* (3 чтение) О проекте федерального закона № 835235-8 "О внесении изменений в статьи 4.5 и 13.12 Кодекса Российской Федерации об административных правонарушениях и статью 1 Федерального закона "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях" (в части усиления ответственности за нарушение правил защиты информации)

ПОЯСНИТЕЛЬНАЯ ЗАПИСКА
к проекту федерального закона "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях"

Проект федерального закона "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях" (далее - законопроект) направлен на усиление административной ответственности за нарушение требований о защите информации (в том числе информации ограниченного доступа), содержащейся в информационных системах.
Согласно части 5 статьи 16 Федерального закона от 27 июля 2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации" защита информации в государственных информационных системах обеспечивается обладателями и операторами в соответствии с требованиями о защите информации, устанавливаемыми ФСБ России и ФСТЭК России в пределах их полномочий. Указанные требования о защите информации установлены приказами ФСТЭК России и приказом ФСБ России.
Согласно Закону Российской Федерации "О государственной тайне" и принятыми в соответствии с ним нормативными правовыми актами для защиты секретной информации применяются сертифицированные средства защиты информации. Соответствующие требования по защите информации установлены уполномоченными федеральными органами исполнительной власти.
По данным Национального координационного центра по компьютерным инцидентам с начала специальной военной операции возросло количество компьютерных инцидентов, связанных с несанкционированным доступом к информации ограниченного доступа, а также с нарушением функционирования информационных систем государственных органов и организаций. Анализ причин возникновения компьютерных инцидентов показал, что реализация компьютерных атак нарушителями стала возможной вследствие невыполнения требований о защите информации, установленных нормативными правовыми актами Российской Федерации, в том числе неприменения (нарушения правил применения) средств защиты информации.
Результаты контроля состояния технической защиты информации, проведенного ФСТЭК России в 2019 - 2024 годах в государственных органах и организациях, показали, что более 73 процентов выявленных нарушений требований о защите информации связаны с непринятием технических мер и наличием недостатков (слабостей) в системах защиты информационных систем государственных органов и организаций. Более 40 процентов проверенных информационных систем имеют критические уязвимости, которые могут быть использованы нарушителями с минимальными навыками для несанкционированного доступа к информации или для нарушения функционирования информационных систем.
Наличие нарушений требований о защите информации, создающих предпосылки для возникновения компьютерных инцидентов в информационных системах государственных органов и организаций, и регулярность их выявления в ходе проведенных контрольных мероприятий ФСТЭК России указывают на уклонение работников и должностных лиц государственных органов и организаций, ответственных за обеспечение защиты информации в информационных системах, от выполнения требований, установленных нормативными правовыми актами Российской Федерации. В 2019 - 2024 годах в рамках осуществления ФСТЭК России государственного контроля за состоянием защиты информации в государственных органах и организациях к административной ответственности за нарушение требований по технической защите информации было привлечено 93 гражданина, 142 должностных лица (работника) и 80 юридических лиц, при этом с 2019 года значительно возросло количество привлеченных к ответственности должностных лиц и юридических лиц (если в 2019 году - 27 должностных лиц и 9 юридических лиц, то в 2023 году - 42 должностных лица и 39 юридических лиц).
Увеличение количества случаев привлечения к административной ответственности за нарушение требований по защите информации обуславливает необходимость усиления административной ответственности.
Невыполнение требований по защите информации создает условия для утечки информации ограниченного доступа и нарушения функционирования информационных систем, создавая реальную угрозу для граждан, повышая риски функционирования информационных систем государственных органов и организаций.
Законопроектом предусматривается внесение изменений в статью 13.12 Кодекса Российской Федерации об административных правонарушениях (далее - КоАП РФ) в целях усиления мер ответственности государственных органов и организаций за нарушение требований о защите информации, содержащейся в государственных информационных системах, а также иных информационных системах, содержащих информацию ограниченного доступа.
Для согласованности проектируемых частей статьи 13.12 КоАП РФ между собой законопроектом предусматривается усиление административной ответственности как за нарушение требований о защите информации, составляющей государственную тайну, так и за нарушение требований о защите иной информации ограниченного доступа.
При определении максимальных размеров административных штрафов учитывалось также то, что штрафы должны быть направлены на предупреждение совершения правонарушений, учитывать реальное финансовое и имущественное положение привлекаемого к административной ответственности. Нижняя граница размеров предлагаемых административных штрафов позволяет надлежащим образом учесть характер и последствия совершенного административного правонарушения, а также реализовать дифференциацию административной ответственности и индивидуализацию административного наказания с учетом значимости информации, содержащейся в информационных системах.
ФСБ России выявляются многочисленные случаи нарушений секретоносителями требований законодательства о государственной тайне, которые образуют состав административного правонарушения, предусмотренного частью 7 статьи 13.12 КоАП РФ. С учетом срока давности привлечения к административной ответственности за совершение указанного административного правонарушения (60 календарных дней) и периодичности проведения проверок состояния обеспечения защиты государственной тайны привлечение к административной ответственности виновных лиц в ряде случаев не представляется возможным.
В части компетенции ФСТЭК России необходимость увеличения срока связана с тем, что поступление в органы государственного контроля информации, указывающей на признаки нарушения требований законодательства Российской Федерации о государственной тайне, согласно статье 301 Закона Российской Федерации "О государственной тайне" является основанием для проведения внеплановой выездной проверки в целях осуществления государственного контроля за обеспечением защиты государственной тайны. Данный государственный контроль согласно Правилам осуществления федерального государственного контроля за обеспечением защиты государственной тайны, утвержденным постановлением Правительства Российской Федерации от 26 октября 2023 г. № 1784, может быть проведен только в ходе выездной проверки по месту (местам) фактического нахождения предприятий, учреждений, организаций, их филиалов, представительств, обособленных структурных подразделений. При этом согласно статье 301 Закона Российской Федерации "О государственной тайне" срок проведения проверки может составлять не более 30 рабочих дней со дня начала ее проведения (в исключительных случаях, связанных с необходимостью проведения сложных и (или) длительных исследований, испытаний, специальных экспертиз и расследований срок проведения проверки может быть продлен, но не более чем на 20 рабочих дней). Составление протокола об административном правонарушении по результатам проведения выездной проверки организации, имеющей территориально распределенную структуру (филиалы или структурные подразделения, расположенные на территории нескольких субъектов Российской Федерации), в указанные сроки давности привлечения к административной ответственности не представляется возможным.
Учитывая изложенное, предлагается увеличить установленный частью 1 статьи 4.5 КоАП РФ срок давности привлечения к ответственности за административные правонарушения, предусмотренные статьей 13.12 КоАП РФ, до 1 года.
Законопроектом также предусматривается внесение изменения в статью 3.5 КоАП РФ в части увеличения допустимого размера штрафа за совершение указанных правонарушений.
Приведенные в законопроекте размеры штрафов в отношении граждан обусловлены тем, что нарушение гражданином, осуществляющим обработку информации ограниченного доступа, в том числе информации, содержащей сведения, составляющие государственную тайну, требований по защите информации, ответственность за невыполнение которых государственными органами и организациями закреплена в статье 13.12 КоАП РФ, могут привести к существенным последствиям, влияющим в том числе на безопасность государственных информационных ресурсов органов государственной власти и государства в целом. При этом ответственность возникает в силу неисполнения гражданином его должностных обязанностей.
Законопроект не содержит обязательных требований, оценка соблюдения которых осуществляется в рамках государственного контроля (надзора), муниципального контроля, при рассмотрении дел об административных правонарушениях, или обязательных требований, соответствие которым проверяется при выдаче разрешений, лицензий, аттестатов аккредитации, иных документов, имеющих разрешительный характер.
Законопроект соответствует положениям Договора о Евразийском экономическом союзе и требованиям иных международных договоров Российской Федерации, а его реализация не повлияет на достижение целей государственных программ Российской Федерации.