Режим секретности в организации: что это, кто проверяет, нарушения и ответственность

Режим секретности — совокупность требований, правил, организационных, технических и иных мер, направленных на защиту сведений, составляющих государственную тайну (ст. 2 Закона РФ «О государственной тайне» № 5485-1; понятие действует с 1 февраля 2024 года). Порядок его обеспечения устанавливает Правительство, основной документ — Инструкция по обеспечению режима секретности (постановление Правительства от 05.01.2004 № 3-1), закрытая и не публикуемая. В организации с лицензией ФСБ за режим отвечает руководитель, а держит его первый отдел; проверяет — территориальный орган безопасности. На практике режим — это не папка с инструкцией, а ежедневная рутина: кто и куда проходит, где лежат документы, на каком компьютере их готовят и куда деваются телефоны перед дверью первого отдела. Нарушения оборачиваются штрафами, прекращением допуска работников и вопросом о лицензии организации. Ведомственные инструкции МВД, Минобороны и других органов о режиме секретности — другие документы для служащих; здесь — о коммерческой организации-лицензиате.

Режим секретности по закону

До 2024 года закон о гостайне не давал определения режима секретности. Закон № 432-ФЗ дал его в ст. 2 и прямо закрепил за Правительством установление порядка обеспечения режима секретности (ст. 4). Остальное в законе — элементы режима, разбросанные по статьям:

• организация доступа: руководитель персонально отвечает, чтобы человек знакомился только с теми сведениями и в том объёме, которые нужны для работы, а обеспечивает доступ первый отдел (ст. 25);
• защита гостайны — вид основной деятельности организации, ответственность за её организацию несёт руководитель, он же создаёт подразделение по защите гостайны (ст. 20);
• условия лицензии: подразделение по защите гостайны, подготовленные сотрудники, выполнение нормативных требований, сертифицированные средства защиты (ст. 27);
• финансирование — за счёт самой организации (ст. 29).

Сведения об организации обеспечения режима секретности и о фактическом состоянии защиты государственной тайны сами отнесены к гостайне (ст. 5). Поэтому акт проверки, описание охраны режимного помещения, перечень нарушений, как правило, сами получают гриф по перечню сведений, подлежащих засекречиванию, и вести их как «внутреннюю переписку» нельзя. Что вообще относится к гостайне — в отдельной статье.

Инструкция № 3-1: почему её нет в открытом доступе

Инструкция по обеспечению режима секретности в Российской Федерации утверждена постановлением Правительства от 05.01.2004 № 3-1. Это закрытый документ: официально он не публикуется, и законно скачать его нельзя. Всё, что выдают поисковики под этим названием, — пересказы, обрывки старых редакций или ведомственные документы с похожим названием; работать по ним — значит работать по неизвестно чему. Лицензиат работает по инструкции в установленном порядке.

Поэтому в открытом тексте мы не пересказываем содержание инструкции — ни нормативы помещений, ни порядок работы с носителями сверх того, что есть в открытых актах. Нарушения по ней делятся на несколько категорий, но какие это категории и что к ним относится, определяют закрытые документы, и здесь мы их не раскрываем. Ниже — то, как режим выглядит на практике.

Из чего режим состоит на практике

Режим секретности — не один документ и не одна должность, а набор мер, которые работают одновременно. В организации-лицензиате это:

• секретное делопроизводство — учёт, хранение, размножение, пересылка и уничтожение носителей, проверки наличия (секретное делопроизводство);
• режимное помещение и его охрана — сигнализация, сейфы установленного образца, порядок выдачи ключей, сдачи под охрану и вскрытия (требования к помещению РСП);
• пропускной режим и разграничение доступа — недопущенных сотрудников и посторонних в первый отдел не пропускают, допущенные знакомятся только с тем, что нужно им для работы;
• допускная работа — номенклатура должностей, оформление и прекращение допуска, проверочные мероприятия, своевременное выявление обстоятельств, при которых допуск нужно прекратить: второе гражданство, вид на жительство у родственников, иное из ст. 22 закона (формы допуска, Правила допуска № 132);
• инструктажи работников — о порядке работы с документами, об обязанностях допущенного, о том, о чём и как уведомлять первый отдел;
• пересылка и перевозка носителей — через органы специальной связи и по установленному порядку, а не «в своём портфеле»;
• техника — аттестованные рабочие места, средства защиты информации, контролируемая зона, учтённые носители (подробнее — в конце раздела);
• командировки — предписания и справки о допуске, приём командированных (справка о допуске и предписание);
• выезд за границу допущенных — уведомление и согласование поездок, учёт выездов (выезд с допуском);
• совместные работы — договоры с заказчиками, реальная передача сведений и её оформление (лицензия ФСБ в тендере);
• регулярные внутренние проверки режима и мониторинг попыток несанкционированного доступа к сведениям;
• взаимодействие с органом безопасности — согласование назначения на отдельные должности, в том числе начальника первого отдела и уполномоченного по ведению секретного делопроизводства, и ряда документов.

Из этого вытекают простые правила, на которых держится всё остальное:

• со сведениями, составляющими гостайну, работают только в отведённых местах — в первом отделе и на аттестованных компьютерах, которые там стоят;
• не работают на неучтённых носителях, тем более на неучтённых компьютерах;
• не переписываются о секретных вопросах через открытые каналы — почту, мессенджеры, интернет;
• не обсуждают такие вопросы и не проводят по ним совещания в помещениях, которые для этого не предназначены.

Техника. Компьютер, на котором обрабатывают секретные сведения, проверяют отдельно. Он стоит в контролируемой зоне и не подключён к интернету и другим сетям, через которые возможна утечка; на нём нет лишних встроенных модулей и лишнего программного обеспечения; установлены средства защиты информации, регулярно обновляется антивирус; доступ разграничен — у каждого пользователя своя учётная запись и пароль, а если первый отдел обслуживает несколько организаций, учётная запись и пароль отдельные для каждой из них. Носители, которые подключают к компьютеру, учтены и не позволяют снять информацию или передать её удалённо.

Кто обеспечивает режим в организации

По закону за организацию защиты гостайны и доступа отвечает руководитель (ст. 20, 25), и эту ответственность приказом не передашь. Если в организации есть директор по защите государственной тайны — второй единоличный исполнительный орган, — основные обязанности по режиму лежат на нём: подробно — в статье о директоре по защите гостайны.

На практике режим держит первый отдел: прежде всего начальник режимно-секретного подразделения, уполномоченный по ведению секретного делопроизводства и специалист по защите информации. В крупных компаниях, где у генерального директора десятки тысяч работников, руководитель с вопросами режима работает в основном формально: их ведёт начальник первого отдела или заместитель, которого генеральный назначает ответственным. Кто входит в штат и какие должности можно совмещать — в статье о штате первого отдела.

При работе на обслуживании условия для работы даёт режимно-секретное подразделение обслуживающей организации, а секретное делопроизводство ведёт сам лицензиат через своего уполномоченного — как это устроено.

Кто вправе проверять режим, а кто нет

Орган безопасности. Режим секретности коммерческого лицензиата проверяет территориальный орган ФСБ — управление по региону — в рамках федерального государственного контроля за обеспечением защиты гостайны (ст. 30.1 закона). Проверки плановые и внеплановые:

• о плановой организацию письменно уведомляют не позднее чем за три рабочих дня;
• внеплановую выездную проверку проводят, если истёк срок исполнения предписания, если поступила информация о признаках нарушения требований законодательства о гостайне, либо по распорядительному документу руководителя органа контроля, изданному по поручению Президента или Правительства или по требованию прокурора;
• проверка длится не больше 30 рабочих дней, в исключительных случаях её продлевают не больше чем на 20.

Заказчик закрытых работ контролирует защиту сведений только в пределах своего контракта: по ст. 17 закона в договоре о совместных работах записывают взаимные обязательства по сохранности сведений, а контроль возлагается на заказчика по условиям этого договора. Проверить режим секретности организации в целом заказчик не вправе: у неё есть документы и контракты других заказчиков, к которым он отношения не имеет. При нарушениях по его контракту заказчик вправе приостановить выполнение заказа до их устранения. Аннулировать лицензию заказчик не может — это решает только орган, который её выдал. На практике, если заказчик выявил по своему контракту серьёзные нарушения, он обращается в орган безопасности с просьбой провести проверку, а решение по её итогам принимает орган.

