Страсти вокруг удостоверяющих центров накалились до предела, но как ни странно конфликт еще ни разу не был представлен публично в полном объеме. BIS Journal исправляет эту ошибку и предлагает познакомится с полноценно изложенной позицией одной из сторон. Надеемся, за ответом противоположной стороны дело не станет.
СУТЬ ПРОТИВОСТОЯНИЯ
Не подвергается сомнению, что рынок электронных услуг, основанных на юридически значимом электронном документообороте с использованием электронной подписи, получил бурное развитие в России в основном благодаря коммерческим удостоверяющим центрам (УЦ), которые с 2002 года начали «плодиться» в России «как грибы после дождя». За период 2012-2018 г.г. Минкомсвязью РФ аккредитованы 486 удостоверяющих центров.
Вот именно это количество - «почти 500!» вызывает сегодня аллергию у некоторых чиновников, хотя УЦ с действующей аккредитацией насчитывается на конец сентября 2018 г. лишь 371. В последние годы в недрах Минкомсвязи один за другим рождаются законопроекты, нацеленные на сокращение количества УЦ до нескольких единиц. И если предыдущие законопроекты предусматривали полное огосударствление этой сферы, то последняя версия такого законопроекта, опубликованная 4 сентября 2018 г. для обсуждения и экспертной оценки, предусматривает возможность существования и нескольких коммерческих УЦ. Задуманы такие заградительные барьеры для их аккредитации, после утверждения которых в России, должно остаться не более 10-15 УЦ.
ПРИДУМАННЫЕ БАРЬЕРЫ
Оставим сейчас в стороне вопрос о целесообразности существования более 200 государственных, бюджетных УЦ, остановимся на кластере коммерческих. Основной барьер для них задуман в виде повышения в 143 раза (до 1 млрд рублей) размера собственных средств УЦ. В таком случае в число аккредитованных УЦ войдут 3-4 компании, для которых направление деятельности УЦ является основным, но при этом и те, для которых УЦ – сопутствующее направление, например – операторы сотовой связи, банки, ритейлерские торговые компании и т.п. Остальным действующим сегодня УЦ, которые не сумеют показать наличие собственных средств в указанном размере, уготована судьба лишения аккредитации, по сути – ликвидации.
Вторая новация – повышение в 3 раза – с 30 млн. до 100 млн рублей размера финансового обеспечения ответственности аккредитованного УЦ за убытки, причиненные третьим лицам. Она не обоснована какими-либо расчетами, фактами, прецедентами недостаточности ранее установленных соответствующих размеров. Не известно ни одного случая, когда страховая компания расплатилась за ущерб, нанесенный в результате дефектов в работе УЦ. Возникает вопрос: разве изменения правил игры, действующего законодательства не должны быть основаны на практике правоприменения, статистике негативных прецедентов, сформулированных и обоснованных предложениях для решения конкретных возникших и систематически повторяющихся проблем? Кто и зачем необоснованно взвинчивает обременения к УЦ?
Наконец, третий удивительный барьер, вызывающий настороженность с точки зрения потенциальной коррупционной составляющей: новый двухэтапный порядок аккредитации УЦ. После определения Минкомсвязью России соответствия претендующего на аккредитацию УЦ новым требованиям, решение об аккредитации либо отказе в аккредитации будет принимать некий коллегиальный орган, который сформируется из представителей федеральных органов исполнительной власти и представителей экспертного сообщества. Этот же орган будет устанавливать предельное количество аккредитуемых УЦ, принимать на основе заключений Минкомсвязи решения об аккредитации УЦ с позиций оценки деловой репутации руководителя и учредителей УЦ. Можно только предполагать, на основании каких критериев в состав коллегиального органа попадут те или иные эксперты и какими интересами они будут руководствоваться.
Можно напомнить авторам проекта, что любое искусственное ограничение предпринимательской инициативы несет в себе угрозу конкуренции, национальной и экономической безопасности страны, а такие оценочные понятия как «деловая репутация» являются удобным инструментом для формального отсечения от рынка электронной подписи неугодных конкурентов.
КРУПНЫЕ И МАЛЫЕ УЦ: КТО НУЖНЕЕ И НАДЕЖНЕЕ?
Основная масса коммерческих УЦ (менее 200 действующих) создана 5-15 лет назад. Среди них - менее десятка крупных межрегиональных УЦ с широкой филиальной и агентской сетью во многих субъектах РФ, но основную долю составляют центры, действующие в одном или нескольких регионах. Они успешно конкурируют с крупными УЦ, предоставляя клиентам комплексные услуги, в т.ч. в направлениях программного обеспечения и информационной безопасности. Клиенты зачастую делают выбор в пользу местного УЦ, а не филиала крупного иногороднего УЦ из тех соображений, что в местном УЦ весь персонал - и руководство, и юристы, и бухгалтерия, и квалифицированные специалисты – все рядом, в этом же городе. Проблемы решаются здесь же, очно и быстро.
В силу географической близости к местным лицензирующим и контролирующим органам региональные УЦ более осторожны и законопослушны, чем филиалы, и тем более, чем агенты крупных иногородних УЦ. Квалифицированный персонал небольших УЦ стабилен, работает под плотным контролем владельца УЦ, вложившего в этот бизнес значительные личные средства. В то же время, обособленные подразделения крупных УЦ представлены, как правило, мигрирующим персоналом в количестве 4-6 человек, из которых 3-4 менеджеры по продажам. Контроль за обособленными подразделениями со стороны УЦ удаленный, не всегда эффективный, а со стороны Минкомсвязи - никакого. Основная мотивация менеджеров устремлена на объем продаж. Преимущество крупных межрегиональных УЦ перед региональными лишь в налаженной бизнес-схеме, позволяющей минимизировать количество персонала на территориях. Но хорошо ли это с точки зрения информационной безопасности и интересов клиентов? То, что региональные УЦ существуют и развиваются, успешно конкурируя с крупными УЦ, свидетельствует о том, что этот кластер бизнеса УЦ востребован клиентами, он нужен обществу!
Авторы законопроекта обосновывают новые ограничения для аккредитации УЦ «участившимися случаями создания и использования КЭП без ведома владельца». Статистику таких случаев разработчики проекта не приводят, однако известно, что именно ряд крупнейших УЦ оказался замешан в мошеннических действиях по изготовлению квалифицированных сертификатов ключей проверки электронных подписей для перевода граждан из ПФР в негосударственные пенсионные фонды без ведома и заявлений этих граждан. В отношении региональных УЦ такой информации не поступало.
Со стороны представителей ФНС регулярно звучит упрек в адрес всей массы коммерческих УЦ в том, что они якобы выдают сертификаты ключа проверки электронной подписи с нарушениями, не идентифицируя клиента, в результате чего электронную подпись получили тысячи «фирм-однодневок», нанесших многомиллиардный ущерб экономике РФ. Совершенно очевидно, что УЦ, не обеспечивающие должную идентификацию заявителей, должны нести строжайшую ответственность, вплоть до «пожизненного» запрета работать в качестве аккредитованного УЦ. В то же время, упрекать УЦ за выдачу сертификатов КПЭП фирмам, в дальнейшем признанным «однодневками», совершенно не справедливо. Никакой УЦ, ни коммерческий, ни государственный, не вправе отказать в этой услуге, если заявитель идентифицирован и представил все необходимые достоверные документы. Проблема «фирм-однодневок» не имеет никакого отношения к деятельности УЦ и находится на стороне ФНС.
РЕГУЛЯТОР – КАК ОН РЕГУЛИРУЕТ?
К сожалению, Минкомсвязью до сих пор так и не утвержден Порядок реализации функций аккредитованного УЦ, не конкретизирован алгоритм идентификации пользователей. На запросы УЦ о порядке идентификации пользователей Минкомсвязью даются взаимоисключающие ответы, в т.ч. по вопросу о возможности и правомерности удаленной выдачи сертификата КПЭП при направлении пользователем электронного заявления, подписанного еще действующей электронной подписью иного УЦ. При этом игнорируются жалобы от УЦ о систематической неработоспособности сервисов СМЭВ, с использованием которых УЦ обязаны проверять паспорта и документацию пользователей. Самые животрепещущие проблемы всех УЦ находятся в плоскости решения перечисленных вопросов, а вовсе не в том, что количество УЦ кажется кому-то избыточным.
Взяв курс на сокращение количества УЦ, с 2017 г. Минкомсвязь в рамках процедуры аккредитации центров ужесточила требования к оформлению представляемой УЦ документации, искусственно затормозив процесс рассмотрения пакетов документов от УЦ, не давая внятных пояснений и не отвечая на звонки, вынуждая подавать заново полные пакеты документов по 3-5 раз и не позволяя осуществлять досылку доработанных документов. Это сильно затормозило процесс переаккредитации, создало колоссальные сложности и нервозную напряженность для многих УЦ и их пользователей. Нужно ли было их так «кошмарить»? Ведь если не с первого, то с пятого раза практически все УЦ пройдут аккредитацию. По нескольку месяцев значились не аккредитованными УЦ ряда крупных ведомств, в т.ч. ФНС, ПФР, МВД, Минобороны и др., десятки коммерческих УЦ. На конец сентября 2018 г. 86 УЦ «зависли» без аккредитации на период от месяца до года. Кто оценит последствия?
Любопытно, что за 2017 и неполный 2018 годы Минкомсвязь аккредитовала 49 новых УЦ при том, что за все годы прекратили свое существование19 аккредитованных УЦ. Как можно стенать по поводу «избыточного» количества УЦ и одновременно ежегодно аккредитовывать десятки новых? А ведь экспертами предлагалось Минкомсвязи простое решение: узаконить дополнение к условиям аккредитации – наличие 3-летнего периода работы УЦ в качестве не аккредитованного. Это позволило бы не аккредитовывать «свежеиспеченные» УЦ, свести к минимуму новые аккредитации. Вместо этого Минкомсвязь одной рукой сокращает, а другой – еще более активно наращивает количество аккредитованных УЦ, доводя ситуацию до абсурда.
ЧТО МОЖЕТ ДАТЬ СОКРАЩЕНИЕ ЧИСЛА УЦ ДО 10-15?
Уход с рынка более 200 коммерческих УЦ, не сумевших показать собственность в заоблачном для них размере, не только разорит их владельцев и усилит недоверие бизнеса к государству, выбросит на улицу тысячи специалистов в этой сфере, но и приведет к росту цен на услуги УЦ и падению их качества в результате снижения конкуренции, исключению массы организаций из участия в развитии цифровой инфраструктуры страны. Ущерб для пользователей, малого бизнеса, по большому счету для общества и государства очевиден. О недопустимости необоснованной монополизации рынков неоднократно заявлял Президент РФ. На заседании Госсовета по вопросу развития конкуренции 5 апреля 2018 года В.В.Путин особо отметил: «Государственные структуры, компании с госучастием занимают те ниши, где мог бы работать малый и средний бизнес, фактически вытесняют его с рынков, монополизируют эти рынки. Как следствие, идёт процесс картелизации конкурентных сфер экономики, подрываются предпринимательская инициатива и стимулы к открытию своего дела».
КТО ЖЕ БЕНЕФИЦИАРЫ ПРЕДЛАГАЕМЫХ НОВОВВЕДЕНИЙ И КАКИЕ ЕСТЬ АЛЬТЕРНАТИВЫ?
Несомненно, в выигрыше - крупнейшие УЦ, которые надеются сохранить и даже приумножить свой бизнес путем скупки за бесценок своих более мелких конкурентов, обреченных на ликвидацию. Достигнет своей цели и Минкомсвязь, стремление которой сократить количество УЦ можно объяснить только невозможностью немногочисленным персоналом Правового департамента обеспечить реальный контроль за сотнями УЦ. Так, может быть, нужно просто расширить штат подразделения Минкомсвязи, добавив туда юристов и специалистов с опытом работы в удостоверяющих центрах, или, что более рационально, законодательно передать функцию контроля за деятельностью УЦ в Роскомнадзор или ФСБ, располагающую территориальными структурами и уже контролирующую УЦ как лицензиатов по криптографии? Совершенно понятно, что невозможно из Москвы, не располагая структурами в территориях, полноценно контролировать УЦ во всех субъектах РФ!
