Что такое перечень доверенного ПО
Перечень доверенного ПО — это список программ и баз данных (ведет Минцифры), которые прошли отдельную проверку и признаны доверенными, то есть отвечающими более строгим требованиям, чем те, по которым ПО попадает в реестр российского ПО.
Устроен он не как самостоятельный реестр, а как надстройка над единым реестром российского ПО. Подтверждением включения сведений в перечень является наличие соответствующей отметки в записи реестра.
Что дает статус доверенного ПО
Главное, что дает статус доверенного ПО, — это преимущество в закупках.
Если на закупку подана заявка с доверенным ПО, то все остальные заявки приравниваются к иностранным, даже если предложенное в них ПО есть в реестре российского ПО.
Проще говоря, доверенное ПО выбивает обычное российское из конкуренции, но только если такая заявка на закупке есть.
Почему статус особенно важен для разработчиков ОС
Есть и второй эффект. В нормах он прямо не описан, но для разработчиков ОС он важнее первого.
Недавно мы уже рассказали, что условием нахождения ПО в реестре российского ПО стала совместимость минимум с 2 операционными системами, соответствующими требованиям к доверенному ПО.
Сроки зависят от класса ПО:
| Класс ПО | Срок |
|---|---|
| Офисное ПО | с 1 сентября 2026 года |
| Средства виртуализации, серверное ПО, СУБД, средства разработки и смежные классы | с 1 января 2027 года |
| Прикладное и отраслевое ПО, средства информационной безопасности | с 1 июня 2027 года |
| Промышленное ПО | с 1 января 2028 года |
На практике это значит, что сотни правообладателей будут выбирать, под какие ОС адаптировать свои продукты. И выбирать они будут из списка доверенных ОС. Разработчикам ОС статус принесет не только преимущество в собственных закупках, но еще и поток чужих программ, которые адаптируют под его систему.
Чего статус не дает
В интернете часто пишут, что субъекты КИИ обязаны использовать доверенное ПО. Это не так.
Обязанность по значимым объектам КИИ сформулирована через реестр российского ПО, а не через перечень доверенного.
Случаи, когда нужно использовать доверенное ПО, определяются отдельными актами — федеральными законами, актами Президента и Правительства. Пока такого акта нет — нет и обязанности.
Путаница взялась из-за похожей по названию, но другой по своей сути конструкции доверенных программно-аппаратных комплексов. Объекты КИИ действительно переводят на доверенные ПАК, и там свои требования, но это два независимых режима. Чтобы ПАК признали доверенным, входящее в него ПО не обязано иметь статус доверенного. Один статус не заменяет другой и не является ступенью к нему.
Требования к доверенному ПО
Требований четыре, но по факту работать вам придется только с двумя из них. Первые два закрываются автоматически, если ПО уже в реестре:
- Сведения о ПО включены в реестр российского ПО либо в перечень ПО для собственных нужд).
- Сведения о ПО не составляют гостайну, и само ПО таких сведений не содержит.
Два оставшихся требуют большего внимания.
Требование о правах
Исключительное право на ПО должно принадлежать:
- РФ, субъекту РФ или муниципальному образованию;
- российской НКО, высший орган управления которой формируется прямо или косвенно РФ, субъектами РФ, муниципальными образованиями или гражданами РФ, не имеющими гражданства другого государства;
- российской коммерческой организации под контролем перечисленных лиц или гражданина РФ без гражданства другого государства;
- гражданину РФ, не имеющему гражданства другого государства.
На первый взгляд это то же самое, что и в реестре, но разница есть. В базовых требованиях к реестру российского ПО нет ограничений на двойное гражданство.
На практике это означает, что ПО может быть в реестре российского ПО и не иметь права на получение статуса доверенного просто потому, что бенефициар компании имеет второй паспорт.
Требования к информационной безопасности
Доверенное ПО должно соответствовать требованиям к обеспечению информационной безопасности, которые устанавливает Правительство РФ.
На момент публикации статьи эти требования не утверждены. Правила ведения перечня уже приняты, а требования к самому ПО еще нет.
Однако сейчас уже есть проект постановления «О доверенных российских программах для электронных вычислительных машин и баз данных». Он проходит оценку регулирующего воздействия и, скорее всего, итоговый текст сильно не изменится. Но гарантий нет, поэтому все ниже следует читать как ориентир, а не как действующие правила.
Требования в проекте устроены двухуровнево. Сначала идут общие требования, которые относятся к любому доверенному ПО. Дальше — дополнительные требования для отдельных классов (операционные системы, СУБД, офисное ПО, промышленное ПО).
Ниже мы разбираем только общий уровень, так как этот блок касается всех.
Процесс разработки
- Разработку, доработку и добавление новых функций ведет сам правообладатель, российская организация без преобладающего иностранного участия или гражданин РФ.
- Исходный код, инфраструктура разработки и сборочная среда должны находиться в изолированном окружении, отрезанном от интернета и любых ресурсов, которые не контролирует правообладатель.
- Средства разработки, тестирования, отладки и системы контроля версий использует сам правообладатель. Комплект программной и эксплуатационной документации должен быть на русском языке.
- Правообладатель обеспечивает защиту информации в инфраструктуре, задействованной для разработки и поддержки ПО, от несанкционированного доступа.
- Нужен сервис учета и отслеживания ошибок и уязвимостей, работающий на всех этапах жизненного цикла.
Обновления
- Обновления возможны только с разрешения пользователя. Разрешение при этом можно получить через принятие условий лицензионного соглашения.
- Для обновления нельзя использовать технические и программные средства, расположенные за пределами РФ. Копии таких средств, размещенные в России, тоже не подходят.
- Информация об обновлениях должна публиковаться на сайте либо предоставляться по запросу пользователей.
- Соответствие требованиям должно сохраняться и после установки обновления.
Поддержка и работа с пользователем
- Должна быть развернута техническая поддержка на всей территории РФ. Контакты, режим работы службы поддержки и все, что нужно для обращения, публикуются на официальном сайте правообладателя.
- Документация по интерфейсам для интеграции с другими системами (API) должна быть опубликована на сайте либо предоставляться по запросу пользователя.
- У правообладателя должна быть инфраструктура или материалы для обучения навыкам эксплуатации и настройки ПО.
- Если в ПО есть open source-компоненты, правообладатель обязан соблюдать требования их лицензий. Пользователя об этих требованиях нужно проинформировать любым доступным способом.
Безопасность
- У ПО не должно быть незакрытых уязвимостей из банка данных угроз безопасности информации ФСТЭК.
- ПО должно соответствовать разделу 5 ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования».
- Если ПО предназначено для защиты информации, нужен действующий сертификат по требованиям безопасности информации, выданный по Положению о сертификации средств защиты информации.
Совместимость
- ПО должно работать на российском процессоре. Совместимость нужна с центральным процессором, который отвечает требованиям к интегральной схеме первого или второго уровня и включен в реестр российской промышленной продукции либо в единый реестр российской радиоэлектронной продукции. Этот пункт по проекту вступает в силу с 1 марта 2028 года.
- Если пользователь работает с ПО только через браузер, продукт должен полностью реализовывать свои функции хотя бы в одном браузере, который сам соответствует требованиям к доверенному ПО.
- Если ПО относится к операционным системам, СУБД, офисному или промышленному ПО, смотрите дополнительные требования к ним.
Процедура и сроки
Заявление подается через сайт реестра российского ПО.
В заявлении указываются: номер и дата реестровой записи, наименование ПО, предыдущие и альтернативные наименования, коды ОКПД 2, сведения о правообладателях, класс ПО по классификатору Минцифры, контакты.
Дальше процедура идет по шагам.
| Этап | Срок |
|---|---|
| Регистрация заявления (п. 11) | 1 рабочий день |
| Публикация заявления в открытом доступе (п. 12) | Не позднее следующего рабочего дня после регистрации |
| Заключение договора с центром тестирования (п. 13) | 30 рабочих дней со дня регистрации заявления |
| Экспертиза (п. 15) | 30 рабочих дней со дня заключения договора |
| Направление заключения заявителю и в Минцифры (п. 15) | 1 рабочий день со дня утверждения заключения |
| Внесение предложения в Правительственную комиссию (п. 16) | 15 рабочих дней со дня положительного заключения |
| Включение сведений в перечень (п. 18) | Не позднее следующего рабочего дня после решения комиссии |
Если сложить сроки по нормам, от регистрации заявления до включения сведений в перечень выходит около 77 рабочих дней, то есть примерно три с половиной месяца.
Это верхняя граница только по тем этапам, у которых срок установлен. Реальный срок предсказать нельзя, потому что он зависит от двух вещей. Во-первых, как быстро вы заключите договор с центром тестирования. На это отведено 30 рабочих дней, и весь этот запас находится в вашей зоне ответственности. Во-вторых, сколько времени предложение пролежит в Правительственной комиссии. Этот интервал вообще ничем не ограничен, поэтому фактически срок может быть любым.
Сведения в перечень доверенного ПО вносятся на 3 года, после чего для подтверждения соответствия нужно подавать новое заявление не ранее чем за 3 месяца до окончания срока. Этим доверенный статус принципиально отличается от бессрочной реестровой записи, так как он требует регулярного подтверждения.
Если сомневаетесь, подходите ли вы под получение статуса доверенного ПО, — приходите, разберем вашу ситуацию.
Также подписывайтесь на наш телеграм-канал — в нем делимся полезным и снижаем тревожность бизнеса.
