Пояснительная записка к проекту федерального закона N 52657-7 "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации" (не действует)

Пояснительная записка
к проекту федерального закона N 52657-7 "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации"

Досье на проект федерального закона

Проект федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации" (далее - законопроект) подготовлен во исполнение подпункта "а" пункта 2 перечня поручений Президента Российской Федерации по вопросу совершенствования защиты информации от 21 октября 2015 г. N Пр-2172.

Законопроект направлен на повышение эффективности защиты информации, обрабатываемой в информационных системах государственных органов (далее - информационные системы).

В соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее - Закон N 149-ФЗ) защита информации в государственных информационных системах обеспечивается в соответствии с требованиями о защите информации, установленными ФСБ России и ФСТЭК России в пределах их полномочий. Определение государственных информационных систем содержится в статье 13 Закона N 149-ФЗ, а порядок их создания и эксплуатации - в статье 14. Так, частью 1 статьи 14 Закона N 149-ФЗ установлено, что государственные информационные системы создаются в целях реализации полномочий государственных органов и обеспечения обмена информации между этими органами, а также в иных установленных федеральными законами целях. При этом Законом N 149-ФЗ не определена необходимость прохождения какой-либо процедуры для отнесения информационной системы к государственным информационным системам. В настоящее время в реестр, содержащий сведения о федеральных информационных системах, предназначенных для использования при осуществлении государственных функций и (или) предоставлении государственных услуг, включены сведения о 339 федеральных информационных системах. В субъектах Российской Федерации учтены более 1200 региональных информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, создаваемых и приобретаемых за счет средств бюджетов субъектов Российской Федерации.

В ходе проводимых ФСТЭК России мероприятий по оценке состояния технической защиты информации ограниченного доступа в федеральных органах исполнительной власти и органах исполнительной власти субъектов Российской Федерации установлено, что значительные объемы данных о гражданах, сведения в экономической, социальной, политической, правоохранительной и других областях деятельности государства, подлежащих защите, обрабатываются указанными государственными органами с использованием информационных систем, не отнесенных к государственным информационным системам и не включенных в реестр федеральных информационных систем и реестры субъектов Российской Федерации.

Кроме того, органы государственной власти поручают обработку информации, обладателями которой они являются, на основании договоров или иных законных основаниях подведомственным организациям, информационные системы которых не относятся к государственным информационным системам. Широкое распространение получает практика обработки информации, обладателями которой являются государственные органы, в центрах обработки данных, информационные системы которых также не относятся к государственными информационным системам.

Результаты оценки состояния технической защиты информации, проводимой ФСТЭК России в пределах своих полномочий, показали, что в договорах на оказание услуг по обработке информации, являющейся государственным информационным ресурсом, не устанавливается обязанность организаций, которым поручается такая обработка и (или) хранение информации, обеспечивать ее защиту в соответствии с установленными требованиями о защите информации. Меры по защите информации в указанных информационных системах зачастую не принимаются. Результаты оценки уровня защищенности информации в таких информационных системах показывают, что в значительном количестве информационных систем возможна реализация угроз нарушителями, не обладающими какими-либо специальными средствами и знаниями.

Такое положение дел приводит к снижению уровня защищенности информации, являющейся государственным информационным ресурсом, при организации информационного взаимодействия между различными информационными системами, используемыми государственными органами и организациями.

Законопроектом предлагается внесение изменений в часть 5 статьи 16 Закона N 149-ФЗ в части установления наряду с требованиями о защите информации в государственных информационных системах требований о защите информации, содержащейся в иных информационных системах, в которых на основании договоров или иных законных основаниях обрабатывается информация, обладателями которой являются государственные органы.

Законопроект дополняет статью 16 Закона N 149-ФЗ частями 5.1 и 5.2, согласно которым операторы информационных систем обязаны создавать, обеспечивать функционирование систем защиты информации в соответствии с требованиями о защите информации, установленными частью 5 статьи 16 Закона N 149-ФЗ, и информировать федеральный орган исполнительной власти в области обеспечения безопасности и федеральный орган исполнительной власти, уполномоченный в области противодействия иностранным техническим разведкам и технической защиты информации, о компьютерных инцидентах в порядке, установленном указанными федеральными органами исполнительной власти. Указанное информирование необходимо для анализа причин возникновения инцидента, по результатам которого определяется достаточность установленных требований о защите информации для блокирования угроз безопасности информации и необходимость их совершенствования (по результатам оценки), а также в целях предупреждения возникновения инцидентов в будущем.

Законопроектом предусматривается вступление в силу федерального закона через шесть месяцев со дня его официального опубликования, что необходимо для доработки Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, а также разработки порядка информирования о компьютерных инцидентах и их общественного обсуждения.

Законопроект соответствует положениям Договора о Евразийском экономическом союзе, а также положениям иных международных договоров Российской Федерации.

Финансово-экономическое обоснование к проекту федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации"

Принятие федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации" не потребует дополнительных расходов из федерального бюджета и не повлечет финансовых обязательств государства.

Перечень нормативных правовых актов, подлежащих признанию утратившими силу, приостановлению, изменению или принятию в связи с принятием федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации"

N п/п	Наименование проекта нормативного правового акта	Обоснование необходимости подготовки	Срок подготовки	Исполнители
Нормативные правовые акты ФСТЭК России
1.	Проект приказа ФСТЭК России "О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17"	Установление требований к системе защиты информации, создание которых предусматривается у операторов информационных систем в соответствии с частью 5.1 и 5.2 статьи 16	в течение 6 месяцев после принятия закона	ФСТЭК России
2.	Проект приказа ФСТЭК России и ФСБ России "О порядке информирования о компьютерных инцидентах"	Установление порядка информирования федерального органа исполнительной власти в области обеспечения безопасности и федерального органа исполнительной власти, уполномоченный в области противодействия иностранным техническим разведкам и технической защиты информации, предусмотренного частью 5.2 статьи 16	в течение 6 месяцев после принятия закона	ФСТЭК России, ФСБ России

Перечень федеральных законов, подлежащих признанию утратившими силу, приостановлению, изменению, дополнению или принятию в связи с принятием федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации"

Принятие федерального закона "О внесении изменений в статью 16 Федерального закона "Об информации, информационных технологиях и о защите информации" не потребует признания утратившими силу, приостановления, изменения или принятия иных федеральных законов.