Постановление Тринадцатого арбитражного апелляционного суда от 21.12.2014 по делу n А21-10983/2013. Оставить без изменения решение, а апелляционную жалобу - без удовлетворения (п.1 ст.269 АПК)

на которые оно ссылается как на основании своих требований и возражений.

В силу положений ст.783 ГК РФ к договору возмездного о5казания услуг применяются положения о подряде, если это не противоречит ст.779-782 Кодекса, а также особенностям предмета договора возмездного оказания услуг.

В соответствии со ст. 718 ГК РФ заказчик обязан в случаях, в объеме и в порядке, предусмотренных договором подряда, оказывать подрядчику содействие в выполнении работ.

При неисполнении заказчиком этой обязанности подрядчик вправе требовать возмещения причиненных убытков, включая дополнительные издержки, вызванные простоем, либо перенесения сроков исполнения работы, либо увеличения указанной в договоре цены работы.

В соответствии с пунктом 1 статьи 719 Кодекса, подрядчик вправе не приступать к работе, а начатую работу приостановить в случаях, когда нарушение заказчиком своих обязанностей по договору подряда, в частности, непредоставление материала, оборудования, технической документации или подлежащей переработке (обработке) вещи, препятствует исполнению договора подрядчиком, а также при наличии обстоятельств, очевидно свидетельствующих о том, что исполнение указанных обязанностей не будет произведено в установленный срок (статья 328 Кодекса).

Согласно ст. 328 ГК РФ в случае непредоставления обязанной стороной обусловленного договором исполнения обязательства либо наличия обстоятельств, очевидно свидетельствующих о том, что такое исполнение не будет произведено в установленный срок, сторона, на которой лежит встречное исполнение, вправе приостановить исполнение своего обязательства либо отказаться от исполнения этого обязательства и потребовать возмещения убытков.

С учетом имеющейся в материалах дела переписки сторон,  также подписанного сторонами протокола от 14.01.13г., где они констатировали, что исполнитель не приступил к выполнению работ третьего этапа по причине неготовности локальных сетей на объектах заказчика и установленного активного сетевого оборудования для подключения рабочих станций пользователей и персональных компьютеров, а также уведомлений двух лечебных учреждений о неготовности к проведению работ ввиду проводимого там капитального ремонта (Нестеровская и Неманская ЦБР), суд первой инстанции обоснованно посчитал надлежащим уведомлением о полной готовности сторон письмо ответчика в адрес истца (исх.01-28/9251) от 20.09.2013 года.

Поскольку последний день срока выполнения работ третьего этапа Контракта с истекал 23 декабря 2013 года, а акт  выполненных работ подписан ответчиком до 07.11.2013 года, в протоколе от 14.01.13г. стороны согласились на неприменение штрафных санкций к ответчику, основания для удержания денежных средств в размере 2 084 820 рублей за просрочку исполнения обязательств с ОАО «Ростелеком»  у Министерства здравоохранения отсутствовали.

Довод ответчика о том, что истец отказался сдавать ЛПУ поэтапно, противоречит материалам дела.

Письмом от 18.02.2013 года №0203/25/709-13 Общество прямо известило Минздрав, что приступает  к работам в тех ЛПУ, которые указаны в письме ответчика №01-28/1157 от 11.02.13 года, однако возражает против исчисления начала срока выполнения работ от указанной даты.

Именно Общество являлось инициатором поэтапной сдачи отдельных ЛПУ, полагая, что одномоментная приемка работ во всех территориально удаленных объектах будет затруднена в связи с их поэтапным приведением к готовности самим заказчиком (письма исх.№0203/05/2822-13 от 28.06.13, №0203/05/3954-13 от 13.09.13, №0203/05/4155-13 от 27.09.2013). ЛПУ к внедрению оказались не готовы по причине недостаточного количества туннелируемых адресов координаторов и недоукомплектованностью принтеров заказчика (письмо Истца исх.№0203/05/1931-13 от 26.04.2013 года).

Как следует из представленных Актов готовности, подписанных главврачами мед. учреждений, а также писем  истца исх.№ 0203/05/2798-13 от 27.06.2013 года (о выполненных работах в 5 ЛПУ),  №0203/05/3127-13 от 18.07.2013 года (о выполненных работах в 7 ЛПУ),  №0203/05/3258-13 от 26.07.13 года (о неготовности 3-ех переданных в работу ЛПУ), №0203/05/3292-13 от 29.07.2013 (о готовности 7 ЛПУ), №0203/05/3528-13 от 13.08.2013 года (о 26-ти ЛПУ готовых к сдаче заказчику) и др., истец не прекращал разумно и добросовестно исполнять обязательства по Контракту, регулярно отчитываясь о проведенных мероприятиях и возникающих проблемах внедрения МИС, связанных с недостатками оборудования заказчика  вплоть до момента полной готовности ЛПУ.

Таким образом, вина истца в перенесении сроков выполнения работ с декабря 2012 года на октябрь 2013 года отсутствует.

Из содержания подписанных сторонами Актов выполненных работ 1, 2, 3-го этапа Контракта все работы приняты с отметкой об их надлежащем выполнении в полном объеме без каких-либо  замечаний.

Таким образом, ответчик не вправе ссылаться на какие-либо недостатки выполненных работ при наличии подтвержденного качества в результате личной  приемки.

В соответствии с заключенным Минздравом Контрактом с компанией ООО «Балтинформ», последняя обязалась поставить в числе прочего серверное оборудование  для центра обработки данных Минздрава. В соответствии с Техническим заданием поставщик обязался произвести монтаж данного оборудования в ЦОДе, подключить их к имеющейся инфраструктуре Минздрава с настройкой программного обеспечения, защищенной сети и т.д. Пункт 5.10 Контракта предусматривает гарантию на поставленный Товар сроком 36 месяцев.

Таким образом, поскольку обслуживание серверов не входит в предмет обязательств истца  по Контракту №89-К, предъявление требований в этой части ответчиком неправомерно.

Системные журналы, ведущиеся ответчиком, подтверждают факт аварии серверов в декабре 2013 года и не перехода Системы в аварийный режим работы, однако не подтверждают наличие причинно-следственной связи между качеством выполненных работ по кластеризации  ОАО «Ростелеком» и выходом из строя оборудования заказчика.

Письмом исх.№01-28/11840 от 05.12.2013 года подтверждается позиция ответчика о том, что сбой не связан с некачественным выполнением по Контракту №89-К, поскольку неисправность сервера по вине поставщика имела место также в декабре 2012 года, о чем свидетельствует письмо Минздрава в адрес ООО «Балтинформ» №01-28/10693 от 28.12.2012г.. В связи с чем, в 2013 году оборудование ЦОД было модернизировано Минздравом по соглашению с ООО «Печатное дело».

Следовательно, вывод ответчика о некачественно выполненной ОАО «Ростелеком» работе по контракту №89-К не нашел подтверждения в ходе рассмотрения дела.

Доводы относительно поставки истцом несертифицированного программного обеспечения являются несостоятельным.

Как следует из п. 4.3.2 Контракта 89-К исполнитель гарантирует наличие у него прав на передачу неисключительных прав на программное обеспечение, участвующее в создании Системы МИС. Права  на программное обеспечение Oracle переданы Госзаказчику бессрочно Соглашением от 07.11.2013 года, что подтверждено  Актом приема-передачи.

Техническое задание к Контракту не предусматривает передачу в адрес Ответчика прав на такое программное обеспечение, которое имеет сертификат соответствия ФСТЭК, а, значит и не входит в состав обязательств истца.

Как следует из положений ст.25 ФЗ «О техническом регулировании» обязательная сертификация может быть проведена любым заявителем на основании договора с органом по сертификации, при этом сертификат соответствия выдается на серийно выпускаемую продукцию, на отдельно поставляемую партию продукции или на единичный экземпляр продукции.

Поскольку обязательства по созданию самой системы защиты информации (кроме процедуры аттестации) заказчик принял на себя, то и процедура сертификации должна быть произведена им самостоятельно.

Региональный сегмент единой государственной информационной системы в сфере здравоохранения Калининградской области (РГЕСИЗ) в соответствии с требованиями Постановления Правительства РФ  от 01.11.2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» относится к информационным системам персональных данных (ИСПДн) 2-ого уровня защищенности персональных данных и, как сегмент государственной информационной системы, в соответствии с  Приказом ФСТЭК от 11 февраля 2013 г. №17 «Об утверждении Требований о защите информации, не содержащей государственную тайну, содержащейся в государственных информационных системах» относится к государственным информационным системам 1-го класса (К1) защищенности.

В соответствии с условиями  Контракта ОАО «Ростелеком» в числе прочего обязалось оказать услуги по аттестации ИСПДн на соответствие требованиям безопасности информации (3-ий этап ГК).

ООО «АИБ», имеющее действующую лицензию ФСТЭК России на деятельности по технической защите конфиденциальной информации, а также аттестат аккредитации органа по аттестации объектов информатизации, являлось субподрядчиком истца в этой части исполнения контрактных обязательств.

Суд первой инстанции обоснованно указал, что аттестация является лишь одним из многочисленных мероприятий по защите информации, проведение которых должен обеспечить собственник информационного ресурса, то есть сам Минздрав.

Поскольку,  в силу положений Государственного контракта на Исполнителя было возложено только проведение процедуры аттестации Системы (из всего комплекса мероприятий), рассмотрение вопроса о качестве оказанных услуг должно ограничиваться исследованием соблюденного истцом порядка предусмотренного  п.17.1-17.5 Приказа ФСТЭК России № 17, а именно проведение комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы требованиям.

В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акты классификации информационной системы, техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России.

Итоговыми документами по результатам аттестационных испытаний является заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний - подтверждения соответствия действующим требованиям по безопасности информации аттестуемого объекта информатизации.

Как следует из представленной в материалы дела переписки истца и ответчика,  в адрес последнего вся вышеуказанная документация была направлена в полном объеме письмом ОАО «Ростелеком» исх.№.0203/05/4296-13/ДСП и №0203/05/4299-13/ДСП от 04.10.2013 года. Довод о том, что истец направил комплект организационных документов  вместе с отрицательным заключением, что лишило Минздрав возможности устранить какие-либо недостатки средств защиты,  является несостоятельным, поскольку предварительный  отчет обследования объектов Минздрава выслан письмом ОАО «Ростелеком» исх.№0203/05/3822-13 заблаговременно - 06.09.2013 года.

Кроме того, Техническое задание к Контракту не предусматривает поэтапность осуществления аттестационных мероприятий, а также  наличие временного интервала между процедурой предоставления типовых организационных документов и представления заключения о соответствии / не соответствии объекта требованиям по безопасности.

Вместе с тем,  истцом (по представленной от ООО «АиБ» информации) неоднократно доводилось до сведения заказчика о недостаточности средств защиты. Так,  изначально,  в письме исх.№0203/05/2864-13 от 02.07.13 года истец сообщает, что неправильно установлен режим VIP-net координатора, имеются ошибки в настройках средств защиты Secret Net 7, не установлены режимы идентификации по паролю и др.,  а также частично не установлено оборудование  по рабочим местам.  В письме исх.№0203/05/3164-13 от 19.07.13 года истцом указано на недоступность установленных VIP-net координаторов, а, значит отсутствии защищенных каналов передачи данных. Письмом №0203/05/3248/13 от 25.07.13 изложена необходимость устранения заказчиком программных несоответствий, установки  сертифицированных антивирусов, приобретении идентификаторов, исключении размещения VIP-net координаторов в общедоступных местах, заведении и заполнении журналов учета средств защиты информации по прилагаемой форме и т.д. и т.д.

Непосредственно к аттестации субподрядчик (ООО «АиБ») приступил 02.09.2013 года, о чем сообщил в адрес Минздрава (исх.№0203/05/3756-13 от 02.09.2013 г). При этом, ОАО «Ростелеком» обращал внимание ответчика на необходимость устранения выявленных в июле 2013 года недостатков системы защиты персональных данных до подведения итогов аттестации (письмо исх.№0203/05/3822-13 от 06.09.2013г.) с приложением  предварительного отчета, показавшего несоответствие системы.

Минздрав согласился в переписке (исх.№01-28/5544 от 08.07.13, №01-28/5545 от 08.07.2013, №01-28/6745 от 18.07.2013, 01-28/6782 от 19.07.2013 года) с выявленными недостатками. Более того, письмом исх.№01-19/6826 от 15.07.2013 года Минздрав обязал главврачей ЛПУ организовать выполнение мероприятий по защите персональных данных.

Таким образом, поскольку самим заказчиком не проведены  входящие в сферу его ответственности мероприятия, в том числе считающиеся заказчиком завершёнными, качественно выполненными, а также принятые заказчиком у иных подрядчиков работы по  мероприятиям, предшествующим проведению самой процедуры аттестации, поименованные в п.13 Приказа ФСТЭК России №17 (формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение средств и систем защиты информации информационной системы),  ООО «АИБ» правомерно подготовлено отрицательное заключение по результатам проведенных аттестационных мероприятий в связи с недостаточной комплектацией средств защиты информации, полноты мероприятий по их внедрению и качеству исполнения работ по их внедрению, означающих в совокупности отсутствие завершённой Государственным заказчиком системы защиты информации.

Довод о том, что отрицательное заключение ООО «АиБ» связано с отсутствием оборудования