Неправомерное воздействие на критическую информационную инфраструктуру по статье 274.1 УК РФ

Статья 274.1 УК РФ пугает даже тех, кто ничего не ломал. Под неё попадают и внешние атаки на объекты страны, и записи, внесённые в рабочую систему больницы или оператора связи не тем человеком и не по тем правилам.

Что делать, если вас обвиняют по статье 274.1 УК РФ

Дела по этой статье ведут следователи органов федеральной службы безопасности, а материалы часто уходят под гриф. Оценить, действительно ли система относится к критической инфраструктуре и доказаны ли последствия, без защитника почти невозможно. Такую работу берёт на себя адвокат по уголовным делам.

Что относится к критической информационной инфраструктуре

Само понятие уголовный кодекс не раскрывает. Он отсылает к отдельному федеральному закону о безопасности критической информационной инфраструктуры Российской Федерации, и уже там сказано, какие объекты и какие организации к ней относятся.

Зато сам текст статьи 274.1 называет объекты воздействия, и этот перечень стоит запомнить. В части 3 прямо перечислены информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления и сети электросвязи, относящиеся к критической инфраструктуре.

• Информационные системы Базы данных и прикладные системы организации: медицинские информационные системы, биллинг оператора связи, системы учёта в банке. Именно они чаще всего становятся предметом дела.
• Информационно-телекоммуникационные сети Сетевая инфраструктура, через которую передаются данные значимого объекта. Воздействие на неё оценивают так же, как воздействие на саму информацию.
• Автоматизированные системы управления Промышленные системы, которые управляют технологическими процессами на производстве, в энергетике и на транспорте. Здесь чаще всего и возникает разговор о тяжких последствиях.
• Сети электросвязи Норма называет их отдельной строкой в части 3. Для операторов связи отсюда следует, что нарушение правил доступа к своей же сети может попасть под уголовную статью.
• Кому принадлежат объекты Закон о безопасности КИИ относит к субъектам государственные органы и организации, работающие в определённых сферах. Форма собственности значения не имеет: частная клиника и частный оператор связи попадают под него так же, как государственные.
• Сферы деятельности По закону о безопасности КИИ речь идёт о здравоохранении, науке, транспорте, связи, энергетике, банковской сфере и иных сферах финансового рынка, топливно-энергетическом комплексе, атомной энергетике, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.

Практический вывод простой. Прежде чем спорить о деянии, проверяют статус самой системы. Если объект не отнесён к критической инфраструктуре и не прошёл категорирование, статья 274.1 отпадает, и на это указывают в жалобе на постановление о возбуждении дела, а остаются общие статьи 272, 273 и 274 УК РФ.

Почему часть 1 статьи 274.1 не требует последствий

Это видно прямо из текста нормы, и различие принципиальное. В частях 2 и 3 стоят обороты «если он повлёк» и «если оно повлекло», а в части 1 такой оговорки нет вовсе.

Значит, состав по части 1 формальный. Преступление окончено в момент создания, распространения или использования программы либо иной компьютерной информации. Сработала она или нет, добрался ли кто-то до защищаемых данных, для квалификации неважно.

1. СозданиеНаписание программы или подготовка иной компьютерной информации, заведомо предназначенной для воздействия на КИИ. Достаточно готового работоспособного продукта, применять его не требуется.
2. РаспространениеПередача другим лицам любым способом: выкладывание в сеть, продажа, пересылка в мессенджере. Круг получателей значения не имеет.
3. ИспользованиеЗапуск программы или применение подготовленной информации по назначению. Именно здесь часть 1 чаще всего пересекается с частью 2, и тогда вменяют обе.
4. Слово «заведомо»Ключевой признак субъективной стороны. Обвинение обязано доказать, что человек понимал назначение программы и знал, что она нацелена именно на критическую инфраструктуру.
5. Что перечислено «в том числе»Уничтожение, блокирование, модификация, копирование информации и нейтрализация средств её защиты. Перечень открытый: он поясняет, что считается неправомерным воздействием, но не исчерпывает его.

Отсюда и главный довод, на котором строится защита подсудимого по части 1. Спор идёт не о вреде, которого может не быть, а о назначении самой программы и об осведомлённости человека. Инструмент тестирования защищённости и вредоносная программа внешне похожи, а различает их цель, ради которой инструмент создан и применён.

Пришли с обыском по делу о КИИ?

Юрист оценит, относится ли система к критической инфраструктуре, и разберёт, какая часть статьи применима к вашим действиям.

Задать вопрос юристу

Полина Недашковскаяюрист Амулекс

Части статьи 274.1 УК РФ и наказание по каждой из них

Частей пять, и построены они по-разному. Первые три описывают самостоятельные способы воздействия, а четвёртая и пятая усиливают ответственность за любое из них.

• Часть 1, программы и иная компьютерная информация Принудительные работы до пяти лет с ограничением свободы до двух лет или без такового либо лишение свободы от двух до пяти лет со штрафом от 500 тысяч до 1 миллиона рублей или в размере дохода за период от одного года до трёх лет. Оговорки «или без такового» у штрафа нет, поэтому вместе с лишением свободы суд назначает его обязательно.
• Часть 2, неправомерный доступ Нужны последствия: уничтожение, блокирование, модификация либо копирование информации, содержащейся в КИИ. Принудительные работы до пяти лет со штрафом от 500 тысяч до 1 миллиона рублей и с ограничением свободы до двух лет или без такового либо лишение свободы от двух до шести лет со штрафом в том же размере.
• Часть 3, нарушение правил эксплуатации и доступа Часть для своих: работников и подрядчиков, которые имели законный доступ, но нарушили правила. Принудительные работы до пяти лет либо лишение свободы до шести лет, и то и другое с запретом занимать определённые должности до трёх лет или без такового, то есть по усмотрению суда.
• Часть 4, группа и служебное положение Охватывает деяния частей 1, 2 и 3, совершённые группой лиц по предварительному сговору, организованной группой либо лицом с использованием своего служебного положения. Наказание одно: лишение свободы от трёх до восьми лет с запретом занимать должности до трёх лет или без такового.
• Часть 5, тяжкие последствия Охватывает деяния всех предыдущих частей, если они повлекли тяжкие последствия. Лишение свободы от пяти до десяти лет с запретом занимать определённые должности до пяти лет или без такового. Что считать тяжкими последствиями, закон не раскрывает, оценивает суд.

Обратите внимание на нижние границы. По части 1 лишение свободы начинается с двух лет, по части 4 с трёх, по части 5 с пяти. Это означает, что назначить меньше суд может только со ссылкой на статью 64 УК РФ, а спор о сроке продолжают через обжалование приговора.

Примечание к статье 274.1 УК РФ об освобождении от ответственности

Норма даёт особый выход, но только для одной части. Он работает по части 3, то есть для тех, кто нарушил правила эксплуатации или правила доступа, а не для внешних атак.

Формулировка написана как обязанность, а не как право суда: слово «освобождается» не оставляет усмотрения. Но условия жёсткие, и разбирать их нужно по пунктам.

• Освобождение работает только по части 3, к частям 1, 2, 4 и 5 оно не относится
• Нужно активное способствование раскрытию либо расследованию, простого признания вины мало
• Отдельно названы меры по сохранению следов неправомерного воздействия на инфраструктуру
• В действиях человека не должно быть иного состава преступления
• Отсюда практический вывод: логи и образы систем нельзя затирать, они и есть те самые следы

Чем статья 274.1 отличается от статей 272, 273 и 274 УК РФ

Статья 274.1 повторяет конструкции трёх соседних норм, но добавляет к ним особый предмет. Она специальная, а значит при воздействии на критическую инфраструктуру применяется вместо общих статей, а не вместе с ними.

1. Граница со статьёй 272Обе нормы говорят о неправомерном доступе с последствиями. Различие в предмете: если охраняемая информация содержится в критической инфраструктуре, работает часть 2 статьи 274.1, если нет, статья 272.
2. Граница со статьёй 273Статья 273 наказывает вредоносные программы вообще. Часть 1 статьи 274.1 выделяет из них те, что заведомо предназначены для воздействия на КИИ. Универсальный шифровальщик, который случайно попал в больницу, и инструмент, написанный под конкретную промышленную систему, оцениваются по-разному.
3. Граница со статьёй 274Обе нормы про нарушение правил эксплуатации. Но статья 274 требует не только последствий, но и крупного ущерба, а часть 3 статьи 274.1 обходится одними последствиями. Порог входа в уголовное дело у инфраструктурной нормы ниже.
4. Совокупности со статьями 272, 273 и 274 нетСпециальная норма поглощает общую. Дополнительно квалифицировать то же деяние ещё и по статье 272 или 273 не требуется, а лишняя статья в обвинении становится поводом для его изменения.
5. Что бывает рядомСовокупность возможна с другими составами: с хищением, если данные использовали для вывода денег, со статьёй 272.1 УК РФ, если речь о персональных данных, с должностными статьями, если человек действовал как работник организации.

Порядок дела по статье 274.1 УК РФ

• Категория преступления Часть 1 относится к преступлениям средней тяжести, максимум по ней пять лет. Части 2, 3, 4 и 5 относятся к тяжким преступлениям: их максимумы шесть, шесть, восемь и десять лет, а по части 4 статьи 15 УК РФ тяжкими признаются умышленные деяния с максимумом не свыше десяти лет.
• Сроки давности Шесть лет по части 1 и десять лет по частям 2, 3, 4 и 5. Отсчёт по статье 78 УК РФ идёт со дня совершения деяния, а течение срока приостанавливается, если человек уклоняется от следствия или суда.
• Форма вины Неосторожность ни в одной части прямо не названа. По части 2 статьи 24 УК РФ деяние, совершённое только по неосторожности, наказуемо лишь тогда, когда это прямо предусмотрено статьёй Особенной части. Поэтому и часть 3, где речь о нарушении правил, разбирают как умышленный состав.
• Возраст ответственности Шестнадцать лет по части 1 статьи 20 УК РФ. В перечне составов с ответственностью с четырнадцати лет статьи 274.1 нет.
• Кто расследует Следователи органов федеральной службы безопасности: статья 274.1 прямо названа в пункте 2 части 2 статьи 151 УПК РФ. По части 5 той же статьи следствие вправе вести и следователь органа, выявившего преступление. Дознание по статье не проводится.
• Какой суд рассматривает дело По общему правилу районный суд. Если в материалах есть сведения, составляющие государственную тайну, дело по пункту 3 части 3 статьи 31 УПК РФ переходит в верховный суд республики, краевой или областной суд, суд города федерального значения.
• Вид обвинения Публичное. Дело возбуждают без заявления потерпевшей организации, а её позиция о том, что вреда не было, сама по себе преследование не прекращает.
• Конфискация Статья 274.1 названа в пункте «а» части 1 статьи 104.1 УК РФ, поэтому деньги и имущество, полученные от такого преступления, конфискуются. Оборудование, которым совершалось деяние, конфискуют по пункту «г». Примечание 1 к той же статье относит статью 274.1 к деятельности, направленной против безопасности Российской Федерации.

Что делать организации и работнику при инциденте с КИИ

Образцы документов по делу о критической инфраструктуре

Часто задаваемые вопросы

Опытный адвокат по уголовным делам

Проведёт консультацию и защитит ваши интересы.

Получить консультацию

Полина Недашковскаяюрист Амулекс