Лицензии ФСТЭК и ФСБ на деятельность по защите информации: виды, требования, как получить

Когда заказчик в тендере или договоре пишет «требуется лицензия ФСТЭК», за этой формулировкой может скрываться любая из двух разных лицензий, а «лицензия ФСБ» — любая из ещё двух. Каждая — свой правовой акт, свой орган, свой предмет регулирования, и одна не заменяет другую.

↔ таблицу можно прокрутить вбок

Главный водораздел темы — конфиденциальная информация против гостайны. Лицензии №1 и №2 (ПП №79, №171) касаются конфиденциальной информации — персональных данных, коммерческой и служебной тайны, то есть сведений, не составляющих гостайну. Лицензия №4 (ПП №333) — прямо и исключительно про работы со сведениями, составляющими государственную тайну.

Лицензия №3 (СКЗИ) может понадобиться в обоих контурах, в зависимости от того, что шифруется. Путать «лицензию на ТЗКИ» с «лицензией на гостайну» — типовая ошибка читателя, разбираем её в разделе про ТЗКИ и гостайну ниже.

Рамочный акт для трёх из четырёх лицензий — Федеральный закон от 04.05.2011 №99-ФЗ «О лицензировании отдельных видов деятельности». Это не отраслевой ИБ-закон, а общий закон о лицензировании — он устанавливает единые правила для десятков видов деятельности, от медицины до частной охраны. Часть 1 статьи 12 перечисляет виды деятельности, подлежащие лицензированию; в интересующей нас области это разработка, производство, распространение шифровальных средств и связанные с ними работы и услуги (п.

1), разработка и производство средств защиты конфиденциальной информации (п. 4) и деятельность по технической защите конфиденциальной информации (п. 5).

↔ таблицу можно прокрутить вбок

Здесь — ключевая правовая развилка темы. Часть 2 статьи 1 закона №99-ФЗ прямо выводит гостайну из-под действия этого закона: положения 99-ФЗ не применяются к лицензированию деятельности, связанной с защитой государственной тайны, — эта сфера регулируется отдельными законами, прежде всего Законом РФ №5485-I «О государственной тайне» и принятым в его развитие ПП №333.

Практическое следствие: лицензии на ТЗКИ и на разработку/производство СЗИ живут по общим правилам 99-ФЗ — единый срок рассмотрения 45 рабочих дней, бессрочность лицензии, госпошлина по Налоговому кодексу. Лицензия по гостайне формально вне этого периметра, и порядок её выдачи определяется собственным постановлением и внутренними актами ФСБ России, а не общими гарантиями 99-ФЗ.

ФСТЭК России выдаёт две лицензии из четырёх, и они рассчитаны на разных участников рынка: ТЗКИ — на тех, кто оказывает услуги по защите информации, разработка и производство СЗИ — на тех, кто создаёт продукты защиты информации. Организация может иметь обе лицензии одновременно, но это два отдельных разрешения с разными требованиями.

Укрупнённо в лицензируемую деятельность по ТЗКИ входят: контроль защищённости конфиденциальной информации от утечки по техническим каналам и от несанкционированного доступа, услуги по мониторингу информационной безопасности, работы и услуги по аттестационным испытаниям и аттестации, проектирование объектов в защищённом исполнении, установка, монтаж, наладка и ремонт средств защиты информации.

По разработке и производству СЗИ — разработка и производство технических, защищённых технических, программных и программно-технических средств защиты информации, а также средств контроля эффективности защиты.

Требования к соискателю для разработки и производства СЗИ заметно жёстче, чем для ТЗКИ, — это логично: тут речь не об оказании услуг, а о создании продукта, который потом будет применяться у других организаций.

По устойчивой рыночной практике лицензии ФСТЭК на ТЗКИ и на разработку/производство СЗИ оформляют, как правило, российские юридические лица и индивидуальные предприниматели; возможности иностранных юрлиц напрямую получить такую лицензию на практике ограничены уточняется.

ФСБ России выдаёт лицензии через Центр по лицензированию, сертификации и защите государственной тайны (ЦЛСЗ ФСБ России) — и здесь тоже две разные лицензии, а не одна.

Лицензия на СКЗИ даёт право разрабатывать шифровальные средства, производить их, распространять — включая перепродажу, — а также устанавливать, настраивать и обслуживать СКЗИ на возмездной основе. Действует исключение для собственных нужд: если организация обслуживает СКЗИ только для себя, не оказывая такие услуги третьим лицам, лицензия на техобслуживание может не требоваться — это прямо следует из формулировки самого постановления и из п.

1 ст. 12 99-ФЗ. Требования к соискателю, помимо документов на помещения: внутренние документы, подтверждающие готовность организации выполнять заявленные работы, подтверждение профильного стажа специалистов с СКЗИ или ИБ и поверенное измерительное оборудование.

Лицензия по ПП №333 — отдельный документ от лицензии на ТЗКИ, и разница между ними определяет, какая лицензия нужна конкретной организации. Организация, работающая только с конфиденциальной информацией — персональными данными, коммерческой тайной, — не обязана получать лицензию по ПП №333. Организация, которая сама выполняет работы, непосредственно связанные со сведениями, составляющими гостайну — гособоронзаказ, режимные объекты, создание СЗИ для секретных систем, — должна иметь лицензию по ПП №333 вне зависимости от того, есть ли у неё лицензия ТЗКИ.

Персональный допуск сотрудника к гостайне — третье, отдельное измерение: наличие у организации лицензии по ПП №333 не отменяет необходимость оформлять допуск конкретным людям, которые фактически работают со сведениями такого рода (подробнее — «Допуск к государственной тайне»). Общий контур регулирования гостайны — в материале «Защита государственной тайны».

Публичный реестр лицензий ФСБ на СКЗИ и по гостайне ведёт clsz.fsb.ru, в отличие от интерактивного веб-реестра ФСТЭК — по отдельным данным, в виде текстового файла с номерами лицензий и реквизитами лицензиатов. Формат и актуальность файла для этого материала не проверялись напрямую — открывайте clsz.fsb.ru самостоятельно, если нужна свежая выписка уточняется.

Раздел применим к лицензиям ФСТЭК — ТЗКИ и разработка/производство СЗИ, — потому что именно на них распространяются общие правила 99-ФЗ. Заявления подаются в ФСТЭК России; формы утверждены приказом ФСТЭК от 12.01.2023 №3 (для ТЗКИ) и приказом от 12.01.2023 №4 (для разработки и производства СЗИ), оба зарегистрированы в Минюсте 03.02.2023 и заменили административный регламент 2017 года.

↔ таблицу можно прокрутить вбок

Укрупнённый состав пакета документов для лицензий ФСТЭК: заявление; копии документов, подтверждающих квалификацию специалистов; документы на помещения; технические паспорта и аттестаты защищаемых помещений — там, где применимо; документы на автоматизированные системы и средства защиты информации; сведения о контрольно-измерительном (для разработки и производства — ещё и производственном) оборудовании с отметками о поверке; техническая, нормативная и методическая документация.

Ст. 14 99-ФЗ отводит лицензирующему органу не более 45 рабочих дней со дня приёма заявления и документов на проверку сведений и на решение — выдать лицензию или отказать. С 2021 года бумажные бланки по общему правилу не выдаются: подтверждением служит запись в реестре лицензий, уведомление о решении направляется соискателю в течение 3 рабочих дней.

По ст. 9 99-ФЗ лицензия действует бессрочно — ни для ТЗКИ, ни для разработки и производства СЗИ исключений не установлено.

Проверить лицензиата можно в открытых реестрах ФСТЭК — они разделены по видам деятельности и не совпадают с реестром сертифицированных продуктов:

Это ядро анти-путаницы всей темы: четыре разных документа с четырьмя разными объектами регулирования, и на рынке их регулярно смешивают.

↔ таблицу можно прокрутить вбок

• «У нас есть лицензия ФСТЭК» — не то же самое, что «наш продукт сертифицирован ФСТЭК». Лицензия на разработку/производство СЗИ не делает автоматически все продукты компании сертифицированными: сертификация каждого конкретного СЗИ проходит отдельно, независимо от наличия лицензии.
• «У нас есть сертифицированные СЗИ в системе» — не то же самое, что «наша система аттестована». Аттестационная комиссия проверяет весь комплекс мер, включая организационные, а не только состав компонентов.
• «У нас есть лицензия ТЗКИ» — не то же самое, что «у нас есть лицензия или допуск по гостайне». Это два разных акта про разные категории информации — подробнее в следующем разделе.

Лицензия — не разовое событие: за деятельностью лицензиата ведётся контроль, и сроки с последовательностью административных процедур установлены отдельными приказами. С 2026 года действуют два: приказ ФСТЭК России от 12.05.2025 № 163 — по технической защите конфиденциальной информации, и приказ ФСТЭК России от 12.05.2025 № 164 — по разработке и производству средств защиты конфиденциальной информации в пределах компетенции ФСТЭК.

Они пришли на смену приказам № 107 и № 108 от 01.06.2023, которые применялись по 31 декабря 2025 года включительно.

В рамках контроля ФСТЭК и её территориальные органы проводят плановые и внеплановые проверки, оформляют результаты актами, выдают предписания об устранении нарушений и могут повторно проверить, устранены ли выявленные недостатки.

Срок действия этих процедур продлён: приказ ФСТЭК России от 29.12.2025 № 487 (Минюст 30.12.2025, № 84884, в силе с 31.12.2025) внёс изменения в оба приказа и продлил их применение до конца 2028 года.

Административная ответственность закреплена в ст. 14.1 КоАП РФ «Осуществление предпринимательской деятельности без государственной регистрации или без специального разрешения (лицензии)»:

↔ таблицу можно прокрутить вбок

Формально к деятельности без лицензии применима и ст. 171 УК РФ «Незаконное предпринимательство» — если деяние причинило крупный ущерб гражданам, организациям или государству либо сопряжено с извлечением дохода в крупном размере. Точный денежный порог «крупного ущерба» и «крупного дохода» в этом материале намеренно не приводится: он определяется примечанием к ст.

169 УК РФ, эта норма периодически меняется, а источники, доступные на момент подготовки статьи, дают расходящиеся цифры. Уточняйте актуальный порог напрямую по consultant.ru или pravo.gov.ru на дату, когда это вам действительно нужно порог уточняется. Прямых прецедентов применения именно к деятельности в сфере защиты информации — ТЗКИ, разработке СЗИ, СКЗИ — в открытых источниках не встретилось; упоминать эту норму стоит как теоретически применимую, а не как часто применяемую на практике.

Помимо прямых санкций, деятельность без лицензии несёт практические риски: договоры на оказание нелицензированных услуг по защите информации оспоримы, участие в тендерах и госконтрактах, где лицензия ФСТЭК — обязательное условие, становится невозможным, заказчик вправе отказать в приёмке работ, а при обнаружении нарушения в ходе проверки — получить предписание об устранении с последующим административным производством по ст. 14.1 КоАП РФ оценка.

• Лицензия на ТЗКИ (ПП №79) нужна организации, которая оказывает услуги по защите конфиденциальной информации третьим лицам — контроль защищённости, аттестация, установка СЗИ, проектирование защищённых объектов, — независимо от того, работает ли клиент с гостайной или только с персональными данными и коммерческой тайной.
• Лицензия по ПП №333 нужна организации, которая сама выполняет работы, непосредственно связанные со сведениями, составляющими государственную тайну, — гособоронзаказ, режимные объекты, создание СЗИ для секретных систем, — вне зависимости от наличия у неё лицензии ТЗКИ.
• Крупный интегратор или разработчик СЗИ, который обслуживает одновременно коммерческих заказчиков и режимные объекты, на практике нередко держит оба комплекта разрешительной документации — это разные, не взаимозаменяемые документы.
• Персональный допуск физлица к гостайне — третье, отдельное измерение: наличие у организации лицензии по ПП №333 не отменяет необходимости оформлять допуск конкретным сотрудникам, которые фактически работают со сведениями, составляющими гостайну. Подробный разбор форм допуска — в материале «Допуск к государственной тайне».

Организациям, которые разрабатывают криптографические средства для этих контуров — например, продукты класса СКЗИ — стоит держать в поле зрения сразу две лицензии: на разработку и производство СЗИ (ПП №171) и на СКЗИ (ПП №313), если продукт относится к шифровальным средствам. Для сетевых средств защиты, например класса NGFW, лицензия на разработку и производство СЗИ актуальна, если компания сама производит такие продукты, а не только интегрирует чужие.