Лицензия ФСБ на шифровальные криптографические средства

Лицензия ФСБ требуется там, где криптография — не дополнение, а основной функционал изделия. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных (криптографических) средств, а для разового ввоза такой техники оформляется лицензия Минпромторга на основании заключения ФСБ России. В разделе сюда попадает 11 позиций: криптошлюзы, аппаратные шифраторы, HSM, средства электронной подписи.

Срок — от 2 месяцев: работа идёт не с одним документом, а с подтверждением квалификации персонала, помещений и процессов. Стоимость считаем индивидуально, расчёт за 1 час.

На какую продукцию распространяется

Критерий простой: если убрать криптографию, товар перестанет существовать как продукт. VPN-шлюз без шифрования — это обычный маршрутизатор, HSM без криптоядра — коробка, USB-токен без электронной подписи — флешка. Такие изделия нотификацией не закрываются, потому что нотификация описывает побочный криптофункционал, а здесь он основной.

В разделе под лицензирование уходят четыре типа продукции. Сетевая криптозащита — VPN-шлюз, криптошлюз, криптомаршрутизатор, аппаратный межсетевой экран, аппаратный шифратор канала связи. Аппаратные криптомодули — аппаратный криптографический модуль HSM, средство криптографической защиты информации. Средства электронной подписи — USB-токен с электронной подписью, система электронного документооборота с электронной подписью. Специальная техника — криптотелефон и тахограф с блоком СКЗИ, где криптомодуль встроен в изделие и является предметом отдельного регулирования.

Что охватывает лицензируемая деятельность:

• разработка шифровальных средств и криптографических алгоритмов;
• производство и сборка изделий с криптоядром;
• распространение — продажа, передача, поставка средств третьим лицам;
• техническое обслуживание, настройка ключевой системы, сопровождение;
• оказание услуг в области шифрования информации.

Отдельно стоит вопрос ввоза. Здесь лицензия ФСБ как разрешение на импорт не выдаётся: для разового ввоза оформляется лицензия Минпромторга, а основанием для неё служит заключение ФСБ России о характеристиках криптосредства. Поэтому проект обычно идёт двумя параллельными линиями — лицензирование деятельности компании и разрешение на конкретную поставку.

Где проходят границы

Граница с нотификацией — самая дорогая ошибка в разделе. Нотификация ФСБ оформляется на изделия, где шифрование обслуживает основную функцию: Wi-Fi в розетке, TLS в термостате, аппаратное шифрование диска в ноутбуке. Она регистрируется за 7 рабочих дней через Казахстан или 2 месяца в России и действует бессрочно. Как только криптография становится назначением товара, нотификация неприменима, и путь один — лицензирование, от 2 месяцев. Разница в сроке — почти квартал, поэтому классифицировать изделие нужно на этапе контракта, а не на таможне.

Вторая граница проходит между шифрованием и защитой информации без криптографии. Средства защиты от несанкционированного доступа, DLP-системы, модули доверенной загрузки, системы обнаружения вторжений могут не содержать криптоядра — тогда это зона заключения ФСТЭК по экспортному контролю, 5 рабочих дней. Многие изделия попадают в обе зоны сразу, и документы оформляются параллельно.

• криптография — основной функционал: лицензия ФСБ, от 2 месяцев;
• разовый ввоз криптосредства: лицензия Минпромторга по заключению ФСБ России;
• криптография вспомогательная: нотификация ФСБ, 7 рабочих дней через Казахстан или 2 месяца в России;
• средство защиты информации без криптоядра: заключение ФСТЭК, 5 рабочих дней;
• изделие только с радиоканалом: разрешение на ввоз РЭС и ВЧУ, 10–15 рабочих дней;
• криптофункций нет вовсе: отказное письмо за 1–2 рабочих дня, 4 500 ₽.

Как выбирают схему

Выбор здесь не между схемами подтверждения соответствия, а между видами лицензируемой деятельности, и от него зависят и объём подготовки, и срок. Компания, которая только перепродаёт готовые криптосредства, заявляет распространение — это самый компактный набор требований. Тот, кто ставит, настраивает и сопровождает оборудование у заказчика, добавляет техническое обслуживание и работу с ключевой системой. Разработчик и производитель заявляют полный перечень, и здесь проверяется всё: испытательная база, средства разработки, режим работы с ключевой документацией.

На срок влияют три вещи. Первая — персонал: нужны сотрудники с профильным образованием или переподготовкой в области информационной безопасности, и если их нет, обучение становится критическим путём проекта. Вторая — помещения: требуется подготовленное помещение с контролем доступа и режимом хранения ключевых носителей. Третья — комплект внутренних документов: инструкции по обращению с криптосредствами, журналы учёта, приказы о назначении ответственных. Готовая компания укладывается в срок от 2 месяцев, компания с нуля идёт дольше. Расчёт стоимости делаем за 1 час после короткого аудита исходного состояния.

Программа испытаний

Лицензирование не сводится к лабораторным испытаниям: оценивается способность компании безопасно работать с криптосредствами. Но само оборудование параллельно проходит подтверждение соответствия и оценку криптоядра, и здесь важны и криптографические стандарты, и обычные показатели безопасности изделия. Испытания по техрегламентам выполняет собственная лаборатория REDICO, аттестат 11НК35.

• ГОСТ Р 34.10-2012 — алгоритмы формирования и проверки электронной подписи, ключевые для токенов, HSM и систем документооборота;
• ГОСТ Р 34.11-2012 — функция хэширования, применяемая совместно с подписью;
• ГОСТ Р 34.12-2015 — блочные шифры «Кузнечик» и «Магма», база для криптошлюзов и канальных шифраторов;
• ГОСТ 30805.22 — радиопомехи от оборудования информационных технологий: сетевое криптооборудование монтируется в стойку рядом с чувствительной аппаратурой;
• ГОСТ IEC 62368-1-2014 — электробезопасность: изоляция, нагрев, источники энергии внутри корпуса.

Для изделий на российской криптографии принципиально, что алгоритмы реализованы именно по перечисленным стандартам, — заявление о поддержке «ГОСТ-шифрования» без ссылки на конкретную редакцию стандарта при проверке не принимается.

Коды и границы классификации

Криптосредства не имеют отдельной товарной позиции: код выбирается по конструктивному исполнению изделия, а криптофункция отражается в описании товара. Типичные коды раздела:

• 8517 — сетевое оборудование связи: криптошлюзы, VPN-шлюзы, криптомаршрутизаторы, аппаратные межсетевые экраны;
• 8471 — вычислительные машины и их блоки, если изделие исполнено как сервер или вычислительный модуль;
• 8471800000 — прочие устройства вычислительных машин, куда часто попадают криптоплаты и модули расширения;
• 8523 — носители с записанным программным обеспечением, включая дистрибутивы средств криптозащиты;
• 8543 — электрические аппараты с индивидуальными функциями: аппаратные шифраторы и HSM в отдельном корпусе.

При декларировании критично описание товара, а не только код: формулировка «маршрутизатор» вместо «криптомаршрутизатор» ведёт к тому, что поставка идёт без нужного разрешения, и это уже не спор о классификации, а вопрос законности ввоза.

Что подготовить

Заявитель — юридическое лицо или индивидуальный предприниматель, который собирается вести лицензируемую деятельность. Пакет собирается вокруг трёх вещей: люди, помещение, порядок работы. Потребуется:

• учредительные документы и сведения о заявленных видах деятельности;
• документы об образовании и переподготовке сотрудников в области информационной безопасности;
• правоустанавливающие документы на помещения и описание режима доступа;
• перечень средств, с которыми планируется работать, с указанием криптоалгоритмов;
• внутренние регламенты: инструкции по обращению с криптосредствами, журналы поэкземплярного учёта, приказы об ответственных лицах;
• для ввоза — контракт, спецификация и техническое описание изделия для заключения ФСБ России.

Календарь: 1–2 недели на аудит и доукомплектование пакета, далее подготовка и подача, затем рассмотрение — суммарно от 2 месяцев. Если параллельно нужен разовый ввоз, линия лицензии Минпромторга запускается сразу, не дожидаясь завершения лицензирования деятельности.

Где чаще всего ошибаются

1. Пытаются закрыть криптошлюз нотификацией. Логика «там же обычный AES» не работает: если шифрование — основной функционал, нужна лицензия. Товар приезжает с нотификацией, выпуск не разрешают, и вместо 7 рабочих дней через Казахстан или 2 месяца в России компания получает проект длиной от 2 месяцев при простаивающем грузе.
2. Заявляют распространение, а фактически обслуживают. Компания продала криптошлюзы и заодно настроила их у заказчика, включая генерацию ключей. Это уже техническое обслуживание шифровальных средств — вид деятельности, которого нет в лицензии, и претензия приходит по итогам первой же проверки.
3. Не готовят помещение и персонал заранее. Пакет документов собран, а сотрудников с профильной переподготовкой нет и режимного помещения тоже. Подача откладывается, и двухмесячный срок начинает отсчитываться не с момента обращения, а на несколько недель позже.

Позиции раздела с этим документом

• VPN-шлюз
• Аппаратный шифратор канала связи
• Криптомаршрутизатор
• Тахограф с блоком СКЗИ
• USB-токен с электронной подписью
• Система электронного документооборота с электронной подписью
• Криптошлюз
• Аппаратный криптографический модуль HSM
• Средство криптографической защиты информации
• Аппаратный межсетевой экран
• Криптотелефон

Коротко о главном

Чем лицензия ФСБ отличается от нотификации?

Нотификация — уведомление о характеристиках изделия, где криптография вспомогательная: Wi-Fi, Bluetooth, шифрование диска. Она регистрируется за 7 рабочих дней через Казахстан или 2 месяца в России и действует бессрочно. Лицензия ФСБ — разрешение вести деятельность с шифровальными средствами, когда криптография составляет основной функционал товара. Это разные документы, и один другой не заменяет.

Нужна ли лицензия, чтобы просто ввезти криптошлюз?

Для разового ввоза оформляется лицензия Минпромторга, и основанием для неё служит заключение ФСБ России о характеристиках криптографического средства. Лицензия ФСБ при этом нужна тому, кто будет эти средства распространять или обслуживать в России. На практике импортёр-поставщик оформляет обе линии, потому что продажа криптосредств — это уже лицензируемое распространение.

Сколько занимает получение лицензии ФСБ?

От 2 месяцев, и реальный срок зависит от стартового состояния компании. Если сотрудники с профильной переподготовкой уже есть, помещение соответствует требованиям, а внутренние регламенты написаны, проект укладывается в нижнюю границу. Если всё это делается с нуля, добавляется время на обучение персонала и подготовку помещения — обычно ещё несколько недель до подачи.

Тахограф с блоком СКЗИ — это лицензируемое средство?

Блок СКЗИ в тахографе является средством криптографической защиты информации, поэтому работа с ним — установка, активация, замена, обслуживание — относится к лицензируемой деятельности. Ввоз самих тахографов оформляется как ввоз изделий с криптосредством. Продажа устройства без права его обслуживать ограничивает бизнес-модель, это стоит учесть при выборе заявляемых видов деятельности.

Сколько стоит лицензия ФСБ?

Стоимость проекта индивидуальна: она зависит от количества заявляемых видов деятельности, готовности помещения и квалификации персонала, а также от того, нужен ли параллельно разовый ввоз по заключению ФСБ России. Мы делаем расчёт за 1 час после короткого аудита исходной ситуации. Срок при любом сценарии остаётся от 2 месяцев.

Полезное по теме

• Технические условия (ТУ): когда нужны
• Требования к этикетке
• Сертификация для госзакупок
• Ввоз образцов для испытаний
• Перечень технических регламентов ЕАЭС