Операционная система с криптографией: порядок оформления и нотификация ФСБ

Коротко: нотификация ФСБ — Операционная система с криптографией

Операционная система с криптографией нотифицируется не как абстрактный продукт, а как конкретная сборка: уведомление привязано к наименованию и версии, поэтому смена криптоподсистемы в новом релизе означает новое обращение в орган. Заявителем выступает правообладатель, запись вносится в единый реестр ЕЭК, срок регистрации нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, 100 000 ₽ через Казахстан или 35 000 ₽ в России.

Разрешительные документы — Операционная система с криптографией

Для операционной системы с криптографией действует иная логика, чем для техники. Программное обеспечение не является оборудованием, требования к низковольтным изделиям и электромагнитной совместимости к нему неприменимы, и единственный документ разрешительного характера — нотификация ФСБ. Уведомление о характеристиках шифровальных средств регистрирует Центр по лицензированию, сертификации и защите государственной тайны ФСБ России, запись вносится в единый реестр нотификаций Евразийской экономической комиссии и признаётся во всех странах союза.

Порог, за которым продукт считается шифровальным средством, определяется алгоритмами: симметричное шифрование с ключом длиннее 56 бит, асимметричные схемы на факторизации длиннее 512 бит или на эллиптических кривых длиннее 112 бит. Полнодисковое шифрование, защищённые сетевые протоколы и подпись пакетов обновлений этот порог перекрывают.

• Нотификация ФСБ — 7 рабочих дней через Казахстан за 100 000 ₽ или 2 месяца в России за 35 000 ₽, оформляется от имени правообладателя или его уполномоченного представителя
• Техрегламенты к программному продукту не применяются

Отдельный вопрос возникает при вывозе: продукция двойного назначения и средства защиты информации подпадают под экспортный контроль, и там применяется заключение ФСТЭК со сроком 5 рабочих дней. Для ввоза и распространения внутри союза достаточно уведомления.

Особенности этой модификации

Операционная система со встроенной криптографией проходит по разделу без единого испытания: описываются алгоритмы шифрования файловой системы, защищённые протоколы сетевого стека, механизм проверки подписи обновлений, длина ключей и порядок их хранения. Отдельно указывают, может ли администратор подключить сторонний криптопровайдер — это влияет на квалификацию продукта, поскольку открытый интерфейс для подключения произвольных криптомодулей рассматривают иначе, чем закрытую встроенную подсистему.

Вторая практическая линия — поставка. При загрузке дистрибутива по сети таможенного оформления нет, и импортёры делают вывод, что документ не нужен. На деле уведомление запрашивают уже на этапе продаж: корпоративный заказчик и закупочные площадки проверяют наличие записи в реестре нотификаций перед заключением договора. Оформлять его после начала продаж хуже, чем заранее, — цикл в 7 рабочих дней через Казахстан или 2 месяца в России приходится проходить в момент, когда сделка уже согласована.

Криптография в операционной системе распределена по подсистемам, и описывать её приходится по каждой отдельно. Шифрование раздела или тома на диске, транспортные протоколы сетевого стека, средство удалённого доступа с ключевой аутентификацией, подпись пакетов репозитория и механизм проверки обновлений, генератор случайных чисел и хранилище ключей — всё это разные функции с разными алгоритмами и разной ролью. Общее правило простое: чем ближе функция к предоставлению пользователю самостоятельного средства шифрования произвольных данных, тем выше требования, и наоборот, защита собственных механизмов системы остаётся в категориях массового применения.

Ключевой разграничительный вопрос — открытость криптографического интерфейса. Закрытая встроенная подсистема, которой нельзя заменить алгоритм, и система с документированным интерфейсом для подключения внешних криптомодулей квалифицируются по-разному. Если операционная система поставляется в комплекте со средством криптографической защиты на российских алгоритмах, категории уведомления перестают покрывать ситуацию и вопрос переходит в лицензионный порядок — но это уже другая сборка и другой предмет разговора.

Способ поставки на форму документа не влияет, а на организацию работы влияет сильно:

• дистрибутив на физическом носителе классифицируется по кодам 8523 49 450 0 и 8523 51 900 0 и проходит таможенное декларирование;
• загрузка образа по сети предмета декларирования не создаёт, но реестровую запись всё равно проверяют покупатели и закупочные площадки;
• предустановка на оборудование означает, что уведомление нужно и на технику, и на систему, и оба перечня моделей должны сходиться.

Испытаний в этой процедуре нет: ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и ГОСТ Р 34.12-2015 приводятся как обозначения реализованных алгоритмов, а ГОСТ Р ИСО/МЭК 15408-2 — как язык описания функций безопасности. Технические регламенты к программному продукту не применяются, декларация на дистрибутив не оформляется.

Кто заявитель и что происходит по шагам

Нотификация оформляется от имени изготовителя и регистрируется в едином реестре нотификаций Евразийской экономической комиссии. Она действует бессрочно, пока не меняется криптографический функционал модели, и признаётся во всех странах союза. Импортёр вправе ввозить товар по чужой нотификации, если конкретная модель в ней перечислена — проверять это надо до отгрузки, по обозначению модели, а не по торговому названию.

Практика по этой группе

Программное обеспечение получает код только тогда, когда пересекает границу на материальном носителе.

• 8523 49 450 0 — оптические носители с записанными данными и программами
• 8523 51 900 0 — твердотельные энергонезависимые носители с записью, включая дистрибутивы на флеш-накопителях

Отсюда практическое следствие: при поставке по сети таможенное декларирование не возникает вовсе, товара как физического объекта нет. Это не отменяет уведомления — ограничение относится к распространению шифровальных средств, а не только к их перемещению через границу. При ввозе коробочных версий код носителя определяет форму контроля, а содержимое диска определяет необходимость разрешительного документа, и таможня сверяет наименование продукта и версию с реестровой записью.

Что подготовить заявителю

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Операционная система с криптографией» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки и стоимость

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Три ошибки, которые стоят денег

1. Считают, что раз поставка идёт по сети, документ не нужен. Ограничение касается распространения шифровальных средств, а не только физического перемещения товара, и уведомление запрашивают заказчики и площадки.
2. Пытаются оформить декларацию по техрегламентам на программный продукт. Оборудованием он не является, подтверждать в этой области нечего, и такая заявка отклоняется.
3. Не разграничивают массовый продукт и средство защиты информации. Заявленная сертифицированная криптография переводит поставку в область лицензируемой деятельности, где нужна лицензия ФСБ от 2 месяцев.

Что спрашивают чаще всего

Нужна ли новая нотификация при выходе очередной версии системы?

Зависит от того, что изменилось. Уведомление действует бессрочно, пока криптофункционал модели не меняется, поэтому исправления и обновления, не затрагивающие криптоподсистему, новой процедуры не требуют. Замена алгоритма, изменение длины ключа, добавление шифрования диска или нового защищённого протокола — основание для обращения заново, срок тот же.

Нужен ли документ, если система распространяется только через загрузку по сети?

Таможенного декларирования при загрузке образа не возникает, но требование к самому продукту остаётся. Реестровую запись запрашивают корпоративные заказчики и закупочные площадки при заключении договора, и оформлять уведомление в момент, когда сделка уже согласована, неудобно: цикл занимает 7 рабочих дней через Казахстан или 2 месяца в России и придётся ждать.

Нужна ли нотификация, если продукт распространяется через интернет?

Да. Уведомление относится к продукту с криптофункциями, а не к способу его доставки. Таможенное декларирование при загрузке по сети действительно не возникает, но требования к распространению шифровальных средств сохраняются, и корпоративные заказчики документ запрашивают.

Что делает программу шифровальным средством?

Алгоритмы и длина ключа. Симметричное шифрование с ключом длиннее 56 бит, асимметричные схемы на факторизации длиннее 512 бит или на эллиптических кривых длиннее 112 бит выводят продукт в эту категорию. Полнодисковое шифрование и защищённые сетевые протоколы этот порог перекрывают.

Когда вместо нотификации потребуется лицензия ФСБ?

Когда криптография является сутью продукта или деятельности: разработка, производство, распространение и обслуживание средств криптографической защиты информации. Массовая операционная система со встроенным шифрованием остаётся в уведомительном порядке. Лицензия оформляется от 2 месяцев.

Нужны ли документы при вывозе продукта за пределы союза?

Тогда включается экспортный контроль. Средства защиты информации и продукция двойного назначения оцениваются отдельно, и по ним оформляется заключение ФСТЭК за 5 рабочих дней. Если требуется доказать, что продукт не относится к контролируемым, готовят идентификационное заключение за 10–15 рабочих дней.

Что почитать перед подачей

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• ФГИС Росаккредитации: как проверить документ
• Кто может быть заявителем
• Маркировка продукции: обязательные сведения

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства