Смарт-карта с криптопроцессором: нотификация ФСБ и сроки оформления

Нотификация ФСБ — Смарт-карта с криптопроцессором: главное

Смарт-карта с криптопроцессором идёт по одной из двух веток: при стандартных зарубежных алгоритмах достаточно нотификации ФСБ за 7 рабочих дней через Казахстан или 2 месяца в России, при российских алгоритмах и заявленном назначении средства криптографической защиты требуется лицензия ФСБ от 2 месяцев. Ветку определяют до контракта — ошибка здесь стоит месяцев простоя. Стоимость рассчитываем за 1 час.

Разрешительные документы — Смарт-карта с криптопроцессором

Смарт-карта с криптопроцессором — пограничный товар этого раздела. Если чип выполняет операции на международных алгоритмах (RSA, ECC, AES, 3DES) и карта поставляется как элемент массовой платёжной или пропускной системы, оформляется нотификация ФСБ: криптография признаётся штатной функцией товара широкого применения.

Если же карта реализует ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, позиционируется как носитель ключа электронной подписи или как средство криптографической защиты информации, режим другой. Криптография здесь и есть товар, поэтому нужна лицензия ФСБ на деятельность по распространению и техническому обслуживанию шифровальных средств, срок — от 2 месяцев. Для разового ввоза такой техники оформляется лицензия Минпромторга на основании заключения ФСБ России.

Различие видно по трём признакам:

• перечень реализованных алгоритмов и длина ключа;
• заявленное назначение изделия в документации производителя;
• наличие сертификата соответствия требованиям к средствам криптографической защиты.

Нотификация регистрируется Центром по лицензированию ФСБ России и вносится в единый реестр нотификаций ЕЭК, срок — 7 рабочих дней через Казахстан или 2 месяца в России. Стоимость обеих процедур рассчитываем за 1 час по описанию модели.

Особенности этой модификации

Смарт-карта с криптопроцессором отличается от обычной карты памяти тем, что операции выполняются внутри чипа и ключ не покидает защищённую область. Для документов это означает, что описывать нужно не карту, а чип: модель, разрядность, набор поддерживаемых алгоритмов, длину ключа, наличие аппаратного генератора случайных чисел и механизмов защиты от атак по побочным каналам.

Позиции 8523 52 100 0 и 8523 52 900 0 различают многочиповые и одночиповые исполнения. Функциональная проверка идёт по ГОСТ Р ИСО/МЭК 7816-4-2013 и ГОСТ Р ИСО/МЭК 15408-2-2013, а наличие в чипе ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 переводит изделие из уведомительного режима в лицензионный. Нотификация занимает 7 рабочих дней через Казахстан или 2 месяца в России, лицензия ФСБ — от 2 месяцев.

Поставки делятся на два потока. Первый — заготовки с прошитой операционной системой карты, которые персонализируются в стране назначения: ключи и данные держателя загружаются на локальной площадке. Второй — карты, персонализированные изготовителем под конкретного заказчика. Криптографическое ядро в обоих случаях одно, но во втором в изделии уже находится ключевая информация, и это меняет и описание, и требования к обращению с партией. Перевозка персонализированной партии обычно сопровождается требованиями заказчика к сохранности упаковки и поштучному учёту по серийным номерам.

Двухинтерфейсные карты работают не только через контактную площадку, но и по бесконтактному интерфейсу на 13,56 МГц. Это индуктивная связь ближнего действия с антенной, размещённой в теле карты. Параметры такого обмена приводят в описании отдельно, потому что часть криптографических операций выполняется именно в бесконтактном сеансе, а не при контактном подключении. Дальность обмена — единицы сантиметров, и в описании приводят параметры сеанса, а не характеристики самостоятельного передатчика.

Прикладные апплеты — платёжный, транспортный, идентификационный — загружаются в карту как программное обеспечение. К программному обеспечению технические регламенты не применяются, но для криптографической оценки существенно, какой апплет использует какие ключи и алгоритмы: одна и та же микросхема с разным набором апплетов описывается по-разному и может попасть в разные ветки.

Срыв обычно происходит на этапе спецификации. Поставщик указывает семейство карт и объём памяти, но не называет модель микросхемы, версию карточной операционной системы и профиль загруженных ключей. Без этих сведений невозможно определить, остаётся ли изделие в уведомительном режиме или уходит в лицензионный, а решать приходится уже с грузом в пути. Ответы на три вопроса — какая микросхема, какие алгоритмы в ней активированы и заявляется ли изделие средством защиты информации — определяют ветку целиком, поэтому их включают в опросный лист поставщика до размещения заказа.

Кто заявитель и что происходит по шагам

Заявителем по нотификации выступает изготовитель или его уполномоченный представитель: импортёр подать её от своего имени не может. Запись вносится в единый реестр нотификаций Евразийской экономической комиссии и не имеет срока окончания — переоформление нужно только при изменении криптографических функций. Перед отгрузкой сверяйте обозначение модели в реестре с тем, что стоит на шильдике.

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Отраслевая специфика

Смарт-карты классифицируются в позиции 8523 как носители информации:

• 8523 52 100 0 — карты с двумя и более электронными интегральными схемами, то есть многочиповые исполнения;
• 8523 52 900 0 — прочие смарт-карты с интегральной схемой, включая одночиповые карты с криптопроцессором.

Обе позиции относятся к товарам с высокой вероятностью криптографического контроля: инспектор запрашивает описание чипа и перечень алгоритмов. Указание «пластиковая карта» в инвойсе вопрос не снимает — решает спецификация чипа. Незаписанные заготовки без загруженного апплета иногда проходят проще, но криптопроцессор в них уже присутствует, и это отражается в документах.

Комплект сведений от вас

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Смарт-карта с криптопроцессором» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Доплат за срочность в смете нет. Проверить готовый документ можно самостоятельно: по техрегламентам запись видна в ФГИС Росаккредитации, по нотификации — в реестре Евразийской экономической комиссии, по средствам связи — в реестре Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Три ошибки, которые стоят денег

1. Оформлять нотификацию на карту с российской криптографией. Реализация ГОСТ Р 34.10-2012 и заявленный статус средства защиты выводят изделие в лицензионный режим. Уведомление в этом случае не принимается, а лицензия готовится от 2 месяцев.
2. Считать заготовки без апплета некриптографическим товаром. Криптопроцессор в чипе есть с момента производства, и описывать нужно его возможности, а не то, что записано на карту.
3. Не разделять позиции комплекта. Карты, считыватели и программное обеспечение имеют разный режим: техрегламенты к ПО не применяются, а криптофункции описываются отдельно.

Вопросы и ответы

Различаются ли документы для заготовок и персонализированных карт?

Разрешительная ветка определяется криптографическим ядром микросхемы и заявленным назначением, поэтому она одинакова. Различается содержание описания: у персонализированной партии в изделиях уже находится ключевая информация, и это фиксируют отдельно. Заготовки под локальную персонализацию описывают по операционной системе карты и набору поддерживаемых алгоритмов.

Что переводит карту из нотификации в лицензионный режим?

Сочетание двух признаков: реализация российских криптоалгоритмов в самой микросхеме и заявление изделия как средства криптографической защиты информации. Форм-фактор и объём памяти значения не имеют. Если карта построена на стандартных зарубежных алгоритмах и выступает носителем прикладных апплетов, применяется нотификация ФСБ со сроком 7 рабочих дней через Казахстан или 2 месяца в России.

Когда на смарт-карту нужна лицензия ФСБ, а когда нотификация?

Нотификация — если криптопроцессор работает на международных алгоритмах и карта поставляется как элемент массовой системы: платёжной, транспортной, пропускной. Лицензия — если реализованы российские алгоритмы ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 и изделие заявлено средством криптографической защиты информации. Сроки: 7 рабочих дней через Казахстан или 2 месяца в России и от 2 месяцев соответственно.

Нужна ли декларация ТР ТС на смарт-карту?

Нет. Пассивная карта без собственного источника питания не является низковольтным оборудованием, и требования технических регламентов 004/2011 и 020/2011 к ней не применяются. Разрешительный вопрос по карте лежит целиком в плоскости криптографии: нотификация ФСБ либо лицензионный режим.

Как ввозить заготовки карт без персонализации?

По тем же правилам. Криптопроцессор присутствует в чипе с момента изготовления, поэтому криптостатус определяется его спецификацией, а не наличием загруженного апплета. Нотификация оформляется на модель чипа и карты, персонализация в России на разрешительный режим ввоза не влияет.

Что смотрит таможня при выпуске партии карт?

Спецификацию чипа и соответствие модели перечню в нотификации, а также запись о ней в едином реестре нотификаций ЕЭК. Если в описании обнаруживаются российские криптоалгоритмы или упоминание средства электронной подписи, партию останавливают и запрашивают документы лицензионного режима.

Полезное по теме

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• Документы для таможенного оформления
• Из чего складывается стоимость сертификации
• Реальные сроки оформления документов

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства