Категории шифровальных средств: когда нужна нотификация, а когда лицензия
Шифровальные средства входят в единый перечень товаров, к которым применяются меры нетарифного регулирования, и режим ввоза зависит от того, в какую категорию попадает конкретное изделие. Массовые потребительские устройства с ограниченной криптографией проходят по упрощённому пути — нотификация, которую изготовитель подаёт однократно, после чего товар может ввозить кто угодно. Устройства с более сильной криптографией и специализированные средства защиты информации требуют лицензии или заключения, а это уже процедура с участием ФСБ, сроками в месяцы и привязкой к конкретному импортёру. Разница в трудоёмкости настолько велика, что определение категории — первое, что нужно сделать при планировании импорта любой электроники.
01
Три режима ввоза
| Нотификация | Для товаров с ограниченными криптографическими возможностями. Подаёт изготовитель, действует бессрочно, не привязана к импортёру |
| Лицензия Минпромторга | Для товаров, не покрываемых нотификацией; выдаётся на основании заключения ФСБ, привязана к контракту и объёму |
| Заключение ФСБ (разрешительный документ) | Для отдельных случаев ввоза, в том числе для собственных нужд и для образцов |
| Без ограничений | Товары, не содержащие криптографии или содержащие только функции, выведенные из-под регулирования |
| Кто определяет режим | Заявитель на основании технических характеристик; при сомнениях — обращение за разъяснением |
| Проверка | Наличие нотификации проверяется в едином реестре ЕЭК по точному индексу модели |
02
Что покрывается нотификацией
- товары, содержащие в составе криптографические средства с ограниченными возможностями;
- устройства с симметричным алгоритмом при длине ключа, не превышающей установленного порога;
- устройства с асимметричным алгоритмом при длине ключа в пределах установленных значений для соответствующих типов алгоритмов;
- товары, в которых криптография является вспомогательной функцией: защита каналов связи, аутентификация, защита от копирования;
- устройства с криптографией, встроенной для защиты собственных данных пользователя без функции защиты чужого трафика;
- беспроводные интерфейсы: Wi-Fi с WPA, Bluetooth с защищённым сопряжением;
- устройства с реализацией TLS для связи с облачным сервисом изготовителя;
- программное обеспечение, поставляемое вместе с устройством, в пределах тех же ограничений.
03
Что нотификацией не покрывается
- специализированные средства криптографической защиты информации;
- аппаратные шифраторы каналов связи и криптомаршрутизаторы;
- средства защиты государственной тайны и служебной информации;
- оборудование для криптоанализа;
- устройства с реализацией криптографии сверх установленных пороговых значений;
- средства электронной подписи, реализующие сертифицированные алгоритмы, в отдельных конфигурациях;
- оборудование с функцией защиты чужого трафика в промышленных масштабах;
- системы, позволяющие пользователю самостоятельно изменять криптографические параметры сверх пределов.
04
Что определяет категорию
| Тип алгоритма | Симметричный, асимметричный, хеш-функция, алгоритм на эллиптических кривых |
| Длина ключа | Основной количественный критерий; пороги установлены для каждого типа алгоритма |
| Назначение криптографии | Защита собственных данных пользователя, защита канала, защита чужого трафика |
| Возможность изменения параметров | Устройство с фиксированной криптографией и устройство с настраиваемой оцениваются по-разному |
| Наличие функций криптоанализа | Выводит товар из-под нотификации |
| Область применения | Потребительская, коммерческая, специальная |
| Форма поставки | Аппаратная реализация, программная, комбинированная |
05
Как определить категорию своего товара
- Запросить у изготовителя технический документ с описанием применяемых криптографических алгоритмов и длин ключей.
- Уточнить назначение шифрования в изделии: защита данных пользователя, защита канала, иные функции.
- Проверить, может ли пользователь изменять криптографические параметры и в каких пределах.
- Сопоставить параметры с пороговыми значениями, установленными для нотификации.
- Проверить наличие нотификации на точный индекс модели в едином реестре ЕЭК.
- Если нотификация есть — использовать её реквизиты при декларировании.
- Если нотификации нет, но параметры укладываются в её рамки — обратиться к изготовителю с просьбой её оформить.
- Если параметры выходят за рамки — планировать заключение и лицензию, закладывая месяцы в график.
- При неоднозначности — обратиться за официальным разъяснением до заключения контракта.
06
Нотификация: свойства процедуры
| Кто подаёт | Изготовитель или его уполномоченное лицо; импортёр самостоятельно подать не может |
| Что требуется | Сведения о криптоалгоритмах и длинах ключей, которыми располагает только производитель |
| Срок действия | Бессрочно |
| Привязка | К модели изделия, а не к импортёру или партии |
| Кто может использовать | Любой импортёр, ссылаясь на реестровую запись |
| Где проверяется | Единый реестр нотификаций на портале ЕЭК |
| Сроки оформления | От недель до месяцев в зависимости от готовности изготовителя |
| Стоимость для импортёра | Нулевая, если нотификация уже существует |
07
Лицензия и заключение
Когда нотификация неприменима, порядок принципиально иной. Требуется заключение ФСБ, подтверждающее возможность ввоза конкретного изделия, и на его основании — лицензия Минпромторга, привязанная к внешнеторговому контракту, к объёму и к сроку. Заявителем выступает импортёр, и процедура проходится заново для каждого нового контракта, если не оформлена генеральная лицензия. Комплект документов включает техническое описание изделия с полной характеристикой криптографии, сведения об изготовителе, контракт, обоснование цели ввоза. Сроки складываются из времени на подготовку документов, рассмотрения в ФСБ и оформления лицензии, и суммарно измеряются месяцами. Отдельный случай — ввоз для собственных нужд организации в ограниченном количестве: для него предусмотрен упрощённый порядок с разрешительным документом.
08
Практические категории товаров
| Смартфоны и планшеты | Нотификация; проверяется по точному индексу модели |
| Ноутбуки и компьютеры | Нотификация |
| Роутеры и точки доступа бытового класса | Нотификация |
| Корпоративное сетевое оборудование с VPN | Возможен выход за рамки нотификации — требуется оценка параметров |
| Аппаратные шифраторы каналов | Лицензия |
| Bluetooth-гарнитуры и наушники | Нотификация |
| Умные устройства и датчики | Нотификация |
| Видеокамеры с защищённым каналом | Нотификация в большинстве случаев |
| Платёжные терминалы | Оценка индивидуальная: зависит от реализации криптографии |
| Токены и смарт-карты | Зависит от реализации: часть покрывается нотификацией, часть нет |
| Средства электронной подписи | Требуют отдельной оценки |
09
Типичные ошибки
- проверка нотификации по названию линейки вместо точного индекса модели;
- уверенность, что криптографии в устройстве нет, — она есть практически везде, где есть сеть;
- оценка категории по названию технологии, а не по параметрам алгоритмов;
- предположение, что нотификацию можно оформить силами импортёра;
- расчёт оформить лицензию, пока груз в пути, — сроки этого не позволяют;
- игнорирование того, что образцы для испытаний тоже требуют нотификации;
- региональная версия модели с другим суффиксом считается покрытой существующей нотификацией;
- корпоративное оборудование с расширенной криптографией ввозится как потребительское;
- техническое описание от изготовителя получено в маркетинговом виде без параметров алгоритмов;
- использованы устаревшие пороговые значения при определении категории.
10
Что делать при неоднозначности
- Собрать максимально полное техническое описание криптографической подсистемы от изготовителя.
- Зафиксировать письменно параметры: алгоритмы, длины ключей, назначение шифрования, возможность настройки.
- Проверить, есть ли нотификации на аналогичные модели того же изготовителя и с какими формулировками.
- Обратиться за официальным разъяснением о применимом режиме до заключения контракта.
- При устойчивой неоднозначности исходить из более строгого режима: лицензия дороже, но не блокирует поставку.
- Не начинать производство и отгрузку до получения ясности.
- Задокументировать основание для принятого решения — оно понадобится при таможенном контроле.
- Пересматривать вывод при смене ревизии изделия или обновлении прошивки, меняющем криптографию.
Частые вопросы
Когда достаточно нотификации?
Когда криптографические возможности изделия ограничены и укладываются в установленные пороговые значения по типам алгоритмов и длинам ключей, а шифрование выполняет вспомогательную функцию.
Когда требуется лицензия?
Когда параметры криптографии выходят за рамки нотификации, а также для специализированных средств криптографической защиты информации, аппаратных шифраторов и оборудования для криптоанализа.
Может ли импортёр подать нотификацию сам?
Нет. Требуются сведения о криптоалгоритмах и длинах ключей, которыми располагает только изготовитель. Подаёт производитель или его уполномоченное лицо.
Есть ли криптография в обычном бытовом устройстве?
Практически всегда, если оно подключается к сети или связывается с другим устройством беспроводным способом: WPA в Wi-Fi, защищённое сопряжение в Bluetooth, TLS в прошивке.
Сколько занимает получение лицензии?
Месяцы: подготовка технического досье, рассмотрение в ФСБ, оформление лицензии Минпромторга. Оформить её, пока груз в пути, не получится.
Нужна ли нотификация на образцы?
Да. Освобождение по цели ввоза для криптографии не предусмотрено: образцы для испытаний требуют нотификации так же, как коммерческая партия.