82
тайну, незаконным способом, совершенные из корыстной заинтересованности.
Тем самым их действия требуют дополнительной квалификации по ч. 3 ст. 183
УК РФ, а в случае использования поддельных платежных карт - по ч. 1 ст. 187
УК РФ
1
.
При квалификации DDoS-атак на интернет-ресурсы органов власти,
организаций, предприятий, учреждений, граждан и их объединений суды не
рассматривают действия преступника по ч. 1 ст. 274 или ч. 3 ст. 274.1 УК РФ,
несмотря на то, что для достижения своих преступных целей лицо нарушает
правила эксплуатации и доступа к информационно-телекоммуникационной
сети (в данном случае сети Интернет).
В заключение необходимо отметить, что отсутствие единообразия и
противоречивость судебной практики по уголовным делам о преступлениях в
сфере компьютерной информации диктуют необходимость скорейшего
принятия постановления Пленума Верховного Суда Российской Федерации,
которое дало бы судам соответствующие разъяснения о квалификации
преступных деяний данного вида.
2.5. Характерные черты преступления в виде неправомерного
воздействия на критическую информационную инфраструктуру РФ
(ст. 274.1 УК РФ)
На территории Российской Федерации с 1 января 2018 года действует
Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности
критической информационной инфраструктуры Российской Федерации».
В пояснительной записке к законопроекту говорилось: «Стабильность
социально-экономического развития Российской Федерации и ее безопасность,
по сути, поставлены в прямую зависимость от надежности и безопасности
1
Евдокимов К.Н. Актуальные вопросы совершенствования судебной практики по уголовным
делам о нарушении правил эксплуатации средств хранения, обработки или передачи
компьютерной информации и информационно-телекоммуникационных сетей (ст. 274 УК
РФ) // Российский судья. 2019. № 2. С. 13.
83
функционирования информационно-телекоммуникационных сетей и
информационных систем... Принятие законопроекта позволит создать правовую
и организационную основу для эффективного функционирования системы
безопасности. а также существенно снизит общественно-политические,
финансовые и иные негативные последствия для Российской Федерации в
случае проведения против нее компьютерных атак».
В качестве характерных примеров негативного воздействия
компьютерных атак на критическую информационную инфраструктуру
государства назывались: остановка центрифуг иранской атомной станции с
помощью компьютерного вируса StuxNet в сентябре 2010 года и паралич
работы нескольких крупных финансовых учреждений Южной Кореи в марте
2013 года
1
.
Принятие Федерального закона «О безопасности критической
информационной инфраструктуры Российской Федерации», по сути, является
ответом государства на современные вызовы в области информационной
безопасности. Обеспечение защиты объектов повышенной опасности страны
или региона — дело государственной важности.
Данным Федеральным законом вводится ряд новых понятий в сфере
информационной безопасности. Прежде всего это такие понятия, как
«критическая информационная инфраструктура», «объекты критической
информационной инфраструктуры», «значимый объект критической
информационной инфраструктуры».
Критическая информационная инфраструктура включает в себя важные
объекты критической информационной инфраструктуры, а также сети
электросвязи, используемые для организации взаимодействия таких объектов.
Под объектами критической информационной инфраструктуры
понимаются:
- информационные системы (совокупность содержащейся в базах данных
1
Решетников А.Ю., Русскевич Е.А. Об уголовной ответственности за неправомерное
воздействие на критическую информационную инфраструктуру Российской Федерации (ст.
274.1 УК России) // Законы России: опыт, анализ, практика. 2018. № 2. С. 54.
84
информации и обеспечивающих ее обработку информационных технологий и
технических средств);
- информационно-телекоммуникационные сети (технологическая
система, предназначенная для передачи по линиям связи информации, доступ к
которой осуществляется с использованием средств вычислительной техники);
- автоматизированные системы управления субъектов критической
информационной инфраструктуры (автоматизированная система управления —
комплекс программных и программно-аппаратных средств, предназначенных
для контроля за технологическим и (или) производственным оборудованием
(исполнительными устройствами) и производимыми ими процессами, а также
для управления такими оборудованием и процессами)
1
.
Закон определяет значимый объект критической информационной
инфраструктуры как такой объект инфраструктуры, которому присвоена одна
из категорий значимости и который включен в соответствующий реестр.
Категории значимости должны присваиваться объектам критической
информационной инфраструктуры исходя из их социальной, политической,
экономической, экологической, военной и иной значимости. Предполагается
три категории значимости: высокая, средняя, низкая, критерии которых и
порядок присвоения установлены постановлением Правительства Российской
Федерации от 8 февраля 2018 года № 127 «Об утверждении Правил
категорирования объектов критической информационной инфраструктуры
Российской Федерации, а также перечня показателей критериев значимости
объектов критической информационной инфраструктуры Российской
Федерации и их значений»
2
.
1
Новичков В.Е., Пыхтин И.Г. Социально-правовое обоснование введения уголовной
ответственности за неправомерное воздействие на критическую информационную
инфраструктуру Российской Федерации //Психопедагогика в правоохранительных органах.
2018. №2 (73). С. 27.
2
Постановление Правительства РФ от 08.02.2018 № 127 «Об утверждении Правил
категорирования объектов критической информационной инфраструктуры Российской
Федерации, а также перечня показателей критериев значимости объектов критической
информационной инфраструктуры Российской Федерации и их значений» (в ред.
Постановления Правительства РФ от 13.04.2019 № 452) //Собрание законодательства РФ.
85
Федеральный закон «О безопасности критической информационной
инфраструктуры Российской Федерации» предполагает создание реестра
значимых объектов критической информационной инфраструктуры, в котором
должны быть прописаны меры информационной безопасности для каждого
объекта инфраструктуры.
Субъектами режима информационной безопасности признаются
государственные органы, государственные учреждения, российские
юридические лица и (или) индивидуальные предприниматели. Объекты
критической информационной инфраструктуры должны принадлежать
субъектам на законном основании, и они должны функционировать в наиболее
значимых отраслях и областях жизни страны, например в сфере
здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и
иных сферах финансового рынка, в топливно-энергетическом комплексе, в
области атомной энергии, оборонной, ракетно-космической,
горнодобывающей, металлургической и химической промышленности.
В соответствии с Федеральным законом «О безопасности критической
информационной инфраструктуры Российской Федерации» в УК РФ
Федеральным законом от 26 июля 2017 года № 194-ФЗ
1
была введена ст. 274.1,
вступившая в силу 1 января 2018 года.
Ознакомление со ст. 274.1 УК РФ позволяет сделать вывод, что она
включает три самостоятельных состава преступления (чч.1, 2, 3), а также
отягчающие ответственность обстоятельства (чч. 4 и 5).
Предметом всех предусмотренных ст. 274.1 УК РФ преступлений
являются как компьютерная информация, которая содержится в критической
информационной инфраструктуре, так и объекты инфраструктуры в виде
2018. № 8. Ст. 1204; Официальный интернет-портал правовой информации
http://www.pravo.gov.ru - 16.04.2019
1
Федеральный закон от 26.07.2017 № 194-ФЗ «О внесении изменений в Уголовный кодекс
Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской
Федерации в связи с принятием Федерального закона «О безопасности критической
информационной инфраструктуры Российской Федерации»« //Собрание законодательства
РФ. 2017. № 31 (Часть I). Ст. 4743.
86
информационных систем, информационно-телекоммуникационных сетей, а
также автоматизированных систем управления.
Объективная сторона состава преступления, предусмотренного ч. 1 ст.
274.1 УК РФ, выражается в создании, распространении и (или) использовании
вредоносных компьютерных программ либо иной компьютерной информации.
Она полностью совпадет с объективной стороной состава преступления,
предусмотренного ст. 273 УК РФ.
С субъективной стороны оба преступления характеризуются прямым
умыслом, поскольку совершаются с определенной целью. Отличие
преступлений заключается в цели деяния. В статье 274.1 УК РФ цель действий
виновного лица определена как неправомерное воздействие на критическую
информационную инфраструктуру Российской Федерации, которое может
выражаться, в том числе, в уничтожении, блокировании, модификации,
копировании информации, содержащейся в критической информационной
инфраструктуре, или нейтрализации средств защиты указанной информации
1
.
Иначе говоря, целью создания, распространения и (или) использования
вредоносных программ или иной компьютерной информации применительно к
ст. 274.1 УК РФ является компьютерная атака, т. е. целенаправленное
воздействие программных и (или) программно-аппаратных средств на объекты
критической информационной инфраструктуры Российской Федерации, сети
электросвязи, используемые для организации взаимодействия таких объектов, с
целью нарушения и (или) прекращения их функционирования и (или) создания
угрозы безопасности обрабатываемой такими объектами информации.
Субъект преступления общий — вменяемое физическое лицо, достигшее
16-летнего возраста.
Частью 2 ст. 274.1 УК РФ установлена уголовная ответственность за
неправомерный доступ к охраняемой законом компьютерной информации,
содержащейся в критической информационной инфраструктуре Российской
1
Уголовно-юрисдикционная деятельность в условиях цифровизации: монография / Н.А.
Голованова, А.А. Гравина, О.А. Зайцев и др. М.: ИЗиСП, КОНТРАКТ, 2019. С. 112.
87
Федерации. Отличие от состава преступления, предусмотренного ст. 272 УК
РФ, заключается в признаках как объективной, так и субъективной стороны.
Объективную сторону состава преступления, предусмотренного ч. 2 ст.
274.1 УК РФ, образуют
1
:
неправомерный доступ к охраняемой законом компьютерной
информации, которая содержится в критической информационной
инфраструктуре Российской Федерации. При этом не имеет значения
вредоносность используемых программ или информации;
последствия в виде причинения вреда критической информационной
инфраструктуре Российской Федерации. Представляется, что в качестве
последствий данного преступления может быть признан факт нарушения
функционирования объекта критической информационной инфраструктуры
Российской Федерации, сети электросвязи, используемой для организации
взаимодействия объектов критической информационной инфраструктуры
Российской Федерации, и (или) нарушения безопасности обрабатываемой
таким объектом информации;
причинная связь между неправомерным доступом и последствиями в
виде причинения вреда объектам критической информационной
инфраструктуры Российской Федерации.
Субъективная сторона состава преступления, предусмотренного ч. 2 ст.
274.1 УК РФ, по отношению к последствиям в виде причинения вреда
критической информационной инфраструктуре Российской Федерации может
быть выражена как умыслом, так и неосторожностью.
Субъект преступления общий.
Частью 3 ст. 274.1 УК РФ устанавливается ответственность за нарушение
соответствующих правил, повлекшее причинение вреда критической
информационной инфраструктуре Российской Федерации.
Объективная сторона данного состава преступления выражается:
1
Трунцевский Ю.В. Неправомерное воздействие на критическую информационную
инфраструктуру: уголовная ответственность ее владельцев и эксплуатантов // Журнал
российского права. 2019. № 5. С. 102.
88
или в нарушении правил эксплуатации средств хранения, обработки или
передачи охраняемой компьютерной информации, содержащейся в
критической информационной инфраструктуре Российской Федерации;
или в нарушении правил эксплуатации информационных систем,
информационно-телекоммуникационных сетей, автоматизированных систем
управления, сетей электросвязи, относящихся к критической информационной
инфраструктуре Российской Федерации;
или в нарушении правил доступа к указанным информации,
информационным системам, информационно-телекоммуникационным сетям,
автоматизированным системам управления, сетям электросвязи;
в последствиях в виде причинения вреда критической информационной
инфраструктуре Российской Федерации
1
.
Субъективная сторона состава преступления, предусмотренного ч. 3 ст.
274.1 УК РФ, по нашему мнению, характеризуется как умыслом, так и
неосторожностью по отношению к последствиям в виде причинения вреда
критической информационной инфраструктуре Российской Федерации.
Субъект данного преступления может быть как общим, так и
специальным. Если на лице лежала обязанность по соблюдению специальных
правил, то субъект преступления специальный. Если на лице не лежала
обязанность по соблюдению специальных правил, то субъект преступления
признается общим.
В части 4 ст. 274.1 УК РФ в качестве отягчающих ответственность
обстоятельств указано совершение преступления группой лиц по
предварительному сговору или организованной группой, или лицом с
использованием своего служебного положения.
Частью 5 ст. 274.1 УК РФ предусмотрено особо отягчающее
обстоятельство в виде тяжких последствий. Представляется, что тяжким
1
Новичков В.Е., Пыхтин И.Г. Социально-правовое обоснование введения уголовной
ответственности за неправомерное воздействие на критическую информационную
инфраструктуру Российской Федерации //Психопедагогика в правоохранительных органах.
2018. №2 (73). С. 27.
89
последствием может быть признан факт прекращения функционирования
объекта критической информационной инфраструктуры Российской
Федерации, сети электросвязи, используемой для организации взаимодействия
объектов критической информационной инфраструктуры Российской
Федерации, и (или) нарушения безопасности обрабатываемой таким объектом
информации.
Диспозиция ч. 3 ст. 274.1 УК РФ включает противоправные деяния как в
форме активного действия, так и бездействия в отношении соблюдения правил
эксплуатации и нарушения правил доступа к объектам критической
информационной инфраструктуры Российской Федерации. Обязательным
признаком составов рассматриваемых преступлений является наступление
общественно опасных последствий: причинение вреда критической
информационной инфраструктуре (ч. ч. 3 и 4) и тяжкие последствия, имеющие
значение для безопасности данной инфраструктуры (ч. 5). Субъект
(исполнитель) данного преступления - специальный (владелец/эксплуатант
критической информационной инфраструктуры), имеющий доступ к
критической информационной инфраструктуре либо к относящимся к ней
объектам в силу выполнения своих служебных полномочий и обязанный
исполнять установленные правила эксплуатации и доступа к ним.
