Арбитражный суд Северо-Западного округа в составе председательствующего Савицкой И.Г., судей Алешкевича О.А., Соколовой С.В.,
при участии от общества с ограниченной ответственностью «Специальный технологический центр» Савинова К.Д. (доверенность от 20.09.2024 № 398/1), Саватеевой А.И. (доверенность от 20.01.2025 № 18/2), от Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу Завадского С.А. (доверенность от 10.01.2025 № 2), Федосовой А.М. (доверенность от 10.01.2025 № 1),
рассмотрев 14.05.2025 в открытом судебном заседании кассационную жалобу общества с ограниченной ответственностью «Специальный технологический центр» на постановление Тринадцатого арбитражного апелляционного суда от 12.01.2025 по делу № А56-38332/2024,
установил:
общество с ограниченной ответственностью «Специальный технологический центр», адрес: 195220, Санкт-Петербург, пр. Непокоренных, д. 17, корп. 4. лит. В, пом. 3Н, ОГРН 1037804018614, ИНН 7802170553 (далее - Общество, ООО «СТЦ»), обратилось в Арбитражный суд города Санкт-Петербурга и Ленинградской области с заявлением, уточненным в порядке статьи 49 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ), о признании недействительным требования Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу, адрес: 190121, Санкт-Петербург, Исаакиевская пл., д. 11, лит. А, ОГРН 1047833056303, ИНН 7838027740 (далее - Управление), от 17.01.2024 № 2/72ДСП в части предоставления материалов о категорировании в течение 30 календарных дней с момента получения требования; об оспаривании действий Управления в части направления в Управление Федеральной службы безопасности Российской Федерации по городу Санкт-Петербургу и Ленинградской области, адрес: 191123, Санкт-Петербург, Литейный пр., д. 4, ОГРН 1027809230470, ИНН 7825007923 (далее - УФСБ), в Прокуратуру Санкт-Петербурга, адрес: 190121, Санкт-Петербург, Почтамтская ул., д. 2/9, лит. А, ОГРН 1027810243350, ИНН 7826661945 (далее - Прокуратура), искаженной и частично недостоверной информации о ненаправлении Обществом в адрес Управления информации о категорировании и нарушении заявителем требований Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее - Закон № 187-ФЗ); о понуждении Управления устранить допущенные нарушения и восстановить права Общества путем информирования УФСБ и Прокуратуры об отсутствии со стороны Общества нарушений требований Закона № 187-ФЗ.
Решением суда первой инстанции от 06.08.2024 в удовлетворении заявленных Обществом требований отказано.
Постановлением апелляционного суда от 12.01.2025 решение от 06.08.2024 изменено: оспариваемое требование в части указания в нем 30-дневного срока предоставления информации признано недействительным; в остальной части решение от 06.08.2024 оставлено без изменения.
В кассационной жалобе Управление, ссылаясь на нарушение апелляционным судом норм материального права, просит отменить постановление от 12.01.2025 и оставить в силе решение от 06.08.2024.
Как указывает податель жалобы, Общество на основании приказа Министерства промышленности и торговли Российской Федерации (далее - Минпромторг России) от 02.09.2021 № 3436 включено в сводный реестр организаций оборонно-промышленного комплекса, в связи с чем у ООО «СТЦ» возникла обязанность по представлению сведений о результатах присвоения объектам критической информационной инфраструктуры (далее - КИИ) категорий значимости в соответствии с положениями Закона № 187-ФЗ и Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 08.02.2018 № 127 (далее - Правила № 127), что не было выполнено Обществом; неисполнение Обществом указанной обязанности на протяжении трех лет послужило Управлению законным основанием для направления в его адрес требования о представлении соответствующей информации в течении 30 календарных дней с момента получения данного документа.
Податель жалобы не согласен с приведенным судом апелляционной инстанции толкованием норм Закона № 187-ФЗ и Правил № 127, исходя из которого отсутствие в указанных нормативных правовых актах конкретных сроков проведения мероприятий по определению и утверждению перечня объектов КИИ придает таким мероприятиям бесконечный характер.
Общество в отзыве на кассационную жалобу, считая обжалуемый судебный акт законным и обоснованным, просит оставить его без изменения, а кассационную жалобу - без удовлетворения.
В судебном заседании представители Управления поддержали доводы, изложенные в кассационной жалобе, представители Общества возражали против ее удовлетворения.
Законность обжалуемого судебного акта проверена в кассационном порядке в пределах доводов жалобы.
Как следует из материалов дела, Управление направило Обществу требование от 17.01.2024 № 2/72ДСП, в котором указало о необходимости представления в течении 30 календарных дней с момента получения требования информацию в соответствии с пунктом 18 Правил № 127 по форме, утвержденной приказом Федеральной службы по техническому и экспортному контролю (далее - ФСТЭК России) от 22.12.2017 № 236, по каждому объекту отдельно.
Впоследствии в адрес Общества поступило представление УФСБ от 19.02.2024 № 18/102 об устранении причин и условий, способствующих реализации угроз безопасности Российской Федерации, из которого усматривалось, что сведения об отсутствии со стороны Общества категорирования объектов КИИ поступили из Управления.
Указанные обстоятельства послужили основанием для обращения ООО «СТЦ» в арбитражный суд с рассматриваемым заявлением.
Суд первой инстанции не усмотрел правовых оснований для удовлетворения заявленных требований.
Апелляционный суд посчитал, что в силу пункта 15 Правил № 127 ввиду того, что перечень объектов КИИ утвержден Обществом 23.04.2024, предельный срок категорирования объектов КИИ на дату выдачи оспариваемого требования не наступил, в связи с чем посчитал оспариваемое требование в части установленного срока представления информации незаконным и изменил решение от 06.08.2024 в данной части.
Кассационная инстанция, изучив материалы дела, проверив правильность применения судом апелляционной инстанции норм материального и процессуального права, считает кассационную жалобу подлежащей удовлетворению на основании следующего.
Закон № 187-ФЗ регулирует отношения в области обеспечения безопасности КИИ в целях ее устойчивого функционирования при проведении в отношении нее компьютерных атак.
Сфера действия названного Закона распространяется на объекты КИИ, в том числе в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности (пункт 8 статьи 2 Закона № 187-ФЗ).
В Законе № 187-ФЗ в качестве принципов обеспечения безопасности КИИ определены законность, непрерывность и комплексность обеспечения безопасности КИИ, приоритетность предотвращения компьютерных атак (статья 4).
В соответствии с установленными требованиями субъекты КИИ создают системы безопасности значимых объектов КИИ и обеспечивают их функционирование. Задачами таких систем являются: предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий; недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта; обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации; обеспечение возможности восстановления функционирования значимого объекта КИИ (статья 10 Закона № 187-ФЗ).
Статьей 7 Закона № 187-ФЗ выделены следующие виды значимости объектов КИИ: социальная, политическая, экономическая, экологическая, а также значимость для обеспечения обороны страны, безопасности государства и правопорядка. По каждому виду значимости устанавливаются показатели критериев значимости и их значения.
Субъекты КИИ в соответствии с критериями значимости и показателями их значений, а также порядком осуществления категорирования присваивают одну из категорий значимости принадлежащим им на праве собственности, аренды или ином законном основании объектам КИИ (часть 4 статьи 7 Закона № 187-ФЗ).
Частью 5 статьи 7 Закона № 187-ФЗ и пунктами 17, 18 Правил № 127 установлено, что сведения о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий субъекты КИИ в письменном виде в десятидневный срок со дня принятия ими соответствующего решения направляют в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ Российской Федерации, по утвержденной им форме.
В соответствии со статьей 5 Закона № 187-ФЗ информация, которая представляется субъектами КИИ, является составной частью государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, которая представляет собой единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты.
В целях учета значимых объектов КИИ федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ Российской Федерации, ведет реестр значимых объектов КИИ в установленном им порядке (часть 1 статьи 8 Закона № 187-ФЗ).
Согласно части 11 статьи 7 Закона № 187-ФЗ в случае непредставления субъектом КИИ сведений, указанных в части 5 данной статьи, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ Российской Федерации, направляет в адрес указанного субъекта требование о необходимости соблюдения положений указанной статьи.
В данном случае федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ, является ФСТЭК России.
ФСТЭК России является получателем информации об объектах КИИ, которая после ее проверки отражается в государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (статья 8 Закона № 187-ФЗ).
Общество приказом Минпромторга России от 02.09.2021 № 3436 включено в сводный реестр организаций оборонно-промышленного комплекса и в силу положений статьи 2 Закона № 187-ФЗ на него распространяется действие этого Закона.
Однако в нарушение требований статьи 7 Закона № 187-ФЗ и пунктов 17, 18 Правил № 127 Общество не представило в уполномоченный орган сведения о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, что в соответствии с частью 11 названной статьи послужило Управлению (территориальному органу ФСТЭК России) основанием для направления в адрес заявителя оспариваемого требования.
Указанные обстоятельства установлены судами и не оспариваются заявителем.
Расхождение между судами возникло по вопросу установленного оспариваемым требованием срока представления в адрес Управления сведений, указанных в пункте 17 Правил № 127.
Суд апелляционной инстанции признал оспариваемое требование недействительным в части установления 30-дневного срока для представления Обществом информации в адрес Управления.
По мнению апелляционного суда, исходя из пункта 15 Правил № 127 и того обстоятельства, что перечень объектов КИИ утвержден Обществом лишь 23.04.2024, предельный срок категорирования КИИ истекает 23.04.2025, следовательно, у Управления не имелось оснований для установления иного срока представления необходимых сведений.
С указанным выводом апелляционной инстанции нельзя согласиться на основании следующего.
Процедура категорирования объектов КИИ осуществляется в соответствии с положениями статьи 7 Закона № 187-ФЗ, которая не содержит срок для проведения категорирования объектов КИИ.
В абзаце третьем пункта 15 Правил № 127 (в редакции, действовавшей на дату выдачи оспариваемого требования) указано, что максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов (внесения изменений в перечень объектов).
В соответствии с абзацем первым пункта 15 Правил № 127 перечень объектов утверждается субъектом КИИ и подлежит согласованию с государственным органом или российским юридическим лицом, выполняющим функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере в части подведомственных им субъектов КИИ.
При этом Законом № 187-ФЗ и Правилами № 127 не установлен предельный срок определения перечня объектов КИИ. Однако данное обстоятельство не означает, что субъекты КИИ имеют право произвольно определять дату утверждения перечня объектов КИИ.
Из взаимозависимых положений Закона № 187-ФЗ и принятых в его развитие нормативных правовых актов, направленных на обеспечение защиты КИИ и быстрого ее восстановления в случае отрицательного воздействия на объекты защиты, значимости правового регулирования в данной сфере правоотношений следует, что субъекты КИИ с момента признания их таковыми должны незамедлительно приступить к мероприятиям по формированию перечня объектов КИИ, временной период проведения которых обуславливается спецификой конкретного объекта КИИ.
В частности, постановлением Правительства Российской Федерации от 13.04.2019 № 452 «О внесении изменений в постановление Правительства Российской Федерации от 08.02.2018 № 127» субъектам КИИ рекомендовано утвердить перечень объектов КИИ до 01.09.2019.
Очевидно, что эффективная защита КИИ и их устойчивое функционирование требуют координации и взаимодействия всех заинтересованных субъектов КИИ, имеющих стратегическое значение для государства и общества (статьи 2, 5, 7 Закона № 187-ФЗ). С целью достижения действенных результатов в указанной области Законом № 187-ФЗ предусмотрен учет объектов КИИ. Без предоставления сведений, установленных частью 5 статьи 7 Закона № 187-ФЗ и пунктом 17 Правил № 127, обеспечить безопасность объектов КИИ невозможно.
В качестве одной из мер, направленных на достижение предусмотренных Законом № 187-ФЗ задач, ФСТЭК России наделена правом выдавать субъекту КИИ требования о необходимости соблюдения положений статьи 7 Закона № 187-ФЗ (часть 11).
В данном случае Управление, реализуя свои полномочия и устанавливая срок для представления необходимых сведений, опиралось на определенные объективные критерии для проведения мероприятий по категорированию КИИ и исходило из целей правового регулирования в указанной сфере правоотношений. Управлением было учтено, что по состоянию на январь 2024 года Общество так и не утвердило перечень объектов КИИ и, как следствие, не осуществило их категорирование.
Общество, оспаривая установленный Управлением срок (30 дней) для представления необходимых сведений, не указывало причин невозможности проведения необходимых мероприятий в этот срок и не представляло доказательств в обоснование неразумности такого срока, а также не привело доводов в обоснование длительного бездействия по исполнению обязательств, установленных статьей 7 Закона № 187-ФЗ.
Признание судом апелляционной инстанции за Обществом права на длительное бездействие по утверждению перечня объектов КИИ (утвержден 23.04.2024 после вынесения оспариваемого требования, по истечении более 2,5 лет с даты внесения в сводный реестр организаций оборонно-промышленного комплекса), по сути, привело к нивелированию мер, направленных на обеспечение информационной безопасности значимых систем жизнедеятельности государства, что не соответствует интересам всех участников рассматриваемых правоотношений и противоречит целям Закона № 187-ФЗ.
С учетом изложенного суд кассационной инстанции считает, что судом первой инстанции вынесено законное и обоснованное решение, а у суда апелляционной инстанции отсутствовали основания для его отмены в обжалуемой части.
Следует отметить, что пункт 15 Правил № 127 утратил силу с принятием постановления Правительства Российской Федерации от 19.09.2024 № 1281 «О внесении изменений в постановление Правительства Российской Федерации от 08.02.2018 № 127». При этом Федеральным законом от 07.04.2025 № 58-ФЗ внесены изменения в часть 11 статьи 7 Закона № 187-ФЗ путем дополнения данной нормы словами «с указанием срока выполнения данного требования».
В силу статьи 286 АПК РФ в компетенцию суда кассационной инстанции входит проверка законности судебных актов, принятых судами первой и апелляционной инстанций, правильности применения норм материального права и норм процессуального права, а также соответствия выводов арбитражных судов о применении норм права установленным ими по делу обстоятельствам и имеющимся в деле доказательствам.
В соответствии с пунктом 5 части 1 статьи 287 АПК РФ арбитражный суд кассационной инстанции может оставить один из обжалуемых судебных актов в силе, если он не противоречит закону, отменив при этом другой судебный акт.
Выводы суда первой инстанции соответствуют фактическим обстоятельствам дела и имеющимся в нем доказательствам. Суд правильно применил нормы материального и процессуального права. Ввиду названных обстоятельств постановление апелляционной инстанции от 06.08.2024 подлежит отмене, а решение суда первой инстанции от 12.01.2025 - оставлению в силе.
Руководствуясь статьей 286, пунктом 5 части 1 статьи 287 и статьей 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Северо-Западного округа
п о с т а н о в и л:
постановление Тринадцатого арбитражного апелляционного суда от 12.01.2025 по делу № А56-38332/2024 отменить.
Решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 06.08.2024 по указанному делу оставить в силе.
|
