Нотификация ФСБ: что это, когда нужна и чем отличается от лицензии и заключения

01

Что такое нотификация: правовая природа и место в системе

Правила ввоза шифровальных средств установлены приложением № 9 к Решению № 30. Нотификацию оформляет изготовитель либо уполномоченное им лицо на основании его доказательств. Одна нотификация может охватывать тип товара или группу однотипных товаров с идентичными шифровальными средствами по пункту 4 Положения о нотификации. Проверяют алгоритмы, максимальную длину ключа, функциональные возможности и перечисление конкретных товаров. Разные названия моделей не запрещают объединение автоматически, а одна торговая линейка его не гарантирует. В пункте 6 нотификации указывают дату окончания её действия, до которой изготовитель гарантирует неизменность криптографических функций. Нотификация действует с внесения сведений в единый реестр и прекращает действие при аннулировании либо истечении срока. Бессрочной её считать нельзя.

02

Главное правило: перечень, а не наличие связи

• нотификация оформляется только на продукцию из перечня 2.19;
• перечень содержит конкретные коды ТН ВЭД и наименования;
• Wi-Fi или Bluetooth сами по себе основанием не являются;
• кондиционер, стиральная машина, робот-пылесос с модулем связи нотификации не требуют — их кодов в перечне нет;
• Коды 8516, 8539 и 9405 отсутствуют в разделе 2.19. Нельзя считать включённой всю позицию 8528 или все смарт-часы: сопоставляют конкретную строку перечня, код, наименование и криптофункции товара.
• промышленное оборудование с удалённой диагностикой сверяют по коду и строке перечня: удалённый доступ сам по себе не основание;
• проверка ведётся по коду, наименованию изделия и его шифровальным функциям.

03

Четыре исхода: нужна ли нотификация, лицензия, заключение или ничего

Если код товара есть в разделе 2.19, вопрос «нужна ли нотификация» сводится к двум: есть ли в изделии криптография и укладывается ли она в категории ограниченных функций. Ответы дают четыре возможных исхода, и таможня требует ровно тот документ, который соответствует характеристикам товара.

04

Какие товары попадают под нотификацию

Проверять надо не по названию товара и не по наличию связи, а по коду ТН ВЭД и строке раздела 2.19. Криптография внутри имеет значение только для товара, код которого в перечне есть. Ниже — группы, которые чаще всего приходится сверять с перечнем.

• смартфоны, планшеты, ноутбуки, стационарные компьютеры, серверы, системы хранения;
• роутеры, коммутаторы, точки доступа, модемы, репитеры, оборудование связи;
• устройства с Wi-Fi или Bluetooth — наушники, колонки, умные часы, фитнес-браслеты, клавиатуры, мыши, геймпады — только если их код есть в перечне: беспроводной модуль сам по себе не основание;
• камеры видеонаблюдения и IP-камеры, видеорегистраторы, домофоны, сигнализации;
• умная техника с модулем связи — только при коде из перечня: для ламп, чайников, кондиционеров и пылесосов его нет, телевизоры сверяют по конкретной строке позиции 8528;
• накопители с аппаратным шифрованием, флешки с защитой, токены, смарт-карты, считыватели;
• промышленное оборудование с удалённым доступом: контроллеры, счётчики, телеметрия, терминалы;
• автомобильная электроника: мультимедиа, трекеры, тахографы, диагностические сканеры;
• платёжные терминалы, кассы с модулем связи, банкоматы;
• программное обеспечение и прошивки, если поставляются на материальном носителе.

05

Нужна ли нотификация на смартфон, роутер, Bluetooth- и Wi-Fi-устройство

Короткий ответ: для смартфона и роутера разрешительный документ по разделу 2.19 проверяют обязательно — их коды и наименования в перечне есть; для Bluetooth-наушников и колонок по позиции 8518 — нет. Как понять за три шага: найдите код ТН ВЭД и строку раздела 2.19 с тем же кодом и наименованием; по спецификации изготовителя установите шифровальные функции; сопоставьте их с категориями, для которых предусмотрена нотификация, и проверьте запись в реестре.

06

Категории ограниченных функций: в чём смысл двенадцати пунктов

Нотификация возможна только для товаров, криптография которых укладывается хотя бы в одну из категорий, перечисленных в Положении о ввозе шифровальных средств. Полный разбор категорий с примерами — в отдельной статье, здесь — логика. Категории описывают не товары, а характер криптографии: ограниченная длина ключа симметричных алгоритмов; шифрование, недоступное пользователю для изменения; криптография в составе операционных систем и прикладного ПО; защита каналов беспроводной связи; средства аутентификации и электронной подписи с ограничениями; товары для банковских и платёжных операций; персональные смарт-карты и так далее.

Практическое следствие: одно и то же изделие может попадать сразу в несколько категорий, и в уведомлении их указывают все. А если хотя бы одна функция изделия за категории выходит — например, встроенный VPN с длинным ключом, который пользователь может настраивать, — нотификация на изделие в целом невозможна.

07

Нотификация, лицензия и заключение ФСБ: сравнение

Три инструмента закрывают один и тот же раздел перечня, но применяются в разных ситуациях, оформляются разными лицами и живут по-разному. Импортёры путают их постоянно.

08

Нотификация и сертификат ФСТЭК: разные ведомства, разные вопросы

Сертификат ФСТЭК не заменяет нотификацию и к ввозу товара отношения не имеет. Он подтверждает, что межсетевой экран, антивирус или система обнаружения вторжений соответствуют требованиям безопасности информации и могут применяться в государственных информационных системах и на объектах критической инфраструктуры. Маршрутизатор с сертификатом ФСТЭК всё равно ввозится по нотификации или лицензии, потому что в нём есть криптография.

Верно и обратное: нотификация не делает изделие «сертифицированным СЗИ» и не даёт права применять его там, где закон требует сертифицированных средств. Продукт, который одновременно защищает информацию и шифрует канал, может требовать сертификата ФСТЭК на функции защиты и разрешительной процедуры ФСБ на криптографию — это два независимых трека с разными заявителями и сроками.

09

Кто оформляет и что для этого нужно — коротко

Подать уведомление может изготовитель товара либо лицо, уполномоченное изготовителем. Российский импортёр сам по себе таким лицом не является: для оформления нотификации на чужой товар нужна доверенность от производителя. Именно поэтому первый шаг всегда — проверить реестр: возможно, ту же модель уже нотифицировал поставщик или другой импортёр, и оформлять ничего не нужно.

Основная работа приходится не на форму, а на техническую часть: изготовитель должен корректно описать алгоритмы, длины ключей и назначение криптографии в изделии. Государственной пошлины нет, регистрация в органе занимает порядка десяти рабочих дней, но реальный срок проекта считают от подготовки документов у изготовителя — там и теряется основное время. Пошаговая процедура, состав комплекта, требования к доверенности и типичные причины возврата разобраны в статье о том, как получить нотификацию.

10

Как проверить, есть ли нотификация на ваш товар — коротко

Реестр публичный, и проверка занимает минуты: единый реестр нотификаций на портале Комиссии, поиск по изготовителю, затем по модели. Три условия, без которых запись не подходит: совпадает изготовитель, а не только бренд; совпадает индекс модели буквально, включая суффиксы исполнения; запись действует и не аннулирована. Как устроен поиск, что означает каждое поле карточки, как читать статусы и что делать, если записи нет, — в отдельной статье о реестре.

11

Что происходит на таможне

Сведения о необходимом разрешительном документе должны соответствовать фактическому товару и применимой процедуре. Перед подачей декларации проверяют код, наименование, криптофункции, срок и статус реестровой записи. Наличие Wi-Fi само по себе не доказывает обязательность нотификации или состав правонарушения. Конкретные основания ответственности оценивают отдельно по обстоятельствам.

• нотификация проверяется по реестру, а не по бумажной копии;
• модель в ДТ должна совпадать с записью буквально;
• для образцов и единичных ввозов основание определяют по приложению № 9 с учётом исключений: малое количество само по себе от требований не освобождает;
• отсутствие документа — отказ в выпуске, недостоверные сведения — административное дело;
• наличие декларации по ТР ТС 020 не заменяет документ по разделу 2.19 и наоборот.

12

Типовые ошибки импортёров

• искали товар в реестре по торговому названию, а не по обозначению модели, и не нашли существующую нотификацию;
• нашли нотификацию на похожую модель другого изготовителя и подали её на таможню — документ не подошёл;
• заказали партию в исполнении с Wi-Fi, а нотификация была оформлена на проводную версию;
• заявили «шифрования нет» по ощущению, без спецификации изготовителя;
• рассчитывали оформить нотификацию за неделю, не заложив время на доверенность от производителя;
• решили, что раз есть декларация по ТР ТС 020 или сертификат ФСТЭК, разрешительный документ по шифрованию не нужен;
• ввезли образцы «для теста» без документа, полагая, что на пробную партию требования не распространяются;
• пытались нотифицировать изделие с криптографией за пределами категорий и потеряли месяц на возврат вместо лицензии.

13

Товар уже в пути, а нотификации нет

Действий немного: ещё раз проверить реестр по всем написаниям модели и связанным юридическим лицам изготовителя — значительная часть историй закрывается находкой существующей записи; параллельно запросить у производителя доверенность и техническое описание и запустить оформление, не дожидаясь прибытия груза; рассмотреть размещение на складе временного хранения на период оформления — дороже плана, но дешевле возврата. Вариант «оформить без документа» не рассматривается. Подробный порядок действий по партии без документов — в отдельной статье.

14

Сколько это стоит: структура затрат

Государственной пошлины за регистрацию уведомления нет. Затраты складываются из другого.

15

Как нотификация соотносится с остальными документами на электронику

Нотификация закрывает только ограничения на ввоз шифровальных средств. Она ничего не говорит об электробезопасности, электромагнитной совместимости, ограничении опасных веществ и допуске к сетям связи — это отдельные процедуры, и таможня проверяет их независимо друг от друга.

16

Чек-лист перед закупкой электроники

1. Уточните у поставщика точное обозначение модели, изготовителя по маркировке и наличие беспроводных интерфейсов.
2. Получите спецификацию с описанием криптографии и определите исход: ничего, нотификация, лицензия, заключение.
3. Проверьте модель в едином реестре нотификаций до оплаты, а не после отгрузки.
4. Если записи нет — запросите у изготовителя готовность оформить нотификацию и доверенность.
5. Заложите в график поставки от трёх до шести недель на оформление.
6. Параллельно определите документы по ТР ТС 020, по ТР ТС 004 (кроме питания от аккумулятора или USB), по ТР ЕАЭС 037 (если изделие есть в приложении № 1) и по связи.
7. Убедитесь, что номер записи попал в документы для таможенного оформления и в карточки на маркетплейсах.

17

Карта кластера: куда идти за конкретным вопросом

Тема разобрана в нескольких статьях, и каждая отвечает на свой вопрос. Эта — что такое нотификация и когда она нужна.

18

Три режима для товаров с шифрованием

19

Что нотификация не делает

Нотификация не подтверждает соответствие техническим регламентам. Применимость ТР ТС 004, ТР ТС 020 и правил ввоза РЭС определяют отдельно по области, исключениям и характеристикам товара. Для нотификации проверяют срок, статус и фактический охват реестровой записи.

20

Ключевые свойства документа

21

Совпадение модели: где ломается схема

Наиболее частая проблема на таможне — не отсутствие нотификации, а несовпадение обозначения модели. В реестре указывается модель так, как её заявил изготовитель, и это обозначение должно совпадать с маркировкой на устройстве, с товаросопроводительными документами и с описанием в декларации на товары. Расхождения возникают предсказуемо: маркетинговое название вместо технического обозначения, региональные суффиксы, буквенные индексы цвета или комплектации, изменение обозначения при смене ревизии платы. Практический подход — сверять обозначение до отгрузки, по фотографии заводской таблички, а не по инвойсу. Если фактическая модель шире того, что перечислено в нотификации, документ не применяется, и партия останавливается.

22

Что происходит при отсутствии

• выпуск товара приостанавливается до представления документа;
• нотификацию невозможно оформить задним числом быстро: подача идёт от изготовителя, а сроки регистрации не сокращаются под конкретную партию;
• хранение на складе временного хранения оплачивается импортёром за каждый день;
• возможна квалификация как недекларирование или недостоверное декларирование с соответствующей ответственностью;
• при повторяющихся случаях растёт категория риска участника внешнеэкономической деятельности и учащаются досмотры.

23

Как проверить

1. Открыть единый реестр нотификаций Евразийской экономической комиссии.
2. Найти запись по номеру или по изготовителю и модели.
3. Сверить обозначение модели с заводской табличкой на устройстве, а не с инвойсом.
4. Проверить изготовителя: совпадение названия и страны с фактическим производителем.
5. Убедиться, что запись действующая и не отозвана.
6. Сохранить выписку из реестра на дату подачи декларации: это подтверждение для последующего контроля.

24

Пограничные случаи

• устройство без беспроводных интерфейсов, но с шифрованием памяти или защищённой загрузкой — криптография присутствует;
• оборудование, работающее только по проводу, но с защищённым протоколом управления;
• товар с отключённым в прошивке модулем: исход определяют по фактическим шифровальным функциям исполнения по спецификации изготовителя;
• комплект, где криптография есть только в одном компоненте: режим определяется по компоненту;
• запасные части и модули, содержащие радиотракт;
• товары, где криптография заявлена изготовителем, но фактически не реализована: расхождение устраняют по спецификации до выбора одного из четырёх исходов.