VPN-шлюз — лицензия ФСБ

Лицензия ФСБ — VPN-шлюз: главное

VPN-шлюз стоит по другую сторону границы между уведомительным и лицензионным порядком: если у планшета или роутера шифрование обслуживает основную функцию, то здесь оно и продаётся. Поэтому ввоз идёт по лицензии ФСБ, срок которой начинается от 2 месяцев, а вывоз изделия дополнительно требует заключения ФСТЭК по экспортному контролю — 5 рабочих дней.

Разрешительные документы — VPN-шлюз

Граница между нотификацией и лицензией проходит по назначению криптографии. Криптошлюз продаётся именно как средство шифрования трафика между площадками: строит защищённые туннели, обслуживает ключевую систему, реализует российские алгоритмы. Для такой техники категории уведомления не подходят, и деятельность по её распространению и техническому обслуживанию требует лицензии ФСБ. При разовом ввозе оборудования оформляется лицензия Минпромторга на основании заключения ФСБ России.

Лицензируются разработка, производство, распространение и техническое обслуживание шифровальных средств — то есть не партия товара, а деятельность организации. Это принципиальное отличие от нотификации, которая привязана к модели и подаётся изготовителем. Ссылаться на чужую лицензию нельзя: документ выдан конкретному юридическому лицу под заявленные виды работ, и таможня сопоставляет его с получателем груза.

Экспортная сторона закрывается заключением ФСТЭК: криптошлюз относится к средствам защиты информации и продукции двойного назначения, и без заключения вывоз не оформят. Параллельно на изделие как на электрооборудование готовятся:

• декларация ТР ТС 004/2011 и 020/2011 — безопасность и электромагнитная совместимость;
• декларация ТР ЕАЭС 037/2016 — ограничение применения опасных веществ;
• регистрация деклараций в реестре ФГИС Росаккредитации.

Сроки: лицензия ФСБ — от 2 месяцев, заключение ФСТЭК — 5 рабочих дней, декларации технических регламентов — 10 рабочих дней. Стоимость лицензии и заключения рассчитываем за 1 час по описанию оборудования.

Особенности этой модификации

VPN-шлюз строит защищённые туннели между офисами, площадками и облаком, и вся его товарная ценность заключена в криптографии: наборы алгоритмов, производительность шифрования в мегабитах, поддержка ключевых схем и аппаратный генератор случайных чисел. Именно поэтому изделие не проходит по категориям вспомогательной криптографии — заявленное назначение прямо указывает на средство криптографической защиты информации, и режим определяется лицензией.

При подготовке поставки полезно заранее разделить спецификацию на аппаратную платформу, программную часть и ключевые носители. Платформа проходит декларирование по техническим регламентам с измерениями по ГОСТ IEC 62368-1-2014, программная часть регламентам не подлежит, а токены и смарт-карты оформляются как отдельные изделия. Второй частый вопрос — модели с российскими алгоритмами по ГОСТ Р 34.12-2015 и ГОСТ Р 34.10-2012: их ввоз и вывоз рассматриваются жёстче, и заключение ФСТЭК готовится заранее, а не после подписания экспортного контракта.

Разница двух режимов не в строгости, а в предмете. Уведомление описывает характеристики массового изделия и вносится в реестр ЕЭК от имени изготовителя. Лицензирование относится к деятельности: разработке, производству, распространению и техническому обслуживанию шифровальных средств, — и разовая поставка оформляется лицензией Минпромторга, которая выдаётся на основании заключения ФСБ России. Поэтому подготовка начинается не с описания товара, а с определения роли компании в цепочке поставки.

Формы поставки различаются, и не каждая вообще является товаром:

• настольный шлюз для филиала с одним внешним интерфейсом;
• стоечная платформа с резервированием питания для центрального узла;
• отказоустойчивая пара из двух узлов с синхронизацией состояния;
• плата аппаратного ускорения шифрования в составе серверной платформы;
• виртуальный образ, который поставляется по каналам связи и таможенного оформления не проходит.

Экспортный контроль работает в обе стороны и требует отдельного планирования. На вывоз изделия готовится заключение ФСТЭК как на продукцию двойного назначения, а если задача обратная — доказать, что конкретная модель под контроль не подпадает, — оформляется идентификационное заключение по экспортному контролю со сроком 10–15 рабочих дней. Стоимость лицензии и заключений в прайс не входит, расчёт делаем за 1 час по техническому описанию.

Практика показывает три повторяющиеся ошибки. Первая — ввоз демонстрационного образца на тестирование в расчёте на то, что единичное изделие пройдёт вне общего порядка. Вторая — поставка запасных узлов и подменного фонда по сервисному контракту без отдельного оформления. Третья — обновление, которое добавляет новый набор алгоритмов уже после выпуска партии: разрешительные документы описывают конкретную реализацию, и её расширение меняет исходные данные, на которых документы выданы. К программной части технические регламенты не применяются, но от криптографического контроля это её не освобождает.

Кто заявитель и что происходит по шагам

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Техрегламенты идут параллельно и не заменяются нотификацией: это разные процедуры с разными реестрами. Декларация по ТР ТС 004/2011 и 020/2011 оформляется по схеме 1д (серия) или 3д (партия). Декларация по ТР ЕАЭС 037/2016 на содержание опасных веществ идёт одновременно и общий срок не удлиняет.

Отраслевая специфика

Криптошлюз декларируют по двум кодам в зависимости от исполнения:

• 8517620009 — аппаратура для приёма, преобразования и передачи данных, основной код для сетевых шлюзов и маршрутизаторов с шифрованием;
• 8471800000 — прочие блоки вычислительных машин, применяется для платформ в серверном исполнении и плат расширения.

Обе позиции находятся под криптографическим контролем, но для шлюза этого мало: инспектор смотрит на функциональное назначение из технического описания. Если из документации видно, что шифрование канала является основной функцией, ссылка на нотификацию не принимается и запрашивается лицензия. Обратная ошибка тоже встречается — маршрутизатор со штатным IPsec пытаются оформить как средство криптографической защиты, хотя ему достаточно уведомления.

Что нужно от вас

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «VPN-шлюз» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Декларация ТР ТС 004/2011, 020/2011 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Декларация ТР ЕАЭС 037/2016 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Смета фиксируется до старта и в процессе не меняется. Документы по техрегламентам регистрируются в реестре ФГИС Росаккредитации, нотификация — в едином реестре ЕЭК, документы в области связи — в реестре Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Частые ошибки

1. Шлюз пытаются ввезти по нотификации. Уведомление рассчитано на вспомогательную криптографию массовых товаров. Если шифрование заявлено как основная функция, таможня требует лицензию, а её оформление занимает от 2 месяцев.
2. Используют лицензию другой организации. Документ выдан под конкретное юридическое лицо и виды деятельности, и при несовпадении с получателем груза выпуск не оформляется.
3. Забывают о заключении ФСТЭК при вывозе. Экспорт средств защиты информации без заключения невозможен, а срок его получения — 5 рабочих дней, что срывает сроки поставки зарубежному заказчику.

Что спрашивают чаще всего

Почему на VPN-шлюз нельзя оформить нотификацию вместо лицензии?

Уведомительный порядок рассчитан на технику, где шифрование вспомогательное: сотовый модем, беспроводной интерфейс, защищённый канал управления. У VPN-шлюза криптографическая защита канала и есть товарное назначение, оно указано в описании и определяет цену изделия. Такое оборудование в категории массовых средств не попадает, и заменить лицензию уведомлением нельзя ни при какой конфигурации.

Нужно ли заключение ФСТЭК, если шлюз только ввозится?

На ввоз заключение по экспортному контролю не оформляется — там работает лицензионный порядок. Заключение ФСТЭК потребуется при вывозе изделия за пределы страны: на поставку зарубежному заказчику, на возврат производителю по гарантии или на вывоз демонстрационного образца. Срок подготовки — 5 рабочих дней, готовить его лучше до подписания контракта.

Чем лицензия ФСБ отличается от нотификации?

Нотификация — это уведомление о характеристиках модели, которое подаёт изготовитель и которое действует бессрочно для товаров со вспомогательной криптографией. Лицензия выдаётся организации на виды деятельности с шифровальными средствами: разработку, производство, распространение, техническое обслуживание. Срок оформления лицензии — от 2 месяцев.

Нужна ли лицензия, если шлюз ввозится для собственных нужд?

Разовый ввоз оформляется лицензией Минпромторга на основании заключения ФСБ России, а лицензия ФСБ требуется, когда организация распространяет или обслуживает шифровальные средства. Конкретную схему определяют по назначению оборудования и планам его дальнейшего использования, поэтому её согласовывают до заключения контракта.

Требуется ли на криптошлюз декларация ТР ТС?

Да. Разрешительные документы по криптографии и технические регламенты действуют параллельно и друг друга не заменяют. На шлюз как на электрооборудование оформляются декларации ТР ТС 004/2011, 020/2011 и ТР ЕАЭС 037/2016 со сроком 10 рабочих дней, от 8 000 ₽ по схеме 1д.

Когда нужно заключение ФСТЭК?

При вывозе: криптошлюз относится к средствам защиты информации и продукции двойного назначения, поэтому экспортный контроль требует заключения. Срок его подготовки — 5 рабочих дней. Стоимость: заключение ФСТЭК — 38 600 ₽ после того, как получим техническое описание оборудования и перечень реализованных алгоритмов.

Полезное по теме

• Инспекционный контроль по сертификату
• Протокол испытаний: что в нём проверяют
• Акт отбора образцов
• Технические условия (ТУ): когда нужны
• Требования к этикетке

Обзорные страницы

• Лицензия ФСБ на шифровальные криптографические средства
• Документы на радиооборудование и шифровальные средства