Відповідно до статті 8 Закону України "Про ліцензування певних видів господарської діяльності" і на виконання постанови Кабінету Міністрів України від 14.11.2000 N 1698 "Про затвердження переліку органів ліцензування"

1. Затвердити Ліцензійні умови провадження господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису), торгівлі криптосистемами і засобами криптографічного захисту інформації (далі - Ліцензійні умови), що додаються.

2. Управлінню ліцензування видів господарської діяльності Департаменту реєстрації та ліцензування Держпідприємництва України (Єфремов О.В.), Головному управлінню криптографічного захисту та розвитку спеціальних телекомунікаційних систем Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (Скрипник Л.В.) в установленому порядку забезпечити подання Ліцензійних умов на державну реєстрацію до Міністерства юстиції України.

3. Головному управлінню криптографічного захисту та розвитку спеціальних телекомунікаційних систем Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (Скрипник Л.В.) забезпечити публікацію Ліцензійних умов у засобах масової інформації.

4. Визнати таким, що втратив чинність, спільний наказ Ліцензійної палати України, Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 17.11.98 N 104/81 "Про затвердження Інструкції про умови і правила провадження підприємницької діяльності (ліцензійні умови), пов'язаної з розробленням, виготовленням, ввезенням, вивезенням, реалізацією та використанням засобів криптографічного захисту інформації, а також з наданням послуг із криптографічного захисту інформації, та контроль за їх дотриманням", зареєстрований Міністерством юстиції України 30.11.98 за N 760/3200.

5. Контроль за виконанням цього наказу покласти на заступника Голови Держпідприємництва України Третьякова С.І. та першого заступника керівника Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України Барлабанова В.В.

1.1. Ці Ліцензійні умови розроблено відповідно до Закону України "Про ліцензування певних видів господарської діяльності", з урахуванням вимог Законів України "Про інформацію", "Про державну таємницю", "Про електронний цифровий підпис", Положення про порядок здійснення криптографічного захисту інформації в Україні, затвердженого Указом Президента України від 22 травня 1998 року N 505, постанов Кабінету Міністрів України від 14 листопада 2000 року N 1698 "Про затвердження переліку органів ліцензування" та від 4 липня 2001 року N 756 "Про затвердження переліку документів, які додаються до заяви про видачу ліцензії для окремого виду господарської діяльності".

1.2. Ці Ліцензійні умови визначають організаційні, кваліфікаційні, технологічні та інші вимоги до суб'єктів господарювання, виконання яких є обов'язковою умовою провадження певних робіт і надання послуг у межах господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису), торгівлі криптосистемами і засобами криптографічного захисту інформації (далі - господарська діяльність у галузі КЗІ).

1.3. Дія цих Ліцензійних умов поширюється на всіх суб'єктів господарювання незалежно від організаційно-правової форми та форми власності, які здійснюють господарську діяльність у галузі КЗІ.

1.4. Ліцензування господарської діяльності у галузі КЗІ здійснює Департамент спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (далі - Департамент).

У цих Ліцензійних умовах терміни та визначення вживаються у такому значенні:

засіб КЗІ - програмний, апаратно-програмний, апаратний або інший засіб, призначений для криптографічного захисту інформації. До засобів КЗІ належать:

апаратні, програмні та апаратно-програмні засоби, що реалізують криптографічні алгоритми перетворення інформації;

апаратні, програмні та апаратно-програмні засоби, системи і комплекси захисту від нав'язування неправдивої інформації, включаючи засоби імітозахисту та "електронного підпису", що реалізують криптографічні алгоритми перетворення інформації;

апаратні, програмні та апаратно-програмні засоби, системи і комплекси, призначені для виготовлення та розподілу ключових документів, які використовуються в засобах КЗІ, незалежно від виду носія ключової інформації;

системи та комплекси (у тому числі ті, які входять до систем та комплексів захисту інформації від несанкціонованого доступу), до складу яких входять апаратні, програмні та апаратно-програмні засоби, що реалізують криптографічні алгоритми перетворення інформації;

криптографічна система (криптосистема) - сукупність засобів КЗІ, необхідної ключової, нормативної, експлуатаційної, а також іншої документації (у тому числі такої, що визначає заходи безпеки), використання яких забезпечує належний рівень захищеності інформації, що обробляється, зберігається та (або) передається;

ключові документи - матеріальні об'єкти із зафіксованими відповідним чином ключовими даними для подальшого практичного застосування щодо криптографічного перетворення повідомлення;

криптографічний захист інформації - вид захисту, що реалізується за допомогою перетворень інформації з використанням спеціальних даних (ключових даних), з метою приховування (або відновлення) змісту інформації, підтвердження її справжності, цілісності, авторства тощо;

режим безпеки - реалізована система правових норм, організаційно-технічних заходів, яка створюється суб'єктами господарювання під час провадження робіт у галузі КЗІ, з метою обмеження доступу до конфіденційної інформації;

розроблення - усі стадії робіт до серійного виробництва, такі як: прикладні наукові дослідження, вибір напрямків та проведення теоретичних (експериментальних) досліджень (фундаментальних наукових досліджень), ескізне (технічне) проектування і макетування, проектно-пошукові роботи та технологічне проектування, створення і виготовлення конструкторської документації, створення та проведення випробувань дослідних зразків, створення схеми виробництва, користування конструкторською документацією або доопрацювання дослідних зразків за результатами випробувань;

сертифікаційні випробування засобів КЗІ та криптосистем - діяльність, пов'язана з перевіркою відповідності засобів КЗІ та криптосистем вимогам, що визначені нормативними документами щодо цих засобів та систем;

експертиза (державна експертиза у сфері КЗІ) засобів КЗІ та криптосистем - діяльність, метою якої є підготовка висновків і надання рекомендацій для прийняття рішень про використання (застосування) об'єктів експертизи та яка включає перевірку відповідності об'єктів експертизи вимогам нормативних документів, оцінку рівня захисту інформації об'єктами експертизи або науково-технічного рівня об'єктів експертизи;

надання послуг в галузі КЗІ - виконання робіт із шифрування інформації, монтажу (у тому числі встановлення на місці), наладки, ремонту, утилізації. Під виконанням робіт із шифрування інформації розуміється забезпечення суб'єктом господарювання криптографічного захисту інформації клієнтів (юридичних або фізичних осіб), що може включати встановлення засобів КЗІ у клієнта, забезпечення їх ключовими документами, обслуговування цих засобів та вжиття заходів щодо забезпечення режиму безпеки;

ввезення, вивезення засобів КЗІ та криптосистем - фактичне переміщення через митний кордон України криптосистем і засобів КЗІ (їх частин, нормативно-технічної документації);

торгівля засобами КЗІ та криптосистемами - будь-які операції, що здійснюються за договорами купівлі-продажу, міни, поставки та іншими цивільно-правовими договорами, які передбачають передання прав власності на засоби КЗІ та криптосистеми.

3.1. Суб'єкт господарювання, який має намір провадити господарську діяльність у галузі КЗІ та відповідає цим Ліцензійним умовам, подає до Департаменту заяву про видачу ліцензії за встановленою формою (додаток 1).

Суб'єкт господарювання може провадити господарську діяльність у галузі КЗІ в повному обсязі або частково, з окремих робіт, операцій, послуг (далі - роботи).

Якщо суб'єкт господарювання провадить господарську діяльність у галузі КЗІ не в повному обсязі, а частково, то ці Ліцензійні умови поширюються на нього в частині, що встановлює вимоги до провадження окремих робіт.

У разі забезпечення суб'єктом господарювання криптографічного захисту інформації клієнтів (юридичних або фізичних осіб) шляхом надання послуг з шифрування, дія цих Ліцензійних умов поширюється на суб'єкт господарювання, який організовує використання, експлуатацію засобів КЗІ та встановлює відповідний режим безпеки і порядок доступу до засобів захисту інформації. Клієнти, які отримують послуги з шифрування, ліцензію на право здійснення діяльності в галузі КЗІ не одержують.

3.2. Порядок проведення розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації (далі - криптосистеми і засоби КЗІ), надання послуг у галузі КЗІ визначається окремими нормативно-правовими актами та є обов'язковим до виконання всіма суб'єктами господарювання.

3.3. Конкретні вимоги до штатного персоналу, приміщень, режиму секретності (безпеки), інформаційно-обчислювальних комплексів, налагоджувальних стендів, виробничих потужностей і площ, технічних засобів вимірювання та контролю, технічної та експлуатаційної документації, що використовуються суб'єктами господарювання для провадження господарської діяльності у галузі КЗІ, визначаються відповідними нормативно-правовими актами, які зареєстровані Міністерством юстиції України або є державними стандартами України.

3.4. У разі наявності у суб'єкта господарювання філій, інших відокремлених підрозділів, які провадитимуть господарську діяльність у галузі КЗІ, загальне керівництво провадженням ними робіт у галузі КЗІ здійснює суб'єкт господарювання, у тому числі забезпечує їх відповідність цим Ліцензійним умовам.

3.5. У разі зміни:

найменування юридичної особи (якщо ця зміна не пов'язана з реорганізацією юридичної особи) або прізвища, ім'я та по батькові фізичної особи - суб'єкта підприємницької діяльності;

місцезнаходження юридичної особи або місця проживання фізичної особи - суб'єкта підприємницької діяльності;

ліцензіат зобов'язаний протягом десяти робочих днів подати органу ліцензування заяву (додаток 2) про переоформлення ліцензії разом з ліцензією, що підлягає переоформленню, та відповідними документами або їх нотаріально засвідченими копіями, які підтверджують зазначені зміни.

У разі переоформлення ліцензії у зв'язку зі змінами, пов'язаними з провадженням ліцензіатом господарської діяльності в галузі КЗІ, якщо ця зміна пов'язана з намірами ліцензіата розширити свою діяльність, заява оформляється за встановленою формою (додаток 3), а ліцензія переоформляється в порядку і в строки, передбачені для видачі ліцензії.

3.6. Заява про видачу дубліката ліцензії оформлюється ліцензіатом у довільній формі із зазначенням підстави видачі дубліката ліцензії.

4.1. Розроблення апаратних, апаратно-програмних засобів КЗІ та криптосистем.

4.2. Розроблення програмних засобів КЗІ та криптосистем.

4.3. Виробництво апаратних, апаратно-програмних засобів КЗІ та криптосистем.

4.4. Виробництво програмних засобів КЗІ та криптосистем.

4.5. Використання, експлуатація засобів КЗІ та криптосистем.

4.6. Сертифікаційні випробування, експертиза криптосистем та засобів КЗІ.

4.7. Тематичні дослідження засобів КЗІ та криптосистем.

4.8. Надання послуг в галузі КЗІ.

4.9. Ввезення, вивезення засобів КЗІ та криптосистем.

4.10. Торгівля засобами КЗІ та криптосистемами.

5.1. Кваліфікаційні вимоги

5.1.1. Суб'єкт господарювання має бути укомплектований штатними спеціалістами, які відповідають заявленому виду діяльності та обсягу робіт (за кількістю, освітою, професійною підготовкою, кваліфікацією, досвідом роботи).

5.1.2. Спеціалісти повинні забезпечувати:

проведення повного циклу розроблення криптосистем і засобів КЗІ, що може включати або бути пов'язаний з прикладними науковими дослідженнями, вибором напрямків та проведенням теоретичних (експериментальних) досліджень (фундаментальних наукових досліджень), ескізним (технічним) проектуванням і макетуванням, проектно-пошуковими роботами та технологічним проектуванням, створенням і виготовленням конструкторської документації, створенням та проведенням випробувань дослідних зразків, схемою виробництва, користуванням конструкторською документацією або доопрацюванням дослідних зразків за результатами випробувань (для робіт, які визначені пунктами 4.1, 4.2);

проведення повного циклу (всіх стадій) виробництва криптосистем і засобів КЗІ, що може включати або бути пов'язаний із впровадженням технології виробництва, комплектуванням, монтажем (включаючи встановлення), виготовленням, контролем за забезпеченням якості та випробуванням (для робіт, які визначені пунктами 4.3, 4.4);

використання криптосистем і засобів КЗІ, у тому числі їх експлуатацію, налагодження, перевірку та всі види технічного обслуговування (перевірок) відповідно до вимог технічної документації, ремонт (для робіт, які визначені пунктом 4.5);

5.1.3. Спеціалісти, які забезпечують виконання робіт у галузі КЗІ, повинні мати повну вищу освіту відповідного професійного спрямування та спеціальну підготовку для виконання робіт у галузі КЗІ (для робіт, які визначені пунктами 4.1-4.4, 4.6-4.8).

5.1.4. Суб'єкт господарювання повинен мати спеціалістів, які за професійною підготовкою та кваліфікацією є фахівцями з питань криптографічного та технічного захисту інформації, криптографії, математики, схемотехніки, програмування тощо (для робіт, які визначені пунктами 4.1, 4.2, 4.6, 4.7).

5.1.5. Спеціалісти повинні володіти такими знаннями:

основних нормативних, керівних документів, що регламентують порядок виконання робіт у галузі КЗІ (в обсязі, необхідному для їх виконання);

з питань криптографії (в обсязі, необхідному для виконання робіт);

принципів роботи і технічних характеристик необхідної контрольної, вимірювальної апаратури, засобів і комплексів обчислювальної техніки, що використовуються (для робіт, які визначені пунктами 4.1-4.8);

методів проектування і розроблення криптосистем і засобів КЗІ (для робіт, які визначені пунктами 4.1, 4.2);

особливостей виробництва криптосистем і засобів КЗІ (для робіт, які визначені пунктами 4.3, 4.4);

експлуатаційної документації на криптосистеми і засоби КЗІ, документів щодо порядку організації експлуатації та забезпечення безпеки (для робіт, які визначені пунктом 4.5);

алгебраїчних, статистичних, комбінаторних досліджень, розрахунку імовірних характеристик (для робіт, які визначені пунктами 4.1, 4.2, 4.6, 4.7);

методик проведення сертифікаційних випробувань та експертизи криптосистем і засобів КЗІ (для робіт, які визначені пунктом 4.6);

вимог встановленого режиму безпеки при проведенні робіт у галузі криптографічного захисту конфіденційної інформації.

Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, або конфіденційної інформації, що є державною власністю, спеціалісти повинні додатково володіти знаннями:

з питань інженерної криптографії (для робіт, які визначені пунктами 4.1, 4.6, 4.7);

принципів роботи, побудови та технічних характеристик різних типів засобів КЗІ і працюючих спільно з ними технічних засобів (для робіт, які визначені пунктами 4.1, 4.2, 4.6, 4.7);

основних системотехнічних і схемотехнічних рішень, архітектурно-логічного та конструктивного будування криптосистем і засобів КЗІ (для робіт, які визначені пунктами 4.1, 4.2, 4.6, 4.7);

питань технічного захисту криптосистем і засобів КЗІ (для робіт, які визначені пунктами 4.1, 4.2, 4.6, 4.7);

методик проведення тематичних досліджень (для робіт, які визначені пунктом 4.7);

вимог встановленого режиму секретності (безпеки).

5.1.6. Спеціалісти повинні вміти:

користуватися на практиці всім інструментарієм, який є в наявності, включаючи і використання інформаційно-обчислювальних комплексів (для робіт, які визначені пунктами 4.1-4.8);

проводити повний цикл заявлених робіт з урахуванням вимог режиму секретності (безпеки);

на практиці використовувати, експлуатувати криптосистеми і засоби КЗІ, які є в наявності (для робіт, що визначені пунктами 4.5, 4.8);

надавати необхідні пояснення та консультації з питань, пов'язаних з криптосистемами і засобами КЗІ, які пропонуються (для робіт, які визначені пунктом 4.10).

5.1.7. Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, або конфіденційної інформації, що є державною власністю, провідні спеціалісти повинні мати досвід роботи не менше 3 років на інженерних та (або) наукових посадах, які пов'язані із діяльністю у галузі КЗІ (для робіт, які визначені пунктами 4.1-4.10).

5.2. Організаційні вимоги

5.2.1. Для провадження господарської діяльності у галузі КЗІ суб'єкт господарювання повинен мати затверджені керівником:

- документи, у яких визначені:

підрозділ (підрозділи) або група співробітників, які безпосередньо організовуватимуть та забезпечуватимуть проведення робіт у галузі КЗІ, його структура (склад) та завдання;

інструкції щодо порядку проведення робіт у галузі КЗІ;

функціональні обов'язки та кваліфікаційні вимоги до спеціалістів, які залучаються до виконання робіт у галузі КЗІ;

відповідальність спеціалістів, які забезпечуватимуть проведення робіт у галузі КЗІ, за забезпечення збереження інформації з обмеженим доступом при виконанні робіт;

- документ, який встановлює режим безпеки при провадженні робіт у галузі КЗІ, у тому числі порядок отримання, обліку, зберігання, транспортування, знищення засобів КЗІ та ключових документів.

Ці документи можуть бути поєднані в один.

Кожен спеціаліст, що залучається до провадження господарської діяльності у галузі КЗІ, повинен бути ознайомлений під розписку із зазначеними документами у частині, що його стосується.

5.2.2. Суб'єкт господарювання повинен мати визначений у документальному вигляді перелік відомостей, які відносяться до інформації з обмеженим доступом.

5.2.3. В установчих документах суб'єкта господарювання повинно бути передбачено здійснення господарської діяльності у галузі КЗІ (крім банківських установ).

5.2.4. Суб'єкт господарювання для провадження господарської діяльності у галузі КЗІ, крім штатних спеціалістів, що працюють на постійній основі, може з урахуванням вимог, наведених у пунктах 5.1.1-5.1.7, залучати на законних підставах інших кваліфікованих спеціалістів (на умовах сумісництва, за цивільно-правовими угодами).

Для виконання окремих етапів робіт у галузі КЗІ суб'єктом господарювання можуть залучатися спеціалісти, які мають професійнотехнічну освіту.

5.2.5. Порядок розроблення суб'єктом господарювання криптосистем і засобів КЗІ повинен відповідати вимогам державних стандартів, інших нормативних документів та нормативно-правових актів.

5.2.6. Порядок виробництва криптосистем і засобів КЗІ повинен відповідати вимогам стандартів системи розроблення і поставлення продукції на виробництво (у частині, що стосується виробництва), інших нормативних документів та нормативно-правових актів.

5.2.7. Суб'єкти господарювання ввозять на територію України, вивозять з території України засоби КЗІ та криптосистеми за погодженням з Департаментом (для робіт, які визначені пунктом 4.9).

5.2.8. Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, спеціалісти повинні мати допуск до державної таємниці, оформлений у встановленому законодавством України порядку.

5.2.9. Виконання робіт у галузі КЗІ за замовленнями (в інтересах) інших суб'єктів господарювання, органів державної влади, органів місцевого самоврядування або в кооперації з іншими ліцензіатами повинно бути оформлено документально.

Вибір постачальника окремих комплектуючих виробів для криптосистем та засобів КЗІ, співвиконавців робіт у галузі КЗІ здійснюється ліцензіатом за погодженням із замовником цих робіт (для провадження господарської діяльності в галузі криптографічного захисту інформації, що становить державну таємницю, конфіденційної інформації, що є державною власністю).

5.2.10. До 1 березня поточного року суб'єкт господарювання надає до Департаменту відомості про виконані за попередній рік роботи у галузі КЗІ, у тому числі науково-дослідні та дослідно-конструкторські роботи.

5.3. Технологічні та інші вимоги

5.3.1. Суб'єкт господарювання повинен мати власні (або такі, що використовуються на інших законних підставах) приміщення, виробничі потужності (зокрема, дослідне виробництво, випробувальну базу, обладнані робочі місця для збирання та налагодження макетів розроблених криптосистем і засобів КЗІ, налагоджувальні стенди, призначені для здійснення моделювання роботи апаратури, інформаційно-обчислювальні комплекси, оснащені сучасними апаратними та програмними засобами, перевірені згідно з діючими нормативними вимогами технічні засоби вимірювання і контролю, інструмент, оснащене виробництво, ліцензійне програмне забезпечення), потрібні для провадження господарської діяльності у галузі КЗІ.

Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, суб'єкт господарювання повинен мати спеціальний дозвіл на провадження діяльності, пов'язаної з державною таємницею, атестовані на відповідність вимогам нормативних документів з питань технічного захисту інформації приміщення та (або) об'єкти електронно-обчислювальної техніки.

Для проведення тематичних досліджень криптосистем і засобів КЗІ необхідно мати спеціалізовані приміщення.

Виробниче обладнання повинно:

відповідати стандарту або технічній документації на обладнання (паспорт, формуляр, технічні умови тощо);

бути перевірене (атестоване) або каліброване (для обладнання, що має метрологічні характеристики);

бути укомплектоване експлуатаційною документацією;

мати сертифікат відповідності системи державної сертифікації УкрСЕПРО (якщо продукція підлягає обов'язковій сертифікації в Україні).

5.3.2. Суб'єкт господарювання повинен проводити роботи в галузі КЗІ за умови обов'язкової відповідності засобів КЗІ та криптосистем вимогам щодо їх сертифікації, експертизи або допуску до експлуатації (для робіт, які визначені пунктами 4.1-4.10).

5.3.3. Суб'єкт господарювання повинен виконувати при провадженні господарської діяльності в галузі КЗІ вимоги нормативно-правових актів і нормативних документів та мати (у друкованому вигляді) інформаційну базу (нормативно-правових актів і нормативних документів, у тому числі внутрішніх інструкцій та положень):

з питань ліцензування господарської діяльності;

з питань порядку проведення заявлених робіт;

технічну та експлуатаційну документацію на криптосистеми і засоби КЗІ, інструкції та графіки проведення технічного обслуговування апаратури, що потребує періодичного технічного обслуговування (для робіт, які визначені пунктом 4.5);

інструкції щодо забезпечення безпеки експлуатації криптосистем і засобів КЗІ та порядку постачання, обліку, зберігання та використання ключових документів, затверджені керівником організації, а також топологію мережі, де планується використання, експлуатація криптосистем і засобів КЗІ (для робіт, які визначені пунктом 4.5);

методики проведення досліджень (для робіт, які визначені пунктами 4.6, 4.7);

нормативні документи щодо підготовки договорів на ввезення, вивезення криптосистем і засобів КЗІ (для робіт, які визначені пунктом 4.9);

з питань здійснення міжнародних передач товарів подвійного використання та військового призначення (для робіт, які визначені пунктом 4.9);

щодо забезпечення режиму секретності та порядку поводження з інформацією, що становить державну таємницю (у разі отримання ліцензії на провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю);

щодо забезпечення режиму безпеки та порядку поводження з конфіденційною інформацією (у разі отримання ліцензії на провадження робіт у галузі криптографічного захисту конфіденційної інформації, у тому числі тієї, що є державною власністю).