Скандальный законопроект, предполагающий внесение поправок в целый ряд федеральных законов, касающихся российского интернета, продолжает своё движение по коридорам власти. 15 октября 2009 года должно состояться его обсуждение в Общественной палате. В преддверии этого обсуждения «Частный корреспондент» публикует официальное (и отрицательное) заключение Министерства связи и массовых коммуникаций РФ на этот законопроект.
Министерство связи и массовых коммуникаций Российской Федерации рассмотрело проекты федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам обеспечения безопасности использования государственных информационных ресурсов» (далее — законопроект) и распоряжения Президента Российской Федерации «Об утверждении Концепции безопасности использования государственных информационных ресурсов» и сообщает следующее.
1. В статье 1 законопроекта предлагается внести изменения в Уголовный кодекс Российской Федерации (далее — УК РФ), направленные на установление ответственности за неправомерный доступ к государственным информационным системам и (или) содержащимся в них государственным информационным ресурсам.
Изменения (дополнения) предлагается внести в Главу 28 УК РФ «Преступления в сфере компьютерной информации», которая уже содержит достаточное число составов преступлений в этой сфере, причём предлагаемые дополнения по своему содержанию полностью перекрываются составами преступлений, предусмотренных статьями 272 и 274 указанной Главы. Редакция статьи 272 Уголовного кодекса Российской Федерации включает в себя и те ЭВМ, которые эксплуатируются органами государственной власти (государственные информационные системы) и ту информацию, которую используют органы государственной власти (государственные информационные ресурсы), т.к. не указан субъект, который эксплуатирует такую ЭВМ и (или) использует такую информацию. Считаем нецелесообразным устанавливать два состава преступления, имеющим одинаковый объект, субъект, объективную сторону и субъективную сторону. Подобное закрепление дублирующих положений может привести к ненужным затруднениям в оценке преступлений.
В соответствии с частью 9 статьи 15 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» под государственными информационными ресурсами понимается «информация, содержащаяся в государственных информационных системах, а также иные имеющиеся в распоряжении государственных органов сведения и документы». В связи с чем представляется нецелесообразным уточнение «и (или) содержащимся в них государственным информационным ресурсам», поскольку вся информация, содержащаяся в государственных информационных системах, относится к государственным информационным ресурсам. Кроме того, в предлагаемой статье не учтены государственные информационные ресурсы, не содержащиеся в информационных системах («иные имеющиеся в распоряжении государственных органов сведения и документы»), что влечёт невозможность привлечения к ответственности в соответствии с предлагаемой статьёй УК РФ за неправомерное использование государственных информационных ресурсов, к примеру, переведённых на бумажный носитель.
Кроме того, представляется нецелесообразным устанавливать ответственность за копирование информации, размещённой в сети Интернет, учитывая, что размещение информации в сети Интернет направлено на предоставление максимально широкого доступа к такой информации.
В абзаце 5 статьи 1 законопроекта «критически важные объекты» закрепляются в составе квалифицирующих признаков, отягчающих уголовную ответственность за совершённое деяние.
Вместе с тем предлагаемое в абзаце 7 статьи 1 законопроекта понятие критически важных объектов содержит слишком неопределённые признаки, что может привести к затруднениям в квалификации преступлений и злоупотреблениям. Квалифицирующим признаком при неправомерном доступе к государственным информационным системам и государственным ресурсам должны быть негативные последствия (крупный ущерб и т.п.), а не действия лица, выразившиеся в неправомерном доступе.
Учитывая изложенное, полагаем целесообразным исключить статью 1 из текста законопроекта, а также пункт 5 раздела 4 проекта Концепции безопасности использования государственных информационных ресурсов (далее — проект Концепции).
2. Действующая редакция статьи 13.12. Кодекса Российской Федерации об административных правонарушениях содержит более широкие понятия, чем предлагается в подпункте «а» пункта 1 статьи 2 законопроекта. Предлагаемые указанным подпунктом изменения являются избыточными, т.к. состав уже содержит ответственность за использование «сертифицированных средств защиты информации», а предлагаемый термин «средства, предназначенные для защиты информации» является аналогичным термину «средства защиты информации».
Кроме того, в соответствии с частью 1 статьи 14 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» государственные информационные системы создаются в целях реализации полномочий государственных органов и обеспечения обмена информацией между этими органами, в этой связи целесообразно устанавливать дисциплинарную ответственность должностных лиц соответствующих государственных органов, что требует внесения изменений в иные нормативные акты.