Специальная экспертиза при оформлении лицензии на новый срок смотрит, как режим работал всё время действия лицензии, — разбор экспертизы.

Кто не вправе. МВД России, ФНС, МЧС, Роспотребнадзор и другие подобные ведомства, у которых нет полномочий по контролю за защитой гостайны, первый отдел не проверяют. Если кто-то из них пытается попасть в первый отдел «на проверку», об этом незамедлительно сообщают в орган безопасности.

Как проходит проверка органа безопасности

В письме о проверке указывают её цель и сроки, и по ним обычно понятно, что будут смотреть. Прийти может один сотрудник, может несколько. Проверить вправе вообще всё — в зависимости от цели; иногда проверяют отдельные виды деятельности, но чаще — всё секретное делопроизводство целиком. Что смотрят:

• документы и учёт — ведение форм и журналов, пересылку, справки о допуске и предписания, оформление документов по требованиям инструкции;
• допуск — сколько человек допущено, как оформлена номенклатура должностей; могут проверить анкеты целиком;
• выезд за границу — журнал выездов проверяют чаще всего: кто и когда выезжал, заблаговременно ли уведомляли, как была согласована поездка;
• компьютеры — аттестат, средства защиты, антивирус, разграничение доступа, неучтённые носители;
• совместные работы — как исполняются, передавалась ли гостайна на самом деле, положено ли это по договору, каким порядком передавались и пересылались документы; была ли оплата по договору, командировались ли сотрудники в рамках совместных работ, оформлена ли отчётная документация по результатам работ и в какие сроки;
• хранение и помещение — сейфы установленного образца, выполнение требований к помещению, работа сигнализации, порядок получения ключей, сдачи под охрану и снятия с охраны, вскрытия первого отдела и то, как всё это записано в журналах;
• люди на месте — если в момент проверки в первом отделе работают сотрудники, могут проверить, нет ли у них телефонов и под своей ли учётной записью они работают. Бывает, что сверяют даты: документ разработан такого-то числа, а записи о работе на компьютере в этот день нет.

Список не полный: есть и много других нарушений, о которых отдельно здесь упоминать смысла не видим.

Итог оформляют актом; по нему решение принимает руководитель профильного подразделения органа безопасности. Серьёзные нарушения устраняют сразу, на остальные дают срок — по делопроизводству чаще всего два–три месяца.

Типовые нарушения

То, что находят почти на каждой проверке:

• документы оформлены не по инструкции: нет дат, подписей в журналах, печатей, учёт не сверен;
• не обновлялся антивирус, истекли сроки специальной проверки техники;
• у работников нет обучения — истёк пятилетний срок или его не было вовсе;
• личные телефоны и другая техника в режимном помещении;
• допуск не прекращён вовремя, в карточках нет отметок, учётные формы не ведутся;
• совместные работы: результаты не оформлены — или оформлены, а реальных командировок и передачи секретных документов не было.

Серьёзные нарушения

В обиходе их называют «грубыми», но в открытых актах такого критерия нет — ни в законе, ни в Положении о лицензировании. На практике серьёзными считают:

• утрату любых секретных документов;
• неучтённые копии и вообще неучтённые документы, хранение секретных документов вне установленных мест — сейфов и хранилищ;
• неучтённые носители на компьютере первого отдела, подключение такого компьютера к интернету, отсутствие на нём средств защиты, лишнее программное обеспечение;
• флешки и печать на обычном принтере — нарушения «из удобства», но тоже серьёзные;
• обсуждение и обработку гостайны вне оборудованных мест, пересылку рабочих документов через мессенджеры и интернет;
• доступ недопущенных лиц; в первом отделе — документы, не имеющие к нему отношения, и посторонняя техника, вплоть до холодильника;
• работу со сведениями более высокой степени секретности, чем разрешает лицензия: организация получает сведения, на которые у неё нет права, и на практике это рассматривают как разглашение;
• генерального директора, которого заказчик закрытых работ не допустил к гостайне (при нескольких заказчиках проверяют, допустил ли его каждый); работников, которые должны быть допущены, но не допущены;
• сокрытие обстоятельств, при которых допуск нужно прекращать: у проверенного работника появилось второе гражданство, особенно недружественной страны, а первый отдел об этом не узнал или не сообщил, и перепроверки не было;
• выезд за границу без уведомления и согласования — особенно у тех, кто осведомлён в сведениях особой важности;
• уничтожение секретных документов не в установленном порядке или в непредназначенных местах — и фиктивное уничтожение, когда по отчётности документы уничтожены, а на деле лежат в шкафу;
• занижение степени секретности: совершенно секретному документу ставят гриф «секретно» или вообще пометку «Для служебного пользования».

Что бывает после проверки

Если ничего не нашли — ничего и не бывает. Чаще всего находят мелкие нарушения: приходит предписание, организация устраняет и сообщает об устранении.

Открытая норма — п. 12 Положения о лицензировании (постановление Правительства № 333): орган, выдавший лицензию, сам, без суда, приостанавливает её или аннулирует — в том числе за нарушение условий действия лицензии и за невыполнение предписаний; при приостановлении даёт срок на устранение — не больше шести месяцев. Нарушение режима секретности — нарушение условий лицензии, поэтому на практике это приостановление вплоть до аннулирования. Разбор Положения — по пунктам.

Как это выглядит в жизни:

• приостановление — при серьёзных нарушениях, особенно связанных с совместными работами, или когда работ по закрытым контрактам на момент проверки нет вовсе и орган указывает на это. Чаще так бывает у организаций на обслуживании: если совместных работ между обслуживающей организацией и лицензиатом нет, лицензию приостанавливают;
• аннулирование сразу — когда видно, что всё было нарисовано «на коленке».

Аннулируют сразу, например, когда:

• договор о совместных работах оформляли только для получения лицензии: секретных работ по нему больше не велось, договор не использовался;
• в договоре указаны ложные сведения;
• подтверждение степени секретности получено не в установленном порядке или с заведомыми нарушениями закона;
• подтверждение степени секретности сфальсифицировано;
• подделано разрешение на передачу сведений;
• заказчик, который выдавал подтверждения степени секретности, пойман на массовом заключении таких договоров и выдаче подтверждений.

Ответственность работника и организации

Работник:

• прекращение допуска: нарушение требований законодательства о гостайне с 2024 года — основание для отказа в допуске (ст. 22 закона), а по нему допуск может быть прекращён решением руководителя (ст. 23); дальше — прекращение трудового договора, если работа требует допуска и перевести человека на другую работу нельзя (п. 10 ч. 1 и ч. 2 ст. 83 ТК);
• увольнение за разглашение охраняемой законом тайны как однократное грубое нарушение трудовых обязанностей (подп. «в» п. 6 ч. 1 ст. 81 ТК);
• административный штраф по ч. 7 ст. 13.12 КоАП за иное нарушение требований о защите гостайны без состава преступления — от 10 000 до 20 000 ₽ гражданам, от 20 000 до 50 000 ₽ должностным лицам;
• уголовная ответственность — когда нарушение привело к разглашению (ст. 283 УК) или к утрате документов с тяжкими последствиями (ст. 284); выезд за границу в период ограничения и вывоз носителей за рубеж — отдельное преступление (ст. 283.2 УК). Разбор — в статье об ответственности за разглашение.

Персональная ответственность работника наступает тогда, когда первый отдел его проинструктировал, всё довёл, а он всё равно нарушил.

Организация:

• штраф по ч. 7 ст. 13.12 КоАП — от 50 000 до 100 000 ₽; по ч. 3 той же статьи за нарушение условий лицензии — от 20 000 до 25 000 ₽; за использование несертифицированных средств защиты гостайны (ч. 4) — от 50 000 до 100 000 ₽ с конфискацией этих средств или без неё;
• предписание по итогам проверки, а за нарушение условий лицензии или невыполнение предписания — приостановление вплоть до аннулирования лицензии решением органа, который её выдал (п. 12 Положения № 333);
• со стороны заказчика — приостановление выполнения заказа до устранения нарушений (ст. 17 закона); при серьёзных нарушениях заказчик обращается в орган безопасности с просьбой провести проверку — решение по лицензии принимает только орган.

Что применяют на практике. Штрафы по ст. 13.12 КоАП выписывают, и чаще всего — в двух историях. Первая — директор: на должность назначили человека, у которого допуска нет или он ещё не оформлен. Организацию внесли в ЕГРЮЛ с новым директором, а заказчик ещё оформляет документы; бывает, что человека назначили директором по защите гостайны, но заказчик его пока не допустил. Вторая — телефоны и другая техника в режимном помещении: здесь штрафуют и сотрудников.

Где режим ломается чаще всего

• Неподготовленные люди. Необученный начальник первого отдела, необученный директор, сотрудники без обучения или с формальным обучением. Они не знают, как работать с анкетами и оформлять допуск, и делопроизводство ведётся «как получится».
• Штат не по объёму. Учёт большой, документооборот огромный, контрактов куча, а в первом отделе один делопроизводитель — физически он всё не успеет. Штат первого отдела нужно увеличивать вместе с объёмом работ.
• Непроинструктированные работники. Люди приходят, работают с документами, но не знают своих обязанностей и того, о чём и как уведомлять первый отдел.
• Учредители. Меняют директора, не зная, что нового директора сначала допускают к гостайне, а потом назначают.
• Обслуживание без денег. Организация на обслуживании перестаёт платить, и обслуживающая сторона — чаще всего это уполномоченные, которые ведут делопроизводство, — машет на него рукой. Но невыплата денег не освобождает от обязанностей по защите гостайны: делопроизводство всё равно нужно вести или закрыть в установленном порядке — передать дела уполномоченным лицам, уничтожить то, что подлежит уничтожению, сообщить в орган безопасности.

Нейросети и гостайна

Загрузить техническое задание с грифом в чат-бот, подключённый к интернету, — это однозначно разглашение государственной тайны: сведения ушли туда, где у них нет ни учёта, ни защиты. Без вариантов.

Другое дело — локальная языковая модель (LLM), которая работает в закрытом контуре. Такие программы для секретного делопроизводства есть: они помогают с оформлением части документов. Если модель внедрена в установленном порядке, на неё получены все разрешения и работа с ней оформлена по инструкциям, нарушения нет. Но практика использования нейросетей в секретном делопроизводстве пока близка к нулю, так что это скорее экспертное мнение, чем сложившаяся практика.

Тему «Нейросети и государственная тайна» мы разберём отдельно: смогут ли нейросети работать с государственной тайной и насколько они способны вытеснить людей в этой сфере. Обязательно выпустим свой разбор и своё видение.

Чем поможем

Проведём аудит режима секретности до проверки органа безопасности или экспертизы на новый срок: учёт, допуск и доступ, помещение, техника, командировки, выезд — с перечнем расхождений и планом устранения. Если проверка уже назначена или прошла — проконсультируем, к чему готовиться и как устранить замечания, и сопроводим исполнение предписания — сопровождение лицензиатов.

Чаще всего к нам приходят с недопущенным директором: генерального сменили, назначили человека без допуска, и орган безопасности сразу предъявил претензии. Мы сразу выходим на связь с органом безопасности — с сотрудником, который проводит проверку, — и говорим о намерениях: быстро заменить директора или разграничить полномочия между двумя единоличными исполнительными органами, назначив директора по защите гостайны и допустив его в установленном порядке. Если у сотрудников нет обучения — в кратчайший срок договариваемся с учебными центрами о ближайшем потоке или даём своих специалистов на совместительство, пока ваши проходят обучение и проверку (подбор сотрудников РСП). Телефон: 8 (962) 924-00-00.

Вопросы и ответы

Что такое режим секретности?

