Модуль доверенной загрузки: порядок оформления и заключение ФСТЭК

Модуль доверенной загрузки соединяет в одном изделии два регулируемых свойства: защиту информации от несанкционированного доступа и российскую криптографию. Отсюда и комплект документов — заключение ФСТЭК за 5 рабочих дней, лицензия ФСБ со сроком от 2 месяцев и идентификационное заключение по экспортному контролю за 10–15 рабочих дней. Стоимость каждой процедуры рассчитываем за 1 час.

Модуль доверенной загрузки: какие документы нужны

Модуль доверенной загрузки контролирует целостность аппаратной платформы и проверяет подпись загружаемой среды, то есть является средством защиты информации от несанкционированного доступа. Как продукция двойного назначения он подпадает под экспортный контроль, и основным документом становится заключение ФСТЭК со сроком 5 рабочих дней. Стоимость рассчитываем за 1 час по описанию изделия и его функций.

Второй слой — криптография. Устройство реализует отечественные алгоритмы электронной подписи и хеширования, работает с ключевым материалом и хранит его в защищённой памяти. Такой функционал выходит за рамки массовых категорий, поэтому вместо уведомления требуется лицензия ФСБ на деятельность с шифровальными средствами, срок от 2 месяцев.

Третий документ подтверждает статус товара при вывозе:

• идентификационное заключение по экспортному контролю — независимая экспертиза с выводом о принадлежности изделия к контролируемой номенклатуре, 10–15 рабочих дней;
• оно же служит технической базой для обращения в ФСТЭК и снимает часть вопросов при отправке образцов производителю.

Технические регламенты в карточке не заявлены: плата расширения без самостоятельного питания рассматривается как компонент вычислительной техники, и приписывать ей декларацию соответствия не следует. Предметом остаются документы по защите информации и экспортному контролю.

Что меняется именно в этом исполнении

Модуль доверенной загрузки работает до старта операционной системы: он проверяет аппаратную конфигурацию, контролирует целостность загрузочной среды по хеш-функции и требует аутентификации пользователя. В описании для ФСТЭК и лицензионных процедур раскрываются реализация ГОСТ Р 34.10-2012 для электронной подписи и ГОСТ Р 34.11-2012 для хеширования, схема хранения ключей и наличие аппаратного датчика случайных чисел.

Коды 8471 80 000 0 и 8543 70 900 0 разделяют исполнение платой расширения и автономным устройством. Терминология описания опирается на ГОСТ Р 50922-2006, критерии оценки защищённости — на ГОСТ Р ИСО/МЭК 15408-1-2012. Идентификационное заключение готовится за 10–15 рабочих дней и служит основой для обращения по линии экспортного контроля.

Три документа отвечают на три разных вопроса, и подменять один другим нельзя. Идентификационное заключение отвечает, относится ли конкретное изделие к продукции, подпадающей под экспортный контроль, и готовится по описанию и техническим характеристикам. Заключение ФСТЭК оформляется, когда ответ утвердительный и нужно решение по вывозу. Лицензия ФСБ относится к деятельности организации со средствами криптографической защиты и к отдельной партии не привязана.

Деклараций по техрегламентам в комплекте нет не по забывчивости: плата расширения, устанавливаемая внутрь системного блока, самостоятельным электрооборудованием не является и оценивается в составе изделия, куда встроена. Как только производитель выпускает автономное исполнение в собственном корпусе с внешним питанием, картина меняется, и вопрос декларирования рассматривается заново.

Сведения, без которых описание не примут:

• интерфейс подключения — PCIe, M.2 или внешний порт;
• тип носителя идентификатора: контактная память, смарт-карта или токен;
• состав контролируемых объектов при проверке целостности и способ хранения эталонных значений;
• наличие аппаратного датчика случайных чисел и сторожевого таймера;
• версия управляющего программного обеспечения, поставляемого с платой.

Практическая сложность связана с расхождением языков описания. В маркетинге изделие называют аппаратным ключом или платой безопасности, а в разрешительных документах нужна терминология по ГОСТ Р 50922-2006 и формулировки, сопоставимые с критериями оценки по ГОСТ Р ИСО/МЭК 15408-1-2012. Перевод одного в другое занимает больше времени, чем сама подача материалов. Сроки процедур складываются неравномерно. Идентификационное заключение готовится за 10–15 рабочих дней и обычно идёт первым, заключение ФСТЭК — за 5 рабочих дней, а лицензионная ветка растягивается от 2 месяцев и потому запускается раньше остальных. При последовательном планировании проект занимает почти квартал, при параллельной подготовке срок определяется самой долгой из процедур.

Порядок оформления

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Что учесть при ввозе

Модули доверенной загрузки заявляются по кодам вычислительной техники и прочих электрических устройств, оба находятся в зоне повышенного внимания:

• 8471 80 000 0 — прочие устройства вычислительных машин, к которым относят платы расширения и модули, устанавливаемые в системный блок;
• 8543 70 900 0 — прочие электрические аппараты с индивидуальными функциями, применяется для автономных исполнений с собственным контроллером.

Позиция 8543 70 900 0 традиционно связана с криптографическим контролем, но и по 8471 80 000 0 инспектор запросит документы, если в описании модели указаны российские криптоалгоритмы и функции доверенной загрузки. Провести такое изделие как обычную плату расширения не получается: назначение прямо следует из технической документации.

Комплект сведений от вас

Чтобы запустить работу, нужны сведения об изделии и о заявителе. Чего-то может не быть — соберём вместе с вами:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Модуль доверенной загрузки» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки и стоимость

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Идентификационное заключение по экспортному контролю — 10–15 рабочих дней.

Стоимость нотификации, лицензии ФСБ, разрешения на ввоз РЭС и ВЧУ, документов в области связи и заключений по экспортному контролю зависит от числа моделей и состава криптографических и радиофункций. Расчёт по вашей продукции готовим за 1 час и фиксируем до старта работ.

Доплат за срочность в смете нет. Проверить готовый документ можно самостоятельно: по техрегламентам запись видна в ФГИС Росаккредитации, по нотификации — в реестре Евразийской экономической комиссии, по средствам связи — в реестре Роскомнадзора.

REDICO работает с 2010 года: более 14 000 оформленных документов, собственный орган по сертификации и лаборатория с аттестатом 11НК35. Коды ТН ВЭД и обозначения моделей прогоняем через ИИ-проверку — именно на них чаще всего спотыкается выпуск.

Где чаще всего ошибаются

1. Попытка оформить нотификацию. Устройство работает с ключевым материалом и реализует российские криптоалгоритмы, поэтому в массовые категории оно не попадает. Уведомление не примут, а лицензионная процедура занимает от 2 месяцев.
2. Заявление модуля как обычной платы расширения. Функции доверенной загрузки и контроля целостности прямо указаны в документации производителя. Расхождение с декларацией на товары ведёт к отказу в выпуске и запросу документов по защите информации.
3. Отправка образцов без экспортного контроля. Возврат изделия производителю или вывоз на испытания требует заключения ФСТЭК, срок 5 рабочих дней.

Вопросы и ответы

Зачем нужно идентификационное заключение, если изделие и так контролируется?

Заключение фиксирует статус товара документально. Без него отнесение изделия к контролируемой продукции остаётся мнением сторон и трактуется на выпуске по усмотрению инспектора. Документ готовится за 10–15 рабочих дней по техническому описанию и служит основанием для дальнейших действий: получения разрешения на вывоз либо подтверждения, что товар контролю не подлежит.

Нужна ли на модуль доверенной загрузки декларация ТР ТС?

Для исполнения в виде платы расширения — нет. Плата внутри системного блока не является законченным электрооборудованием и оценивается в составе изделия, куда встроена. Декларирование становится актуальным для автономного модуля в собственном корпусе с внешним питанием: у него появляются собственные характеристики по безопасности и электромагнитной совместимости.

Почему на модуль доверенной загрузки не оформляют нотификацию?

Потому что криптография в нём не вспомогательная: устройство хранит ключи, формирует и проверяет электронную подпись и контролирует целостность платформы. Такой функционал выходит за рамки массовых категорий, поэтому требуется лицензия ФСБ со сроком от 2 месяцев.

Зачем нужно заключение ФСТЭК?

Средства защиты информации относятся к продукции двойного назначения и подпадают под экспортный контроль. Заключение ФСТЭК оформляется 5 рабочих дней и требуется при вывозе изделия, в том числе при отправке образцов на испытания или возврате производителю на доработку.

Чем помогает идентификационное заключение?

Это независимая экспертиза, которая по техническим характеристикам определяет, относится ли изделие к контролируемой номенклатуре. Срок 10–15 рабочих дней. Заключение служит технической базой для обращения в ФСТЭК и снимает разночтения о статусе товара при перемещении.

Нужна ли декларация ТР ТС на модуль доверенной загрузки?

Плата расширения без собственного питания рассматривается как компонент вычислительной машины, и в карточке изделия декларация не заявлена. Разрешительная схема здесь строится вокруг защиты информации и экспортного контроля, а не вокруг технических регламентов союза.

База знаний по этой продукции

• Как определить код ТН ВЭД
• ФГИС Росаккредитации: как проверить документ
• Кто может быть заявителем
• Маркировка продукции: обязательные сведения
• Знак ЕАС: как правильно наносить

Обзорные страницы

• Заключение ФСТЭК по экспортному контролю средств защиты
• Документы на радиооборудование и шифровальные средства

Похожие направления сертификации

• Аппаратный криптографический модуль HSM — лицензия фсб
• Модуль eSIM — нотификация фсб
• Оборудование двойного назначения — заключение фстэк
• Досмотровый рентгенотелевизионный сканер — заключение фстэк
• Средство защиты информации от несанкционированного доступа — заключение фстэк
• Система обнаружения вторжений — заключение фстэк
• DLP-система — заключение фстэк
• Умная розетка Wi-Fi — нотификация фсб