На вебинаре «Аккредитация ИТ-компаний и регистрация ПО в реестре российского софта» юрист компании «Афонин, Божор и партнеры» Олег Дульский рассказал о порядке получения аккредитации ИТ-компаниями и включения продуктов в реестр российского программного обеспечения. Эксперт поделился деталями и неочевидными нюансами процедур, дал рекомендации, основанные на примерах проверки аккредитованных компаний.
Овчинка стоит выделки
Аккредитация – это статус юридического лица, позволяющий претендовать на льготы, которые предусмотрены для ИТ-бизнеса. Индивидуальные предприниматели в настоящее время такой статус получить не могут. Аккредитация дает возможность воспользоваться льготами, прежде всего по налогу на прибыль, по страховым взносам, оценить действие моратория на выездные проверки, проводимые контролирующими органами.
Среди других преимуществ – получение сотрудниками отсрочки от воинской службы, упрощенное трудоустройство для иностранных граждан, субсидированная ипотека для работников и субсидированные кредиты для юрлица, имеющего аккредитацию.
Основные требования для получения аккредитации – установить ИТ-ОКВЭД (закреплены законодательством). Наиболее распространенные – 62 «Разработка компьютерного ПО, консультационные услуги в данной области и другие сопутствующие услуги», 7211 «Научные исследования и разработки в области биотехнологии». В список требований входят также согласие на раскрытие сведений, зарплата не меньше средней по РФ или субъекту, отсутствие недоимки по налогам, отсутствие непогашенной судимости у директора.
ИТ-доход компании, претендующей на аккредитацию, должен составлять не менее 30% общего (оценка проводится в зависимости от даты регистрации компании и в соответствии с классификатором, утвержденным Минцифры). ИТ-доход оценивается:
– за предыдущий год (по общему правилу);
– текущий год при регистрации в нем либо при регистрации в прошлом году, если за прошлый год не было дохода;
– позапрошлый год, если за прошлый год информация о доходе отсутствует.
Еще одно требование касается сайта, который должен содержать всю необходимую информацию. Как показывает практика, с прошлой осени представители Минцифры активно проверяют порядок ведения данного интернет-ресурса. Нужная информация (в частности, ИТ-направления деятельности компании в сфере ИТ, сведения о продуктах из реестра) должна быть на русском языке, следует указать контакты (реквизиты) заявителя, данные о стоимости, привести кейсы и отзывы клиентов.
Эксперт рекомендует подробно описывать суть ИТ-деятельности, сообщать, какие технологии используются, рассказывать о реализованных проектах. Сайт должен размещаться на базе защищенного протокола https, в противном случае высока вероятность отказа в удовлетворении заявки на аккредитацию.
Три траектории
В настоящее время возможны три траектории получения аккредитации. Первая – общий порядок, требующий соблюдения всех описанных критериев. Вторая – наличие ПО в реестре. Если продукт уже представлен в реестре, то можно не учитывать зарплатный критерий (в Москве – не менее 70 тыс. руб.).
Третья траектория – стартап, т. е. организация, созданная менее чем за три года до подачи заявки, суммарный ее доход составляет меньше 1 млн руб. Данная организация должна быть включена в реестр стартапов субъекта, в котором она зарегистрирована. Если в субъекте нет реестра стартапов, Минцифры будет квалифицировать такую организацию в качестве стартапа.
Сегодня реестры стартапов созданы в Москве, Татарстане, Кемеровской области, в некоторых субъектах они формируются. В профильном министерстве рассчитывают, что такие списки появятся во всех субъектах РФ.
Сохранение статуса
Получить аккредитацию важно, но еще важнее ее сохранить. Минцифры проводит проверки двух видов (плановые и внеплановые). Внеплановые осуществляются раз в год по инициативе ведомства.
Плановые проверки проводятся ежегодно в июне, базой для них служат данные, которые аккредитованные ИТ-компании подали в Минцифры накануне. Таким образом, в мае аккредитованной компании следует провести «ревизию» соответствия актуальным требованиям. В ходе июньской проверки уточняются общие требования, выясняется зарплата за пять предыдущих кварталов (при подаче заявки – за квартал). Если организация – правообладатель ПО, уже представленного в реестре, проверка зарплаты не производится.
Ряд особенностей нужно учитывать и в отношении дохода. Если организация создана в год проверки или в предыдущем году (за который дохода не было), то проверяется соответствие этого критерия за текущий год. В случае, если сведения за предыдущий год по каким-то причинам отсутствуют, проверяется доход за позапрошлый год. Проверки не проводятся в отношении компаний, которые применяли льготные тарифы по страховым взносам.
Преимущества единого реестра
Реестр служит инструментом признания ПО в качестве отечественного. Создавался он в целях обеспечения технологического суверенитета РФ от иностранного ПО.
Преимущества включения ПО в реестр заключаются в следующем: доступ к госзакупкам, освобождение реализации программных продуктов от НДС. Кроме того, у компании появляется возможность получить гранты, упростить процесс аккредитации (как уже отмечалось, не требуется соблюдение зарплатного критерия).
Для включения ПО в реестр оно должно соответствовать ряду требований:
– принадлежать российскому правообладателю (гражданину, организации, госоргану);
– свободно реализовываться на территории всей Российской Федерации;
– выплаты в пользу иностранных правообладателей компонентов программы должны составлять менее 30% выручки, полученной от ее реализации;
– сведения и сама программа не должны относиться к гостайне;
– если ПО предназначено для защиты информации, должны быть получены необходимые удостоверения (ФСТЭК и ФСБ);
– ПО не должно содержать принудительного обновления из-за рубежа (жизненный цикл – генерация идей, разработка функциональности, исправление ошибок и т. д. должны осуществляться гражданами РФ или российскими компаниями);
– компиляция и хранение исходного кода должны обеспечиваться в России;
– интерфейс (его существенная часть) должен быть на русском.
Компоненты технологического стека
В составе отечественного ПО не должно быть компонентов, которые нельзя использовать на территории России. Эксперт разделил эти составляющие на две группы. Первая – компоненты для воспроизводства программы, не являющиеся частью кода (компоненты для взаимодействия). Их использование должно быть разрешено на территории России. Наиболее частым запретом на их применение служит размещение на сайте правообладателя информации о том, что он соблюдает экспортные ограничения, установленные в отношении РФ. Может также указываться прямой запрет на использование компонентов на территории нашей страны. Эксперты Минцифры руководствуются методическими рекомендациями, в которых приведены примеры таких компонентов (их перечень открытый).
Во вторую группу входят компоненты, включенные в код (различные библиотеки). Как правило, они распространяются по свободным релевантным лицензиям. Требуется контролировать соблюдение предусмотренных в них требований. Наиболее опасными, по словам эксперта, являются вирусные лицензии, которые препятствуют коммерциализации ПО.
Если небольшой фрагмент кода по такой лицензии включить в ПО, то всю программу нужно будет распространять по такой же лицензии. Правообладатели программного обеспечения, представленного в реестре, как правило, рассчитывают на его коммерческую реализацию. Но наличие в нем упомянутого компонента означает, что ПО незаконно распространяется на территории РФ. На стадии проверки, предшествующей подаче заявления, надо исключать подобные варианты. Использование таких компонентов допустимо в случае безвозмездного распространения ПО.
Дополнительные и факультативные нормы
Требований к сложности ПО не предусмотрено. Нет четких требований относительно того, насколько код должен быть оригинальным, а не заимствованным из доступных источников. В то же время известны прецеденты исключения из реестра ПО с низким уровнем собственного кода (12%), отметил эксперт.
Среди часто задаваемых вопросов – можно ли изменять программу после ее включения в реестр. По словам Олега Дульского, можно, но не сильно. Недопустимо кардинально изменять функциональное назначение ПО, представленного в реестре.
Сайт для реестра программного обеспечения рассматривается в качестве отдельного требования. На этом ресурсе должна быть информация о стоимости ПО и схеме оплаты, следует также указать его функциональные особенности и порядок эксплуатации. При этом сайт должен принадлежать правообладателю. Эксперт рекомендует размещать ресурс в доменной зоне .ru, хотя пока это требование не относится к категории обязательных.
Положения о порядке проверки и демонстрации ПО динамично актуализируются – появляются новые требования и способы контроля.
В последнее время усиленно проверяется серверная часть ПО. Прежде всего нужно предоставить инструкцию по установке и эксплуатации программы. В случае SaaS-решения достаточно дать ссылку и доступ к демонстрационному личному кабинету. Для «коробочной» версии предоставляется дистрибутив. Среди других способов демонстрации эксперт назвал: контейнер из docker, ссылку на репозиторий программы, видеодемонстрацию, уделенный доступ к тестовому стенду. Проверка ПО становится многоступенчатой, поэтому видеодемонстрация, предлагаемая заявителем, служит вспомогательным, а не основным способом. Предпочтительные сегодня варианты – контейнер, репозиторий.
Исключение из реестра
Поводом для исключения из реестра могут быть нехватка той или иной информации на сайте, несоответствие базовым требованиям для включения в реестр, заявление правообладателя, предоставление подложных документов.
Минцифры, как уже отмечалось, проверяет сведения, содержащиеся в реестре. По результатам анализа сообщается, какую информацию следует дополнить (например, актуализировать ссылки, исправить ошибки, если с сайта по недосмотру удалены те или иные данные). Если правообладатель запрос не выполнит в течение пяти рабочих дней, доступ к реестровой записи ограничивается на 30 суток.
В такой же срок правообладателю следует устранить недочеты и обосновать причину, по которой он не исполнил запрос в установленный срок (пять дней), при этом придется доказать, что причина была уважительной. Усложнение процедуры стимулирует оперативно исправлять выявленные ошибки. Пропуск срока в 30 дней приводит к тому, что запись о ПО исключается из реестра.
Конкуренты не дремлют
Несоответствие установленным требованиям может выявить не только регулятор, но и третьи лица, в частности конкуренты. Например, в ноябре прошлого года «Ростелеком» обратился в Минцифры с просьбой проверить операционную систему «Ред ОС М» (RED OS M) на предмет соответствия технических компонентов требованиям законодательства. Профессиональное сообщество наблюдает за тем, чем завершится проверка.
Предоставление подложных документов – одно из оснований для исключения ПО из реестра. Как показывает судебная практика, подлог эксперты могут выявить не только в ходе перепроверок документов, но и при изучении информации из СМИ. Так случилось с одним из ПО, в составе которого оказались компоненты, связанные с американским вендором HP. Компания сама обнаружила и придала публичности этот факт. Эксперты Минцифры увидели публикацию, и программный комплекс был исключен из реестра.
Повторно подать заявление на включение в реестр, как уже отмечалось, можно сразу. Но если основанием послужил подлог документов, то обратиться с заявлением разрешается только через год.
