Мессенджер со сквозным шифрованием: нотификация ФСБ и сроки оформления

Нотификация ФСБ: Мессенджер со сквозным шифрованием — документ, срок, цена

Мессенджер со сквозным шифрованием отличается от прочего защищённого софта тем, что криптография вынесена у него в рекламное обещание. На разрешительный режим это не влияет: продукт остаётся массовым программным средством и распространяется по нотификации ФСБ. Уведомление регистрируется за 7 рабочих дней через Казахстан или 2 месяца в России и вносится в реестр ЕЭК, техрегламенты к нему не применяются, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.

Что оформляется: Мессенджер со сквозным шифрованием

Нотификация ФСБ на программное обеспечение с функцией шифрования регистрируется Центром по лицензированию, сертификации и защите государственной тайны ФСБ России и вносится в единый реестр нотификаций Евразийской экономической комиссии. Уведомление оформляется от имени правообладателя или его уполномоченного представителя, действует бессрочно и признаётся во всех странах союза, пока криптографическая часть продукта не переработана.

Программный продукт попадает в область уведомительного порядка, когда шифрование в нём есть, но не составляет предмет продажи: защищённый транспорт данных, сквозное шифрование переписки, хранение учётных данных, подпись обновлений. Если же продукт продаётся именно как средство криптографической защиты информации на российских алгоритмах, речь идёт уже о лицензии ФСБ на распространение и техническое обслуживание шифровальных средств, а срок такой процедуры — от 2 месяцев.

Технические регламенты Таможенного союза к программному обеспечению не применяются: ТР ТС 004/2011 и 020/2011 регулируют оборудование, а не код. Поэтому попытка получить на дистрибутив декларацию соответствия бессмысленна, а корректный ответ на запрос покупателя или маркетплейса — нотификация либо отказное письмо, которое оформляется за 1–2 рабочих дня и стоит 4 500 ₽.

Если продукт содержит функции защиты от несанкционированного доступа, контроля утечек или межсетевого экранирования, дополнительно оформляется заключение ФСТЭК по линии экспортного контроля — 5 рабочих дней. Срок регистрации нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России криптофункционала.

На что смотреть в этой модификации

У мессенджера со сквозным шифрованием криптография видна пользователю и вынесена в описание продукта, но предметом продажи остаётся сервис обмена сообщениями. Это по-прежнему массовое программное средство, а значит — нотификация ФСБ. В уведомлении раскрывается, что именно закрывается шифрованием: текст, вложения, голосовые и видеозвонки, резервные копии, и по какой схеме согласуются ключи между устройствами одного пользователя.

Отдельного внимания требуют клиенты под разные платформы и серверная часть: криптонаборы у них отличаются, и перечислять их нужно поимённо. Качество и защищённость продукта описываются по ГОСТ Р ИСО/МЭК 25010-2015, процессы жизненного цикла — по ГОСТ Р ИСО/МЭК 12207-2010, проверка дистрибутива на вредоносный код — по ГОСТ Р 51188-98. Носители проходят по кодам 8523 49 450 0 и 8523 51 900 0. Обновление, меняющее схему сквозного шифрования, требует нового уведомления, срок которого — 7 рабочих дней через Казахстан или 2 месяца в России.

Разграничение с лицензионным режимом здесь проходит по товарному назначению. Продаётся сервис обмена сообщениями, а шифрование обслуживает эту функцию, поэтому продукт остаётся в категориях уведомления. Картина меняется у корпоративных версий с сервером в контуре заказчика и подключением к внутреннему удостоверяющему центру: как только продукт начинают предлагать как средство защиты информации, оценка идёт по другой процедуре.

В описании криптосхемы требуется конкретика по слоям, а не общая фраза о сквозном шифровании:

• протокол согласования ключей между устройствами и порядок их обновления;
• алгоритм и длина ключа для содержимого сообщений и вложений;
• защита голосовых и видеозвонков, которая обычно построена на отдельном транспорте;
• шифрование резервных копий и порядок восстановления доступа к переписке;
• механизм подтверждения ключей собеседника.

Распространение через магазины приложений добавляет свою сложность: обязанность подать уведомление лежит на правообладателе или распространителе, но фактическим импортёром себя никто не считает, и вопрос повисает до первой корпоративной закупки. Российские партнёры, встраивающие мессенджер в свои решения, запрашивают номер записи в реестре ЕЭК как обычный документ комплекта.

Проверка дистрибутива на отсутствие недекларированных возможностей по ГОСТ Р 51188-98 уведомление не подменяет — это разные процедуры с разным результатом. Смена платформы распространения, ребрендинг приложения и выделение корпоративной сборки в отдельный продукт требуют проверки того, покрывает ли действующее уведомление новое наименование. Сроки в проектах с мессенджерами определяются не процедурой, а сбором сведений: описание криптосхемы готовит команда разработки, и на согласование формулировок уходит больше времени, чем на саму регистрацию. Регистрация занимает 7 рабочих дней через Казахстан или 2 месяца в России от подачи полного комплекта, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России — по перечню криптофункций, числу платформ и количеству сборок, которые нужно перечислить в уведомлении.

Как проходит процедура

Нотификация оформляется от имени изготовителя и регистрируется в едином реестре нотификаций Евразийской экономической комиссии. Она действует бессрочно, пока не меняется криптографический функционал модели, и признаётся во всех странах союза. Импортёр вправе ввозить товар по чужой нотификации, если конкретная модель в ней перечислена — проверять это надо до отгрузки, по обозначению модели, а не по торговому названию.

Что учесть при ввозе

Код ТН ВЭД для программного обеспечения возникает тогда, когда оно перемещается через границу на физическом носителе или в составе поставки с ключами и документацией. Скачиваемый дистрибутив таможенного оформления не требует, но нотификация нужна и ему — она относится к продукту, а не к упаковке.

• 8523 49 450 0 — оптические носители с записанными данными и программами;
• 8523 49 900 0 — прочие носители с записью, кроме звуковых и видео;
• 8523 51 900 0 — твердотельные энергонезависимые устройства хранения с записанным содержимым.

Разночтение возникает при поставке коробочных версий: декларант указывает код носителя, а инспектор смотрит на содержимое и запрашивает разрешительный документ на шифрующую программу. Реквизиты нотификации из реестра ЕЭК снимают вопрос.

Что нужно от вас

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Мессенджер со сквозным шифрованием» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки, цена, срок действия

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Смета фиксируется до старта и в процессе не меняется. Документы по техрегламентам регистрируются в реестре ФГИС Росаккредитации, нотификация — в едином реестре ЕЭК, документы в области связи — в реестре Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Где чаще всего ошибаются

1. Попытка получить на программу декларацию по техрегламенту. К программному обеспечению ТР ТС не применяются, и площадка, требующая декларацию соответствия на дистрибутив, ошибается — правильный ответ ей даёт нотификация ФСБ либо отказное письмо за 1–2 рабочих дня, 4 500 ₽.
2. Умолчание об используемых алгоритмах в надежде, что «это просто TLS». Библиотека шифрования — часть продукта, и уведомление должно описывать всё, что реализовано, включая шифрование локальной базы и защиту резервных копий.
3. Работа по нотификации на старую версию после переработки криптографии. Смена схемы ключевого обмена или добавление сквозного шифрования — основание подать уведомление заново, хотя название продукта не изменилось.

Вопросы и ответы

Чем мессенджер отличается от средства криптографической защиты информации?

Товарным назначением. Мессенджер продаётся как сервис обмена сообщениями, шифрование в нём обслуживает основную функцию, поэтому применимы категории нотификации со сроком 7 рабочих дней через Казахстан или 2 месяца в России. Средство криптографической защиты продаётся именно как средство защиты, его назначение — закрывать данные, и оборот такого продукта требует лицензии ФСБ со сроком от 2 месяцев.

Нужно ли новое уведомление при обновлении приложения?

Только если обновление затрагивает криптографию: меняется протокол согласования ключей, алгоритм шифрования содержимого или схема резервных копий. Обычные релизы с правкой интерфейса и исправлением ошибок на действующее уведомление не влияют, оно бессрочно. Новая регистрация занимает 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.

Нужна ли нотификация, если программа только скачивается?

Да. Уведомительный порядок распространяется на продукт с криптофункционалом, а не на способ доставки. Отсутствие физического носителя снимает вопрос таможенного оформления, но не отменяет нотификацию: её запрашивают корпоративные заказчики, маркетплейсы приложений и партнёры в странах союза.

Чем нотификация отличается от лицензии ФСБ для ПО?

Нотификация — уведомление о характеристиках продукта, где шифрование вспомогательное: защита канала, переписки, хранилища. Лицензия ФСБ лицензирует деятельность по разработке, распространению и обслуживанию шифровальных средств, когда криптография и есть предмет продукта. Срок лицензии — от 2 месяцев, нотификации — 7 рабочих дней через Казахстан или 2 месяца в России.

Требуется ли декларация ТР ТС на программное обеспечение?

Нет. Технические регламенты Таможенного союза распространяются на оборудование и его безопасность, а не на программный код. Если контрагенту нужен формальный документ об отсутствии требований, оформляется отказное письмо за 1–2 рабочих дня стоимостью 4 500 ₽.

Когда к нотификации добавляется заключение ФСТЭК?

Когда продукт содержит средства защиты информации — контроль утечек, разграничение доступа, межсетевое экранирование — и относится к продукции двойного назначения. Заключение ФСТЭК оформляется 5 рабочих дней. Если нужно доказать обратное, оформляется идентификационное заключение по экспортному контролю за 10–15 рабочих дней.

База знаний по этой продукции

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• Как определить код ТН ВЭД
• ФГИС Росаккредитации: как проверить документ
• Кто может быть заявителем

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства