И ИСПЫТАНИЙ
Мессенджер со сквозным шифрованием отличается от прочего защищённого софта тем, что криптография вынесена у него в рекламное обещание. На разрешительный режим это не влияет: продукт остаётся массовым программным средством и распространяется по нотифи
Срок оформления — 10–15 рабочих дней. Ниже порядок работы по направлению «Мессенджер со сквозным шифрованием».
Анализ криптографических функций изделия и категории по п. 2.19
Подготовка сведений о характеристиках шифровальных средств
Регистрация нотификации в ЦЛСЗ ФСБ России
Публикация в едином реестре нотификаций ЕАЭС
Мессенджер со сквозным шифрованием отличается от прочего защищённого софта тем, что криптография вынесена у него в рекламное обещание. На разрешительный режим это не влияет: продукт остаётся массовым программным средством и распространяется по нотификации ФСБ. Уведомление регистрируется за 7 рабочих дней через Казахстан или 2 месяца в России и вносится в реестр ЕЭК, техрегламенты к нему не применяются, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.
Нотификация ФСБ на программное обеспечение с функцией шифрования регистрируется Центром по лицензированию, сертификации и защите государственной тайны ФСБ России и вносится в единый реестр нотификаций Евразийской экономической комиссии. Уведомление оформляется от имени правообладателя или его уполномоченного представителя, действует бессрочно и признаётся во всех странах союза, пока криптографическая часть продукта не переработана.
Программный продукт попадает в область уведомительного порядка, когда шифрование в нём есть, но не составляет предмет продажи: защищённый транспорт данных, сквозное шифрование переписки, хранение учётных данных, подпись обновлений. Если же продукт продаётся именно как средство криптографической защиты информации на российских алгоритмах, речь идёт уже о лицензии ФСБ на распространение и техническое обслуживание шифровальных средств, а срок такой процедуры — от 2 месяцев.
Технические регламенты Таможенного союза к программному обеспечению не применяются: ТР ТС 004/2011 и 020/2011 регулируют оборудование, а не код. Поэтому попытка получить на дистрибутив декларацию соответствия бессмысленна, а корректный ответ на запрос покупателя или маркетплейса — нотификация либо отказное письмо, которое оформляется за 1–2 рабочих дня и стоит 4 500 ₽.
Если продукт содержит функции защиты от несанкционированного доступа, контроля утечек или межсетевого экранирования, дополнительно оформляется заключение ФСТЭК по линии экспортного контроля — 5 рабочих дней. Срок регистрации нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России криптофункционала.
У мессенджера со сквозным шифрованием криптография видна пользователю и вынесена в описание продукта, но предметом продажи остаётся сервис обмена сообщениями. Это по-прежнему массовое программное средство, а значит — нотификация ФСБ. В уведомлении раскрывается, что именно закрывается шифрованием: текст, вложения, голосовые и видеозвонки, резервные копии, и по какой схеме согласуются ключи между устройствами одного пользователя.
Отдельного внимания требуют клиенты под разные платформы и серверная часть: криптонаборы у них отличаются, и перечислять их нужно поимённо. Качество и защищённость продукта описываются по ГОСТ Р ИСО/МЭК 25010-2015, процессы жизненного цикла — по ГОСТ Р ИСО/МЭК 12207-2010, проверка дистрибутива на вредоносный код — по ГОСТ Р 51188-98. Носители проходят по кодам 8523 49 450 0 и 8523 51 900 0. Обновление, меняющее схему сквозного шифрования, требует нового уведомления, срок которого — 7 рабочих дней через Казахстан или 2 месяца в России.
Разграничение с лицензионным режимом здесь проходит по товарному назначению. Продаётся сервис обмена сообщениями, а шифрование обслуживает эту функцию, поэтому продукт остаётся в категориях уведомления. Картина меняется у корпоративных версий с сервером в контуре заказчика и подключением к внутреннему удостоверяющему центру: как только продукт начинают предлагать как средство защиты информации, оценка идёт по другой процедуре.
В описании криптосхемы требуется конкретика по слоям, а не общая фраза о сквозном шифровании:
Распространение через магазины приложений добавляет свою сложность: обязанность подать уведомление лежит на правообладателе или распространителе, но фактическим импортёром себя никто не считает, и вопрос повисает до первой корпоративной закупки. Российские партнёры, встраивающие мессенджер в свои решения, запрашивают номер записи в реестре ЕЭК как обычный документ комплекта.
Проверка дистрибутива на отсутствие недекларированных возможностей по ГОСТ Р 51188-98 уведомление не подменяет — это разные процедуры с разным результатом. Смена платформы распространения, ребрендинг приложения и выделение корпоративной сборки в отдельный продукт требуют проверки того, покрывает ли действующее уведомление новое наименование. Сроки в проектах с мессенджерами определяются не процедурой, а сбором сведений: описание криптосхемы готовит команда разработки, и на согласование формулировок уходит больше времени, чем на саму регистрацию. Регистрация занимает 7 рабочих дней через Казахстан или 2 месяца в России от подачи полного комплекта, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России — по перечню криптофункций, числу платформ и количеству сборок, которые нужно перечислить в уведомлении.
Нотификация оформляется от имени изготовителя и регистрируется в едином реестре нотификаций Евразийской экономической комиссии. Она действует бессрочно, пока не меняется криптографический функционал модели, и признаётся во всех странах союза. Импортёр вправе ввозить товар по чужой нотификации, если конкретная модель в ней перечислена — проверять это надо до отгрузки, по обозначению модели, а не по торговому названию.
Код ТН ВЭД для программного обеспечения возникает тогда, когда оно перемещается через границу на физическом носителе или в составе поставки с ключами и документацией. Скачиваемый дистрибутив таможенного оформления не требует, но нотификация нужна и ему — она относится к продукту, а не к упаковке.
Разночтение возникает при поставке коробочных версий: декларант указывает код носителя, а инспектор смотрит на содержимое и запрашивает разрешительный документ на шифрующую программу. Реквизиты нотификации из реестра ЕЭК снимают вопрос.
Для старта достаточно минимального комплекта — недостающее поможем подготовить:
Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.
Смета фиксируется до старта и в процессе не меняется. Документы по техрегламентам регистрируются в реестре ФГИС Росаккредитации, нотификация — в едином реестре ЕЭК, документы в области связи — в реестре Роскомнадзора.
За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.
Чем мессенджер отличается от средства криптографической защиты информации?
Товарным назначением. Мессенджер продаётся как сервис обмена сообщениями, шифрование в нём обслуживает основную функцию, поэтому применимы категории нотификации со сроком 7 рабочих дней через Казахстан или 2 месяца в России. Средство криптографической защиты продаётся именно как средство защиты, его назначение — закрывать данные, и оборот такого продукта требует лицензии ФСБ со сроком от 2 месяцев.
Нужно ли новое уведомление при обновлении приложения?
Только если обновление затрагивает криптографию: меняется протокол согласования ключей, алгоритм шифрования содержимого или схема резервных копий. Обычные релизы с правкой интерфейса и исправлением ошибок на действующее уведомление не влияют, оно бессрочно. Новая регистрация занимает 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.
Нужна ли нотификация, если программа только скачивается?
Да. Уведомительный порядок распространяется на продукт с криптофункционалом, а не на способ доставки. Отсутствие физического носителя снимает вопрос таможенного оформления, но не отменяет нотификацию: её запрашивают корпоративные заказчики, маркетплейсы приложений и партнёры в странах союза.
Чем нотификация отличается от лицензии ФСБ для ПО?
Нотификация — уведомление о характеристиках продукта, где шифрование вспомогательное: защита канала, переписки, хранилища. Лицензия ФСБ лицензирует деятельность по разработке, распространению и обслуживанию шифровальных средств, когда криптография и есть предмет продукта. Срок лицензии — от 2 месяцев, нотификации — 7 рабочих дней через Казахстан или 2 месяца в России.
Требуется ли декларация ТР ТС на программное обеспечение?
Нет. Технические регламенты Таможенного союза распространяются на оборудование и его безопасность, а не на программный код. Если контрагенту нужен формальный документ об отсутствии требований, оформляется отказное письмо за 1–2 рабочих дня стоимостью 4 500 ₽.
Когда к нотификации добавляется заключение ФСТЭК?
Когда продукт содержит средства защиты информации — контроль утечек, разграничение доступа, межсетевое экранирование — и относится к продукции двойного назначения. Заключение ФСТЭК оформляется 5 рабочих дней. Если нужно доказать обратное, оформляется идентификационное заключение по экспортному контролю за 10–15 рабочих дней.
Нотификация оформляется не по лабораторным испытаниям, а на основе экспертной оценки криптографических характеристик устройства в ЦЛСЗ ФСБ России. Ниже — параметры, которые анализируются при определении категории.
Позиции реестра, к которым чаще всего относится продукция «Мессенджер со сквозным шифрованием».
Подбор носит справочный характер. Открыть полный реестр ТН ВЭД →
Назовите товар и код ТН ВЭД — эксперт определит перечень документов и точную цену.