В связи с изложенным полагаем целесообразным исключить статью 2 из текста законопроекта, а также второе предложение абзаца 1 раздела 3 и абзац 10 раздела 3 проекта Концепции.
3. Абзац 4 пункта 1 статьи 3 законопроекта предусматривает определение оператора услуг сети Интернет. Вместе с тем, согласно пункту 4 раздела XVI перечней лицензионных условий осуществления деятельности в области оказания соответствующих услуг связи, утверждённых постановлением Правительства Российской Федерации от 18 февраля 2005 г. № 87, обеспечение предоставления абоненту и (или пользователю) доступа к информационным системам информационно-телекоммуникационных сетей, в том числе к сети Интернет является лицензионным условием осуществления деятельности в области оказания телематических услуг связи. Регулирование отношений, связанных с оказанием услуг электросвязи, относится к сфере действия Федерального закона от 07 июля 2003 г. № 126-ФЗ «О связи» в соответствии с частью 1 статьи 3 указанного Федерального закона.
Законопроектом также устанавливается, что порядок взаимодействия операторов услуг сети Интернет с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность, устанавливается Правительством Российской Федерации, а проектом Концепции предусматривается подготовка соответствующего проекта постановления Правительства Российской Федерации. Между тем Правила взаимодействия операторов связи с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность, уже утверждены постановлением Правительства Российской Федерации от 27 августа 2005 г. № 538, в связи с чем возникает вопрос о целесообразности дублирования норм права.
Также весьма спорным является отнесение к операторам услуг сети Интернет юридических лиц или индивидуальных предпринимателей, оказывающих иные (не связанные с предоставлением доступа) услуги с использованием сети Интернет. Под это определение, в том числе, попадают магазины, службы бронирования билетов (гостиниц) и прочие юридические лица и индивидуальные предприниматели, чья деятельность не связана с предоставлением доступа к сети Интернет и для которых предоставление услуг с использованием сети Интернет не является основным видом деятельности.
Кроме того, из текста законопроекта и пояснительной записки невозможно сделать однозначный вывод о том, как соотносится обеспечение безопасности использования государственных информационных ресурсов с обязанностью юридических лиц и индивидуальных предпринимателей, оказывающих различные услуги с использованием сети Интернет, предоставлять уполномоченным государственным органам, осуществляющим оперативно-разыскную деятельность, информацию о пользователях и об оказываемых им услугах и как эти нормы согласуются с законодательством о персональных данных.
Таким образом, понятие, предлагаемое абзацем 4 пункта 1 статьи 3, а также пунктом 2 статьи 2, абзацами 8—11 пункта 4 стати 3 законопроекта, пункта 2 раздела I проекта Плана первоочередных мероприятий по реализации Концепции безопасности использования государственных информационных ресурсов (далее — проект Плана) считаем целесообразным исключить.
4. На сегодняшний день значительная часть государственных информационных систем уже создана и введена в эксплуатацию. Соответственно закрепление обязательных требований к порядку ввода в эксплуатацию отдельных государственных информационных систем во всех случаях, как это предусмотрено абзацем 2 подпункта «а» пункта 3 статьи 3 законопроекта, представляется нецелесообразным.
Кроме того, вступившим в силу постановлением Правительства Российской Федерации от 10 сентября 2009 г. № 723 «О порядке ввода в эксплуатацию отдельных государственных информационных систем» установлено, что осуществление государственной регистрации государственных информационных систем является одним из требований к вводу таких систем в эксплуатацию, в связи с чем отдельное упоминание в абзаце 2 подпункта «а» пункта 3 статьи 3 законопроекта о необходимости установления Правительством Российской Федерации соответствующих требований к порядку государственной регистрации указанных систем представляется нецелесообразным.
В настоящее время при создании и эксплуатации государственных информационных систем необходимо соблюдение требований о защите информации, содержащейся в государственных информационных системах, установленных федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации. Предусматривать дополнительные требования по оценке соответствия требованиям о защите информации государственных информационных систем представляется нецелесообразным. В связи с изложенным полагаем необходимым исключить подпункт «а» пункта 3 статьи 3 из текста законопроекта, абзац 19 подраздела 2.3. и абзац 2 раздела 3 проекта Концепции, пункт 1 раздела I проекта Плана.
5. В соответствии с Положением о регистрации федеральных государственных информационных систем, утверждённым постановлением Правительства Российской Федерации от 10 сентября 2009 г. № 723, регистрации подлежат информационные системы. Информация об информационных ресурсах, входящих в состав таких систем отражается в соответствующих разделах Реестра федеральных государственных информационных систем в составе информации об информационной системе. Кроме того, указанным постановлением Правительства Российской Федерации регламентируются исключительно процедуры регистрации, о процедурах учёта информационных систем или ресурсов в указанном постановлении не упоминается. В связи с изложенным, а также учитывая, что осуществлять процедуры учёта и (или) регистрации государственных информационных ресурсов без учёта (или) регистрации системы, в которой такие ресурсы содержатся, представляется нецелесообразным, считаем необходимым исключить подпункт «б» пункта 3 статьи 3 из текста законопроекта.
6. Абзац 3 пункта 4 статьи 3 законопроекта предусматривается определение информационно-телекоммуникационной сети Интернет: «представляет собой информационно-телекоммуникационную сеть, связывающую информационные системы, информационно-телекоммуникационные сети, средства вычислительной техники различных стран посредством сетевых адресов...». Вместе с тем такое определение является весьма спорным, учитывая, что связь между перечисляемыми компонентами осуществляется на физическом уровне каналами связи и иными объектами телекоммуникационной и компьютерной инфраструктуры, таким же спорным является предложение о внесении данного определения в Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а не в Федеральный закон от 7 июля 2003 г. № 126-ФЗ «О связи».
В связи с изложенным предлагаем исключить абзацы 2, 3 пункта 4 статьи 3 законопроекта.
7. В абзаце 4—7 пункта 4 статьи 3 законопроекта вводится закрепление наименований национальных доменов Российской Федерации актом Правительства Российской Федерации. При этом указывается, что регулирование регистрации и использования доменных имён в национальных доменах Российской Федерации осуществляется с учётом общепринятой
практики деятельности саморегулируемых организаций в этой области.
Вместе с тем в настоящее время указанные вопросы применительно, к примеру, к доменам типа .RU, находятся в компетенции международных и самоуправляемых организаций. Само наименование домен .RU по своей форме представляет собой часть таблицы сокращений государственных наименований, принимаемых Международной организацией стандартизации (ISO). В этой связи существует опасность, что закреплённые Правительством Российской Федерации наименования доменов не будут соответствовать международным стандартам, и, соответственно, не смогут функционировать в сети Интернет.
Действующие Правила регистрации доменных имён в Российской Федерации разработаны на основе рекомендаций международных организаций, обеспечивают связность и надёжность функционирования сети Интернет (в первую очередь на территории Российской Федерации) и реализуются с участием Администрации связи Российской Федерации. Из текста законопроекта и пояснительной записки невозможно сделать однозначный вывод о том, какие проблемы возникают в связи с регистрацией доменных имён в действующем на сегодняшний день порядке, также остаётся неясным, как регулирование вопросов присвоения наименования доменам может повлиять на безопасность использования государственных информационных ресурсов.
Абзацем 7 пункта 4 статьи 3 законопроекта предлагается установить, что правила регистрации доменных имён в национальных доменах Российской Федерации должны содержать порядок подтверждения данных о лицах, регистрирующих доменные имена. Вместе с тем считаем необходимым уточнить, о каких данных идёт речь.
Вводимые абзацем 7 пункта 4 статьи 3 законопроекта предложения о порядке аннулирования регистрации доменных имён не учитывают имеющуюся практику регистрации доменов в России (и, соответственно, аннулирования такой регистрации в необходимых случаях), и тот факт, что услуга по регистрации доменных имён квалифицируется как возмездное оказание услуг, при котором обе стороны договора несут определённый объём прав и обязанностей.
В связи с указанным считаем целесообразным исключить абзацы 4—7 пункта 4 статьи 3 законопроекта, а также абзац 20 подраздела 2.3 проекта Концепции.
8. В абзаце 3 раздела I проекта Концепции указано, что Концепция определяет цели, принципы и задачи обеспечения безопасности государственных информационных ресурсов, основные направления государственной политики в области обеспечения безопасности использования государственных информационных ресурсов, проблемы обеспечения безопасности их использования. Вместе с тем проект Концепции также содержит разделы (подразделы), отражающие проблемы правового регулирования в сфере обеспечения безопасности использования государственных информационных ресурсов (подраздел 2.3. проекта Концепции), направления совершенствования обеспечения безопасности использования государственных информационных ресурсов (раздел 4 проекта
Концепции), ожидаемые результаты реализации Концепции (раздел 5 проекта Концепции). Учитывая изложенное, полагаем необходимым уточнить структуру проекта Концепции и абзац 3 раздела 1 проекта Концепции.
