72
неправомерный доступ; 2) создание и распространение вредоносного контента
и 3) нарушение правил эксплуатации средств хранения, обработки или
передачи компьютерной информации.
По смыслу ст. 274.1 УК РФ все эти деяния должны быть направлены
против объектов критической информационной инфраструктуры. Таким
образом, анализируемая уголовно-правовая норма конкурирует сразу с тремя
статьями (ст.ст. 272, 273 и 274 УК РФ) и является специальной по отношению к
ним. В некотором смысле конструирование ст. 274.1 УК РФ противоречит
сложившимся отечественным традициям криминализации и использования
приемов юридической техники при описании уголовно-правовых норм. Следуя
им, установление более строгой уголовной ответственности за посягательства
на объекты критической информационной инфраструктуры предпочтительнее
было бы реализовать путем выделения соответствующих квалифицирующих и
особо квалифицирующих признаков в ст.ст. 272, 273 и 274 УК РФ.
Анализируемая уголовно-правовая норма имеет бланкетный характер, что
предполагает обязательное обращение к Федеральному закону от 26 июля
2017 г. № 187-ФЗ «О безопасности критической информационной
инфраструктуры Российской Федерации»
1
.
Объектом преступлений, предусмотренных ст. 274.1 УК РФ, выступает
безопасность критической информационной инфраструктуры Российской
Федерации, т.е. состояние ее защищенности от любого воздействия
программными или программно-техническими средствами, которое способно
привести к нарушению ее функционирования и (или) нарушению безопасности
обрабатываемой ею информации.
Предметом преступления, предусмотренного ч. 1 ст. 274.1 УК РФ, является
компьютерная информация или компьютерные программы, заведомо
предназначенные для совершения компьютерных атак на объекты критической
1
Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической
информационной инфраструктуры Российской Федерации» // Российская газета. 2017. 31
июля.
73
информационной инфраструктуры. Нельзя не отметить, что установление
данного признака на практике может вызвать значительные затруднения.
Функциональная направленность вредоносной программы, т.е. ее
предназначение именно для посягательств на соответствующие объекты, может
быть установлена только в случае уникальности средств и технологий
программной защиты объектов критической информационной инфраструктуры,
что представляется маловероятным.
Специфическим предметом преступлений, предусмотренных ч.ч. 2 и 3
ст. 274.1 УК РФ, выступают объекты критической информационной
инфраструктуры - информационные системы, информационно-
телекоммуникационные сети государственных органов, а также
информационные системы, информационно-телекоммуникационные сети и
автоматизированные системы управления технологическими процессами,
функционирующие в оборонной промышленности, области здравоохранения,
транспорта, связи, кредитно-финансовой сфере, энергетике, топливной
промышленности, атомной промышленности, ракетно-космической
промышленности, горнодобывающей промышленности, металлургической
промышленности и химической промышленности.
Относимость того или иного информационного ресурса к критическому
определяется посредством его включения в Реестр значимых объектов
критической информационной инфраструктуры (ст. 8Федерального закона «О
безопасности критической информационной инфраструктуры Российской
Федерации»).
Объективная сторона преступления, предусмотренного ч. 1 ст. 274.1
УК РФ, предполагает совершение любого из трех альтернативных действий: 1)
создание; 2) использование или 3) распространение компьютерных программ
или информации, заведомо предназначенных для совершения атак на объекты
критической информационной инфраструктуры.
Состав по конструкции (по моменту описания в законе момента окончания
преступления) является формальным. Если лицо одновременно разработало,
74
использовало и распространило вредоносную компьютерную программу,
заведомо предназначенную для совершения компьютерных атак на объекты
критической информационной инфраструктуры, содеянное образует единое
преступление.
Объективная сторона преступления, предусмотренного ч. 2 ст. 274.1
УК РФ, заключается в неправомерном доступе к компьютерной информации,
содержащейся в критической информационной инфраструктуре. Состав по
конструкции является материальным. Преступление считается оконченным
только в случае причинения вреда критической информационной
инфраструктуре Российской Федерации. Таким образом, следует сделать
вывод, что сам по себе неправомерный доступ (так называемое «чистое
хакерство», осуществляемое из профессионального интереса без намерения
причинить вред) по смыслу ч. 2 ст. 274.1 УК РФ не является преступлением. В
свою очередь, если лицу, осуществившему неправомерный доступ к
компьютерной информации, содержащейся в критической информационной
инфраструктуре, по не зависящим от него обстоятельствам не удалось
причинить вред критической информационной инфраструктуре Российской
Федерации (например, в результате успешного срабатывания антивирусного
программного обеспечения или действий сотрудников, отвечающих за
информационную безопасность организации) содеянное следует
квалифицировать как покушение на преступление по ч. 3 ст. 30,
ч. 2 ст. 274.1 УК РФ.
Вред как конструктивный признак состава преступления,
предусмотренного ч. 2 ст. 274.1 УК РФ, не конкретизирован. Системное
толкование отечественного уголовного законодательства позволяет сделать
вывод, что таковыми являются уничтожение, блокирование, модификация,
копирование информации, содержащейся в критической информационной
инфраструктуре, нейтрализация средств защиты указанной информации или
выведение из строя аппаратных и программных средств, обеспечивающих
функционирование критической информационной инфраструктуры (за
75
исключением случаев, когда это повлекло причинение смерти или тяжкого
вреда здоровью человека, причинение средней тяжести вреда здоровью двум
или более лицам, массовое причинение легкого вреда здоровью людей,
наступление экологических катастроф, транспортных или производственных
аварий, повлекших длительную остановку транспорта или производственного
процесса, дезорганизацию работы конкретного предприятия, причинение особо
крупного ущерба, т.е. тяжких последствий
1
, предусмотренных ч. 5 ст. 274.1 УК
РФ).
Следует отдельно указать, что диспозиция ч. 2 ст. 274.1 УК РФ по сути
содержит признаки составного преступления, поскольку указывает, что под
неправомерным доступом следует также понимать доступ с использованием
компьютерных программ либо иной компьютерной информации, которые
заведомо предназначены для неправомерного воздействия на критическую
информационную инфраструктуру Российской Федерации, или иных
вредоносных компьютерных программ. Таким образом, ч. 2 ст. 274.1 УК РФ
охватывает и не требует квалифицировать по совокупности неправомерный
доступ к объектам критической информационной инфраструктуры,
совершенный с использованием заведомо предназначенных для этого
вредоносных программ (ч. 1 ст. 274.1 УК РФ) или иных вредоносных программ
(ст. 273 УК РФ). При этом если лицо, использовавшее программу, являлось и ее
разработчиком, содеянное необходимо квалифицировать по совокупности
преступлений. В данном случае вполне применимо известное правило
квалификации, согласно которому действия по подготовке или исполнению
деяния, не входящие в объективную сторону оконченного преступления
(которые по сути не являются юридически значимым способом совершения
1
Гузеева О.С. Преступления, совершаемые в российском сегменте сети "Интернет":
монография. М.: Академия Генеральной прокуратуры Российской Федерации, 2015. С. 37;
Русскевич Е.А. Уголовно-правовое противодействие преступлениям, совершаемым с
использованием информационно-коммуникационных технологий: учебное пособие. М.:
ИНФРА-М, 2017. С. 44.
76
этого преступления), должны получить самостоятельную уголовно-правовую
оценку по другой статье закона
1
.
Кроме того, совокупность преступлений, предусмотренных ст. 273 УК РФ
и ч. 1 ст. 30 ч. 2 ст. 274.1 УК РФ, может иметь место и в том случае, когда лицо
создает компьютерную программу либо иную компьютерную информацию,
которые заведомо предназначены для неправомерного воздействия на
критическую информационную инфраструктуру Российской Федерации.
Однако в этом случае необходимо доказать умысел лица на их дальнейшее
использование.
Практически значимым аспектом является оценка действий субъекта,
который за вознаграждение изготавливает вредоносное программное
обеспечение, предназначенное по своим характеристикам для осуществления
атаки на объект критической информационной инфраструктуры, и сбывает его.
При отсутствии осведомленности о том, что с данным информационным
орудием собирается делать заказчик, действия соответствующих лиц нельзя
признать согласованными и совместными. Это исключает саму постановку
вопроса о возможности соучастия в данном случае. При обратной ситуации,
когда лицо понимает, для каких целей изготавливается данная программа,
содеянное необходимо квалифицировать как пособничество в совершении
неправомерного доступа, т.е. по ч. 5 ст. 33 и ч. 2 ст. 274.1 УК РФ.
Объективная сторона преступления, предусмотренного ч. 3 ст. 274.1
УК РФ, заключается в нарушении:
1) правил эксплуатации: а) средств хранения, обработки или передачи
охраняемой компьютерной информации; б) информационных систем; в)
информационно-телекоммуникационных сетей; г) автоматизированных систем
управления; д) сетей электросвязи, относящихся к критической
информационной инфраструктуре Российской Федерации;
1
Решетников А.Ю. Квалификация неоконченных преступлений при наличии признаков
совокупности преступлений // Вестник Академии Генеральной прокуратуры Российской
Федерации. 2016. N 4. С. 85.
77
2) правил доступа к указанным средствам, информационным системам,
информационно-телекоммуникационным сетям, автоматизированным системам
управления, сетям электросвязи.
Состав по конструкции является материальным; преступление считается
оконченным только в случае причинения вреда критической информационной
инфраструктуре Российской Федерации. В отличие от ст. 274 УК РФ,
характеризующейся двумя уровнями взаимосвязанных общественно опасных
последствий, ч. 3 ст. 274.1 УК РФ не предполагает установления признака
крупного ущерба.
Учитывая специфику объектов посягательства, следует отметить, что
совершение компьютерных атак на информационные ресурсы объектов
транспорта, оборонной, атомной, ракетно-космической или химической
промышленности может содержать признаки и других преступлений,
предусмотренных ст.ст. 205, 281, 275, 276 УК РФ и др.
Субъектом преступлений, предусмотренных ч.ч. 1 и 2 ст. 274.1 УК РФ,
является физическое вменяемое лицо, достигшее возраста 16 лет.
Субъектом ч. 3 ст. 274.1 УК РФ может быть как общий - в части правил доступа
к ресурсам, так и специальный - в части соблюдения правил эксплуатации
соответствующих средств, систем и сетей.
Субъективная сторона создания, использования и распространения
компьютерных программ или информации, заведомо предназначенных для
совершения атак на объекты критической информационной инфраструктуры,
характеризуется прямым умыслом. Лицо, совершая те или иные действия,
должно осознавать, что они направлены на публичные информационные
ресурсы, обладающие исключительной важностью для общества и государства
и включенные в соответствующий реестр.
При неправомерном доступе (ч. 2 ст. 274.1 УК РФ) умысел может быть как
прямым, так и косвенным.
Субъективная сторона преступления, предусмотренного ч. 3 ст. 274.1
УК РФ, характеризуется двумя формами вины. Нарушение правил
78
эксплуатации и доступа может совершаться как умышленно, так и по
неосторожности. Следует поддержать точку зрения Н.Ш. Козаева, что
неуказание на форму вины в составе нарушения правил эксплуатации средств
хранения, обработки или передачи компьютерных данных (автор формулирует
данный вывод применительно к ст. 274 УК РФ) является упущением
законодателя, поскольку сама конструкция состава логически требует
признания возможности совершения деяния по неосторожности, но ч. 2
ст. 24 УК РФ позволяет признавать преступление совершенным по
неосторожности, только если это предусмотрено соответствующей статьей
Особенной части УК РФ
1
.
Квалифицированные виды неправомерного воздействия на критическую
информационную инфраструктуру Российской Федерации,
предусмотренные ч.ч. 4 и 5 ст. 274.1 УК РФ, являются традиционными для
преступлений в сфере компьютерной информации и в целом хорошо освещены
в современной литературе
2
.
Дискуссионными, пожалуй, можно назвать два реализованных решения.
Во-первых, законодатель проявил малопонятную последовательность в
регламентации совершения преступления предварительно сговорившейся и
организованной группами в рамках одной части. Очевидно, что уравнивание
таких качественно разных по опасности форм соучастия вряд ли отвечает
научно обоснованным критериям дифференциации ответственности. Во-
вторых, все преступления в сфере компьютерной информации в качестве особо
отягчающего обстоятельства называют наступление тяжких последствий или
создание угрозы их наступления. Вместе с тем уголовно-правовая норма,
предусмотренная ст. 274.1 УК РФ, такой оговорки не содержит, что, учитывая
1
Козаев Н.Ш. Современные технологии и проблемы уголовного права (анализ зарубежного
и российского законодательства): монография. М.: Юрлитинформ, 2015. С. 172.
2
Комментарий к Уголовному кодексу Российской Федерации (научно-практический,
постатейный). 5-е изд., перераб. и доп. / под ред. С.В. Дьякова, Н.Г. Кадникова М.:
Юриспруденция, 2017. С. 822-834.
79
особую значимость объектов посягательства, представляется по меньшей мере
ошибочным
1
.
Федеральный закон »О безопасности критической информационной
инфраструктуры Российской Федерации» предполагает категорирование всех
объектов в зависимости от социальной, политической, экономической
значимости, а также значимости объекта критической информационной
инфраструктуры для обеспечения обороны страны, безопасности государства и
правопорядка. К сожалению, действующая редакция ст. 274.1 УК РФ не
учитывает данное деление, что представляется существенным упущением не
только с точки зрения игнорирования критериев дифференциации уголовной
ответственности, но и что, пожалуй, более значимо, - анализируемая уголовно-
правовая новелла не позволяет должным образом оценить различия в объеме и
значимости социальных последствий криминальных посягательств на объекты
критической инфраструктуры. Возможности учета опасности указанного
деяния только лишь посредством дифференциации уголовного наказания, как
представляется, явно недостаточны. Полагаем, что в этой части уголовно-
правовая норма об ответственности за неправомерное воздействие на
критическую информационную инфраструктуру Российской Федерации
требует корректировки.
1
Решетников А.Ю., Русскевич Е.А. Об уголовной ответственности за неправомерное
воздействие на критическую информационную инфраструктуру Российской Федерации (ст.
274.1 УК России) // журнал "Законы России: опыт, анализ, практика". 2018. № 2. С. 51.
80
ГЛАВА 3. ОТГРАНИЧЕНИЕ КОМПЬЮТЕРНЫХ ПРЕСТУПЛЕНИЙ ОТ
СМЕЖНЫХ ВИДОВ ПРЕСТУПЛЕНИЙ
В практике работы правоохранительных органов при квалификации
компьютерных преступлений, в частности, неправомерного доступа к
компьютерной информации (ст. 272 УК РФ), могут появиться проблемные
вопросы, которые затрагивают отграничение данного вида преступления от
смежных видов преступлений.
К смежным преступлениям относят:
а) создание, использование и распространение вредоносных программ для
ЭВМ (ст. 273 УК РФ); нарушение правил эксплуатации ЭВМ, системы ЭВМ
или их сети (ст. 274 УК РФ);
б) иные преступления, предметом которых будет являться компьютерная
информация на машинном носителе, в системе ЭВМ или их сети: например,
нарушение неприкосновенности частной жизни (ст. 137 УК РФ), нарушение
авторских и смежных прав (ст. 146 УК РФ), незаконные получение и
разглашение сведений, составляющих коммерческую или банковскую тайну
(ст. 183 УК РФ) и некоторые другие.
Чтобы выяснить признаки неправомерного доступа к компьютерной
информации, а также признаки отграничения его от смежных преступлений,
практические работника должны использовать метод юридического анализа,
помогающий исследовать преступление с разных сторон, а также описать его
главные признаки. Следует выяснить, на что покушается данное преступление,
чему создает угрозу причинения вреда или непосредственно причиняет вред;
выявляет объективную сторону преступления, которая характеризует деяние,
последствия и причинную связь между ними; определить субъективную
сторону преступления, дающую представление о психическом отношении лица
к деянию и последствиям. Также следует определить вид умысла (прямой и
косвенный), или неосторожность (небрежность или легкомыслие), мотив
81
данного преступного акта субъекта преступления и его цель; характеристику
субъекта преступного посягательства.
Отдельного стоит острый вопрос про отграничение неправомерного
доступа к компьютерной информации от статьи УК РФ, предусматривающей
создание, использование и распространение вредоносных программ для
персональных компьютеров. Направленность вопроса состоит в том, что и
процесс неправомерного доступа к компьютерной информации, и процесс
создания, использования и распространения вредоносных программ для
персональных компьютеров приводят к незаконному уничтожению,
блокированию, модификации информации, либо ее копированию, а также
нарушению работы ЭВМ. Процесс создания программ для компьютеров,
внесение в нее изменений, которые заранее приведут к преступным
последствиям, могут очень сочетаться с неправомерным доступом к
информации, что говорит о том, что разграничение этих преступлений носит
прикладной характер.
Предметом преступления, установленного в ст. 272 УК РФ, является лишь
информация, охраняемая законом. Предметом создания, использования и
распространения вредоносных программ выступает любая охраняемая законом,
и не охраняемая информация, содержащаяся на машинном носителе, в
персональном компьютере, системе ЭВМ или их сети
1
.
Квалифицируют действия виновного, совершившего неправомерный
доступ к программе для ЭВМ, по соответствующей части ст. 273 УК РФ, если
такое деяние было связано с ее модификацией, которая привела к вредным
последствиям, перечисленным в диспозиции ст. 273 УК РФ. В этом случае
отсутствуют признаки состава неправомерного доступа к компьютерной
информации.
Содержание общественно опасного деяния является вторым критерием,
который дает возможность отграничить неправомерный доступ к
1
Шурухнов Н. Т. Расследование неправомерного доступа к компьютерной информации. М.,
2002. С. 134.