2.4. Преступное воздействие на критическую информационную
инфраструктуру
Федеральным законом от 26 июля 2017 г. №194-ФЗ «О внесении изменений в
Уголовный кодекс Российской Федерации и статью 151 Уголовно-процессуального
кодекса Российской Федерации в связи с принятием Федерального закона «О
безопасности критической информационной инфраструктуры Российской
Федерации»
1
Уголовный кодекс Российской Федерации был дополнен ст. 274.1,
предусматривающей с 1 января 2018 г. уголовную ответственность за
неправомерное воздействие на критическую информационную инфраструктуру
Российской Федерации.
Одним из дискуссионных аспектов оценки признаков исследуемой нормы,
является толкование содержания дифференцирующего признака, характеризующего
тяжкие последствия. Квалифицированные составы и квалифицирующие признаки,
как известно, являются одним из наиболее распространенных средств
дифференциации уголовной ответственности в статьях Особенной части уголовного
закона
2
.
Анализ исследуемого состава дает основание утверждать, что законодатель
крайне небрежно подошел к формулированию особо квалифицированных признаков
ч. 5 ст. 274.1 УК, не использовав, устоявшуюся в законодательной практике
формулу «если оно (т.е. деяние) повлекло тяжкие последствия или создало угрозу их
наступления». Вполне обосновано, на наш взгляд, законодатель использует данную
конструкцию «создающих опасность» в составах ст. 272-274 УК, тогда как при
охране более значимого объекта (ст. 274.1 УК) законодатель попросту ее
1
Федеральный закон от 26 июля 2017 г. № 194-ФЗ «О внесении изменений в Уголовный кодекс
Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в
связи с принятием Федерального закона «О безопасности критической информационной
инфраструктуры Российской Федерации» // СЗ РФ от 31 июля 2017 г. № 31 (часть I) ст. 4743
2
Гударева А.Ж. Преступления в сфере компьютерной информации (уголовно-правовые и
криминологические аспекты) // Юрист. - 2017. - № 9. - С.28-33.
игнорирует. Представляется, что в процессе развития уголовного законодательства
эта ошибка должна быть исправлена.
В связи с участившимися реальными киберугрозами 26 июля 2017 г был
принят, одобрен и подписан Федеральный закон № 187-ФЗ «О безопасности
критической информационной инфраструктуры Российской Федерации»,
вступивший в силу с 1 января 2018 г.
1
Этот закон гарантирует безопасность особо
важным объектам информационной инфраструктуры Российской Федерации в целях
бесперебойной деятельности ее категорированных объектов из соответствующего
реестра, в отношении которых возможны компьютерные атаки. Одновременно
Федеральным законом от 31 июля 2017 г. № 194-ФЗ
2
Уголовный кодекс Российской
Федерации был дополнен ст. 274.1 «Неправомерное воздействие на критическую
информационную инфраструктуру Российской Федерации». Данная уголовно-
правовая норма предусматривает ответственность за создание, распространение и
(или) использование компьютерных программ либо иной компьютерной
информации, заведомо предназначенных для неправомерного воздействия на
критическую информационную инфраструктуру Российской Федерации, в том
числе для уничтожения, блокирования, модификации, копирования информации,
содержащейся в ней, или нейтрализации средств защиты указанной информации (ч
1), и включает в себя четыре квалифицированных состава, к которым относятся:
неправомерный доступ к охраняемой компьютерной информации, содержащейся в
критической информационной инфраструктуре Российской Федерации, в том числе
с использованием компьютерных программ либо иной компьютерной информации,
которые заведомо предназначены для неправомерного воздействия на критическую
информационную инфраструктуру Российской Федерации, или иных вредоносных
1
Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной
инфраструктуры Российской Федерации» // СЗ РФ от 31 июля 2017 г. N 31 (часть I) ст. 4736
2
Федеральный закон от 26 июля 2017 г. № 194-ФЗ «О внесении изменений в Уголовный кодекс
Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в
связи с принятием Федерального закона «О безопасности критической информационной
инфраструктуры Российской Федерации» // СЗ РФ от 31 июля 2017 г. № 31 (часть I) ст. 4743
компьютерных программ, если он повлек причинение вреда критической
информационной инфраструктуре Российской Федерации (ч . 2); нарушение правил
эксплуатации средств хранения, обработки или передачи охраняемой компьютерной
информации, содержащейся в критической информационной инфраструктуре
Российской Федерации, или информационных систем, информационно-
телекоммуникационных сетей, автоматизированных систем управления, сетей
электросвязи, относящихся к критической информационной инфраструктуре
Российской Федерации, либо правил доступа к указанным информации,
информационным системам, информационно-телекоммуникационным сетям,
автоматизированным системам управления, сетям электросвязи, если оно повлекло
причинение вреда критической информационной инфраструктуре Российской
Федерации (ч 3); деяния, указанные выше (чч. 1, 2 или 3 ст. 274.1 УК РФ),
совершенные группой лиц по предварительному сговору или организованной
группой, или лицом с использованием своего служебного положения (ч. 4); все
выше перечисленные деяния, если они повлекли тяжкие последствия
1
.
Статья 274.1 УК РФ, призванная оградить критическую информационную
инфраструктуру Российской Федерации от неправомерного преступного
воздействия, объединила в себе не только основные объективно-субъективные
признаки трех составов преступлений, предусмотренных ст. 272-274 УК РФ, но и
интегрировала все сложности, свойственные этим правовым предписаниям и
порядку их юридической квалификации при установлении признаков основного и
квалифицированных составов новой уголовно-правовой конструкции Данное
обстоятельство во многом компенсируется параметрами предмета преступления как
критической информационной инфраструктуры Российской Федерации.
Редакция ст. 274.1 УК РФ представляет собой объединение трех
традиционных для отечественного законодательства форм преступного
посягательства на безопасность компьютерной информации:
1
Дворецкий М.Ю., Карамнов А.Ю. Оптимизация уголовной ответственности за преступления в
сфере компьютерной информации // Вестник Тамбовского университета. Серия: Гуманитарные
науки. - 2018. - № 11. - С. 387—392.
Неправомерный доступ.
Создание и распространение вредоносного программного обеспечения.
Нарушение правил эксплуатации средств хранения, обработки или передачи
компьютерной информации, а также правил доступа к ней.
По смыслу ст. 274.1 УК РФ все эти деяния должны быть направлены против
критической информационной инфраструктуры Российской Федерации (далее –
КИИ). Таким образом, анализируемая уголовно-правовая норма конкурирует сразу с
тремя статьями УК РФ (ст. 272, 273 и 274) и является специальной по отношению к
ним
1
. В некотором смысле конструирование ст. 274.1 УК РФ противоречит
сложившимся отечественным традициям криминализации и использования приемов
юридической техники при описании уголовно-правовых норм. Следуя им,
установление более строгой уголовной ответственности за посягательства на КИИ
предпочтительнее было бы реализовать путем выделения соответствующих
квалифицирующих и особо квалифицирующих признаков в ст. 272, 273 и 274 УК
РФ. Анализируемая уголовно-правовая норма имеет бланкетный характер, что
предполагает обязательное обращение к 187-ФЗ
2
.
Законодательно установлена необходимость категорирования объектов КИИ
исходя из их социальной, политической, экономической, экологической значимости
и/или значимости объекта КИИ для обеспечения обороны страны, безопасности
государства и правопорядка. Такие объекты КИИ являются значимыми и должны
соответствовать требованиям государственных регуляторов. К сожалению,
действующая редакция ст. 274.1 УК РФ не учитывает данное деление, что
представляется существенным упущением не только с точки зрения игнорирования
критериев дифференциации уголовной ответственности, но и что, пожалуй, является
более значимым, анализируемая уголовно-правовая новелла не позволяет должным
1
Детенков А.Е. Преступность в сфере телекоммуникаций и компьютерной информации как угроза
национальной безопасности страны // Актуальные проблемы экономики и права. - 2019. - № 3. - С.
19-24.
2
Дунаева У.В. Преступления в сфере компьютерной информации в российском и зарубежном
уголовном праве // Юрист, - 2018. - № 10. – С. 9-15
образом оценить различия в объеме и значимости социальных последствий
криминальных посягательств на объекты КИИ. Возможности учета опасности
указанного деяния лишь посредством дифференциации уголовного наказания, как
представляется, явно недостаточны
1
.
Положения, включенные в УК РФ в части установления уголовной
ответственности за нарушения, связанные с функционированием КИИ, в целом
вызывают опасения. Наказание за соответствующие преступления в виде лишения
свободы установлено в пределах до 10 лет, при этом основным квалифицирующим
признаком является причинение вреда КИИ. Вместе с тем законодательством не
установлено, что является «вредом КИИ», уровень ущерба, служащего основанием
для квалификации преступления, не урегулирован.
Таким образом, возбуждение уголовного дела возможно по любому факту
нарушения функционирования объектов КИИ и сетей электросвязи, даже совсем
незначительному.
По конструкции состав преступления материальный, предусматривает
наступление общественно опасных последствий (как момента окончания
преступления) – вреда КИИ (ч. 3 и 4 ст. 274.1 УК РФ) и тяжких последствий (ч. 5 ст.
274.1 УК РФ)
2
.
То есть законодатель логично ставит ответственность в зависимость от
наступления общественно опасных последствий преступления, но при этом не
устанавливает правил по определению размера тяжести такого вреда, оставляя
данный вопрос на стороне судебной системы, которая, в свою очередь, получает
возможность трактовать данное положение уголовного закона довольно широко,
самостоятельно определяя порог размера малозначительности причиняемого вреда.
1
Жуковень Н.А. Уголовно-правовая и криминологическая политика государства в области
высоких технологий // Правовая реформа. – 2018. - № 3. – С. 42-48
2
Курсаков Е. А. Об уголовной ответственности за неправомерное воздействие на критическую
информационную инфраструктуру Российской Федерации (ст. 274.1 УК России) // Законы России:
опыт, анализ, практика. - 2018. - № 2. – С. 18-26
Еще на этапе правовой экспертизы законопроекта, проведенной Верховным
Судом РФ, была высказана позиция: «Вызывает некоторые опасения то, что в
диспозиции проектной статьи для определения последствий общественно опасных
деяний используются признаки только субъективно-оценочного характера, и что это
может стать причиной трудностей у правоприменителя при установлении
причиненного вреда»
1
.
Неуказание на форму вины в составе нарушения правил эксплуатации средств
хранения, обработки или передачи компьютерной информации является упущением
законодателя, поскольку сама конструкция состава преступления логически требует
признания возможности совершения деяния по неосторожности. Однако ч. 2 ст. 24
УК РФ позволяет признавать преступление совершенным по неосторожности,
только если это предусмотрено соответствующей статьей Особенной части УК РФ.
Существует мнение, что, если непосредственно в тексте диспозиции уголовно-
правовой нормы не указана форма вины, не упоминается специальная цель или
мотив деяния, преступление может быть совершено как умышленно, так и по
неосторожности. Если само нарушение правил эксплуатации средств хранения,
обработки или передачи компьютерной информации и объектов КИИ было
допущено по неосторожности или сознательно, но лицо самонадеянно
рассчитывало, что негативные последствия не наступят, говорить о возможности
покушения на преступление нельзя
2
.
К спорным можно отнести еще два реализованных решения:
в рамках одной части законодатель последовательно регламентировал
совершение преступления предварительно сговорившейся и организованной
группой. Уравнивание таких качественно разных по опасности форм соучастия
1
Максимова М.В. Понятие «компьютерная информация» в российском уголовном праве //
Вестник Восточно-Сибирского института Министерства внутренних дел России. – 2019. – № 1
(68). – С. 16 – 20.
2
Новоселов Л. А. Некоторые вопросы квалификации неоконченных преступлений в сфере
компьютерной информации // Уголовное право. - 2018. - № 9. – С. 15-20
преступлению не отвечает научно обоснованным критериям дифференциации
ответственности;
все преступления в сфере компьютерной информации в качестве особо
отягчающего обстоятельства называют не только наступление тяжких последствий,
но и создание угрозы их наступления. Ст. 274.1 УК РФ, такой оговорки не содержит,
что, учитывая особую значимость объектов посягательства, ошибочно.
Полагаем, что уголовно-правовая норма об ответственности за неправомерное
воздействие на КИИ требует корректировки
1
.
Несмотря на наличие возможностей по осуществлению государственного
контроля в области обеспечения безопасности значимых объектов КИИ, ФСТЭК
России разработал законопроект по внесению изменений в КоАП РФ, основные
предложения которого приведены в приложении 4.
При этом авторами законопроекта не приводится никакого экономического
обоснования размеров штрафа, а также не определены основания для
криминализации указанных нарушений субъекта КИИ. Задача по обеспечению
безопасности КИИ по своей важности полностью идентична задаче по сохранению
государственной тайны. Так, к государственной тайне относятся «защищаемые
государством сведения в области его военной, внешнеполитической,
экономической, разведывательной, контрразведывательной и оперативно-розыскной
деятельности, распространение которых может нанести ущерб безопасности
Российской Федерации»
2
. Если посмотреть на размер штрафных санкций за
нарушения в области защиты сведений, составляющих государственную тайну,
приведенных в приложении 5, то можно увидеть суммы на порядок меньше, чем
предлагается в законопроекте. И при этом никаких действий по увеличению размера
1
Папулов И.Р. Цифровая информация: понятие и сущность как предмета преступления по
российскому законодательству // Академический юридический журнал. - 2019. - № 2. - С. 47—55.
2
Пахомов М.Ю. Изменения и дополнения главы 28 УК РФ, в контексте оптимизации уголовной
ответственности и повышения эффективности правоприменительной практики. Материалы
Международной научно-практической конференции «Преступления в информационной сфере:
проблемы расследования, квалификации, реализации ответственности и предупреждения» 14-15
февраля 2019 г. Тамбов. - 2019. – 684 с.
штрафа или расширения наказуемых нарушений в сфере защиты государственной
тайны не предлагается. То есть компетентные органы считают их достаточными в
существующем виде. Таким образом, законодатель пошел по пути расширения
форм наказания субъектов КИИ, без дифференциации уголовного наказания.
Делая вывод по второй главе считаем целесообразным сформулировать ч. 3
ст.274.1 УК РФ в таком варианте:
«Нарушение правил эксплуатации средств хранения, обработки или передачи
охраняемой компьютерной информации, содержащейся в критической
информационной инфраструктуре Российской Федерации, повлекшее уничтожение,
блокирование, модификацию либо копирование охраняемой компьютерной
информации, или информационных систем, информационно-
телекоммуникационных сетей, автоматизированных систем управления,
относящихся к значимым объектам критической информационной инфраструктуры
Российской Федерации, либо правил доступа к указанным информации,
информационным системам, информационно-телекоммуникационным сетям,
автоматизированным системам управления, сетям электросвязи, если оно повлекло
причинение крупного ущерба критической информационной инфраструктуре
Российской Федерации». Следуя принципу соизмеримости нарушения и наказания,
а также практике привлечения к ответственности по большинству существующих
правонарушений, необходимо разделить ответственность за нанесение вреда КИИ
на административную и уголовную с внесением соответствующих изменений в
Кодекс Российской Федерации об административных правонарушениях. Привести
состав и размер административного наказания в КоАП РФ в соответствие с
государственной концепцией и экономическим обоснованием.
Подводя итоги, можно сделать следующие выводы:
1. Изменения диспозиции ст. 274 УК РФ, связанные с использованием
законодателем таких понятия как: средства хранения, обработки или передачи
компьютерной информации; информационно-телекоммуникационные сети;
оконченное оборудование являются целесообразными и прогрессивными.
2. Замена законодателем категории «существенный вред» на понятие
«крупный ущерб» исправила существенный недостаток правоприменительной
практики, при котором возможность привлечения виновного лица к уголовной
ответственности за совершение преступления, предусмотренного ч.1 ст. 274 УК РФ
зависела от субъективного взгляда правоприменителя на размер существенного
вреда.
3. Добавление в качестве необходимого условия для привлечения к
уголовной ответственности по ст. 274 УК РФ наступление такого вредного
последствия, как копирование охраняемой законом информации, является
оправданным, т.к. дополнительно защищает права владельца компьютерной
информации.
4. Целесообразно принять единый подзаконный нормативно-правовой акт,
содержащий правила эксплуатации средств хранения, обработки или передачи
охраняемой компьютерной информации либо информационно-
телекоммуникационных сетей и оконечного оборудования.
Глава 3. Современные методы борьбы с посягательствами на компьютерную
информацию
3.1. Юрисдикционные проблемы и принципы борьбы с посягательствами на
компьютерную информацию
Вопреки высокой общественной опасности преступлений, использующих
глобальные компьютерные сети, большим трудностям в раскрытии и расследовании
случаев преступного воздействия на их иностранные сегменты, ни одним
национальным уголовным правом не рассматривается это обстоятельно как
отягчающее, либо как квалифицирующий признак обычного компьютерного
преступления.
Однако, не редки случаи, когда с удаленного компьютера, расположенного в
одном государстве, происходит несанкционированный доступ к компьютерной
системе, расположенной на территории другого государства, но принадлежащей
юридическому лицу, чье головное предприятие и его банковские счета, находятся в
третьей стране
1
.
В этой связи, теоретически уголовные дела по одному и тому же
преступлению могут возбуждаться и расследоваться правоохранителями в трех
странах одновременно.
Если привлекается к уголовной ответственности за конкретное преступление,
посягающее на компьютерную информацию иностранный элемент, часто требуется
оказать взаимную правовую помощь, выдать обвиняемых, чтобы привлечь к
уголовной ответственности и привлечь к уголовной ответственности в соответствии
с материальным законом места где совершено преступление.
Как передачу при оказании взаимной правовой помощи доказательств, так и
выдачу осуществляют по пределам подсудности (из юрисдикции) одной страны в
пределы подсудности (под юрисдикцию) другой страны. Из практики видно, что
1
Сарычев М.В. Компьютерная информация как объект уголовно-правовой охраны // Уголовное
право. - 2018. - № 4. - С.27-32