9. Также в проекте Концепции отсутствуют цели, задачи и направления деятельности по преодолению ряда проблем, отмеченных в разделе 3 проекта Концепции, в частности, в проекте Концепции не отражено, каким образом планируется решать проблемы отставания отечественных информационно-телекоммуникационных технологий от иностранных, проблемы закупки государственными органами технологий иностранного производства.
10. Считаем необходимым уточнить, на какой срок рассчитана Концепция, в какие сроки планируется реализовать поставленные задачи и достигнуть запланированных разделом 5 результатов. Исходя из предполагаемых сроков реализации Концепции можно будет сделать вывод о целесообразности установления проектом Концепции ряда направлений государственной политики в области обеспечения безопасности использования государственных информационных ресурсов и достижимости желаемых результатов.
11. Предлагаем исключить понятие государственных информационных ресурсов и государственных информационных систем из понятийного аппарата проекта Концепции, поскольку понятие и основные характеристики таких систем и ресурсов определены в основополагающем нормативном правовом акте Российской Федерации, регламентирующем сферу информационных технологий — Федеральном законе от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
12. Из текста проекта Концепции не ясна необходимость установления перечня наиболее значимых государственных информационных ресурсов, учитывая, что далее по тексту проекта Концепции к этому перечню разработчик не обращается. Кроме того, невозможно сделать однозначный вывод о том, из каких критериев исходил разработчик проекта Концепции, предлагая перечень наиболее значимых государственных информационных ресурсов, учитывая, что в перечне содержатся государственные информационные ресурсы, определённые по обладателю информации, по характеру информации, по информационным системам, в которых такая информация содержится. Исходя из указанного перечня, к наиболее значимым можно отнести большую часть существующих государственных информационных ресурсов, что делает нецелесообразным выделение «наиболее значимых» из общей массы государственных информационных ресурсов. Также не представляется возможным определить, что подразумевается под «другими» государственными информационными ресурсами, относящимся к наиболее значимым.
Считаем, что перечень наиболее значимых государственных информационных ресурсов должен быть закрытым, давать чёткое представление о том, по каким признакам были выделены такие государственные информационные ресурсы, и какими признаками должны обладать государственные информационные ресурсы для внесения их в перечень наиболее значимых. Кроме того, учитывая положения абзаца 8 раздела I проекта Концепции, в перечень наиболее значимых в рамках проекта Концепции должны включаться государственные информационные ресурсы, доступ к которым не ограничен законодательством Российской Федерации.
13. Весьма спорной является предусмотренная абзацем 2 подраздела 2.1. проекта Концепции норма о централизованном создании общегосударственных информационных ресурсов, «являющихся учётными системами, содержащих полную... юридически значимую информацию и обеспечении доступности такой информации на межведомственном уровне, для граждан и организаций». Юридически значимая информация подразумевает наличие сведений о гражданах и организациях, а также сведений о юридических фактах, связанных с гражданами и организациями, и относится к категории информации ограниченного доступа. В связи с этим выделение указанного пункта в качестве отдельного направления государственной политики в области обеспечения безопасности использования государственных информационных ресурсов в рамках проекта Концепции, не распространяющейся на государственные информационные ресурсы, доступ к которым ограничен, представляется нецелесообразным. Кроме того, общегосударственные информационные ресурсы в соответствии с пунктом 3 статьи 2, части 9 статьи 14 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» могут являться частью учётных систем, а не учётными системами как таковыми. Также вызывает неоднозначное понимание само определение общегосударственных информационных ресурсов. Из текста проекта Концепции невозможно сделать однозначный вывод о том, по каким признакам информационные ресурсы можно отнести к общегосударственным: по источнику формирования или по спектру пользователей. Таким образом, предлагаем выделить понятие «общегосударственные информационные ресурсы» в понятийном аппарате проекта Концепции.
14. Из абзаца 9 подраздела 2.1. проекта Концепции предлагаем исключить слово «(нотаризации)», учитывая, что нотаризация подразумевает наличие третьей доверенной стороны для удостоверения подлинности и неизменности представленной информации, вместе с тем функции, предусмотренные в указанном абзаце, могут осуществляться различными способами в отсутствие третьей доверенной стороны, например, с использованием электронной цифровой подписи или иных аналогов собственноручной подписи.
15. В абзаце 11 подраздела 2.1. проекта Концепции слово «ресурсами» предлагаем заменить словом «системами».
16. Государственный регистр населения, государственный регистр юридических лиц и индивидуальных предпринимателей и иные регистры и реестры, перечисленные в абзаце 25 подраздела 2.1 проекта Концепции, по всем признакам соответствуют понятию государственных информационных систем, предусмотренных пунктом 3 статьи 2 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В связи с изложенным предлагаем уточнить формулировку абзаца 25 подраздела 2.1. проекта Концепции.
17. В соответствии с частью 1 статьи 13 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» абзац 3 подраздела 2.2. проекта Концепции предлагаем изложить в следующей редакции: «обеспечение безопасности использования государственных информационных ресурсов при взаимодействии государственных информационных систем между собой, с муниципальными информационными системами и иными информационными системами».
18. В абзаце 8 подраздела 2.3. проекта Концепции указано, что с помощью общероссийского государственного информационного центра будет обеспечен перевод в электронный вид социально значимых и наиболее востребованных государственных услуг. Вместе с тем в рамках Концепции формирования в Российской Федерации электронного правительства до 2010 года, утверждённой распоряжением Правительства Российской Федерации от 06 мая 2008 г. № 632-р, создаётся ряд информационных технологий и систем, с помощью которых будет осуществляться такой перевод, в том числе, Единый портал государственных и муниципальных услуг (функций). Таким образом, указание на какую-то одну информационную систему, с помощью которой будет осуществляться перевод государственных услуг в электронный вид, представляется нецелесообразным.
19. В абзаце 13 проекта Концепции указано, что особо актуальной является проблема государственного учёта государственных информационных систем и ресурсов. Вместе с тем вступило в силу постановление Правительства Российской Федерации от 10 сентября 2009 г. № 723 «О порядке ввода в эксплуатацию отдельных государственных информационных систем», предусматривающее обязательную регистрацию отдельных государственных информационных систем. Процедура регистрации в соответствии данным постановлением Правительства Российской Федерации до настоящего времени не проводилась, в связи с чем данные о зарегистрированных государственных информационных системах, приведённые в абзаце 15 проекта Концепции, являются устаревшими.
Также следует обратить внимание на то, что регистрация государственных информационных систем не может решить проблему «отличия» государственных информационных систем от иных информационных систем, поскольку порядок регистрации (сбора информации) о государственной информационной системе не может подменять собой выделение определённых характеристик, критериев и признаков государственной информационной системы. Указанные характеристики уже предусмотрены статьями. 13, 14 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
В связи с изложенным предлагаем исключить абзацы 13—18 проекта Концепции, пункт 1 раздела I проекта Плана, и, в случае необходимости, предусмотреть в проекте Концепции дополнительные критерии отнесения информационных систем к государственным по сравнению с установленными Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
20. В проекте Концепции, не распространяющемся на государственные информационные ресурсы, содержащие информацию ограниченного доступа, нецелесообразно затрагивать проблемы обеспечения безопасности персональных данных и сведений, составляющих служебную тайну, поскольку в рамках указанного документа такие проблемы не могут быть решены. В связи с чем считаем целесообразным исключить абзац 6 раздела 3 проекта Концепции.
21. Учитывая, что критерии отнесения информационных систем к критически важным до настоящего времени нормативными правовыми актами Российской Федерации не установлены, предлагаем уточнить формулировку последнего абзаца раздела 3 проекта Концепции.
22. В настоящее время действует приказ Мининформсвязи России от 27 декабря 2005 г. № 147 «Об утверждении квалификационных требований к федеральным государственным гражданским служащим и государственным гражданским служащим субъектов Российской Федерации в области использования информационных технологий». Данные требования распространяются, в том числе, на сотрудников государственных органов, осуществляющих создание, эксплуатацию и защиту государственных информационных ресурсов, а также формирование электронного правительства. В связи с изложенным предлагаем уточнить или исключить пункт 6 раздела 4 проекта Концепции.
23. В соответствии с постановлением Правительства Российской Федерации от 10 сентября 2009 г. № 723 «О порядке ввода в эксплуатацию отдельных государственных информационных систем» планируется к созданию федеральная информационная система «Реестр федеральных государственных информационных систем». Оператором указанной системы определён Роскомнадзор. В связи с изложенным предлагаем уточнить пункт 1 раздела II проекта Плана.
В соответствии с вышеизложенными замечаниями представленные проекты нуждаются в концептуальной доработке и не могут быть согласованы в представленной редакции.
