(первое чтение) О проекте федерального закона № 1071966-8 "О внесении изменений в статью 274(1) Уголовного кодекса Российской Федерации" (в части уточнения ответственности за неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации) (первое чтение)

ПОЯСНИТЕЛЬНАЯ ЗАПИСКА
к проекту федерального закона «О внесении изменений в статью 2741 Уголовного кодекса Российской Федерации»

Федеральным законом от 26 июля 2017 г. № 194-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в связи с принятием Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации» глава 28 Уголовного кодекса Российской Федерации (далее – УК РФ) дополнена статьей 2741, установившей уголовную ответственность за общественно опасные деяния, связанные с неправомерным воздействием на критическую информационную инфраструктуру Российской Федерации.
Отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации (далее также – критическая информационная инфраструктура, КИИ) в целях ее устойчивого функционирования при проведении в отношении нее компьютерных атак регулируются Федеральным законом от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – Федеральный закон № 187-ФЗ), иными нормативными правовыми актами, принимаемыми в развитие указанного закона.
Так, согласно Федеральному закону № 187-ФЗ под критической информационной инфраструктурой понимаются объекты КИИ, а также сети электросвязи, используемые для организации взаимодействия объектов КИИ. Под объектами КИИ с учетом положений пункта 3 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 08.02.2018 № 127 (далее – Правила), понимаются информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, обеспечивающие управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ в областях (сферах) здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности. К субъектами КИИ законодательно отнесены государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в указанных сферах, а также российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.
Согласно статьи 2741 УК РФ преступные действия (бездействия), которые признаются уголовно наказуемыми, посягают на безопасность критической информационной инфраструктуры. В то же время, дополнительным объектом такого преступления может быть также информационная безопасность в любой сфере деятельности государства и общества.
Так, согласно части 2 статьи 2741 УК РФ предусмотрена ответственность за неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре, в том числе с использованием компьютерных программ либо иной компьютерной информации, которые заведомо предназначены для неправомерного воздействия на критическую информационную инфраструктуру, или иных вредоносных компьютерных программ, если он повлек причинение вреда критической информационной инфраструктуре. Также, частью 3 статьи 2741 УК РФ предусмотрена ответственность за нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, или информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, сетей электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации, либо правил доступа к указанным информации, информационным системам, информационно-телекоммуникационным сетям, автоматизированным системам управления, сетям электросвязи, если оно повлекло причинение вреда критической информационной инфраструктуре.
Причинение вреда критической информационной инфраструктуре является обязательным материальным признаком составов преступлений, предусмотренных частями 2 и 3 статьи 2741 УК РФ.
Вместе с тем, действующая редакция частей 2 и 3 статьи 2741 УК РФ в силу отсутствия определения вреда как признака состава преступления не позволяет объективно оценивать его наличие либо отсутствие.
В деликтных обязательствах под вредом понимаются негативные имущественные или неимущественные последствия повреждения или уничтожения имущества, а также причинения увечья или смерти лицу. В судебной практике встречается подход, когда вред рассматривается как всякое умаление блага (как материального (имущественного), так и нематериального (неимущественного), которое охраняет закон, любые неблагоприятные изменения в нем (Определение Верховного Суда Российской Федерации от 27.01.2015 № 81-КГ14-19).
Анализ сложившейся судебной практики по применению статьи 2741 УК РФ показывает, что в подавляющем большинстве случаев под вредом критической информационной инфраструктуре суды определяют копирование или модификацию информации, содержащейся в критической информационной инфраструктуре.
Принимая во внимание вышеизложенное, представляется обоснованным внесение изменений в части 2 и 3 статьи 2741 УК РФ, уточняющие объективную часть состава преступления в части определения общественно опасных последствий в форме «уничтожение, блокирование, модификацию либо копирование компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации».
Также необходимо отметить, что состав преступления, предусмотренного частью 3 статьи 2741 УК РФ, определяющий преступное деяние субъекта преступления как «нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, или информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, сетей электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации, либо правил доступа к указанным информации, информационным системам, информационно-телекоммуникационным сетям, автоматизированным системам управления, сетям электросвязи,…», соотносит указанное противоправное деяние с субъектами преступления, являющимися лицами, обеспечивающими эксплуатацию и функционирование объектов критической информационной инфраструктуры Российской Федерации, обязанными обеспечивать выполнение указанных правил. То есть лицами, выполняющими должностные обязанности при взаимодействии с объектами критической информационной инфраструктуры Российской Федерации.
Лица, обеспечивающие эксплуатацию и функционирование объектов критической информационной инфраструктуры, участвуют в обеспечении безопасности информации, содержащейся в них. В целях обеспечения объективности при расследовании и рассмотрении преступлений, предусмотренных частью 3 статьи 2741 УК РФ, представляется необходимым дополнить статью 2741 УК РФ примечанием, содержащим норму о возможности освобождения таких лиц от уголовной ответственности, если они активно способствовали раскрытию и (или) расследованию преступления, в том числе предприняли необходимые меры по сохранению следов неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации и если в действиях этих лиц не содержится иного состава преступления.