Программное обеспечение с функцией шифрования — требования и нотификация ФСБ

Программное обеспечение с функцией шифрования: нотификация ФСБ в двух словах

Программное обеспечение с функцией шифрования — единственный товар раздела без корпуса, радиотракта и техрегламентов. Разрешительный режим держится на одном документе: нотификация ФСБ регистрируется за 7 рабочих дней через Казахстан или 2 месяца в России и вносится в единый реестр Евразийской экономической комиссии. Уведомление оформляется от имени правообладателя и действует бессрочно, пока не меняется криптоядро продукта.

Программное обеспечение с функцией шифрования: какие документы нужны

Нотификация ФСБ на программное обеспечение с функцией шифрования регистрируется Центром по лицензированию, сертификации и защите государственной тайны ФСБ России и вносится в единый реестр нотификаций Евразийской экономической комиссии. Уведомление оформляется от имени правообладателя или его уполномоченного представителя, действует бессрочно и признаётся во всех странах союза, пока криптографическая часть продукта не переработана.

Программный продукт попадает в область уведомительного порядка, когда шифрование в нём есть, но не составляет предмет продажи: защищённый транспорт данных, сквозное шифрование переписки, хранение учётных данных, подпись обновлений. Если же продукт продаётся именно как средство криптографической защиты информации на российских алгоритмах, речь идёт уже о лицензии ФСБ на распространение и техническое обслуживание шифровальных средств, а срок такой процедуры — от 2 месяцев.

Технические регламенты Таможенного союза к программному обеспечению не применяются: ТР ТС 004/2011 и 020/2011 регулируют оборудование, а не код. Поэтому попытка получить на дистрибутив декларацию соответствия бессмысленна, а корректный ответ на запрос покупателя или маркетплейса — нотификация либо отказное письмо, которое оформляется за 1–2 рабочих дня и стоит 4 500 ₽.

Если продукт содержит функции защиты от несанкционированного доступа, контроля утечек или межсетевого экранирования, дополнительно оформляется заключение ФСТЭК по линии экспортного контроля — 5 рабочих дней. Срок регистрации нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России криптофункционала.

На что смотреть в этой модификации

Программный продукт с функцией шифрования попадает под уведомительный порядок независимо от того, прикладной он или системный: значение имеет наличие реализованных криптоалгоритмов и их назначение. Типовой набор — AES для данных, RSA или ECDH для обмена ключами, TLS для транспорта. Если продукт дополнительно работает с российской криптографией, в описании указываются ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и ГОСТ Р 34.12-2015 — это меняет оценку и может потребовать лицензии ФСБ вместо нотификации.

При поставке на носителе применяются коды 8523 49 900 0 и 8523 51 900 0, и таможня запрашивает реквизиты нотификации по содержимому, а не по типу диска. Техрегламенты к продукту не применяются, поэтому декларации на него нет и быть не может. Наличие в составе средств защиты от несанкционированного доступа добавляет заключение ФСТЭК на 5 рабочих дней; процессы разработки при этом описываются по ГОСТ Р ИСО/МЭК 12207-2010. Срок нотификации — 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.

Способ поставки не влияет на обязанность уведомить, но полностью меняет практику. Коробочная версия на диске проходит таможню, и на выпуске запрашивают реквизиты нотификации по содержимому носителя. Загрузка по ссылке таможенного оформления не создаёт вовсе, однако распространение продукта в союзе без записи в реестре остаётся нарушением, и вопрос всплывает при закупках, где заказчик проверяет разрешительный статус поставщика.

Порог, за которым продукт становится шифровальным средством, задают не назначение и не отрасль, а параметры алгоритмов: симметричные схемы с длиной ключа выше 56 бит и асимметричные схемы сопоставимой стойкости уже выводят продукт из свободного обращения. Поэтому в описании перечисляют каждый алгоритм отдельно, с режимом работы и длиной ключа, и указывают, доступна ли функция шифрования пользователю для собственных данных или работает только внутри продукта.

Что чаще всего упускают при подготовке материалов:

• сторонние криптографические библиотеки в составе сборки — они описываются наравне с собственным кодом;
• серверную часть клиент-серверного продукта, когда уведомление подано только на клиент;
• версионность: уведомление привязано к наименованию и версии, смена криптоядра в крупном релизе требует нового;
• сборки под разные операционные системы с разными наборами алгоритмов.

Коды 8523 49 900 0 и 8523 51 900 0 относятся к носителям, а не к правам на продукт, и лицензионное вознаграждение в стоимости диска учитывается отдельно. Стоимость самой процедуры рассчитываем за 1 час — по перечню алгоритмов и составу сборки, а не по числу дисков в партии. Отдельно оценивается сценарий, при котором продукт поставляется российскому заказчику в составе программно-аппаратного комплекса. Тогда у поставки появляются две стороны: на оборудование действуют технические регламенты, на программную часть — уведомительный порядок, и документы готовятся разными комплектами параллельно. Смешивать их в одном описании не нужно, каждый закрывает свою область оценки.

Кто заявитель и что происходит по шагам

Заявителем по нотификации выступает изготовитель или его уполномоченный представитель: импортёр подать её от своего имени не может. Запись вносится в единый реестр нотификаций Евразийской экономической комиссии и не имеет срока окончания — переоформление нужно только при изменении криптографических функций. Перед отгрузкой сверяйте обозначение модели в реестре с тем, что стоит на шильдике.

Отраслевая специфика

Код ТН ВЭД для программного обеспечения возникает тогда, когда оно перемещается через границу на физическом носителе или в составе поставки с ключами и документацией. Скачиваемый дистрибутив таможенного оформления не требует, но нотификация нужна и ему — она относится к продукту, а не к упаковке.

• 8523 49 450 0 — оптические носители с записанными данными и программами;
• 8523 49 900 0 — прочие носители с записью, кроме звуковых и видео;
• 8523 51 900 0 — твердотельные энергонезависимые устройства хранения с записанным содержимым.

Разночтение возникает при поставке коробочных версий: декларант указывает код носителя, а инспектор смотрит на содержимое и запрашивает разрешительный документ на шифрующую программу. Реквизиты нотификации из реестра ЕЭК снимают вопрос.

Что подготовить заявителю

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Программное обеспечение с функцией шифрования» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Смета фиксируется до старта и в процессе не меняется. Документы по техрегламентам регистрируются в реестре ФГИС Росаккредитации, нотификация — в едином реестре ЕЭК, документы в области связи — в реестре Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Частые ошибки

1. Попытка получить на программу декларацию по техрегламенту. К программному обеспечению ТР ТС не применяются, и площадка, требующая декларацию соответствия на дистрибутив, ошибается — правильный ответ ей даёт нотификация ФСБ либо отказное письмо за 1–2 рабочих дня, 4 500 ₽.
2. Умолчание об используемых алгоритмах в надежде, что «это просто TLS». Библиотека шифрования — часть продукта, и уведомление должно описывать всё, что реализовано, включая шифрование локальной базы и защиту резервных копий.
3. Работа по нотификации на старую версию после переработки криптографии. Смена схемы ключевого обмена или добавление сквозного шифрования — основание подать уведомление заново, хотя название продукта не изменилось.

Коротко о главном

Нужна ли нотификация, если программа распространяется только загрузкой с сайта?

Да. Уведомительный порядок связан с обращением шифровального средства на территории союза, а не с пересечением границы физическим носителем. При загрузке через сайт таможенного контроля нет, но запись в реестре ЕЭК всё равно нужна: её проверяют корпоративные заказчики и площадки распространения. Срок регистрации — 7 рабочих дней через Казахстан или 2 месяца в России.

Требуется ли на программный продукт декларация ТР ТС?

Нет. Технические регламенты распространяются на продукцию с физическими характеристиками: электробезопасностью, электромагнитной совместимостью, содержанием вредных веществ. К программному продукту они неприменимы, поэтому декларации на него не существует. При поставке на диске регламенты тоже не появляются — оценивается содержимое, а не носитель.

Нужна ли нотификация, если программа только скачивается?

Да. Уведомительный порядок распространяется на продукт с криптофункционалом, а не на способ доставки. Отсутствие физического носителя снимает вопрос таможенного оформления, но не отменяет нотификацию: её запрашивают корпоративные заказчики, маркетплейсы приложений и партнёры в странах союза.

Чем нотификация отличается от лицензии ФСБ для ПО?

Нотификация — уведомление о характеристиках продукта, где шифрование вспомогательное: защита канала, переписки, хранилища. Лицензия ФСБ лицензирует деятельность по разработке, распространению и обслуживанию шифровальных средств, когда криптография и есть предмет продукта. Срок лицензии — от 2 месяцев, нотификации — 7 рабочих дней через Казахстан или 2 месяца в России.

Требуется ли декларация ТР ТС на программное обеспечение?

Нет. Технические регламенты Таможенного союза распространяются на оборудование и его безопасность, а не на программный код. Если контрагенту нужен формальный документ об отсутствии требований, оформляется отказное письмо за 1–2 рабочих дня стоимостью 4 500 ₽.

Когда к нотификации добавляется заключение ФСТЭК?

Когда продукт содержит средства защиты информации — контроль утечек, разграничение доступа, межсетевое экранирование — и относится к продукции двойного назначения. Заключение ФСТЭК оформляется 5 рабочих дней. Если нужно доказать обратное, оформляется идентификационное заключение по экспортному контролю за 10–15 рабочих дней.

Разобраться в процедуре

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• Перечень технических регламентов ЕАЭС
• Как определить код ТН ВЭД
• ФГИС Росаккредитации: как проверить документ

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства