Преступление и наказание для владельцев критической информационной инфраструктуры РФ

Вирус Petya/NotPetya/ExPetr в 2017 году был «хорошим» примером насколько крупный бизнес может пострадать от такого рода атаки, например, Maersk оценила ущерб от «Пети»:

“We expect the cyber-attack will impact results negatively by USD 200–300m.”
Мы ожидаем, что кибер-атака негативно повлияет на результаты в размере 200-300 млн долларов США

Вы помните, что в середине 2017 был опубликован Федеральный закон от 26.07.2017 N 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и этот закон вступил в силу с 1 января 2018 года, а вместе с ним вступили в силу изменения в Уголовный кодекс РФ.

Думаю, вопрос ответственности за нарушение уголовного законодательства РФ является актуальным для тех, чья работа связана с критической информационной инфраструктурой (далее — КИИ).

Внимание: в статье 2 картинки (одну вы видели) и много текста



Согласно ст. 14 закона о безопасности КИИ: «Нарушение требований настоящего Федерального закона и принятых в соответствии с ним иных нормативных правовых актов влечет за собой ответственность в соответствии с законодательством Российской Федерации».
Уточним нормы законодательства РФ, в соответствии с которым наступает уголовная ответственность.
В целях формирования нормативной базы в части уголовной ответственности за нарушения закона о КИИ законодатель внес изменения в Уголовный кодекс Российской Федерации, принятием отдельного Федерального закона N 194-ФЗ от 26.07.2017 «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона „О безопасности критической информационной инфраструктуры Российской Федерации“.

Как владельцев/эксплуатантов КИИ нас интересует части 3,4,5 ст. 274.1 УК РФ. Приведу текст частей 3,4,5 статьи 274.1 УК РФ полностью:


Попробую провести анализ данных норм и привести возможное их применение в рамках судебной системы.
В конце статьи приведены определения некоторых юридических понятий, необходимых для комментирования норм уголовного закона.

Итак, для ч. 3, 4 и 5 ст. 274.1 УК РФ, предметом преступления является электронно-вычислительная машина (далее — ЭВМ), носитель информации, система ЭВМ, а также сети ЭВМ, которые имеют отношение к критической информационной инфраструктуре Российской Федерации.
Объектом преступления выступают общественные отношения, по обеспечению нормальной работы, функционированию ЭВМ, сети ЭВМ, системы ЭВМ, которые имеют отношение к критической информационной инфраструктуре Российской Федерации.
Объективная сторона преступления может быть, как действием, так и бездействием.
Нарушение правил эксплуатации заключается в несоблюдении правил работы с ЭВМ, сетями и др. оборудованием, нарушением должностных инструкций, а также нарушением правил обращения с охраняемой компьютерной информацией.
Нарушение правил эксплуатации может быть в форме активного действия, свежий пример: системный администратор аэропорта вычислял биткоины с использованием электрической сети аэропорта, так и бездействия, например: администратор не обновляет антивирусные базы.
Деяние, описанное в ч.3 ст. 274.1 с субъективной стороны характеризуется виной как в форме умысла, так и неосторожности. По аналогии со ст. 274 УК РФ лицо предвидит причинение вреда КИИ РФ в результате „нарушения им правил эксплуатации, но без достаточных к тому оснований самонадеянно рассчитывает на предотвращение последствий. Либо не предвидит указанных в законе последствий, хотя при необходимой внимательности и предусмотрительности должно было и могло предвидеть“. (6)
Субъект данного преступления — специальный: вменяемое лицо, достигшее возраста 16 лет, имеющее доступ к КИИ РФ, либо к объектам, относящимся к КИИ РФ в силу исполнения должностных обязанностей и обязанный исполнять установленные правила эксплуатации.
Обязательным признаком ч. 3 ст. 274.1 является общественно-опасные последствия в виде причинения вреда критической информационной инфраструктуре Российской Федерации.

Обратите внимание, на формулировку причинение “вреда критической информационной инфраструктуре Российской Федерации”, здесь необходимо выделить слово «вред».
Возникает вопрос, какого размера в денежном эквиваленте должны быть потери, чтобы их можно было отнести к категории „вред“?
Стоит также обратить внимание, что в п. 2 ст. 272 УК РФ есть интересное примечание: “Крупным ущербом в статьях настоящей главы признается ущерб, сумма которого превышает один миллион рублей”.
При этом должна быть подтверждена причинно-следственная связь между фактом нарушения эксплуатации и причинением вреда.
С учетом изложенного, а также того, что понятие „вред“ в денежном выражении, очевидно, уже понятия „крупный ущерб“ — можно сказать, что под размером “вреда” КИИ РФ законодатель скорее всего понимает ущерб меньше одного миллиона рублей.

По аналогии со ст. 274 УК РФ: умышленные действия, повлекшие причинение вреда КИИ РФ (хищение отдельных компонентов, повреждение или уничтожение оборудования) не являются преступлениями, предусмотренными ст. 274.1 УК РФ – в этом случае деяния должны квалифицироваться по соответствующим статьям гл. 21 УК РФ.

Ответственность за преступления, описанные ч. 3 ст. 274.1 УК РФ без квалифицирующих признаков, дифференцирована, и выбор остается за судом:
— принудительными работами на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового;
— либо лишением свободы на срок до шести лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.
Фактически суд может в одном варианте привлечь к принудительным работам с лишением специальных прав (заниматься определенной деятельностью или занимать определенные должности) либо к лишению свободы на срок до шести лет с лишением специальных прав (заниматься определенной деятельностью или занимать определенные должности).

Части 4 и 5 статьи 274.1 УК РФ обладают рядом квалифицирующих признаков, рассмотрим их.
Часть 4 статьи 274.1 УК РФ гласит следующее: «Деяния, предусмотренные частью первой, второй или третьей настоящей статьи, совершенные группой лиц по предварительному сговору или организованной группой, или лицом с использованием своего служебного положения».
В данной части квалифицирующими признаками будут:
— группой лиц по предварительному сговору или организованной группой;
— лицо;
— с использованием своего служебного положения.
Здесь необходимо разъяснить понятие “использование своего служебного положения”. Позиция Пленума Верховного суда РФ в общем случае выглядит следующим образом: под лицами, использующими свое служебное положение, стоит понимать должностных лиц, служащих, а также лиц, осуществляющих управленческие функции в коммерческих и иных организациях. Более подробно можно ознакомиться в статье.
Как можно заметить, что в данном составе преступления должна присутствовать группа лиц предварительно, сговорившаяся, или организованная группа, которая готовит или уже совершила преступление. Нужно понимать, что общественная опасность от такого рода деяний значительно возрастает, при этом законодатель вводит уточняющий квалифицирующий признак: «с использованием своего служебного положения». В совокупности группа лиц с использованием своего служебного положения может нанести более существенный вред.
Стоит отметить, что организация группы для совершения преступления, так и участие в подобной группе является отдельным составом преступления и в рамках судебного преследования будет рассматриваться как отягчающее обстоятельство см. п. (в) ст. 63 УК РФ, а также ст. 35 УК РФ и ст. 210 УК РФ, соответственно наказание будет более суровым.
Как уже выше отмечалось в ч. 4 ст. 274.1. есть другой квалифицирующий признак: «лицо, с использованием своего служебного положения».
Указанная конструкция говорит, что в рамках ч. 3 ст. 274.1 лицом, которое может быть привлечено к ответственности, является не только непосредственный исполнитель, но и руководитель, в действиях которого есть такой состав преступления.
Поэтому законодатель вводит более суровую ответственность за преступления с такими квалифицирующими признаками:
наказываются лишением свободы на срок от трех до восьми лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.

В связи с тем, что в контексте исследуемого вопроса стоит обратить внимание на наличие такого риска как: совершение преступления с использованием своего служебного положения и одновременно создание преступной группы с использованием своего должностного положения, т.е. появляется такое лицо, как организатор. Указанные деяния буду отдельными составами преступлений, с соответствующей ответственностью, которая будет учтена судом по правилам ст. 69 УК РФ.

Перейдем к рассмотрению ч. 5 ст. 274.1 УК РФ:
“Деяния, предусмотренные частью первой, второй, третьей или четвертой настоящей статьи, если они повлекли тяжкие последствия”
Как видим, появился еще один квалифицирующий признак “тяжкие последствия”.
Краткий анализ судебной практики показывает, что единого подхода к определению понятия «тяжких последствий» с точки зрения размера ущерба в денежном выражении не выявлено (более подробно можно ознакомиться в статье), в каждом случае суд должен установить размер вреда/тяжесть последствий, исходя из обстоятельств дела, а также контексте существующей правоприменительной практики и неопределенности толкования размеров ущерба, точно определить категорию последствия часто представляется крайне сложной задачей.
Однако, стоит обратить внимание, что категория “тяжкие последствия” описывает очевидно более опасные последствия, чем “крупный ущерб”, который был рассмотрен выше и определен как “ущерб, сумма которого превышает один миллион рублей”.
Одновременно с этим, несомненно, можно отнести к тяжким последствиям следующие события: гибель и серьезные травмы людей, разрушения инфраструктуры, повреждения зданий и сооружений, нанесению вреда безопасности государства и т.д.
Описанная часть, определяет еще более существенную ответственность за деяния с такими последствиями:
“наказываются лишением свободы на срок от пяти до десяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового».

Думаю, стоит также остановиться на формулировке в санкционной части норм ч. 3,4,5 ст. 274.1 УК РФ: «с лишением права занимать определенные должности или заниматься определенной деятельностью на срок … лет или без такового».
С понятием «лишение права» все очевидно, может быть вынесен судебный запрет на замещение определенных должностей, например: руководящие должности или заниматься определенной деятельностью – например: оказывать услуги по защите информации. Срок действия запрета может носить как временный характер, так и бессрочный. Одновременно с этим у суда есть опция не включать в приговор судебный запрет на право занимать определенные должности или заниматься определенной деятельностью.

В заключении нужно отметить, что при сложности и несовершенстве законодательной базы и отсутствии судебной практики за совершение преступлений, описанных в ч. 3,4,5 статьи 274.1 УК РФ могут нести ответственность как непосредственные исполнители, так и руководство юридических лиц/государственных органов.
Размер ответственности законодатель логично ставит в зависимость от тяжести ущерба/последствий преступления, но по при этом не устанавливает правил градации определения тяжести последствий, оставляя данный вопрос на стороне судебной системы, которая в свою очередь может трактовать закон довольно широко.
На рисунке ниже представлены основные моменты, отраженные в статье.



Термины и определения
Предмет преступления — это конкретная материальная вещь, в которой проявляются определенные свойства общественных отношений (объекта преступлений), путем физического или психического воздействия на который причиняется социально-опасный вред в сфере общественных отношений. (1)
Объект преступления — это те поставленные под охрану уголовного закона общественные отношения, против которых направлено преступление.
Объективная сторона преступления — это внешнее проявление конкретного общественно опасного поведения, осуществляемого в определенных условиях, месте, времени и причиняющего вред общественным отношениям.
Субъективная сторона преступления — это психическое отношение лица к совершаемому им преступлению, которое характеризуется конкретной формой вины, мотивом и целью.
Субъект преступления — признается вменяемое физическое лицо, достигшее определенного законодателем возраста, которое совершило запрещенное законом общественно опасное деяние, причинившее вред объекту уголовно-правовой охраны. (ст. 19 УК РФ).

PS: дополнил название.
Leges intellegi ab omnibus debent (лат.) — законы должны быть понятны каждому.

Источники
Нормативно-правовые акты
(1) ФЗ от 26.07.2017 N 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
(2) «Уголовный кодекс Российской Федерации» от 13.06.1996 N 63-ФЗ (ред. от 20.12.2017) (с изм. и доп., вступ. в силу с 01.01.2018).
(3) ФЗ N 194-ФЗ от 26.07.2017 «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона „О безопасности критической информационной инфраструктуры Российской Федерации“.

Литература
(1) с. 17, Коржанский Н.И. — Предмет преступления. — Волгоград, 1975.
(2) «Комментарий к Уголовному кодексу Российской Федерации» (постатейный) (7-е издание, переработанное и дополненное) (под ред. Г.А. Есакова) («Проспект», 2017)
(3) Уголовное право России. Общая часть: Учебник / Под ред. Ф.Р. Сундурова, И.А. Тарханова. – 2-е изд., перераб. и доп. – М.: Статут, 2016. – 864 с.
(4) Уголовное право России. Особенная часть: Учебник / Под ред. Ф.Р. Сундурова, М.В. Талан. М.: Статут, 2012. – 943 с.
(5) Статья: Наступление тяжких последствий в результате злоупотребления полномочиями. www.s-yu.ru/articles/2012/6/5903.html
(6) Комментарий к Уголовному Кодексу Российской Федерации: stykrf.ru/274