Подтверждение соответствия: Система электронного документооборота с электронной подписью — лицензия ФСБ

Коротко: лицензия ФСБ — Система электронного документооборота с электронной подписью

Система электронного документооборота с электронной подписью ставит поставщика в непривычное положение: лицензируется не продукт, а деятельность компании. Лицензия ФСБ со сроком от 2 месяцев нужна тому, кто распространяет, устанавливает и обслуживает средство подписи у заказчика, и требования предъявляются к помещениям, оборудованию и квалификации специалистов, а не к дистрибутиву. Вывоз закрывается отдельно — заключением ФСТЭК, 5 рабочих дней.

Система электронного документооборота с электронной подписью: какие документы нужны

Лицензия ФСБ на систему электронного документооборота с электронной подписью требуется потому, что встроенное средство подписи реализует российскую криптографию, а криптография здесь не вспомогательная функция, а часть назначения продукта. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств: компания, которая поставляет, внедряет и сопровождает такую систему, получает лицензию сама, срок оформления — от 2 месяцев.

Экспортный контроль — вторая обязательная часть. Заключение ФСТЭК касается продукции двойного назначения и средств защиты информации и оформляется за 5 рабочих дней. Если задача противоположная — доказать, что продукт не является контролируемым, — готовится идентификационное заключение по экспортному контролю за 10–15 рабочих дней.

Технические регламенты к программному обеспечению не применяются: декларация ТР ТС на дистрибутив или лицензионный ключ не оформляется, и требование такой декларации от поставщика необоснованно. Если же система поставляется на физическом носителе или в составе программно-аппаратного комплекса, декларируется именно аппаратная часть.

Отдельно стоит вариант, когда подпись реализована на массовой криптографии без сертифицированного средства защиты информации: тогда лицензия не нужна, достаточно нотификации ФСБ сроком 7 рабочих дней через Казахстан или 2 месяца в России. Стоимость лицензии и заключений рассчитываем за 1 час по описанию продукта.

Особенности этой модификации

Система электронного документооборота с электронной подписью — программный продукт, в котором криптография определяет назначение: подписание и проверка документов, шифрование при передаче и хранении. Если подпись выполняется сертифицированным средством на российских алгоритмах, распространение и техническое обслуживание системы ведутся по лицензии ФСБ сроком от 2 месяцев, а вывоз требует заключения ФСТЭК за 5 рабочих дней.

При перемещении на носителе применяются коды 8523 49 450 0 и 8523 51 900 0; при поставке по сети предмета декларирования нет, но требования к деятельности сохраняются. Криптографический профиль описывается по ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и ГОСТ Р 34.12-2015, а работа с документами — по ГОСТ Р 7.0.97-2016 в части отметки об электронной подписи. Технические регламенты к программному обеспечению не применяются, и если подпись реализована массовой криптографией без сертифицированного СКЗИ, достаточно нотификации ФСБ.

Первое, что определяют, — чья криптография внутри. Вариантов на рынке три. Система может интегрироваться со сторонним сертифицированным средством подписи, установленным у заказчика отдельно; может поставляться в комплекте с таким средством по договору с его разработчиком; может содержать собственную реализацию криптографических функций. Разрешительная нагрузка растёт от первого варианта к третьему, и от выбора зависит, какие именно виды работ придётся включать в лицензию.

Лицензируемые работы формулируются по действиям, а не по товару. В типовой поставке системы документооборота встречаются распространение шифровальных средств, их монтаж и настройка на площадке заказчика, техническое обслуживание и обучение пользователей. Компания, которая только перепродаёт коробки, и компания, которая настраивает подпись на рабочих местах и сопровождает её, находятся в разном положении, хотя продают один и тот же продукт.

Соискателю лицензии готовят подтверждение по нескольким направлениям сразу:

• помещения с режимом, позволяющим работать с ключевой информацией;
• оборудование и программные средства, необходимые для заявленных работ;
• специалисты с профильной подготовкой в области информационной безопасности;
• внутренняя документация и порядок учёта ключевых носителей.

Отдельный практический слой — облачная поставка. Когда система работает по модели сервиса, ничего не пересекает границу и предмета таможенного декларирования нет, но лицензионные требования к деятельности сохраняются, поскольку обслуживание средства подписи никуда не делось. Обозначения ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 в описании указывают на реализованные алгоритмы подписи и хеширования, а ГОСТ Р 7.0.97-2016 применяется к оформлению отметки об электронной подписи в самом документе. Порядок работы разумно строить от обратного: сначала фиксируют перечень работ, которые компания реально выполняет у заказчика, и только потом собирают комплект под лицензию, иначе она оформляется не на те виды деятельности.

Кто заявитель и что происходит по шагам

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Практика по этой группе

Программный продукт классифицируется по носителю, на котором он перемещается через границу:

• 8523 49 450 0 — носители оптические записанные, содержащие программное обеспечение;
• 8523 51 900 0 — твердотельные энергонезависимые устройства хранения данных с записанной информацией.

Здесь есть практический нюанс: при поставке по электронным каналам без физического носителя таможенное декларирование товара не производится, но обязанности по лицензированию деятельности и экспортному контролю остаются. Многие поставщики считают, что отсутствие товара на границе снимает вопрос, — это неверно, требования относятся к самой деятельности со средствами шифрования.

Комплект сведений от вас

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Система электронного документооборота с электронной подписью» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки и стоимость

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.

С 2010 года REDICO оформил более 14 000 разрешительных документов. Собственный орган по сертификации и аккредитованная лаборатория с аттестатом 11НК35, штатные эксперты и ИИ-проверка кодов ТН ВЭД — расхождения находим раньше, чем их найдёт таможня.

Где чаще всего ошибаются

1. Требуют декларацию ТР ТС на программное обеспечение. Технические регламенты к программам не применяются, и такая декларация не может быть зарегистрирована, а время на её поиск теряется.
2. Считают, что при поставке по сети никаких разрешений не нужно. Лицензирование деятельности со средствами шифрования и экспортный контроль не зависят от наличия физического носителя на границе.
3. Пытаются заменить лицензию ФСБ нотификацией. Для продукта с сертифицированным средством подписи на российской криптографии нотификация не применяется, а срок получения лицензии — от 2 месяцев.

Что спрашивают чаще всего

Нужна ли лицензия ФСБ, если система только вызывает стороннее средство подписи?

Ответ зависит от того, что делает компания на площадке заказчика. Поставка системы, которая обращается к установленному отдельно сертифицированному средству, и работы по его монтажу, настройке и обслуживанию — разные вещи. Как только появляются установка и сопровождение шифровального средства, деятельность лицензируется, срок оформления — от 2 месяцев.

Что подтверждает соискатель лицензии ФСБ на такую систему?

Не свойства программы, а собственные возможности: помещения с режимом, пригодным для работы с ключевой информацией, необходимое оборудование и программные средства, специалистов с профильной подготовкой по информационной безопасности, внутренние документы и порядок учёта ключевых носителей. Комплект собирается по видам заявленных работ.

Нужна ли декларация по техрегламентам на программу?

Нет. К программному обеспечению технические регламенты не применяются, декларация ТР ТС на дистрибутив или лицензию не оформляется. Подтверждение соответствия требуется только аппаратной части, если система поставляется программно-аппаратным комплексом. Для самого продукта остаются лицензия ФСБ и заключение ФСТЭК при вывозе.

Когда достаточно нотификации вместо лицензии?

Когда подпись и шифрование реализованы массовой криптографией без сертифицированного средства защиты информации. Тогда продукт относится к товарам со вспомогательным шифрованием, и оформляется нотификация ФСБ сроком 7 рабочих дней через Казахстан или 2 месяца в России. Наличие в составе сертифицированного СКЗИ на алгоритмах ГОСТ такой возможности не оставляет.

Что нужно для поставки системы зарубежному заказчику?

Заключение ФСТЭК по экспортному контролю средств защиты информации, срок 5 рабочих дней. Если требуется доказать, что продукт не относится к контролируемой продукции, готовится идентификационное заключение по экспортному контролю за 10–15 рабочих дней. Форма передачи — носитель или сеть — от этой обязанности не освобождает.

Кто получает лицензию ФСБ — разработчик или поставщик?

Лицензия выдаётся организации на вид деятельности, поэтому её получает каждый, кто разрабатывает, производит, распространяет или технически обслуживает шифровальные средства. Взять лицензию у партнёра, как это делается с нотификацией, невозможно. Срок оформления от 2 месяцев, порядок и стоимость: нотификация — от 100 000 ₽ через Казахстан или 35 000 ₽ в России, лицензия ФСБ — от 150 000 ₽.

Что почитать перед подачей

• Из чего складывается стоимость сертификации
• Реальные сроки оформления документов
• Штрафы за отсутствие документов
• Инспекционный контроль по сертификату
• Протокол испытаний: что в нём проверяют

Обзорные страницы

• Лицензия ФСБ на шифровальные криптографические средства
• Документы на радиооборудование и шифровальные средства