Эта штука будет посильнее закона Яровой

Эта штука будет посильнее закона Яровой

15 июля вступила в силу новая редакция Федерального закона от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием электронных средств платежа», в который Федеральным законом от 03.07.2016 № 290-ФЗ внесены радикальные изменения. Фактически, начинает действовать совсем другой закон о совсем других кассовых аппаратах и совсем с другими правоотношениями.

В законе – много интересного с точки зрения информационной безопасности и обработки персональных данных, но почему-то об этом именно в среде ИБ-специалистов практически ничего не пишут. А зря. Фактически создается новый сегмент рынка средств защиты информации, возможно, гораздо больший по объему, чем тот, которой связывают с пакетом Яровой-Озерова. К антитеррористическому пакету правительство должно принять ряд НПА, только после которых станет ясно, кто, что и как будет хранить, а вот кассовые аппараты есть в каждом магазине, а с принятием закона их должно стать существенно больше.

Попробую кратко восполнить этот пробел.

Если коротко, теперь все (все, подчеркиваю!) кассовые чеки должны сразу же после их создания направляться прямиком в ФНС по защищенному каналу связи в интернете и там, в ФНС, храниться.

Для этого каждому продавцу товаров и услуг контрольно-кассовую технику (ККТ) надо заменить на другую, правильную, завести Интернет в каждый магазин, ларек и машину такси, принять меры по целостности фискальных данных и т.д.

Создаются новые институты и реестры: кабинет ККТ на сайте ФНС; реестр ККТ, в котором регистрируются сведения о каждом изготовленном экземпляре (!) ККТ, и реестр фискальных накопителей также с регистрацией сведений о каждом таком накопителе; журналы учета ККТ, ведущиеся налоговыми органами (карточка регистрации ККТ с указанием ее регистрационного номера в таком журнале должна быть подписана усиленной квалифицированной электронной подписью); реестр экспертных организаций, соответствующих требованиям законодательства о применении ККТ; базы фискальных данных.

Вводится очень интересное определение ККТ – «электронные вычислительные машины, иные компьютерные устройства и их комплексы, обеспечивающие запись и хранение фискальных данных в фискальных накопителях, формирующие фискальные документы, обеспечивающие передачу фискальных документов в налоговые органы через оператора фискальных данных и печать фискальных документов на бумажных носителях в соответствии с правилами, установленными законодательством Российской Федерации о применении ККТ».

Фискальные данные – это сведения о расчётах, об организации или индивидуальном предпринимателе, осуществляющих расчёты, о ККТ, применяемой при осуществлении расчётов, и, как обычно, «иные сведения», сформированные ККТ или оператором фискальных данных.

Появилось понятие «средство формирования фискального признака» — это программно-аппаратное шифровальное (криптографическое) средство защиты фискальных данных, обеспечивающее возможность формирования фискального признака.

Такая ККТ должна быть у всех организаций России, осуществляющих расчеты, кроме случаев, прямо установленных статьей 2 закона. Например, новую ККТ не будут использовать банки, но только при использовании банкоматов и систем ДБО, или киоски, торгующие мороженым и газировкой в розлив (хотите продавать бутылки – ставьте ККТ). Не нужна она в церквях при продаже свечей и заказе отпевания или венчания и т.д.

Записывать фискальные данные ККТ будет не на какой-то тривиальный жесткий диск, а на фискальный накопитель – программно-аппаратное шифровальное (криптографическое) средство защиты в опломбированном корпусе, содержащее ключи фискального признака, обеспечивающее возможность формирования фискальных признаков, запись фискальных данных в некорректируемом виде (с фискальными признаками), их энергонезависимое долговременное хранение, проверку фискальных признаков, расшифровывание и аутентификацию фискальных документов, подтверждающих факт получения оператором фискальных данных фискальных документов, переданных ККТ, направляемых в ККТ оператором фискальных данных, а также обеспечивающее возможность шифрования фискальных документов в целях обеспечения конфиденциальности информации, передаваемой оператору фискальных данных.

Кассовые чеки, после полного вступления закона в силу, мы будем получать не в виде клочка бумаги, а как смс-сообщение или письмо на электронную почту, а также размещать их на неких ресурсах сети Интернет, откуда покупатель сможет скачать их самостоятельно. Сами понимаете, для этого продавцу надо дать контактные данные, а он их будет где-то и как-то хранить. Каждая точка розничной торговли станет оператором в отношении персональных данных покупателей, которые пока для них анонимы в большинстве случаев (пока, например, не придут с паспортом сдавать товар обратно). Про шифрование трафика, содержащего кассовые чеки, в законе ничего нет.

Фискальные данные немедленно после расчета направляются в электронном виде в налоговые органы через операторов фискальных данных, которые будут хранить эти данные в специально создаваемых базах фискальных данных.

Вопреки растиражированной информации о том, что в каждом кассовом чеке, направляемом в налоговые органы, будут персональные данные покупателя, такого требования в законе нет – размещаемый на кассовом чеке абонентский номер либо адрес электронной почты покупателя персональными данными не является. Но зато на чеке есть должность и фамилия лица, осуществившего расчёт с покупателем, которая вместе с данными о пользователе ККТ вполне подходит под определение персональных данных со всеми вытекающими отсюда для пользователя ККТ последствиями.

Соответственно, появляются абсолютно новые направления бизнеса – деятельность операторов фискальных данных и экспертных организаций.

Операторами являются организации, получившие разрешение на обработку фискальных данных. Каждый пользователь ККТ (владелец магазина, например) должен заключить возмездный договор как минимум с одним оператором фискальных данных. Сведения о заключении, расторжении и изменении условий каждого такого договора оператор направляет в налоговые органы через кабинет ККТ в форме электронного документа, подписанного, естественно, усиленной квалифицированной электронной подписью.

Экспертные организации – это те, кто организует и проводит экспертизы моделей ККТ и технических средств оператора фискальных данных или соискателя разрешения на такую деятельность. Все такие организации должны быть включены в специальный реестр.

Исходя из требований к ККТ, к фискальным накопителям и к фискальным данным, представляется, что такие операторы и экспертные организации без лицензий ФСБ и ФСТЭК обойтись никак не могут. Но в законе о лицензиях, как обычно, ни слова. Опять пойдут трактовки.

ККТ должна обеспечить передачу фискальных данных и прием квитанций об их получении оператором в зашифрованном виде.

К фискальным накопителям требований безопасности, и весьма жестких, предъявляется еще больше:

  • обеспечение противодействия угрозам безопасности информации фискальных данных (значит, должна быть для таких данных модель угроз; она, кстати, уже есть, и очень толковая, составленная на основании проведенного эксперимента по внедрению новой ККТ, но, на мой взгляд, требует доработки после внесения в законопроект изменений и принятия окончательного варианта закона);
  • шифрование фискальных документов, передаваемых оператору в электронной форме, и расшифровывание полученного от оператора подтверждения;
  • формирование фискального признака документов с использованием ключа фискального признака документов и фискального признака сообщений длиной не менее 256 бит, проверку фискального признака подтверждения с использованием ключа фискального признака сообщений;
  • обеспечение аутентификации и проверка достоверности подтверждений оператора, защищенных фискальным признаком подтверждения;
  • обеспечение невозможности коррекции записей и фискальных данных в своей памяти.

Фискальные накопители должны работать с любой моделью ККТ, для чего устанавливаются протоколы информационного обмена.

Встраивание криптографии в ККТ и фискальные накопители – тема крайне интересная, но в законе совершенно не раскрытая. Алгоритмы шифрования, сертификация ФСБ, лицензия разработчиков, параметры протокола информационного обмена, безопасность среды функционирования СКЗИ (систем криптографической защиты информации – ред.) в составе ККТ и накопителя, порядок создания и утверждения модели угроз – это только небольшая часть проблем, которые видны при прочтении закона. Да и методику экспертизы ФНС должна утвердить ФНС, о согласовании ее с ФСБ и ФСТЭК тоже не упоминается, что не очень правильно, учитывая изложенное выше.

Правда, прямое указание на необходимость сертификации в ФСБ применяемой в фискальных накопителях СКЗИ есть в проекте «Требований к контрольно-кассовой технике, порядке и условиях регистрации, перерегистрации и снятия с регистрационного учета контрольно-кассовой техники в налоговых органах, а также порядок и условия применения контрольно-кассовой техники», который предполагается утвердить постановлением правительства, но, как и модель угроз, документ нуждается в переработке в связи с внесенными в законопроект при его принятии изменениями.

Времени на решение всех этих проблем совсем нет. Полное счастье наступит 1 июля 2017 года, когда можно будет использовать только ККТ, соответствующую новым требованиям, за исключением отдельных случаев.

За невыполнение новых требований к ККТ и обработке фискальной информации тем же 290-ФЗ в КоАП РФ добавлено 12 новых составов административных правонарушений и установлена конкретная ответственность. Отсутствие ККТ влечет штраф в размере от трех четвертых до одного размера суммы расчета, осуществленного с использованием наличных денежных средств и (или) электронных средств платежа без применения ККТ, а рецидив приводит к дисквалификации руководителя и административной приостановки деятельности продавца на срок до 90 суток.

Ну, а мы, простые покупатели, готовимся к очередному повышению цен в рознице. Новую (наверное, сертифицированную) ККТ продавцам надо будет купить, обслуживать, оплачивать услуги операторов. Естественно, за наш с вами счет. А за чей же еще?

Об авторе: Михаил Емельянников, экcперт в области информационной безопасности и безопасности бизнеса. Управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры»

Мнение редакции может не совпадать с мнением авторов, представленных в рубрике «Эксперты»

Print Friendly

5 комментариев

  1. Именно это я и разрабатываю — http://www.slideshare.net/olegmilyoschin/epouchcash

  2. Думается, что после принятия закона количество кассовых аппаратов , как и количество торговых точек, резко сократится. Интересно, а какова будет судьба устаревших ККТ, куда их девать-то ???

  3. Четко просматриваемый НЕМИНУЕМЫЙ финал всех этих нововведений — ЧИП в твоем лбу или на худой конец — электронная паспортина, дорогой РАСИЯНИН! Вроде, ничего опасного: ну, ККТ, ну, хранение фискальных документов, переписки и корреспонденций в интернете по закону Яровой и проч. А всё: сфера учета, отчета и повального досмотра готова к эксплуатации! Но нет главного: чипизированного субъекта. Нас ползуче-превентивно де-факто обложили со всех сторон, ставя в ситуацию, когда протест против загона в чипизированый рабский скотоотстойник будет попросту расценен как саботаж основ ЗАКОННОЙ государственноЙ политики (пакет законов-то УЖЕ принят и ждет массового применения!), давно спланированного для нашего существования как элемента управляемого мироустройства! Так что, други, верещите — не верещите, а чип нам непременно хотят вставить: СИСТЕМА-ТО УЖЕ ГОТОВА и постановление правительства о чипизации подписано и ждет своего старта! Система в нетерпении ждет нас в свои электронные объятья.Вопрос в цене: сколько крови потребует реализация этой ярово-дьявольского проекта. А цена вопроса — НАША ЖИЗНЬ СВОБОДНОГО ЧЕЛОВЕКА!

  4. Интересно, они хоть где-то это протестили, прежде, чем массово вводить? У нас как всегда. Закон приняли, никаких условий для его реализации не создали, уязвимых мест не выявили, дату поставили нереальную, чтобы потом всех подряд штрафовать….если останется, кого штрафовать. Отлично поработали.

  5. Вот некоторый депутат правильно советует, создавайте общины (яйчейки НОД),
    консолидируйте власть, а Я так считаю: общины должны быть злые, грозные,
    вооружённые, как кавказские диаспоры, чтобы ниодна законопредставительская
    «(1 н)» жаба непосмела квакать и мешать жить, пора возрождать свою рускую
    православную страну, экономику, культуру, политику, свои законы. И никаких
    революций и смут разводить здесь не нужно. Митинги, пикеты и демонстрации
    проводить бессмысленно и не продуктивно, ни какого экстремизма и бандитизма.
    Ищите единомышленников, спонсоров (предприниматели, бизнесмены),
    договаривайтесь, подключайте все свои связи. Необходимо потихоньку создавать
    своё (православное) государство в государстве, на официальную власть надежды
    больше нет. Начнём тайно строить новое государство на базе поместных церквей
    и епархий, социальных институтов, спортивных учреждений.

Условия использования
При цитировании и использовании любых материалов ссылка на сайт Экспертного центра электронного государства d-russia.ru обязательна.
Партнеры