SIM-карта с криптографическим модулем — требования и нотификация ФСБ

Нотификация ФСБ — SIM-карта с криптографическим модулем: главное

SIM-карта с криптографическим модулем — это пластик с операционной системой, ключами оператора и нередко дополнительными приложениями на борту. Массовые карты ввозятся по нотификации ФСБ за 7 рабочих дней через Казахстан или 2 месяца в России, а карты с апплетом, который реализует криптографию как самостоятельную услугу, переходят в зону лицензии ФСБ со сроком от 2 месяцев. Стоимость рассчитываем за 1 час.

Разрешительные документы — SIM-карта с криптографическим модулем

Смарт-карта с криптомодулем стоит ровно на границе между уведомительным и лицензионным порядком, и решение принимается по назначению апплета. Обычная SIM выполняет аутентификацию абонента в сети оператора, хранит ключи и поддерживает защищённый обмен служебными командами. Такой функционал относится к средствам массового применения, и изделие ввозится по нотификации ФСБ, зарегистрированной от имени изготовителя в едином реестре Евразийской экономической комиссии.

Картина меняется, когда на карту загружен апплет электронной подписи на отечественных алгоритмах или карта позиционируется как ключевой носитель средства криптографической защиты информации. Тогда изделие перестаёт быть просто идентификационным модулем и становится частью средства защиты, а деятельность по его распространению и обслуживанию лицензируется: лицензия ФСБ оформляется от 2 месяцев и выдаётся на вид деятельности, а не на партию.

Технические регламенты к карте как таковой не применяются: собственного источника питания, излучения и электрической части в ней нет. Вопрос о декларации возникает только для устройств, в составе которых карта поставляется, — модемов, терминалов, считывателей. Для самой карты действуют документы раздела.

• Нотификация ФСБ — 7 рабочих дней через Казахстан за 100 000 ₽ или 2 месяца в России за 35 000 ₽, бессрочная
• Лицензия ФСБ — от 2 месяцев
• Стоимость — от 150 000 ₽ изделия и состава апплетов

На что смотреть в этой модификации

SIM-карта с криптографическим модулем — пограничное изделие раздела. Стандартная карта выполняет аутентификацию абонента, хранит ключи оператора и поддерживает защищённый обмен служебными сообщениями: это криптография массового применения, и достаточно нотификации ФСБ со сроком 7 рабочих дней через Казахстан или 2 месяца в России. Такой документ оформляется от имени изготовителя и вносится в единый реестр Евразийской экономической комиссии.

Форма меняется, если на карту загружен апплет, реализующий российскую криптографию как самостоятельный функционал — электронную подпись или шифрование пользовательских данных. Изделие становится частью средства криптографической защиты информации, и деятельность по его распространению требует лицензии ФСБ со сроком от 2 месяцев. Поэтому в описании перечисляют все апплеты с алгоритмами и длиной ключа и указывают стадию поставки — заготовка или персонализированная карта. Стоимость обеих процедур рассчитываем за 1 час.

От чипа для встраивания карта отличается не только формой. Пластик выпускается в форматах, которые вырубаются из одной заготовки, поставляется листами или в рулонах и проходит персонализацию — запись ключей и данных абонента. Стадия, на которой карта пересекает границу, определяет содержание описания: неперсонализированная заготовка несёт только операционную систему и криптографические библиотеки, готовая карта — ещё и ключевой материал конкретного оператора.

В описании раскрывают операционную систему карты и её версию, объём памяти, набор загруженных приложений с назначением каждого, алгоритмы аутентификации в сети и схему защищённого обмена служебными сообщениями с ключами шифрования и контроля целостности. Команды прикладного уровня излагаются в терминах ГОСТ Р ИСО/МЭК 7816-4, а требования к функциям безопасности — в категориях ГОСТ Р ИСО/МЭК 15408-2: это язык, который эксперт читает без уточняющих вопросов.

Граница между двумя формами разрешения проходит по назначению апплета:

• аутентификация абонента и защита служебного канала оператора — категории уведомления;
• электронная подпись пользователя по ГОСТ Р 34.10-2012 с хешированием по ГОСТ Р 34.11-2012 — функционал средства защиты информации;
• шифрование пользовательских данных силами самой карты — то же самое.

Практическая ошибка — ввоз заготовок в расчёте на то, что персонализация в России снимет вопросы. Наоборот: загрузка апплетов и ключей на территории страны образует самостоятельную деятельность со средствами криптографической защиты, и её правовой статус оценивают до первой партии, а не после. Сроки зависят от того, по какой ветке пойдёт поставка. Массовые карты закрываются уведомлением за 7 рабочих дней через Казахстан или 2 месяца в России, и это укладывается в обычный цикл закупки. Лицензионная ветка растягивается от 2 месяцев и требует решения на уровне компании: разрешение выдаётся на деятельность, а не на партию, и получать его приходится до первой поставки, а не под конкретный контракт. Разрыв в сроках между двумя ветками стоит закладывать в план заранее.

Как проходит процедура

Заявителем по нотификации выступает изготовитель или его уполномоченный представитель: импортёр подать её от своего имени не может. Запись вносится в единый реестр нотификаций Евразийской экономической комиссии и не имеет срока окончания — переоформление нужно только при изменении криптографических функций. Перед отгрузкой сверяйте обозначение модели в реестре с тем, что стоит на шильдике.

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Что учесть при ввозе

Смарт-карты классифицируют по наличию встроенной интегральной схемы. Готовое изделие с чипом идёт в товарной позиции 8523, а сам микроконтроллер как компонент — в группе полупроводниковых приборов.

• 8523 52 100 0 — карты интеллектуальные с двумя и более электронными интегральными схемами
• 8542 31 900 0 — процессоры и контроллеры, прочие

Разграничение важно при поставке заготовок и модулей до персонализации. Для таможенного контроля значение имеет не только код, но и заявленный состав программной части: карта без загруженного криптоапплета и персонализированная карта с ключами оцениваются по-разному. Указанный код должен совпадать в декларации на товары и в сопроводительных документах на партию.

Комплект сведений от вас

Комплект для подачи компактный, и большую его часть вы уже держите в руках:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «SIM-карта с криптографическим модулем» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки и стоимость

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.

REDICO работает с 2010 года: более 14 000 оформленных документов, собственный орган по сертификации и лаборатория с аттестатом 11НК35. Коды ТН ВЭД и обозначения моделей прогоняем через ИИ-проверку — именно на них чаще всего спотыкается выпуск.

Где чаще всего ошибаются

1. Оформляют нотификацию на карту, не описав загруженные апплеты. Если на изделии реализована электронная подпись на российских алгоритмах, уведомительный порядок неприменим, и документ не защитит партию при контроле.
2. Заказывают декларацию по техрегламентам на саму карту. Электрической части и источника питания в ней нет, регламенты не применяются, а нужный документ так и остаётся неоформленным.
3. Начинают процедуру лицензирования после заключения контракта. Лицензия ФСБ оформляется от 2 месяцев, и при таком планировании сроки поставки по контракту неизбежно срываются.

Вопросы и ответы

Чем разрешительный режим SIM-карты отличается от режима чипа eSIM?

Криптографическая суть общая, различается практика. Чип ввозится как компонент в катушках под заводскими обозначениями, а карта — как готовое изделие в форматах пластика, часто уже с приложениями оператора. Из-за этого у карты чаще встречается апплет с российской криптографией, который переводит поставку из уведомления в лицензионный режим.

Нужна ли нотификация на неперсонализированные заготовки карт?

Да. Криптографический функционал заложен в операционную систему карты и присутствует до записи данных абонента: заготовка уже умеет выполнять аутентификацию и защищённый обмен. Реквизиты уведомления запрашивают и на такие партии. Отсутствие персонализации отражается в описании как стадия поставки, но от процедуры не освобождает.

Когда SIM-карте достаточно нотификации?

Когда криптография ограничена аутентификацией абонента в сети и защищённым хранением ключей оператора, то есть остаётся функцией массового применения. Такое изделие ввозится по нотификации ФСБ со сроком 7 рабочих дней через Казахстан или 2 месяца в России. Документ оформляется от имени изготовителя и действует бессрочно, пока функционал не изменён.

Что переводит карту в лицензионный порядок?

Загруженный апплет, реализующий российскую криптографию как самостоятельный функционал: электронную подпись, шифрование данных пользователя, работу в качестве ключевого носителя средства криптографической защиты. Тогда требуется лицензия ФСБ на соответствующий вид деятельности, срок оформления — от 2 месяцев.

Нужна ли декларация ТР ТС на смарт-карту?

Нет. Карта не имеет собственного источника питания и электрической части, поэтому под действие ТР ТС 004/2011 и 020/2011 не подпадает. Регламенты применяются к устройствам, в составе которых карта используется: модемам, терминалам, считывателям. Для них оформляется отдельный комплект документов.

Как оформляются заготовки карт без персонализации?

Заготовка без загруженного криптоапплета и персонализированная карта с ключами описываются по-разному. Форму документа определяет фактический состав реализованных криптографических функций на момент ввоза. Состав апплетов и алгоритмов лучше согласовать до отгрузки: стоимость и порядок оформления рассчитываем за 1 час.

Полезное по теме

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• Документы для таможенного оформления
• Из чего складывается стоимость сертификации
• Реальные сроки оформления документов

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства