СКЗИ для собственных нужд: когда установку можно выполнить без лицензированного подрядчика

Что изменило постановление № 1103 и как не спутать монтаж «для себя» с оказанием услуг

С 6 сентября 2026 года из перечня лицензируемых работ с шифровальными (криптографическими) средствами (СКЗИ) исключены монтаж, установка (инсталляция) и наладка — но только при одновременном выполнении трёх условий: работы делаются для собственных нужд организации или ИП, своими силами (без привлечения лицензиата ФСБ России) и это прямо разрешено эксплуатационной документацией на конкретное средство [1][2]. Исключение введено постановлением Правительства РФ от 28.08.2026 № 1103 [5] и распространяется на пункты 12–15 перечня, утверждённого постановлением Правительства РФ от 16.04.2012 № 313 — то есть на монтаж/установку/наладку самих СКЗИ, защищённых информационных и телекоммуникационных систем и средств изготовления ключевых документов [1][3]. Правило по аналогии повторяет уже действующее с 2022 года исключение для технического обслуживания СКЗИ для собственных нужд [2]. Оно не отменяет лицензирование как таковое: разработка, производство, распространение, ремонт СКЗИ и любые работы в интересах стороннего заказчика (включая дочерние юрлица) по-прежнему требуют лицензии ФСБ России [2][6]. Это точечное исключение для конкретных работ — оно не означает, что установка любых криптосредств вообще свободна от требований лицензирования.

Кому и зачем это нужно понимать

Вопрос актуален для ИТ-служб компаний, которые используют СКЗИ (чаще всего — КриптоПро CSP и аналогичные средства) для защиты внутреннего документооборота, работы с порталами госорганов, банк-клиентами или системами электронного документооборота, а также для интеграторов, которые внедряют электронную подпись и защищённые каналы связи у заказчиков. До сентября 2026 года формально любая установка СКЗИ — даже силами штатного администратора на собственных рабочих местах — подпадала под лицензируемую деятельность, если не подпадала под другие исключения. Постановление № 1103 сузило это требование, но сделало это точечно и с оговорками, которые легко истолковать слишком широко.

Как устроено лицензирование СКЗИ: пять видов деятельности в одной лицензии

Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» в статье 12 относит к лицензируемым сразу несколько связанных направлений: разработку, производство и распространение шифровальных (криптографических) средств, информационных и телекоммуникационных систем, защищённых с их использованием; выполнение работ и оказание услуг в области шифрования информации; и отдельно — техническое обслуживание таких средств и систем [4]. Уже в самом федеральном законе для технического обслуживания предусмотрена оговорка «за исключением случая... для обеспечения собственных нужд» [4] — это тот же принцип, который постановление № 1103 распространило на монтаж и установку.

Порядок лицензирования и, что важнее, детальный перечень конкретных работ и услуг, составляющих лицензируемую деятельность, утверждён постановлением Правительства РФ от 16.04.2012 № 313. В приложении к нему — 28 пунктов, от «изготовления СКЗИ» и «монтажа шифровальных средств» до «испытаний СКЗИ» и «ремонта». Именно пункты 12–15 этого перечня (монтаж, установка, наладка СКЗИ; тех же работ в отношении защищённых ИС; ТКС; средств изготовления ключевых документов) с 6 сентября 2026 года дополнены оговоркой об исключении для собственных нужд [3].

Пять категорий действий со СКЗИ — и почему их нельзя смешивать

Прежде чем применять исключение, полезно развести пять разных по своей лицензионной судьбе категорий действий с одним и тем же средством:

• Использование (эксплуатация) уже установленного сертифицированного СКЗИ самой организацией — подписание документов, шифрование трафика, работа с ключами по инструкции — вообще не является лицензируемым видом деятельности: закон и перечень работ говорят о разработке, производстве, распространении, монтаже/наладке, обслуживании и услугах, но не о самом факте пользования готовым средством внутри своей инфраструктуры [6].
• Установка, монтаж, наладка — по общему правилу лицензируемая деятельность (пункты 12–15 перечня), но именно она с 6 сентября 2026 года может выполняться без лицензии при соблюдении трёх условий, разобранных ниже.
• Техническое обслуживание — отдельная позиция перечня, для которой аналогичное исключение для собственных нужд действует уже с 2022 года.
• Разработка, производство, распространение и ремонт СКЗИ — лицензируются без исключений «для собственных нужд»: эти виды деятельности по своей природе предполагают выход средства за пределы одной организации либо создание нового продукта.
• Оказание услуг другому лицу (в том числе установка, наладка или обслуживание для стороннего заказчика или дочерней структуры) — лицензируется всегда, независимо от того, о каком именно виде работ идёт речь: понятие «собственные нужды» к таким работам просто неприменимо [6][7].

Российская специфика: логика исключения и её пределы

Как формулируется исключение

Пункты 12–15 приложения к Положению теперь не требуют лицензии, если соответствующие работы:

• предусмотрены эксплуатационной документацией на СКЗИ и могут проводиться без привлечения лицензиата ФСБ России, и
• проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя [2][3].

Пояснительная записка к проекту прямо называет причину: широкое распространение программных шифровальных средств для внутрикорпоративного использования сделало обязательное лицензирование таких работ избыточным барьером, при том что риски для безопасности гостайны эти работы не затрагивают [2]. Формулировка сознательно скопирована с уже действующего с 2022 года исключения для технического обслуживания СКЗИ для собственных нужд — то есть регулятор распространил проверенный подход на смежный вид работ, а не придумал новый механизм [2].

Три условия работают только вместе

Единственный по-настоящему рабочий тест — понять, все ли три условия соблюдены одновременно. Если хотя бы одно не выполняется, требование о лицензии сохраняется:

1. Собственные нужды. Работы выполняются в инфраструктуре той же организации, которая их выполняет, — не для клиента, партнёра и не для дочернего или материнского юридического лица. Дочерняя компания с точки зрения лицензирования — самостоятельный субъект: обслуживание её СКЗИ силами специалистов управляющей компании — это уже услуга другому лицу, а не собственные нужды [6][7][8].
2. Без лицензиата, своими силами. Работы делает штатный сотрудник или подразделение самой организации, а не привлечённый лицензиат ФСБ. Если для установки приглашается интегратор с лицензией — вопрос уже не в исключении, а в том, что услугу оказывает лицензиат, к квалификации и штату которого лицензирующий орган предъявляет отдельные требования (профильное образование, стаж, минимальное число специалистов) [14].
3. Разрешено эксплуатационной документацией. Формуляр, руководство администратора или инструкция по эксплуатации конкретного СКЗИ должны прямо предусматривать возможность самостоятельной установки пользователем без привлечения лицензиата. Это не абстрактное условие: например, руководство по эксплуатации КриптоПро CSP явно указывает, что установка дистрибутива производится пользователем, обладающим соответствующими правами в операционной системе, а эксплуатация средства в целом должна вестись в соответствии с эксплуатационной документацией и требованиями действующего положения о разработке, производстве и эксплуатации СКЗИ [9][10].

Что не подпадает под исключение

Изменения затронули только монтаж, установку (инсталляцию) и наладку — пункты 12–15 перечня. Ремонт СКЗИ (пункт 16), разработка, производство и распространение средств, испытания, а также любые работы и услуги в интересах стороннего заказчика остаются лицензируемой деятельностью без всяких исключений [2][3]. Отдельно стоит держать в голове, что для гостайны (шифровальных средств, применяемых для защиты сведений, составляющих государственную тайну) исключение не действует в принципе — это отдельный контур регулирования.

Дерево решений: нужен ли лицензиат

Чтобы быстро определить статус конкретной работы, полезно последовательно пройти четыре вопроса.

Шаг 1. Что фактически делается? Если это монтаж, установка или наладка СКЗИ / защищённой ИС / защищённой ТКС / средств изготовления ключевых документов — переходите к шагу 2. Если это разработка, производство, распространение, ремонт или иное обслуживание, выходящее за рамки установки и наладки, — лицензия нужна независимо от остальных условий (кроме давно действующего исключения для техобслуживания для собственных нужд).

Шаг 2. В чьей инфраструктуре выполняются работы? Если это инфраструктура той же организации (без сторонних заказчиков, без дочерних и материнских компаний как отдельных юрлиц) — переходите к шагу 3. Если работы выполняются для другого юридического лица или ИП, включая дочернюю структуру, — это оказание услуг, лицензия нужна [6][7].

Шаг 3. Что говорит эксплуатационная документация? Если формуляр или руководство администратора прямо допускает самостоятельную установку и настройку пользователем без привлечения лицензиата — переходите к шагу 4. Если документация требует привлечения лицензиата, специализированной комиссии или сертифицированного специалиста — исключение не применяется, даже если работы делаются для себя.

Шаг 4. Работы делает сотрудник организации, а не приглашённый лицензиат? Если да — все три условия соблюдены, лицензия на монтаж/установку/наладку не требуется. Если для работ всё же привлекается сторонний лицензиат — это его лицензируемая деятельность, компания-заказчик лицензии по-прежнему не получает, но фактически работы выполняет не «своими силами», а через лицензиата.

Какие действия внутреннего администратора допустимы

Практический ориентир — что может сделать штатный ИТ-специалист без лицензии, если пройдены все шаги дерева решений:

• установить дистрибутив СКЗИ на рабочие места и серверы организации по инструкции производителя;
• выполнить первичную настройку в соответствии с руководством администратора безопасности;
• провести наладку — проверку корректности работы после установки, конфигурирование параметров, предусмотренных документацией;
• назначить приказом руководителя ответственного за эксплуатацию СКЗИ и вести обязательный учёт согласно инструкции, утверждённой ещё приказом ФАПСИ от 13.06.2001 № 152, которая формально не отменена и по-прежнему применяется ФСБ России при проверках операторов персональных данных и держателей сертифицированных СКЗИ [11][12].

Что стоит передать лицензиату, даже если формально работы делаются «для себя»:

• любые действия, которые эксплуатационная документация относит к зоне ответственности сертифицированного специалиста или требует привлечения лицензиата (например, отдельные операции с ключевой системой на средствах старших классов защиты — КВ, КА);
• ремонт СКЗИ и работы, выходящие за пределы монтажа, установки и наладки;
• любые работы в инфраструктуре, которая юридически принадлежит другому лицу, даже если это дружественная или дочерняя структура.

Практические этапы: чек-лист перед установкой

1. Определите вид работы. Зафиксируйте, что именно предстоит сделать — монтаж, установка, наладка или что-то ещё (например, ремонт или разработка), и убедитесь, что это укладывается в пункты 12–15 перечня, а не в другие пункты.
2. Проверьте контур. Убедитесь, что работы выполняются в инфраструктуре именно вашего юридического лица, а не аффилированной структуры, франчайзи, дочерней компании или клиента.
3. Изучите эксплуатационную документацию. Найдите в формуляре, руководстве администратора или инструкции по эксплуатации конкретного СКЗИ прямое указание на возможность самостоятельной установки пользователем без лицензиата. При отсутствии такого указания исходите из того, что исключение не применяется.
4. Оформите приказ об ответственном. До начала эксплуатации СКЗИ назначьте приказом сотрудника, ответственного за её эксплуатацию, и проведите его инструктаж под подпись [11].
5. Зафиксируйте состав работ документально. Составьте акт установки и настройки СКЗИ с указанием версии продукта, выполненных настроек, ответственного исполнителя и результатов проверки работоспособности.
6. Ведите журналы учёта. Заведите журнал поэкземплярного учёта СКЗИ, эксплуатационной документации и ключевых документов по формам, предусмотренным инструкцией, утверждённой приказом ФАПСИ № 152 [11].
7. Если привлекаете подрядчика для смежных работ (обучение персонала, аудит, техническая поддержка более сложного контура) — проверьте, что наименования услуг в договоре и акте соответствуют фактическим действиям, а не смешивают лицензируемые и нелицензируемые работы под одной формулировкой.

Ограничения, ошибки и риски

• Смешение «собственных нужд» и обслуживания дочерних структур. Одна из самых частых ошибок — распространение исключения на работы в интересах дочерних или зависимых компаний. С точки зрения лицензирования это разные юридические лица, и обслуживание чужой инфраструктуры своими силами не освобождает от лицензии [6][7].
• Игнорирование требований эксплуатационной документации. Если производитель СКЗИ прямо указывает на необходимость привлечения лицензиата для определённых операций (что нередко для классов защиты выше КС1), нельзя ссылаться на постановление № 1103 как на универсальное освобождение.
• Неверные формулировки в договорах и актах. Если организация приглашает стороннего специалиста «в помощь» штатному администратору, но реально передаёт ему весь объём монтажа и наладки, а в документах это называется «консультационные услуги», — при проверке такая работа может быть квалифицирована как незаконная лицензируемая деятельность обеих сторон.
• Ответственность за нарушение порядка. Отсутствие лицензии там, где она требуется, а также нарушение общих правил обращения со СКЗИ — хранение ключевых носителей в запираемых металлических шкафах, поэкземплярный учёт, инструктаж пользователей [11][13] — влечёт ответственность по статьям 13.12 и 13.6 КоАП РФ вплоть до штрафов для юридических лиц в размере 50 000–300 000 рублей и конфискации оборудования [11].
• Отсутствие официальных разъяснений по отдельным вопросам. На момент подготовки материала в открытых источниках нет официальных разъяснений ФСБ России о применении исключения к облачным сервисам, удалённой работе с СКЗИ или к ситуациям временного привлечения физического лица по гражданско-правовому договору вместо штатного сотрудника — эти вопросы стоит уточнять индивидуально, желательно письменным запросом в лицензирующий орган.

Как выбрать между самостоятельной установкой и привлечением лицензиата

Если все три условия исключения выполняются и внутри организации есть компетенции для корректной установки и последующей эксплуатации СКЗИ в соответствии с документацией — привлекать лицензиата для монтажа и наладки не обязательно. Но это не отменяет необходимости соблюдать общие требования к эксплуатации СКЗИ (учёт, хранение ключей, инструктаж, соответствие формуляру), за нарушение которых отвечает сама организация независимо от того, кто выполнял установку.

Лицензиата стоит привлекать, если:

• эксплуатационная документация прямо требует его участия для части операций;
• речь идёт о защите систем, выходящих за пределы одного юридического лица (в том числе дочерних структур или клиентов);
• организации нужна не только установка, но и аттестация объекта информатизации, разработка модели угроз или иные работы, которые не покрываются исключением;
• внутри организации нет ресурсов для самостоятельного соблюдения требований к учёту, хранению и инструктажу, и есть риск административной ответственности при проверке.

Вывод

Постановление № 1103 не отменяет лицензирование деятельности с СКЗИ — оно точечно выводит из-под него монтаж, установку и наладку в узком, но практически значимом случае: когда работы выполняются своими силами, для себя, и это прямо разрешено документацией на средство. Это удобный инструмент для компаний, которые используют готовые сертифицированные СКЗИ во внутренней инфраструктуре, но он требует аккуратной проверки каждого из трёх условий, а не автоматического распространения на все работы с криптографией. Материал не заменяет юридическую консультацию: перед принятием решения стоит свериться с действующей редакцией постановления № 313, эксплуатационной документацией на конкретное средство и, при сомнениях, — направить запрос в лицензирующий орган.

Источники

[1] consultant.ru — Обзор «Новое в российском законодательстве»: уточнение перечня работ по СКЗИ постановлением № 1103 — https://www.consultant.ru/document/cons_doc_LAW_11916/05690d68cbcc5c5e2be23e7b25b2326c952d4036/

[2] cyberkit.tech — Обзор изменений в законодательстве за май 2026 года (раздел «Об упрощении лицензирования работ с шифровальными средствами для собственных нужд») — https://cyberkit.tech/blog/overviewmay2026

[3] base.garant.ru — Постановление Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения о лицензировании...» с изменениями, внесёнными постановлением от 28.08.2026 № 1103 — https://base.garant.ru/70164728/

[4] legalacts.ru / fzrf.su — Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности», статья 12 — https://legalacts.ru/doc/99_FZ-o-licenzirovanii-otdelnyh-vidov-dejatelnosti/glava-2/statja-12/

[5] consultant.ru — Постановление Правительства РФ от 28.08.2026 N 1103 «О внесении изменений в некоторые акты Правительства Российской Федерации» — https://www.consultant.ru/document/cons_doc_LAW_543088/

[6] certification.vnesenie-v-reestr.ru — «Лицензия ФСБ: что это такое и кому нужна» (разграничение собственных нужд и обслуживания третьих лиц/дочерних структур) — https://certification.vnesenie-v-reestr.ru/news/litsenziya-fsb-chto-eto-takoe-i-komu-nuzhna

[7] certification.vnesenie-v-reestr.ru — «Лицензия ФСБ на ТЗКИ: какая лицензия нужна для технической защиты информации» — https://certification.vnesenie-v-reestr.ru/news/litsenziya-fsb-na-tehnicheskuyu-zaschitu-informatsii-tzki

[8] certification.vnesenie-v-reestr.ru — «Лицензия ФСБ на тахографы с СКЗИ: установка, активация и обслуживание» — https://certification.vnesenie-v-reestr.ru/certification/city/moskva/litsenziya-fsb-na-tahografy

[9] cryptopro.ru — «КриптоПро CSP. Инструкция по использованию СКЗИ под управлением ОС Windows» — https://www.cryptopro.ru/sites/default/files/public/faq/csp/zhtyai.00101-01_92_01._instrukciya_po_ispolzovaniyu._windows.pdf

[10] ca.kontur.ru — «ЖТЯИ.00101-03 30 01. КриптоПро CSP. Формуляр» — https://ca.kontur.ru/Files/userfiles/file/Faq/cryptopro-license/5.0R3/zhtyai00101-03-30-01-formulyar.pdf

[11] astral.ru — «ФАПСИ № 152 на практике: как хранить СКЗИ без нарушений» — https://astral.ru/aj/elem/fapsi-152-na-praktike-kak-khranit-skzi-bez-narusheniy/

[12] base.garant.ru — Приказ ФАПСИ от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи...» — https://base.garant.ru/183628/

[13] service.securitm.ru — Раздел «Глава V Приказа ФАПСИ № 152 — Контроль соответствия» — https://service.securitm.ru/docs/fapsi-152/glava-v

[14] kontur.ru — «Лицензия ФСБ: что нужно знать при её получении» (квалификационные требования к персоналу лицензиата) — https://kontur.ru/articles/1705

[15] clsz.fsb.ru — Центр по лицензированию, сертификации и защите государственной тайны ФСБ России, раздел «Лицензирование» — http://clsz.fsb.ru/clsz/license.htm