СБ ЗОКИИ: какие лицензии необходимо иметь юридическому лицу для оказания услуг по обеспечению безопасности КИИ?

2025 год

Ответ: чаще всего для оказания услуг по обеспечению безопасности критической информационной инфраструктуры (далее – КИИ) необходимо наличие лицензии на деятельность по технической защите конфиденциальной информации (далее – ТЗКИ).
Согласно требованиям действующего законодательства Российской Федерации (далее – РФ), для обеспечения безопасности значимых объектов КИИ (далее –ЗОКИИ) субъект КИИ может привлекать лицензиатов ТЗКИ:

• для проектирования систем обеспечения информационной безопасности (далее – СОИБ) ЗОКИИ (п. 20 приказа ФСТЭК России от 25.12.2017 № 239);
• для выполнения функций структурного подразделения по безопасности (специалистов по безопасности) ЗОКИИ (п. 11 приказа ФСТЭК России от 21.12.2017 № 235);
• для предоставления услуг центров мониторинга и управления информационной безопасностью (аб. в п. 4 постановления Правительства РФ от 03.02.2012 № 79);
• для проведения аттестации ЗОКИИ и его СОИБ (аб. г п. 4 постановления Правительства РФ от 03.02.2012 № 79);
• для контроля состояния безопасности ЗОКИИ и проведения оценки эффективности принимаемых организационных и технических мер (п.36 приказа ФСТЭК России от 25.12.2017 № 239);
• для оценки соответствия средств защиты информации в форме испытаний или приемки (п. 28 приказа ФСТЭК России от 25.12.2017 № 239).

В случае если в СОИБ ЗОКИИ используются (предполагается использовать) криптографические (шифровальные) средства защиты информации, то юридические лица должны иметь лицензию ФСБ России на осуществление деятельности, связанной с шифровальными (криптографическими) средствами.
При этом отметим, что если в ЗОКИИ осуществляется обработка государственной тайны, то для оказания вышеописанных работ и услуг необходимо привлекать организации, имеющие лицензию на деятельность по технической защите информации, составляющей государственную тайну.
не требуется наличие лицензий на оказание следующих видов услуг в области безопасности КИИ:

• оказание консультативной помощи при категорировании объектов КИИ;
• моделирование угроз безопасности информации;
• разработка организационно-распорядительной документации.