Согласно ст. 14 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О
безопасности критической информационной инфраструктуры Российской
Федерации» (далее - Закон о безопасности КИИ) «нарушение требований
настоящего Федерального закона и принятых в соответствии с ним иных
нормативных правовых актов влечет за собой ответственность в соответствии с
законодательством Российской Федерации». За нарушение законодательства о
безопасности КИИ предусмотрена уголовная ответственность.
В Уголовный кодекс включена специальная ст. 274.1 «Неправомерное
воздействие на критическую информационную инфраструктуру Российской
Федерации», подследственность уголовных дел по которой (наряду со ст. ст.
272, 273 и 274) передана ФСБ России, а также следователям органа,
90
выявившего эти преступления (ч. 5 ст. 151 УПК РФ). Данные изменения
вступили в силу с 1 января 2018 г., и пока какая-либо судебная практика по
преступлениям, описанным в ч. ч. 3 - 5 ст. 274.1 УК РФ, отсутствует.
Части 3 - 5 ст. 274.1 УК РФ распространяются на
владельцев/эксплуатантов КИИ. Санкции за совершение данных деяний
предусматривают, с учетом различных квалифицирующих признаков, такие
наказания, как штраф, принудительные работы, лишение свободы с лишением
права занимать определенные должности или заниматься определенной
деятельностью.
Объектом преступления (ч. ч. 3 - 5 ст. 274.1 УК РФ) выступают
общественные отношения по обеспечению правил эксплуатации средств
хранения, обработки или передачи охраняемой компьютерной информации,
содержащейся в вышеуказанных системах, а также правил доступа к указанным
объектам.
Предметом преступления (ч. ч. 3 - 5 ст. 274.1 УК РФ) являются КИИ
России; информационные системы, информационно-телекоммуникационные
сети, автоматизированные системы управления, сети электросвязи,
относящиеся к КИИ Российской Федерации. Под КИИ понимаются ИТ-
системы государственных и коммерческих организаций, сбои в которых (в том
числе в результате хакерских атак) могут привести к тяжелым социальным,
политическим, экологическим и прочим последствиям.
Термин «критическая» относится к инфраструктуре, которая при
выведении из строя или разрушении приведет к катастрофическому и далеко
идущему ущербу. Критическая инфраструктура страны обеспечивает ключевые
услуги, которые лежат в основе российского общества.
Понятие критической информационной инфраструктуры Российской
Федерации содержится в п. 6 ст. 2 Закона о безопасности КИИ;
информационной системы - в ГОСТ Р 50922-2006 «Защита информации.
Основные термины и определения»; информационно-телекоммуникационной
сети - в п. 4 ст. 2 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об
91
информации, информационных технологиях и о защите информации»;
автоматизированной системы управления - в п. 1 ст. 2 Закона о безопасности
КИИ; сети электросвязи (средства связи) - в п. 28 ст. 2 Федерального закона от
7 июля 2003 г. № 126-ФЗ «О связи».
Информационная среда КИИ представляет собой совокупность
вычислительных и информационных ресурсов, образующих
автоматизированную систему управления технологическими процессами
критически важных объектов (АСУ ТП КВО). При этом вычислительные
ресурсы формируются системой локальных вычислительных сетей, других
программных средств и средств вычислительной техники и могут быть
использованы для организации распределенных вычислений (например, при
моделировании сложных социальных и физических процессов, дешифровке
зашифрованного кода).
Телекоммуникационная среда КИИ образуется совокупностью
телекоммуникационных устройств; линий связи и каналообразующего
оборудования; систем открытых протоколов обмена информацией между
телекоммуникационными устройствами; глобальной системы цифровых
адресов и доменных имен (цифровых идентификаторов); программного
обеспечения, реализующего алгоритмы, методы и процессы
телекоммуникационной связи на основе протоколов взаимодействия локальных
вычислительных сетей и предоставляющего доступ к ним и иным средствам
автоматизированной обработки информации
1
.
Субъектами КИИ согласно п. 8 ст. 2 Закона о безопасности КИИ
являются государственные органы и учреждения, российские юридические
лица и (или) индивидуальные предприниматели. Данным субъектам на праве
собственности, аренды или на ином законном основании должны принадлежать
информационные системы, информационно-телекоммуникационные сети,
автоматизированные системы управления. Такие объекты должны
1
Трунцевский Ю.В. Неправомерное воздействие на критическую информационную
инфраструктуру: уголовная ответственность ее владельцев и эксплуатантов // Журнал
российского права. 2019. № 5. С. 104.