Отдельная тема – это предмет контроля. Вопросы информационной безопасности в УЦ контролирует ФСБ, защиту персональных данных – Роскомнадзор. Минкомсвязь собирает с УЦ пакеты документов, контролирует по сути соответствие документов установленным ею требованиям. Все плановые проверки – документарные. Редкие выездные проверки в составе межведомственных комиссий – только по конкретным заявлениям граждан и организаций.
А ведь контролировать и периодически очно проверять следует не только головные офисы аккредитованных УЦ, а все сотни адресов, где этими УЦ осуществляется деятельность по идентификации пользователей и изготовлению сертификатов. Ибо отдельные или системные недостатки, нарушение процедур идентификации и выдачи криптоключей могут происходить именно в адресах выдачи сертификатов. Формальное сокращение количества УЦ практически не изменит общего количества пунктов деятельности УЦ, но условно уменьшит количество подконтрольных Минкомсвязи субъектов. Что это, как не фикция и самообман? Судя по всему, Минкомсвязь поверхностно подходит к осмыслению этого вопроса, не пытаясь системно взглянуть на проблему, или пытается спрятаться за примитивное, но ничего не меняющее по сути решение. Головные офисы крупных УЦ всегда продемонстрируют полное соответствие требованиям, а что творится в обособленных подразделениях УЦ – Минкомсвязь никогда и не узнает. Как она до сих пор не интересовалась непосредственной практикой обслуживания пользователей в филиалах и агентских структурах УЦ, среди которых немало нелицензированных индивидуальных предпринимателей.
ТАК СКОЛЬКО ЖЕ НУЖНО УЦ И КТО ИХ СМОЖЕТ ЭФФЕКТИВНО КОНТРОЛИРОВАТЬ?
Удостоверяющих центров должно быть столько, сколько востребовано обществом. В режиме конкуренции выживут те, чьи услуги качественнее, дешевле, к кому нет претензий со стороны регуляторов и правоохранителей. Остальные утратят клиентов и уйдут. Услуги УЦ должны быть конкурентными - качественными, недорогими и в шаговой доступности. Наиболее близкое направление для сопоставления с УЦ – институт нотариусов, которых в РФ около 8000, определены квоты их количества для населенных пунктов (1 нотариус со своим штатом на 15-25000 жителей). И никому не приходит в голову их сокращать до 10-15 на всю страну, согласившись с обезличенными филиалами в субъектах РФ, устанавливать миллиардный финансовый порог вхождения в статус нотариуса. Однако есть ценз по стажу: чтобы стать нотариусом, необходимо несколько лет поработать помощником.
На сегодняшний день к подавляющему количеству УЦ нет конкретных претензий. Если регуляторам кажется, что их количество великовато, то, усложнив аккредитацию «новорожденным» УЦ, можно постепенно разбираться с качеством оказания услуг существующими. Эффективно задействовать механизмы аудита, иные формы самообеспечения рынком качества услуг. Контроль должен быть не формальным, а действенным и ответственным. Представляется разумным, не взвинчивая требования к финансовым активам УЦ, передать функции контроля за их деятельностью от Минкомсвязи к саморегулируемым организациям удостоверяющих центров (СРО). И пусть финансово своими средствами, или через механизмы страхования за дефекты своих участников отвечают СРО, что вынудит их наладить полноценный контроль за своими членами. Останется лишь законодательно определить формы финансовой ответственности удостоверяющих центров – членов СРО УЦ (индивидуальное, коллективное страхование, компенсационный фонд или их сочетание).
Думается, что это как раз те вопросы, которые Минкомсвязь должна обсуждать публично с экспертным сообществом в рамках существующего, но крайне редко созываемого экспертного совета при Министерстве.
Во всяком случае, предлагать законодателям проект, несущий в своей основе кардинальное перекраивание и монополизацию рынка услуг УЦ с прогнозируемым ущербом для общества, без достаточного на то обоснования представляется крайне ошибочным и вредным для государства и населения. Хотелось бы, чтобы авторы законопроекта прислушались к изложенным аргументам и приостановили продвижение Законопроекта в его нынешней концепции.
