И ИСПЫТАНИЙ
Операционная система с криптографией нотифицируется не как абстрактный продукт, а как конкретная сборка: уведомление привязано к наименованию и версии, поэтому смена криптоподсистемы в новом релизе означает новое обращение в орган. Заявителем выступа
Срок оформления — 10–15 рабочих дней. Ниже порядок работы по направлению «Операционная система с криптографией».
Анализ криптографических функций изделия и категории по п. 2.19
Подготовка сведений о характеристиках шифровальных средств
Регистрация нотификации в ЦЛСЗ ФСБ России
Публикация в едином реестре нотификаций ЕАЭС
Операционная система с криптографией нотифицируется не как абстрактный продукт, а как конкретная сборка: уведомление привязано к наименованию и версии, поэтому смена криптоподсистемы в новом релизе означает новое обращение в орган. Заявителем выступает правообладатель, запись вносится в единый реестр ЕЭК, срок регистрации нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, 100 000 ₽ через Казахстан или 35 000 ₽ в России.
Для операционной системы с криптографией действует иная логика, чем для техники. Программное обеспечение не является оборудованием, требования к низковольтным изделиям и электромагнитной совместимости к нему неприменимы, и единственный документ разрешительного характера — нотификация ФСБ. Уведомление о характеристиках шифровальных средств регистрирует Центр по лицензированию, сертификации и защите государственной тайны ФСБ России, запись вносится в единый реестр нотификаций Евразийской экономической комиссии и признаётся во всех странах союза.
Порог, за которым продукт считается шифровальным средством, определяется алгоритмами: симметричное шифрование с ключом длиннее 56 бит, асимметричные схемы на факторизации длиннее 512 бит или на эллиптических кривых длиннее 112 бит. Полнодисковое шифрование, защищённые сетевые протоколы и подпись пакетов обновлений этот порог перекрывают.
Отдельный вопрос возникает при вывозе: продукция двойного назначения и средства защиты информации подпадают под экспортный контроль, и там применяется заключение ФСТЭК со сроком 5 рабочих дней. Для ввоза и распространения внутри союза достаточно уведомления.
Операционная система со встроенной криптографией проходит по разделу без единого испытания: описываются алгоритмы шифрования файловой системы, защищённые протоколы сетевого стека, механизм проверки подписи обновлений, длина ключей и порядок их хранения. Отдельно указывают, может ли администратор подключить сторонний криптопровайдер — это влияет на квалификацию продукта, поскольку открытый интерфейс для подключения произвольных криптомодулей рассматривают иначе, чем закрытую встроенную подсистему.
Вторая практическая линия — поставка. При загрузке дистрибутива по сети таможенного оформления нет, и импортёры делают вывод, что документ не нужен. На деле уведомление запрашивают уже на этапе продаж: корпоративный заказчик и закупочные площадки проверяют наличие записи в реестре нотификаций перед заключением договора. Оформлять его после начала продаж хуже, чем заранее, — цикл в 7 рабочих дней через Казахстан или 2 месяца в России приходится проходить в момент, когда сделка уже согласована.
Криптография в операционной системе распределена по подсистемам, и описывать её приходится по каждой отдельно. Шифрование раздела или тома на диске, транспортные протоколы сетевого стека, средство удалённого доступа с ключевой аутентификацией, подпись пакетов репозитория и механизм проверки обновлений, генератор случайных чисел и хранилище ключей — всё это разные функции с разными алгоритмами и разной ролью. Общее правило простое: чем ближе функция к предоставлению пользователю самостоятельного средства шифрования произвольных данных, тем выше требования, и наоборот, защита собственных механизмов системы остаётся в категориях массового применения.
Ключевой разграничительный вопрос — открытость криптографического интерфейса. Закрытая встроенная подсистема, которой нельзя заменить алгоритм, и система с документированным интерфейсом для подключения внешних криптомодулей квалифицируются по-разному. Если операционная система поставляется в комплекте со средством криптографической защиты на российских алгоритмах, категории уведомления перестают покрывать ситуацию и вопрос переходит в лицензионный порядок — но это уже другая сборка и другой предмет разговора.
Способ поставки на форму документа не влияет, а на организацию работы влияет сильно:
Испытаний в этой процедуре нет: ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и ГОСТ Р 34.12-2015 приводятся как обозначения реализованных алгоритмов, а ГОСТ Р ИСО/МЭК 15408-2 — как язык описания функций безопасности. Технические регламенты к программному продукту не применяются, декларация на дистрибутив не оформляется.
Нотификация оформляется от имени изготовителя и регистрируется в едином реестре нотификаций Евразийской экономической комиссии. Она действует бессрочно, пока не меняется криптографический функционал модели, и признаётся во всех странах союза. Импортёр вправе ввозить товар по чужой нотификации, если конкретная модель в ней перечислена — проверять это надо до отгрузки, по обозначению модели, а не по торговому названию.
Программное обеспечение получает код только тогда, когда пересекает границу на материальном носителе.
Отсюда практическое следствие: при поставке по сети таможенное декларирование не возникает вовсе, товара как физического объекта нет. Это не отменяет уведомления — ограничение относится к распространению шифровальных средств, а не только к их перемещению через границу. При ввозе коробочных версий код носителя определяет форму контроля, а содержимое диска определяет необходимость разрешительного документа, и таможня сверяет наименование продукта и версию с реестровой записью.
Для старта достаточно минимального комплекта — недостающее поможем подготовить:
Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.
Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.
За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.
Нужна ли новая нотификация при выходе очередной версии системы?
Зависит от того, что изменилось. Уведомление действует бессрочно, пока криптофункционал модели не меняется, поэтому исправления и обновления, не затрагивающие криптоподсистему, новой процедуры не требуют. Замена алгоритма, изменение длины ключа, добавление шифрования диска или нового защищённого протокола — основание для обращения заново, срок тот же.
Нужен ли документ, если система распространяется только через загрузку по сети?
Таможенного декларирования при загрузке образа не возникает, но требование к самому продукту остаётся. Реестровую запись запрашивают корпоративные заказчики и закупочные площадки при заключении договора, и оформлять уведомление в момент, когда сделка уже согласована, неудобно: цикл занимает 7 рабочих дней через Казахстан или 2 месяца в России и придётся ждать.
Нужна ли нотификация, если продукт распространяется через интернет?
Да. Уведомление относится к продукту с криптофункциями, а не к способу его доставки. Таможенное декларирование при загрузке по сети действительно не возникает, но требования к распространению шифровальных средств сохраняются, и корпоративные заказчики документ запрашивают.
Что делает программу шифровальным средством?
Алгоритмы и длина ключа. Симметричное шифрование с ключом длиннее 56 бит, асимметричные схемы на факторизации длиннее 512 бит или на эллиптических кривых длиннее 112 бит выводят продукт в эту категорию. Полнодисковое шифрование и защищённые сетевые протоколы этот порог перекрывают.
Когда вместо нотификации потребуется лицензия ФСБ?
Когда криптография является сутью продукта или деятельности: разработка, производство, распространение и обслуживание средств криптографической защиты информации. Массовая операционная система со встроенным шифрованием остаётся в уведомительном порядке. Лицензия оформляется от 2 месяцев.
Нужны ли документы при вывозе продукта за пределы союза?
Тогда включается экспортный контроль. Средства защиты информации и продукция двойного назначения оцениваются отдельно, и по ним оформляется заключение ФСТЭК за 5 рабочих дней. Если требуется доказать, что продукт не относится к контролируемым, готовят идентификационное заключение за 10–15 рабочих дней.
Нотификация оформляется не по лабораторным испытаниям, а на основе экспертной оценки криптографических характеристик устройства в ЦЛСЗ ФСБ России. Ниже — параметры, которые анализируются при определении категории.
Позиции реестра, к которым чаще всего относится продукция «Операционная система с криптографией».
Подбор носит справочный характер. Открыть полный реестр ТН ВЭД →
Назовите товар и код ТН ВЭД — эксперт определит перечень документов и точную цену.