Оспариваемые
нормы
Из пункта 36 проекта Закона, абзацы 1-4 «…наличие у юридического лица … системы защиты информации информационной системы, обеспечивающей информационный обмен с таможенными органами, отнесённой к классам „3-ин“, „3-спец“, „3-юл“, созданной и аттестованной в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь»; «…аттестат соответствия системы защиты информации информационной системы требованиям по защите информации».
Возражение
Проектом предлагается дополнить условия включения юридических лиц в реестр таможенных представителей новым требованием об обязательной аттестации их информационных систем. В частности, предлагаемый подп. 1.11 ст. 310 Закона требует наличия на день подачи заявления информационной системы для обмена электронными документами с таможней, отнесенной к классам «3-ин», «3-спец», «3-юл» и аттестованной в установленном ОАЦ порядке.
Вопросы аттестации систем защиты информации находятся в сфере технической и криптографической защиты информации, курируемой Оперативно-аналитическим центром при Президенте РБ (ОАЦ). Именно ОАЦ уполномочен определять требования к защите информации и порядок аттестации (во исполнение Указа Президента № 449 от 09.12.2019). Согласно ст. 28 Закона «Об информации, информатизации и защите информации», информация с ограниченным распространением должна обрабатываться в информационных системах с применением аттестованной системы защиты информации в порядке, установленном ОАЦ. То есть необходимость аттестации уже закреплена в профильном законодательстве, и надзор за ее выполнением отнесен к компетенции ОАЦ. Попытка же таможенного органа (ГТК) в рамках Закона о таможенном регулировании дублировать или предварительно контролировать выполнение этих требований выходит за сферу классической компетенции ГТК. Более того, действующее законодательство возлагает ответственность, в том числе, административную, за обеспечение защиты информации на собственника (владельца) информационной системы, то есть на руководство организации. Руководитель сам несет ответственность за нарушение требований по защите информации, и он же обязан организовать при необходимости аттестацию. Внешние органы – в данном случае таможенные – не наделены полномочиями напрямую вмешиваться в процесс аттестации частной информационной системы. Таким образом, включение требования об аттестации в перечень условий для реестра таможенных представителей создает правовую коллизию: таможенный орган фактически берет на себя функцию контроля в области, находящейся под регулированием ОАЦ, и дублирует механизм ответственности, уже установленный законодательством о защите информации.
Проведение аттестации информационной системы (ИС) представляет значительную финансовую и организационную нагрузку, особенно для малого бизнеса. По оценке из открытых источников аттестация даже небольшой системы (например, одна рабочая станция) обойдется примерно в 5 000 BYN (без НДС). Для более сложной корпоративной сети (десятки рабочих мест) стоимость возрастает в разы – порядка 25 000 BYN и выше только за услуги аттестации. Эти цифры не учитывают сопутствующие расходы, без которых получение аттестата невозможно. Юридическому лицу придется приобрести и установить сертифицированные средства защиты информации: лицензионные операционные системы и программное обеспечение, антивирусные решения, системы контроля и управления доступом (СКУД), межсетевые экраны (фаерволы), возможно специальные криптосредства и другое оборудование. Кроме того, требуются затраты на привлечение специалистов по кибербезопасности (консультантов) для анализа угроз и разработки документов, получение электронной цифровой подписи и носителей для сотрудников, а также на обучение персонала правилам защиты информации. Все эти меры существенно увеличивают как единовременные затраты, так и постоянные издержки на сопровождение системы. Таким образом, требование аттестации информационной системы фактически вводит барьер в десятки тысяч рублей для желающих получить статус таможенного представителя, что особенно непосильно для малых предприятий.
Нормы Проекта необоснованно выделяют таможенных представителей из числа иных участников сферы таможенного дела, возлагая на них дополнительное бремя. Между тем таможенные представители не являются единственными, кто обменивается аналогичной информацией с таможенными органами. Владельцы складов временного хранения (СВХ), таможенных складов, магазинов беспошлинной торговли, таможенные перевозчики, уполномоченные экономические операторы и другие лица, осуществляющие деятельность в сфере таможенного дела, также передают и обрабатывают сведения, ограниченные для распространения, и взаимодействуют с информационными системами таможни в электронном виде. Однако для них требование об аттестованной системе защиты информации не устанавливается. Возложение же такой обязанности только на одну категорию – таможенных представителей – создает дисбаланс и противоречит принципу равенства условий ведения деятельности для всех участников таможенных правоотношений. Налицо выборочное ужесточение регулирования без достаточных оснований.
Проект указывает, что информационная система таможенного представителя должна быть отнесена к строго определенным классам типовых информационных систем – 3-ин, 3-спец или 3-юл. Такая формулировка не соответствует действующему порядку классификации информационных систем, установленному ОАЦ. Согласно п. 8 гл. 1 Положения о порядке технической и криптографической защиты информации (утв. приказом ОАЦ № 66 от 20.02.2020), классификацию информационной системы осуществляет сам владелец (собственник) системы на основании результатов анализа угроз и характеристик обрабатываемой информации. Лишь после проведения такой оценки определяется, к какому из установленных ОАЦ классов (3-го или 4-го уровня, различных категорий) относится данная система, и исходя из этого выбираются необходимые меры защиты. Проект же априори требует определенные классы («3-ин», «3-спец» или «3-юл») без учета фактического состава информации. Жесткая привязка к трем названным классам противоречит процедурe классификации, предоставленной на усмотрение владельца ИС. Иными словами, закон не должен предрешать результат анализа угроз, это компетенция организации под надзором ОАЦ.
В странах ЕАЭС при лицензировании (аккредитации) таможенных представителей не предъявляется обязательное требование наличия аттестованной информационной системы – устанавливаются в основном финансовые критерии (обеспечение уплаты платежей, уставной капитал), квалификационные требования к персоналу (штат декларантов) и репутационные условия (отсутствие нарушений). Дополнительные нормы по кибербезопасности у них адресуются через общие требования защиты данных или в рамках статуса Уполномоченного экономического оператора, но нигде не требуют отдельного аттестата соответствия от таможенного брокера как условия допуска. В Европейском союзе деятельность таможенных представителей также не обременена обязанностью получать государственную сертификацию своих информационных систем. Существуют некоторые требования в области информационной безопасности, однако отсутствует формальная аттестация каждой IT-системы перед началом работы. Более того, в международной практике все более популярны облачные и типовые решения для обеспечения безопасности информации. Например, в Республике Беларусь уже доступны коммерческие облачные сервисы, которые сами прошли аттестацию по приказу ОАЦ № 66 и позволяют компаниям размещать свои информационные системы в защищенном сегменте без необходимости строить защиту с нуля. В предлагаемой же редакции проекта ничего этого нет, что делает белорусское регулирование излишне жестким по сравнению с зарубежными практиками.
Предложение
В связи с тем, что ГТК выходит за пределы своих полномочий по регулированию правоотношений в сфере персональных данных, а также в силу других приведенных причин, необходимо исключить оспариваемые пункты из текста проекта либо переформулировать как отсылочную норму общей компетенции. Например: «юридическое лицо обязано обеспечивать защиту информации в соответствии с законодательством об информации и защите информации». Такая формулировка будет соответствовать Закону № 455-З и не внесёт избыточных деталей в таможенное законодательство.
Правовой форум