Совокупность требований, правил, организационных, технических и иных мер, направленных на защиту сведений, составляющих государственную тайну (ст. 2 закона № 5485-1). Порядок его обеспечения устанавливает Правительство — Инструкцией по обеспечению режима секретности (постановление № 3-1), это закрытый документ.

Где скачать инструкцию по обеспечению режима секретности № 3-1?

Законно — нигде: это закрытый документ, официально он не публикуется. Тексты под этим названием в интернете — пересказы или чужие ведомственные документы, работать по ним нельзя.

Кто проверяет соблюдение режима секретности?

У коммерческой организации — территориальный орган ФСБ, плановыми и внеплановыми проверками (ст. 30.1 закона о гостайне). Заказчик закрытых работ контролирует защиту сведений только по своему контракту (ст. 17), специальная экспертиза смотрит режим при оформлении лицензии на новый срок.

Можно ли проносить телефон в режимное помещение?

Нет. В режимное помещение нельзя проносить телефоны и любые устройства, которые могут записывать, прослушивать или передавать информацию: умные часы, очки с видеозаписью, беспроводные наушники. Телефон в первом отделе — одно из типовых нарушений на проверках, за него штрафуют и сотрудников.

Что будет, если потерять пропуск или ключ от хранилища?

Служебное расследование — однозначно, с сообщением его результатов в орган безопасности. Терять время на поиски «своими силами» не стоит: о происшествии сообщают в первый отдел сразу.

Может ли заказчик проверить режим секретности в нашей организации?

Только в части своего контракта: как охраняются переданные им сведения и как исполняются совместные работы (ст. 17 закона). Проверять документы, не связанные с его контрактом, заказчик не вправе — к ним он отношения не имеет. При нарушениях он может приостановить выполнение заказа, а при серьёзных — попросить орган безопасности провести проверку; аннулировать лицензию заказчик не может.

Может ли полиция проверить первый отдел?

Нет. Режим секретности коммерческой организации проверяет территориальный орган безопасности. Если МВД, ФНС, МЧС, Роспотребнадзор или другое подобное ведомство пытается попасть в первый отдел «на проверку», об этом незамедлительно сообщают в орган безопасности.

Можно ли не пустить сотрудника органа безопасности на проверку?

Нет, и пытаться не стоит. Даже если в оформлении проверки что-то кажется неправильным — уточняйте через сам орган и ищите компромисс, а не устраивайте конфликт на пороге. Мы всегда рекомендуем максимальное содействие проверке.

Есть ли смысл судиться, если лицензию приостановили или аннулировали?

Обжаловать решение можно — Положение № 333 это прямо предусматривает (п. 16). Но если нарушение действительно было, судиться с территориальным органом безопасности мы не советуем: открытой статистики по таким делам нет, а даже выигранный спор скажется на следующих проверках и на всех отношениях с органом. Правильнее устранить нарушения в срок приостановления.

Что будет, если загрузить секретный документ в нейросеть?

Если чат-бот подключён к интернету — это разглашение государственной тайны, без вариантов. Локальная языковая модель (LLM) в закрытом контуре, внедрённая в установленном порядке и со всеми разрешениями, нарушением не будет, но такая практика в секретном делопроизводстве пока почти не встречается.

Какая ответственность за нарушение режима секретности?

Работнику — прекращение допуска и увольнение, штраф по ч. 7 ст. 13.12 КоАП, а при разглашении, утрате документов с тяжкими последствиями или выезде в период ограничения — уголовная ответственность (ст. 283, 284, 283.2 УК). Организации — штраф, предписание, приостановление вплоть до аннулирования лицензии, претензии заказчика.

Первоисточники: Закон РФ от 21.07.1993 № 5485-1 «О государственной тайне» (ст. 2, 4, 5, 17, 20, 22, 23, 25, 27, 29, 30.1) — официальный текст на pravo.gov.ru; постановление Правительства РФ от 15.04.1995 № 333 (Положение, пп. 12, 16); Кодекс РФ об административных правонарушениях (ст. 13.12); Трудовой кодекс РФ (ст. 81, 83); Уголовный кодекс РФ (ст. 283, 283.2, 284).