Про затвердження Порядку контролю за додержанням ліцензійних умов провадження господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг в галузі технічного захисту інформації

На виконання вимог статті 8 Закону України "Про ліцензування певних видів господарської діяльності", відповідно до Указу Президента України від 25 травня 2000 року N 721 "Питання Державного комітету України з питань регуляторної політики та підприємництва" і постанови Кабінету Міністрів України від 14 листопада 2000 року N 1698 "Про затвердження переліку органів ліцензування"

1. Затвердити Порядок контролю за додержанням ліцензійних умов провадження господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації, торгівлі криптосистемами і засобами криптографічного захисту інформації; розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг в галузі технічного захисту інформації; розроблення, виробництва, впровадження, сертифікаційних випробувань, ввезення, вивезення голографічних захисних елементів, що додається.

2. Головному управлінню контролю та реформування процедур легалізації суб'єктів господарювання Держпідприємництва України (Апатенко О.П.), Головному управлінню технічного захисту інформації Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (Котельчук І.А.) в установленому порядку забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України.

3. Головному управлінню технічного захисту інформації Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (Котельчук І.А.) забезпечити публікацію цього наказу в засобах масової інформації.

4. Контроль за виконанням цього наказу покласти на заступника Голови Держпідприємництва України Третьякова С.І. та першого заступника начальника Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України Барлабанова В.В.

1.1. Цей Порядок розроблено відповідно до Закону України "Про ліцензування певних видів господарської діяльності", а також нормативно-правових актів:

З питань криптографічного захисту інформації (далі - КЗІ):

Положення про порядок здійснення криптографічного захисту інформації в Україні, затвердженого Указом Президента України від 22.05.98 N 505, Ліцензійних умов провадження господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації, торгівлі криптосистемами і засобами криптографічного захисту інформації (далі - Ліцензійні умови в галузі КЗІ), затверджених наказом Державного комітету України з питань регуляторної політики та підприємництва, Департаменту спеціальних телекомунікаційних систем та захисту інформації СБ України від 29.12.2000 N 88/66 і зареєстрованих у Міністерстві юстиції України 20.01.2001 за N 49/5240.

З питань технічного захисту інформації (далі - ТЗІ):

Положення про технічний захист інформації в Україні, затвердженого Указом Президента України від 27.09.99 N 1229, Ліцензійних умов провадження господарської діяльності, пов'язаної з розробленням, виробництвом, впровадженням, обслуговуванням, дослідженням ефективності систем і засобів технічного захисту інформації, наданням послуг в галузі технічного захисту інформації (далі - Ліцензійні умови в галузі ТЗІ), затверджених наказом Державного комітету України з питань регуляторної політики та підприємництва, Департаменту спеціальних телекомунікаційних систем та захисту інформації СБ України від 29.12.2000 N 89/67 та зареєстрованих у Міністерстві юстиції України 20.01.2001 за N 50/5241.

З питань голографічного захисту:

Указу Президента України від 15.11.2000 N 1239 "Про захист документів і товарів голографічними захисними елементами", Ліцензійних умов провадження господарської діяльності з розроблення, виробництва, впровадження, сертифікаційних випробувань, ввезення, вивезення голографічних захисних елементів (далі - Ліцензійні умови з голографічного захисту), затверджених наказом Державного комітету України з питань регуляторної політики та підприємництва, Департаменту спеціальних телекомунікаційних систем та захисту інформації СБ України від 28.12.2000 N 85/65 і зареєстрованих у Міністерстві юстиції України 20.01.2001 за N 48/5239.

1.2. Цей документ установлює єдиний порядок здійснення контролю за додержанням ліцензійних умов провадження господарської діяльності в галузях КЗІ, ТЗІ та з голографічного захисту.

1.3. Контроль за додержанням ліцензіатами ліцензійних умов у галузях КЗІ, ТЗІ та з голографічного захисту здійснюють Департамент спеціальних телекомунікаційних систем та захисту інформації СБ України (далі - Департамент) як орган ліцензування, Державний комітет України з питань регуляторної політики та підприємництва і його територіальні органи (далі - Держпідприємництво) як спеціально уповноважений орган з питань ліцензування (далі - органи контролю) у межах своїх повноважень шляхом проведення планових і позапланових перевірок.

2.1. Планові перевірки додержання ліцензіатом ліцензійних умов проводяться органом контролю не частіше одного разу на рік.

2.2. Позапланові перевірки здійснюються органами контролю за наявності обставин, передбачених законодавством України.

2.3. Для проведення перевірки органом контролю видається розпорядчий документ про призначення голови та членів комісії і припис на проведення перевірки (додаток 1).

2.4. У разі проведення перевірок додержання ліцензіатами ліцензійних умов у галузях КЗІ, ТЗІ та з голографічного захисту Держпідприємництвом до складу комісій обов'язково залучаються фахівці Департаменту.

2.5. До складу комісії можуть залучатися фахівці сторонніх підприємств, установ і організацій (за згодою).

2.6. Орган контролю повідомляє ліцензіата про проведення планової перевірки не пізніше ніж за п'ять робочих днів до проведення зазначеної перевірки.

3.1. Голова та члени комісії мають право:

доступу на територію, у виробничі та інші приміщення ліцензіата для їх обстеження і з'ясування питань, безпосередньо пов'язаних з перевіркою;

ознайомлюватися з необхідними для проведення перевірки документами ліцензіата;

отримувати в ліцензіата копії (ксерокопії) необхідних документів та письмові пояснення (довідки, тощо) з питань, що виникають під час перевірки.

3.2. Голова та члени комісії зобов'язані:

керуватись у своїй роботі нормами законодавства;

об'єктивно відображати стан щодо додержання ліцензіатом ліцензійних умов, а також усунення порушень ліцензійних умов;

забезпечувати збереження інформації з обмеженим доступом, яка стала відома під час перевірки;

давати роз'яснення з питань господарської діяльності в галузях КЗІ, ТЗІ та з голографічного захисту (при потребі).

3.3. Голова та члени комісії несуть відповідальність згідно із чинним законодавством за необ'єктивне відображення в акті перевірки даних про діяльність ліцензіата.

3.4. За виконання у встановлені строки дорученої комісії перевірки відповідає голова комісії.

Для проведення перевірки голова комісії повинен пред'явити керівнику ліцензіата (юридичної особи) або його уповноваженому представнику, ліцензіату (фізичній особі - суб'єкту підприємницької діяльності) припис на право перевірки та документи, які засвідчують особи голови та членів комісії.

Ліцензіат під час перевірки надає всі необхідні для проведення перевірки документи та забезпечує умови для її проведення.

Комісією перевіряється:

4.1. Достовірність відомостей, наведених у документах, поданих суб'єктом господарювання для одержання ліцензії.

4.2. Наявність оригіналу ліцензії (довідки про прийняття заяви про переоформлення ліцензії на провадження господарської діяльності в галузях КЗІ, ТЗІ та з голографічного захисту або про прийняття заяви про видачу дубліката ліцензії тощо).

4.3. Наявність у філій, інших відокремлених підрозділах ліцензіата, які проводять господарську діяльність у галузях КЗІ, ТЗІ та з голографічного захисту, копій ліцензій, що підтверджують їх право на провадження цієї діяльності на підставі отриманої ліцензії.

4.4. Своєчасність повідомлення Департаменту про зміни даних, зазначених у документах, що додавалися до заяви про видачу ліцензії (про зміну місцезнаходження, форми власності, найменування тощо).

4.5. Виконання розпоряджень про усунення порушень ліцензійних умов (у разі якщо такі розпорядження видавались).

Крім того, перевірці підлягають такі питання щодо додержання ліцензіатом ліцензійних умов:

4.6. З питань ТЗІ:

4.6.1. Наявність штатних або найманих за договором спеціалістів, які мають повну вищу освіту відповідного професійного спрямування або пройшли перепідготовку та підвищення кваліфікації у галузі інформаційної безпеки, або мають стаж роботи відповідного професійного спрямування не менше 3 років.

4.6.2. Практичні навички спеціалістів з виконання видів робіт, які вказані в ліцензії.

4.6.3. Наявність нормативно-правових актів з ТЗІ, що забезпечують проведення видів робіт, які вказані в ліцензії.

4.6.4. Наявність власних або орендованих засобів вимірювань і контролю, перелік яких визначається нормативними документами з питань ТЗІ, та (або) засобів електронно-обчислювальної техніки в обсязі, що забезпечують проведення видів робіт, які вказані в ліцензії.

4.6.5. Наявність власної або створеної на договірній основі виробничої бази, яка дає змогу виробляти засоби забезпечення ТЗІ згідно з вимогами нормативних документів з питань ТЗІ (для видів робіт, визначених у пунктах 3.5 та 3.6 Ліцензійних умов в галузі ТЗІ).

4.6.6. Наявність технічних умов на засоби ТЗІ, що виробляються, погоджених з Департаментом та зареєстрованих у Державному комітеті по стандартизації, метрології та сертифікації України.

4.6.7. Наявність Методики виявлення витоку мовної або видової інформації через закладні пристрої на об'єктах інформаційної діяльності (власної розробки з урахуванням апаратурного забезпечення, узгодженої з Департаментом) (для виду роботи, визначеного в пункті 3.4 Ліцензійних умов у галузі ТЗІ).

4.6.8. Наявність дозволу на здійснення діяльності, пов'язаної з державною таємницею (за потреби).

4.6.9. Наявність оформлених у встановленому порядку допусків до державної таємниці на спеціалістів, що залучаються до виконання робіт, пов'язаних з державною таємницею (за потреби).

4.6.10. Наявність матеріалів, які відповідно до компетенції, державних завдань, програм, замовлень, договорів (контрактів), підтверджують, що ліцензіат провадить господарську діяльність у галузі ТЗІ, що містить відомості, які становлять державну таємницю (за потреби).

4.6.11. Наявність приміщень та (або) об'єктів електронно-обчислювальної техніки, атестованих на відповідність вимогам нормативних документів з питань ТЗІ (за потреби).

4.6.12. Надання послуг з ТЗІ лише за письмово укладеними господарськими договорами.

4.6.13. Виконання вимог нормативних документів з ТЗІ.

4.6.14. Використання засобів забезпечення ТЗІ відповідно до рекомендованого Департаментом переліку.

4.6.15. Використання метрологічно перевіреної контрольно-вимірювальної апаратури. Наявність документів на засоби вимірювань, які підтверджують проходження ними метрологічної перевірки.

4.6.16. Виконання робіт із ТЗІ, що становить державну таємницю, в межах терміну дії відповідного дозволу на здійснення діяльності, пов'язаної з державною таємницею.

4.6.17. Своєчасність інформування Департаменту про виконані роботи на об'єктах інформаційної діяльності, на яких циркулює інформація, що містить відомості, які становлять державну таємницю, а також у державних органах та установах.

4.7. З питань КЗІ:

4.7.1. Виконання вимог, установлених ліцензійними умовами в галузі КЗІ для окремих робіт, які вказані в ліцензії, у тому числі:

кваліфікаційних вимог;

організаційних вимог;

технологічних та інших вимог.

4.7.2. Виконання особливих вимог, а саме:

забезпечення встановленого режиму секретності, наявність матеріалів, які відповідно до завдань, програм та замовлень державних органів підтверджують залучення заявника до їх виконання, а також провадження цих робіт у межах терміну дії дозволу (ліцензії) на здійснення діяльності, пов'язаної з державною таємницею (у разі провадження ліцензіатом робіт у галузі криптографічного захисту інформації, що належить до державної таємниці);

забезпечення встановленого режиму безпеки (у разі провадження ліцензіатом робіт у галузі криптографічного захисту конфіденційної інформації, у тому числі тієї, що є власністю держави);

своєчасне подання до Департаменту відомостей про виконані роботи в галузі КЗІ, у тому числі науково-дослідні та дослідно-конструкторські роботи (при наявності відповідного запиту).

4.8. З питань голографічного захисту:

4.8.1. Виконання вимог, установлених ліцензійними умовами з голографічного захисту для окремих робіт, які вказані в ліцензії, у тому числі кваліфікаційних, організаційних, технологічних та інших.

4.8.2. Наявність та зміст внутрішнього положення, необхідних для провадження діяльності нормативних, організаційних, методичних, технічних та інших документів, методик проведення досліджень голографічних захисних елементів (далі - ГЗЕ) (у разі потреби), а також необхідних технологічних інструкцій.

4.8.3. Укомплектованість штатним персоналом (з урахуванням кваліфікаційних вимог).

4.8.4. Наявність приміщень, виробничих площ та виробничого обладнання, захищених інформаційно-обчислювальних комплексів (відповідно до особливих умов провадження господарської діяльності з голографічного захисту) та ліцензійного програмного забезпечення, камер для спеціальних, кліматичних та інших видів виробництва та (або) випробувань ГЗЕ, стендів для відбракування ГЗЕ (у разі потреби).

4.8.5. Забезпечення дотримання вимог внутрішнього положення, а також нормативно-правових актів з голографічного захисту.

4.8.6. Ведення обліку повного обсягу робіт з голографічного захисту, виконаних ліцензіатом.

4.8.7. Повнота відомостей про виконані роботи, поданих до органу ліцензування.

4.8.8. Забезпечення виконання вимог щодо організації і проведення сертифікаційних випробувань ГЗЕ.

4.8.9. Забезпечення порядку ввезення, вивезення ГЗЕ.

4.8.10. Забезпечення функціонування системи режиму секретності (безпеки).

4.8.11. Забезпечення виконання особливих вимог провадження господарської діяльності в сфері голографічного захисту.

4.9. За результатами перевірки складається акт перевірки додержання ліцензіатом ліцензійних умов.

5.1. Акт перевірки складається у двох примірниках за встановленою формою (додаток 2). Один примірник акта перевірки видається керівникові (уповноваженому представнику) ліцензіата (юридичної особі) або самому ліцензіату (суб'єкту підприємницької діяльності - фізичній особі), який перевірявся, другий зберігається органом контролю, який здійснив перевірку.

5.2. Усі примірники акта підписуються особами, які проводили перевірку. Факт ознайомлення з актом перевірки та отримання належного йому примірника засвідчують із зазначенням дати:

керівник ліцензіата (юридичної особи) або його уповноважений представник - особистим підписом та печаткою суб'єкта господарювання;

ліцензіат (суб'єкт підприємницької діяльності - фізична особа) - особистим підписом та печаткою (у разі її наявності).

5.3. У разі відмови ліцензіата (уповноваженого представника) від підписання акта перевірки голова комісії робить відповідний запис.

Керівник ліцензіата (юридичної особи) або його уповноважений представник, ліцензіат (суб'єкт підприємницької діяльності - фізична особа) має право дати пояснення та викласти зауваження щодо змісту акта та проведення перевірки. Ці документи є невід'ємною частиною акта.

5.4. Порушення, викладені в акті перевірки, повинні мати посилання на конкретні пункти, статті, розділи нормативно-правових актів, що порушуються. Довільне викладення або трактування вимог нормативно-правових актів не допускаються.

5.5. Забороняється включати до акта перевірки відомості і твердження, які не підтверджені документально.

Якщо здійснення господарської діяльності в галузях КЗІ, ТЗІ та з голографічного захисту з порушеннями може завдати шкоди правам, законним інтересам громадян та безпеці держави, окремим пунктом акта можуть бути викладені вимоги щодо негайного припинення ліцензіатом здійснення цього виду діяльності до прийняття відповідного рішення Департаментом.

5.6. У разі створення перешкод з боку ліцензіата щодо проведення перевірки складається відповідний акт.

6.1. Орган контролю, що здійснив перевірку, у разі виявлення порушень ліцензійних умов, не пізніше десяти робочих днів з дати складання акта перевірки видає розпорядження про усунення порушень ліцензійних умов, або Департамент приймає рішення про анулювання ліцензії.

6.2. У разі усунення виявлених перевіркою порушень ліцензійних умов протягом десяти робочих днів, якщо це підтверджено документально і не потребує додаткової перевірки, зазначене у п.6.1 розпорядження не видається.

6.3. Якщо ліцензіатом документально підтверджене усунення порушення ліцензійних умов, то перевірка виконання розпорядження про усунення порушення ліцензійних умов може не проводитись.

6.4. Ліцензіат, який одержав розпорядження про усунення ним порушень ліцензійних умов, зобов'язаний в установлений у розпорядженні строк подати органу контролю, який видав це розпорядження, інформацію про усунення порушень.

6.5. Якщо ліцензіат не виконав розпорядження про усунення порушень ліцензійних умов та не надав інформацію про усунення порушень, Департамент складає акт про невиконання розпорядження про усунення порушення ліцензійних умов, що є підставою для анулювання ліцензії.

У разі складання Держпідприємництвом акта про невиконання розпорядження про усунення порушень ліцензійних умов, його копія з пропозицією щодо анулювання ліцензії направляється до Департаменту.

У разі складання територіальним органом Держпідприємництва акта про невиконання розпорядження про усунення порушень ліцензійних умов, його копія направляється до Держпідприємництва, який звертається до Департаменту з пропозицією щодо анулювання ліцензії.

7.1. Рішення про анулювання ліцензії приймається Департаментом протягом десяти робочих днів з дати встановлення підстав для анулювання ліцензії і вручається (надсилається) ліцензіату із зазначенням підстав анулювання не пізніше трьох робочих днів з дати його прийняття.

7.2. Питання про анулювання ліцензії на підставі акта про встановлення факту неподання в установлений строк повідомлення про зміну даних, зазначених у документах, що додавалися до заяви про видачу ліцензії; акта про виявлення недостовірних відомостей у документах, поданих суб'єктом господарювання для одержання ліцензії; акта про встановлення факту передачі ліцензії іншій юридичній або фізичній особі для провадження господарської діяльності; акта про невиконання розпорядження про усунення порушень ліцензійних умов - розглядається Департаментом з обов'язковим письмовим запрошенням ліцензіата.

7.3. У разі неявки ліцензіата або його представників розгляд питань про анулювання ліцензії може здійснюватися без їх участі.

7.4. Питання про анулювання ліцензії в разі повторного порушення ліцензіатом ліцензійних умов розглядається за наявності таких документів:

акта перевірки про повторне порушення ліцензіатом ліцензійних умов;

акта попередньої перевірки про порушення ліцензіатом ліцензійних умов;

розпорядження про усунення порушень ліцензійних умов;

розпоряджень, на підставі яких здійснювались перевірки.

7.5. У разі анулювання ліцензії на підставі акта про повторне порушення ліцензіатом ліцензійних умов, акта про встановлення факту неподання в установлений строк повідомлення про зміну даних, зазначених у документах, що додавалися до заяви про видачу ліцензії, акта про виявлення недостовірних відомостей у документах, поданих суб'єктом господарювання для одержання ліцензії, акта про встановлення факту передачі ліцензії іншій юридичній або фізичній особі для провадження господарської діяльності, акта про невиконання розпорядження про усунення порушень ліцензійних умов суб'єкт господарювання може одержати нову ліцензію на право провадження відповідного виду господарської діяльності не раніше ніж через рік з дати прийняття рішення Департаментом про анулювання попередньої ліцензії.

7.6. Рішення про анулювання ліцензії набирає чинності через десять днів з дня його прийняття.

8.1. Скарги суб'єктів господарювання на рішення Департаменту щодо порушення ним законодавства у сфері ліцензування розглядаються у встановленому законодавством порядку.

8.2. Експертно-апеляційна рада інформує Департамент про отримання такої скарги.

8.3. Розгляд скарг ліцензіатів здійснюється експертно-апеляційною радою при Держпідприємництві з запрошенням представника Департаменту.