Відповідно до частини другої статті 5 Закону України "Про основні засади державного нагляду (контролю) у сфері господарської діяльності" Кабінет Міністрів України

1. Затвердити критерії, за якими оцінюється ступінь ризику від провадження господарської діяльності, що підлягає ліцензуванню, у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації за переліком, що визначається Кабінетом Міністрів України, і встановлюється періодичність проведення планових заходів державного нагляду (контролю) Адміністрацією Державної служби спеціального зв’язку та захисту інформації, що додаються.

2. Визнати такими, що втратили чинність, постанови Кабінету Міністрів України згідно з переліком, що додається.

1. Критерії, за якими оцінюється ступінь ризику від провадження господарської діяльності, що підлягає ліцензуванню, у сфері надання послуг у галузі:

1) криптографічного захисту інформації (крім електронних довірчих послуг):

вид інформації за порядком доступу, щодо якої надаються послуги протягом останніх двох років, що передують плановому;

вид послуг у галузі криптографічного захисту інформації, що надаються суб’єктом господарювання станом на будь-яку дату протягом останніх двох років, що передують плановому періоду;

наявність порушень вимог ліцензійних умов у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) протягом останніх двох років, що передують плановому;

обсяг розроблення, виробництва, постачання, монтажу (встановлення), налаштування, технічного обслуговування (супроводження), ремонту, утилізації, тематичних та експертних досліджень криптосистем, засобів криптографічного захисту інформації, конструкторської та іншої технічної документації;

строк провадження ліцензованої діяльності;

2) технічного захисту інформації:

вид інформації за порядком доступу, щодо якої надаються послуги протягом останніх двох років, що передують плановому;

вид послуг у галузі технічного захисту інформації, що надаються станом на будь-яку дату протягом останніх двох років, що передують плановому періоду;

тип системи, щодо яких надаються послуги у сфері технічного захисту інформації;

надання послуг із захисту мовної інформації з обмеженим доступом (пошук закладних пристроїв);

приналежність об’єкта, щодо якого надаються послуги у сфері технічного захисту інформації, до об’єкта критичної інфраструктури;

наявність порушень вимог ліцензійних умов у сфері надання послуг у галузі технічного захисту інформації протягом останніх двох років, що передують плановому.

2. Ризики настання негативних наслідків від провадження господарської діяльності, що підлягає ліцензуванню, у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації визначено в додатку 1.

3. Перелік критеріїв, за якими оцінюється ступінь ризику від провадження господарської діяльності, що підлягає ліцензуванню, у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації, їх показники та кількість балів за кожним показником визначено в додатку 2.

4. Віднесення суб’єктів господарювання, господарська діяльність яких підлягає ліцензуванню, у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації до високого, середнього або незначного ступеня ризику з урахуванням суми балів, нарахованих за всіма критеріями, визначеними у додатку 2, за такою шкалою:

від 41 до 100 балів - до високого ступеня ризику;

від 21 до 40 балів - середнього ступеня ризику;

від 0 до 20 балів - до незначного ступеня ризику.

5. Планові заходи державного нагляду (контролю) за господарською діяльністю, що підлягає ліцензуванню, у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації проводяться з такою періодичністю:

з високим ступенем ризику - не частіше одного разу на два роки;

із середнім ступенем ризику - не частіше одного разу на три роки;

з незначним ступенем ризику - не частіше одного разу на п’ять років.

6. У разі коли за результатами планових і позапланових заходів державного нагляду (контролю) протягом останніх шести років для суб’єктів господарювання, які віднесені до середнього ступеня ризику, та протягом останніх десяти років для суб’єктів господарювання, які віднесені до незначного ступеня ризику, у суб’єкта господарювання не виявлено суттєвих порушень вимог законодавства у сфері надання послуг у галузі криптографічного захисту інформації (крім електронних довірчих послуг) та технічного захисту інформації, наступний плановий захід державного нагляду (контролю) щодо такого суб’єкта господарювання проводиться не раніше ніж через період часу, встановлений для відповідного ступеня ризику, збільшений у 1,5 раза.