Подберём документ на ваш товар Индивидуальный расчёт стоимости

Сертификация программного обеспечения: что обязательно, что добровольно и при чём здесь ФСТЭК

Зависит от того, о каком программном обеспечении речь. Общего обязательного сертификата на ПО как таковое мы не нашли: в едином перечне продукции постановления № 2425 программных продуктов нет. Сертификат ФСТЭК нужен лишь для средств защиты информации там, где закон требует сертифицированных средств. Реестр российского ПО не является сертификацией. Программу внутри изделия оценивают вместе с изделием.

Короткий ответ

«Сертификат на ПО» бывает пяти разных документов: сертификат ФСТЭК на средство защиты информации, запись в реестре Минцифры, добровольный сертификат, документы на изделие со встроенным ПО и сертификат ФСБ на криптографию. Сначала определите, зачем документ нужен и кто его требует, а затем выбирайте процедуру.

СтоимостьПо индивидуальному расчёту

Время чтения9 мин

Начинаем с идентификации — рассматриваем состав, назначение и характеристики продукции
Уточняем применимые требования и форму оценки для конкретной продукции
Проверяем доказательства и согласуем состав работ после анализа исходных данных
Подготовка документов и испытания определяются выбранной формой и схемой
Состав работ, цену и срок согласуем после рассмотрения продукции

Почему это стоит поручить нам

Разбор причин несоответствия

При замечаниях к документам сначала сопоставляем продукцию, применимые требования и доказательства. Возможность оформления зависит от результатов этой проверки.

Сложная и нестандартная продукция

Для нестандартной продукции обсуждаем характеристики, состав, назначение, особенности производства и применимые требования.

Согласование работ

После идентификации определяем, требуется ли подтверждение соответствия и в какой форме. Отсутствие обязательного документа не означает, что любой товар требует отказное письмо.

Форма и схема оценки

Участие заявителя, лаборатории и органа по оценке соответствия определяется применимыми требованиями и выбранной схемой. Состав участников и работ уточняется для конкретной продукции.

Обсудить ваш проект

Обновлено 24 октября 2026 REDICO 10 802 знаков 9 мин чтения 8 разделов

Почему «сертификат на ПО» — не один документ

Программа не относится к продукции, на которую распространяются технические регламенты ЕАЭС, поэтому общего обязательного сертификата соответствия на ПО нет. Этот вывод подтверждается и тем, что в тексте единого перечня постановления № 2425 программные продукты как отдельный вид продукции не названы. Однако слово «сертификат» в разговорах о ПО означает разные документы с разным регулятором, разной логикой и разными последствиями.

Поэтому правильный первый вопрос звучит так: кто и зачем требует документ. Закупочная документация, требования к информационной системе, условия поставки оборудования и желание подтвердить качество продукта ведут к разным процедурам.

Какой документ в какой ситуации

Ситуация	Что может понадобиться	Кто регулирует
Программа реализует функции защиты информации и применяется в государственной системе, на значимом объекте КИИ или в системе персональных данных	Сертификат на средство защиты информации	ФСТЭК России
Программа с шифрованием, которое нужно по требованиям к защите	Сертификат на средство криптографической защиты или иной документ по шифрованию	ФСБ России
Нужно подтвердить российское происхождение для закупок и мер поддержки	Включение в реестр российского ПО, а не сертификат	Минцифры России
Нужно подтвердить качество, функциональность или процессы разработки	Добровольная сертификация программного продукта или системы менеджмента	Выбранная система добровольной сертификации
ПО встроено в оборудование (контроллер, прибор, станок)	Документы на изделие по применимым регламентам	Регламенты на изделие, ПО оценивают в составе изделия
ПО входит в средство измерений или медицинское изделие	Утверждение типа средства измерений либо регистрация медицинского изделия	Росстандарт, регистрационные правила для медицинских изделий

Как определить, что нужно именно вам

Выпишите формулировку требования дословно: из задания заказчика, договора, закупки или требований к системе. «Сертификат на ПО» без уточнения называет не процедуру, а ожидание.
Определите, выполняет ли программа функции защиты информации. Если нет, сертификат ФСТЭК на неё не оформляется: Положение о системе сертификации охватывает средства защиты информации.
Выясните, где программа будет применяться. Требование сертифицированных средств возникает из статуса системы, а не из названия продукта.
Проверьте, нет ли в программе шифрования, и если оно есть, отдельно оцените режим ФСБ.
Уточните, нужна ли заказчику запись в реестре российского ПО: это отдельная процедура у Минцифры.
Если речь о встроенном ПО, перейдите к изделию: определите регламенты на него и посмотрите, как изготовитель описывает ПО в документации.

ФСТЭК, реестр Минцифры и добровольная сертификация: не путать

Сертификат ФСТЭК относится к средствам защиты информации и выдаётся по Положению о системе сертификации, утверждённому приказом ФСТЭК России от 03.04.2018 № 55; он обязателен там, где требования к системе предписывают сертифицированные средства. Иностранные средства, использование которых в России ограничено или запрещено, в этой системе не сертифицируются: такой статус проверяют по действующим актам.
Реестр российского ПО ведёт Минцифры России на основании статьи 12.1 закона № 149-ФЗ и постановления Правительства РФ от 16.11.2015 № 1236. Включение подтверждает происхождение и соответствие требованиям к российскому ПО, но не проверяет безопасность информации и не заменяет сертификат ФСТЭК. Реестр доступен на сайте reestr.digital.gov.ru.
Добровольная сертификация проводится в системе, зарегистрированной в Росстандарте, и подтверждает показатели, которые заявитель выбрал сам: функциональность, качество, процессы жизненного цикла. Она нужна, если её просит заказчик или она усиливает предложение.
Сертификат ISO 27001 относится к системе менеджмента информационной безопасности организации, а не к конкретной программе.

ПО внутри изделия: что оценивается

Если программа встроена в прибор, станок, контроллер или бытовое устройство, отдельного сертификата на ПО обычно не оформляют. Изделие подтверждают по применимым регламентам, а влияние программы на безопасность, электромагнитную совместимость и функциональную надёжность учитывают при идентификации и испытаниях.

Два момента требуют внимания. Первый: изменение версии ПО может изменить функции изделия, и тогда нужно решить, остаётся ли действующим ранее выданный документ. Второй: для средств связи, средств измерений и медицинских изделий действуют свои процедуры, в которых программное обеспечение оценивают прямо. Для средств связи смотрите материал про подтверждение соответствия средств связи, для средств измерений про утверждение типа.

Рассчитаем стоимость на вашу продукцию

Для расчёта нужны характеристики продукции, применимые требования и объём испытаний. Стоимость и срок согласуем после рассмотрения этих данных.

Расчёт после рассмотрения продукции

Типичные ошибки

Считать, что на любую программу нужен сертификат, и оформлять документ без основания.
Путать запись в реестре Минцифры с сертификатом: это разные процедуры и разные последствия.
Предлагать сертификат ФСТЭК как доказательство качества программы, не относящейся к средствам защиты информации.
Считать, что сертификат ISO 27001 удостоверяет безопасность конкретного продукта.
Не учитывать, что после обновления встроенного ПО функции изделия могут измениться.
Не проверять, что формулировка закупки допускает альтернативное подтверждение, и вести работу вслепую.

Когда сертификат на ПО не нужен

Программа не выполняет функций защиты информации и не используется в системах, где закон требует сертифицированных средств.
Заказчик не предъявляет требований в закупке или договоре и не просит подтверждение качества.
Нужна запись в реестре российского ПО, а не сертификат: подавайте заявление по правилам реестра.
ПО встроено в изделие, на которое уже оформлены документы по применимым регламентам, и функции изделия не менялись.

Нормативные основания

Приказ ФСТЭК России от 03.04.2018 № 55: Положение о системе сертификации средств защиты информации.
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», статья 12.1: единый реестр российских программ для ЭВМ и баз данных.
Постановление Правительства РФ от 16.11.2015 № 1236: правила формирования и ведения реестра и ограничения допуска иностранного ПО при закупках.
Приказ Минцифры России от 31.01.2024 № 62: Положение о федеральной государственной информационной системе «Реестры программ для электронных вычислительных машин и баз данных».
Постановление Правительства РФ от 23.12.2021 № 2425: единый перечень продукции, подлежащей обязательной сертификации и декларированию.

Частые вопросы

Обязательна ли сертификация программного обеспечения?

Нет, не в общем порядке. Технические регламенты ЕАЭС оценивают продукцию, и в едином перечне постановления № 2425 программных продуктов нет. Исключения связаны с назначением: средства защиты информации в государственных системах, значимые объекты КИИ, системы персональных данных, а также ПО в составе средств измерений и медицинских изделий. Каждый случай проверяют по своему основанию.

Нужен ли сертификат ФСТЭК на любую программу?

Нет. Сертификат ФСТЭК выдают на средства защиты информации: межсетевые экраны, антивирусы, средства доверенной загрузки и подобные. Обычная бухгалтерская, складская или иная программа без функций защиты в эту систему не входит. Если заказчик требует сертификат ФСТЭК на такую программу, уточните, не имеется ли в виду реестр российского ПО или иной документ.

Реестр российского ПО — это сертификат?

Нет. Запись в реестре Минцифры подтверждает российское происхождение и соответствие требованиям к российским программам, а не безопасность информации и не качество программы. Реестр используют в закупках и мерах поддержки. Сертификат ФСТЭК и реестр — разные процедуры разных органов, и один документ другой не заменяет, даже если оба упомянуты в одной закупке.

Как подтвердить качество программного продукта добровольно?

Зависит от цели, но путь такой: добровольная сертификация в системе, зарегистрированной в Росстандарте, либо сертификация системы менеджмента, например ISO 9001. Заявитель выбирает показатели: функциональность, надёжность, процессы разработки. Такой документ нужен по требованию заказчика или для усиления предложения. Проверьте, что система есть в реестре и принимается заказчиком.

Нужен ли сертификат на программное обеспечение внутри оборудования?

Зависит от изделия. Отдельный сертификат на встроенное ПО обычно не оформляют: изделие подтверждают по применимым регламентам, а программу учитывают при идентификации и испытаниях. Для средств связи, средств измерений и медицинских изделий действуют свои процедуры, где ПО оценивают прямо. Изменение версии ПО иногда требует новой оценки.

Можно ли сертифицировать иностранное программное обеспечение?

Зависит от назначения. В системе сертификации средств защиты информации иностранные средства, использование которых в России ограничено или запрещено, не сертифицируются. Для остального ПО статус и допустимость применения определяют действующие акты и условия закупки. Где проверять: актуальный текст Положения о системе сертификации, реестры и документация заказчика.

Что делать, если в закупке написано «сертификат на ПО»?

Зависит от формулировки. Запросите разъяснение у заказчика: имеется в виду сертификат ФСТЭК, запись в реестре, добровольный сертификат или документ на изделие. До ответа не оформляйте документ вслепую. Если требование не обосновано объектом закупки, его можно оспорить, но сначала стоит прочитать документацию и сверить её с актами.

Помогает ли ISO 27001 подтвердить безопасность моей программы?

Нет. ISO 27001 удостоверяет систему менеджмента информационной безопасности организации: процессы, управление рисками, контроль. Безопасность конкретной программы и её применимость в государственных системах он не подтверждает. Если заказчику нужен именно сертифицированный продукт, потребуется процедура ФСТЭК или иная, которую называют требования закупки или требования к информационной системе заказчика.

Расчёт по вашему товару

Требуют «сертификат на программу» и непонятно, какой именно? Пришлите формулировку заказчика, описание ПО и сферу применения: определим, нужен ли ФСТЭК, реестр, добровольный сертификат или документы на изделие.

Отправьте специалистам REDICO описание товара, назначение, состав или характеристики и код ТН ВЭД. Проверим требования и предложим вариант оформления.

Что будет в ответе

Предварительный перечень необходимых документов
Сколько документов потребуется и можно ли объединить модели и артикулы
Требования к испытаниям и образцам
Из чего складывается стоимость, этапы и ориентировочные сроки

Окончательный состав зависит от характеристик продукции и полноты исходных данных.