И ИСПЫТАНИЙ
VPN-клиент разводится на два разных товара по одному признаку — какую криптографию он реализует. Массовое приложение на общедоступных алгоритмах закрывается нотификацией ФСБ за 7 рабочих дней через Казахстан или 2 месяца в России, а сборка с российск
Срок оформления — 10–15 рабочих дней. Ниже порядок работы по направлению «VPN-клиент».
Анализ криптографических функций изделия и категории по п. 2.19
Подготовка сведений о характеристиках шифровальных средств
Регистрация нотификации в ЦЛСЗ ФСБ России
Публикация в едином реестре нотификаций ЕАЭС
VPN-клиент разводится на два разных товара по одному признаку — какую криптографию он реализует. Массовое приложение на общедоступных алгоритмах закрывается нотификацией ФСБ за 7 рабочих дней через Казахстан или 2 месяца в России, а сборка с российскими криптоалгоритмами и работой с ключевыми носителями выводит поставщика в лицензионный порядок: лицензия ФСБ оформляется от 2 месяцев. Смешивать эти сборки в одном дистрибутиве — самая дорогая ошибка в этой группе.
VPN-клиент — тот случай, когда криптография и есть товар. От этого зависит выбор между двумя формами. Массовое программное обеспечение, распространяемое неограниченному кругу пользователей, ввозится и продаётся по нотификации ФСБ: документ оформляется от имени изготовителя, вносится в единый реестр нотификаций Евразийской экономической комиссии и действует бессрочно, пока криптофункционал продукта не изменён. Срок — 7 рабочих дней через Казахстан или 2 месяца в России.
Как только речь идёт о разработке, производстве, распространении или техническом обслуживании средства криптографической защиты информации, реализующего российские алгоритмы, включается лицензионный порядок. Лицензия ФСБ выдаётся на вид деятельности, а не на продукт, и получить её нужно заранее: срок — от 2 месяцев. Наличие нотификации на продукт лицензию не заменяет и наоборот.
Технические регламенты к программному обеспечению не применяются: ТР ТС 004/2011 и 020/2011 регулируют электрооборудование, а у программы нет ни питания, ни излучения. Поэтому декларация о соответствии на VPN-клиент не оформляется, и попытка её получить означает потраченное время. Если продукт поставляется на физическом носителе, носитель как товар классифицируется отдельно.
VPN-клиент — программный продукт, вся ценность которого в шифровании трафика. Это меняет логику раздела: криптография здесь не вспомогательная функция, а сам товар. Для массового продукта, распространяемого неограниченному кругу пользователей, применяется нотификация ФСБ, а для деятельности по разработке и распространению средства криптографической защиты на российских алгоритмах — лицензия ФСБ со сроком от 2 месяцев.
Технические регламенты к программному обеспечению не применяются, поэтому декларация о соответствии не оформляется вовсе. В описании для нотификации указывают алгоритмы шифрования и подписи, длину ключа, протокол согласования ключей, порядок хранения ключевой информации и возможность загрузки пользовательских ключей. Реализация отечественных стандартов подписи, хеширования и блочного шифрования — признак того, что вопрос уходит в лицензионный порядок. Стоимость обеих процедур рассчитываем за 1 час по описанию продукта.
Разграничение проходит не по названию протокола, а по нескольким проверяемым признакам. Массовый клиент реализует общедоступные протоколы согласования ключей и шифрования трафика, ключи генерируются автоматически и живут внутри приложения, пользователь не получает интерфейса для шифрования произвольных данных. Средство криптографической защиты в лицензионном смысле выглядит иначе: реализация отечественных алгоритмов подписи, хеширования и блочного шифрования, работа с внешними ключевыми носителями и токенами, встраивание в чужие приложения через документированный интерфейс, функции удостоверяющего центра.
Отдельная тема — корпоративная часть. VPN-клиент почти никогда не продаётся в одиночку: на другом конце стоит шлюз, и если шлюз аппаратный, это уже изделие со своей разрешительной судьбой, а не программа. В нотификации описывают именно клиентскую часть, и подмена предмета — частая причина того, что документ не закрывает реальную поставку комплекса.
Что описывают в материалах для органа:
Каналом распространения тоже занимаются заранее. Магазины приложений и корпоративные закупочные площадки запрашивают реестровую запись до публикации, поэтому цикл в 7 рабочих дней через Казахстан или 2 месяца в России закладывают в план релиза, а не начинают после первых продаж. Коды 8523 49 450 0 и 8523 51 900 0 относятся к поставке на носителе; при загрузке дистрибутива по сети таможенного декларирования нет, но требования к продукту и к деятельности сохраняются в полном объёме. Разведение сборок закрепляют формально: массовый и лицензионный варианты выпускают под разными наименованиями и разными версиями, тогда не возникает спора о том, какой документ относится к конкретной поставке.
Процедура по нотификации уведомительная: орган не испытывает изделие, а проверяет заявленные характеристики шифрования на попадание в категории уведомительного порядка. Результат публикуется в едином реестре Евразийской экономической комиссии и действует бессрочно; таможня проверяет запись по обозначению модели, поэтому расхождение в артикуле — самая частая причина остановки партии.
Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.
Программное обеспечение декларируется через носитель, на котором оно поставляется. Загрузка по сети предметом таможенного декларирования не является, а вот диск, флеш-накопитель или аппаратный ключ с дистрибутивом ввозятся как товар.
Стоимость лицензии на использование программы и стоимость носителя — разные величины, и на это обращают внимание при контроле таможенной стоимости. Разрешительная сторона от кода не зависит: нотификация нужна из-за криптографического содержания продукта, а не из-за типа носителя. Для поставки без материального носителя оформляют документы на сам программный продукт.
Для старта достаточно минимального комплекта — недостающее поможем подготовить:
Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.
Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.
Доплат за срочность в смете нет. Проверить готовый документ можно самостоятельно: по техрегламентам запись видна в ФГИС Росаккредитации, по нотификации — в реестре Евразийской экономической комиссии, по средствам связи — в реестре Роскомнадзора.
С 2010 года REDICO оформил более 14 000 разрешительных документов. Собственный орган по сертификации и аккредитованная лаборатория с аттестатом 11НК35, штатные эксперты и ИИ-проверка кодов ТН ВЭД — расхождения находим раньше, чем их найдёт таможня.
Когда VPN-клиенту хватает нотификации, а когда нужна лицензия ФСБ?
Уведомления достаточно для массового продукта на общедоступных алгоритмах, где ключи живут внутри приложения и пользователь не получает средства шифрования произвольных данных, срок — 7 рабочих дней через Казахстан или 2 месяца в России. Лицензия ФСБ со сроком от 2 месяцев нужна при реализации российских криптоалгоритмов, работе с ключевыми носителями и встраивании в сторонние приложения.
Оформляется ли на VPN-клиент декларация о соответствии?
Нет. Технические регламенты Таможенного союза и союза распространяются на изделия, а не на программы, поэтому декларация на дистрибутив не оформляется вовсе, испытаний нет и протоколы не нужны. Указанные стандарты на подпись, хеширование и блочное шифрование в описании приводятся как обозначения реализованных алгоритмов, а не как программа испытаний.
Нужна ли декларация о соответствии на VPN-клиент?
Нет. Технические регламенты распространяются на продукцию с электрической частью и излучением, а у программного обеспечения их нет. Оформляется нотификация ФСБ, а при работе с российской криптографией — лицензия ФСБ. Если продукт поставляется на носителе, сам носитель классифицируется и декларируется как товар.
Когда достаточно нотификации, а когда нужна лицензия ФСБ?
Нотификация покрывает массовое программное обеспечение с типовым криптофункционалом, распространяемое неограниченному кругу пользователей. Лицензия нужна для деятельности по разработке, производству, распространению и обслуживанию средств криптографической защиты, в том числе на российских алгоритмах. Сроки: 7 рабочих дней через Казахстан или 2 месяца в России и от 2 месяцев.
Кто оформляет нотификацию на программный продукт?
Изготовитель программного обеспечения или его уполномоченный представитель. Документ вносится в единый реестр нотификаций Евразийской экономической комиссии и действует бессрочно, пока криптографические характеристики продукта не менялись. Дистрибьютор вправе ссылаться на нотификацию правообладателя, если продукт указан в её составе.
Что происходит при обновлении версии продукта?
Обновление интерфейса и прикладной логики нотификацию не затрагивает. Изменение состава криптоалгоритмов, длины ключа или протокола согласования ключей означает изменение характеристик, и нужен новый документ. Планировать оформление стоит заранее: срок нотификации — 7 рабочих дней через Казахстан или 2 месяца в России, стоимость — 100 000 ₽ через Казахстан или 35 000 ₽ в России.
Нотификация оформляется не по лабораторным испытаниям, а на основе экспертной оценки криптографических характеристик устройства в ЦЛСЗ ФСБ России. Ниже — параметры, которые анализируются при определении категории.
Позиции реестра, к которым чаще всего относится продукция «VPN-клиент».
Подбор носит справочный характер. Открыть полный реестр ТН ВЭД →
Назовите товар и код ТН ВЭД — эксперт определит перечень документов и точную цену.