Пояснительная записка к проекту Федерального закона "О внесении изменений в статью 13.12 Кодекса Российской Федерации об административных правонарушениях" (подготовлен ФСТЭК России 04.07.2024)

Пояснительная записка к проекту Федерального закона "О внесении изменений в статью 13.12 Кодекса Российской Федерации об административных правонарушениях"
(подготовлен ФСТЭК России 04.07.2024 г.)

Текст проекта

Досье на проект

Проект федерального закона "О внесении изменений в статью 13.12 Кодекса Российской Федерации об административных правонарушениях" (далее - законопроект) направлен на усиление административной ответственности за нарушение требований о защите информации, содержащейся в государственных информационных системах, а также иных информационных системах, содержащих информацию ограниченного доступа.

Согласно части 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологий и о защите информации" защита информации в государственных информационных системах обеспечивается обладателями и операторами в соответствии с требованиями о защите информации, устанавливаемыми ФСБ России и ФСТЭК России в пределах их полномочий. Указанные требования о защите информации установлены приказом ФСТЭК России от 13 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" и приказом ФСБ России от 24 октября 2022 г. N 524 "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, с использованием шифровальных (криптографических) средств".

Согласно Закону Российской Федерации от 21 июля 1993 г. N 5485-I "О государственной тайне" и принятыми в соответствии с ним нормативными правовыми актами для защиты секретной информации применяются сертифицированные средства защиты информации. Соответствующие требования по защите информации установлены уполномоченными федеральными органами исполнительной власти.

Административная ответственность за нарушение указанных требований о защите информации и применение несертифицированных средств защиты информации установлена частями 2, 4, 6 и 7 статьи 13.12 Кодекса Российской Федерации об административных правонарушениях.

По данным Национального координационного центра по компьютерным инцидентам с начала специальной военной операции возросло количество компьютерных инцидентов, связанных с несанкционированным доступом к информации ограниченного доступа, а также с нарушением функционирования информационных систем государственных органов и организаций. Анализ причин возникновения компьютерных инцидентов показал, что реализация компьютерных атак нарушителями стала возможной в следствии невыполнения требований о защите информации, установленных нормативными правовыми актами Российской Федерации, в том числе неприменения (нарушения правил применения) средств защиты информации.

Результаты контроля состояния технической защиты информации, проведенного ФСТЭК России в 2022-2024 годах в государственных органах и организациях, показали, что более 73% выявленных нарушений требований о защите информации связаны с непринятием технических мер и наличием недостатков (слабостей) в системах защиты информационных систем государственных органов и организаций. Более 40% проверенных информационных систем имеют критические уязвимости, которые могут быть использованы нарушителями с минимальными навыками для несанкционированного доступа к информации или нарушения функционирования информационных систем.

Наличие нарушений требований о защите информации, создающих предпосылки для возникновения компьютерных инцидентов в информационных системах государственных органов и организаций, и регулярность их выявления в ходе контрольных мероприятий ФСТЭК России указывают на уклонение работников и должностных лиц государственных органов и организаций, ответственных за обеспечение защиты информации в информационных системах, от выполнения требований, установленных нормативными правовыми актами Российской Федерации. Это создает реальные условия для утечки информации ограниченного доступа и нарушения функционирования информационных систем, создавая реальную угрозу для граждан, риски функционирования государственных органов и организаций.

Законопроектом предусматривается внесение изменений в статью 13.12 Кодекса Российской Федерации об административных правонарушениях с целью усиления мер ответственности государственных органов и организаций за нарушение требований о защите информации, содержащейся в государственных информационных системах, а также иных информационных системах, содержащих информацию ограниченного доступа.

С целью согласованности проектируемых частей статьи 13.12 Кодекса Российской Федерации об административных правонарушениях между собой законопроектом предусматривается усиление административной ответственности как за нарушение требований о защите информации, составляющей государственную тайну, так и за нарушение требований о защите иной информации ограниченного доступа.

При определении максимальных размеров административных штрафов учитывалось также то, что штрафы должны быть направлены на предупреждение совершения правонарушений, учитывать реальное финансовое и имущественное положение привлекаемого к административной ответственности. Нижняя граница размеров предлагаемых административных штрафов позволяет надлежащим образом учесть характер и последствия совершенного административного правонарушения, а также реализовать дифференциацию административной ответственности и индивидуализацию административного наказания с учетом значимости информации, содержащейся в информационных системах.

Принятие законопроекта не потребует внесения изменений в нормативные правовые акты и дополнительных расходов средств федерального бюджета, а также иных бюджетов бюджетной системы Российской Федерации.

Законопроект не противоречит Договору о Евразийском экономическом союзе, а также положениям иных международных договоров Российской Федерации.

Положения законопроекта не окажут негативного влияния на достижение целей государственных программ Российской Федерации.

Реализация законопроекта не окажет негативных социально-экономических, финансовых и иных последствий, в том числе для субъектов предпринимательской и иной деятельности.

Законопроект не содержит обязательных требований, оценка соблюдения которых осуществляется в рамках государственного контроля (надзора), муниципального контроля, при рассмотрении дел об административных правонарушениях или обязательных требований, соответствие которым проверяется при выдаче разрешений, лицензий, аттестатов аккредитации, иных документов, имеющих разрешительный характер.