически считать отсутствием всех требований.
Позиции высших судов по разделу
Как суды применяют нормы раздела — дословно из постановлений Пленума
Действия лица квалифицируются по части 1 статьи 274.1 УК РФ, если установлено, что компьютерные программы или иная компьютерная информация предназначены для незаконного воздействия именно на критическую информационную инфраструктуру Российской Федерации, определение понятия которой содержится в статье 2 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». В ином случае действия лица при наличии на то оснований могут быть квалифицированы по статье 273 УК РФ.
При этом следует учитывать, что использование вредоносных компьютерных программ для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации (в том числе в случае, когда осуществляется распространение этих программ на объекты критической информационной инфраструктуры исключительно для их последующего использования) полностью охватывается частью 2 статьи 274.1 УК РФ и дополнительной квалификации по статье 273 УК РФ не требует.
Постановление Пленума ВС РФ от 15.12.2022 № 37 «О некоторых вопросах судебной практики по уголовным делам о преступлениях в сфере компьютерной информации, а также иных преступлениях, совершенных с использованием электронных или информационно-телекоммуникационных сетей, включая сеть «Интернет»», п. 13Стоимость зависит от задачи, стадии дела, объёма документов и необходимых действий. После разбора ситуации согласуются состав поручения, порядок оплаты и расходы. Условия работы закрепляются в письменном соглашении; дополнительные действия обсуждаются отдельно.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
Константин Александрович Вруцкий
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Личное ведениеВеду дело лично по письменному соглашению с адвокатом; в нём закрепляю поручение и объём помощи.
Честная оценкаНе обещаю результата. Оцениваю перспективы и риски; если задача решается своими силами, говорю прямо.
Адвокатская тайнаСведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия. Объём представительства и обжалования закрепляю в соглашении.
Частые вопросы
Что выбрать, если компания только запускает сервис?
Начните с оценки регуляторного риска цифрового сервиса. Известный вопрос о реестре, лицензии или КИИ обозначьте на консультации: это поможет выбрать услугу без предположения, что продукту нужен весь набор.
Можно ли разобрать несколько требований вместе?
Да, если они относятся к одной деятельности компании. Принесите каждый документ и предыдущую переписку. Я выделю самостоятельные вопросы и предложу последовательность работы с учётом их стадии и сроков.
Достаточно ли направить описание программы?
Для предварительного обсуждения оно полезно. Правовой вывод требует сведений об операциях, договорах и участниках. По КИИ важны роль организации и характеристики систем; по спору — основания претензии.
Кто готовит технические сведения?
Сотрудники компании или привлечённые специалисты, знакомые с системой. Я определяю юридически значимые вопросы и проверяю согласованность документов. Состав технических работ обсуждается отдельно.
Показать все вопросыСкрыть вопросы
Отсутствие категории КИИ освобождает от всех обязанностей?
Нет. По ст. 9 Закона № 187-ФЗ обязанности субъекта КИИ сохраняются и без значимого объекта. Для разбора принесите решение о неприсвоении категории и его обоснование; я проверю статус организации и применимые требования.