Реестр доверенного ПО: что нужно сделать уже сейчас

Внедрение новых требований к программному обеспечению в России набирает обороты. С 1 марта 2027 года может вступить в силу постановление Правительства РФ, которое существенно изменит правила игры для разработчиков и поставщиков ПО. Проект документа доступен здесь. Ключевым нововведением становится создание перечня доверенных российских программ, который будет функционировать параллельно с существующим единым Реестром российского ПО. Разберемся, какие шаги необходимо предпринять компаниям уже сегодня, чтобы попасть в Реестр доверенного ПО.

Что такое «доверенное ПО» и зачем оно нужно?

Доверенное программное обеспечение — это не просто софт, включенный в реестр отечественных разработок. Это программы, которые прошли дополнительную проверку на соответствие строгим требованиям информационной безопасности и технологической независимости. Главная цель нововведения — гарантировать, что критически важное ПО не содержит скрытых уязвимостей, не зависит от зарубежной инфраструктуры и может безопасно использоваться в государственных информационных системах.

Отличие от обычного реестрового ПО заключается в наличии специальных сертификатов и подтверждении соответствия дополнительным требованиям. Без статуса «доверенного» многие виды программного обеспечения вскоре не смогут участвовать в госзакупках и использоваться в органах власти.

Важно: отдельного реестра не будет. Де-юре, это просто будет отдельный статус у софта и разработок, которые уже внесены в Реестр российского ПО.

Ключевые требования: на что обратить внимание

Новые правила устанавливают четкие критерии, которым должно соответствовать доверенное ПО. Вот основные пункты, требующие немедленного внимания:

1. Информационная безопасность

Разработчики обязаны обеспечить отсутствие неустраненных уязвимостей, опубликованных в банке данных угроз ФСТЭК. Все обновления должны происходить только с разрешения пользователя, причем технические средства для обновлений не могут располагаться за пределами Российской Федерации. Исходные тексты программ и инфраструктура разработки должны находиться в контролируемом окружении, требования к которому определяет ФСТЭК.

2. Совместимость с российским «железом»

Одно из самых сложных требований — совместимость с центральными процессорами, включенными в Реестр российской промышленной продукции (интегральные схемы первого или второго уровня). Минцифры совместно с Минпромторгом утвердит план-график обеспечения такой совместимости. Компаниям уже сейчас стоит начать тестирование своего ПО на отечественных процессорах, таких как «Эльбрус» или «Байкал», чтобы избежать проблем в будущем.

3. Требования к конкретным классам ПО

Для разных типов программ установлены специфические требования:

• Операционные системы: Должны поддерживать многозадачность, многопользовательский режим, иметь собственный репозиторий компонентов на территории РФ и поддерживать сертификаты национального удостоверяющего центра.
• СУБД: Обязательны механизмы контроля целостности данных, журналирования всех операций и функционирования в отказоустойчивых кластерах.
• Офисное ПО: Требуется поддержка форматов ODF и OOXML, возможность совместной работы в реальном времени, корректная работа с кириллическими именами файлов и интеграция с сертифицированными средствами электронной подписи.
• Браузеры: Должны поддерживать технологии HTML5, CSS3, JavaScript, а также обеспечивать взаимодействие со средствами электронной подписи и специализированными защищенными системами.

Пошаговый план действий для компаний

Чтобы успеть к сроку вступления постановления в силу, рекомендуется выполнить следующие шаги:

Шаг 1: Аудит текущего ПО

Проведите внутренний аудит всего программного обеспечения, которое планируется включать в перечень доверенного ПО. Проверьте исходный код на наличие зависимостей от зарубежных библиотек, оцените архитектуру на предмет возможности локализации инфраструктуры разработки и сборки.

Шаг 2: Подготовка инфраструктуры

Перенесите серверы сборки, репозитории и системы хранения исходных кодов на территорию Российской Федерации (если этого по какой-то причине еще не сделано). Убедитесь, что все процессы разработки находятся под вашим полным контролем и соответствуют требованиям ФСТЭК.

Шаг 3: Тестирование совместимости

Начните тестирование вашего ПО на отечественных процессорах и операционных системах. Если выявлены проблемы совместимости, немедленно приступайте к доработке кода. Помните, что для некоторых классов ПО (например, облачных сервисов или средств защиты информации) допускается совместимость с одной ОС, но в общем случае требуется поддержка не менее двух операционных систем, соответствующих требованиям к доверенному ПО.

Шаг 4: Выбор центра тестирования

Изучите список аттестованных центров тестирования, уполномоченных проводить экспертизу на соответствие дополнительным требованиям. Заключите предварительные соглашения или начните переговоры о стоимости и сроках проведения экспертизы. Процедура занимает до 30 рабочих дней после заключения договора.

Шаг 5: Подготовка документации

Подготовьте всю необходимую документацию: описание архитектуры, перечни программных модулей, руководства пользователя, политику обновлений. Особое внимание уделите документации по публичным программным интерфейсам (API), которая должна быть доступна пользователям.

Сроки и процедура включения в перечень

Процедура включения в перечень доверенного ПО начинается с подачи заявления в уполномоченный орган (Минцифры) через официальный сайт оператора реестра. После регистрации заявления у заявителя есть 30 рабочих дней на выбор центра тестирования и заключение договора.

Сама экспертиза проводится в течение 30 рабочих дней. По ее результатам формируется экспертное заключение, на основании которого уполномоченный орган принимает решение о соответствии или несоответствии. Решение о соответствии действует 3 года, после чего процедуру необходимо проходить заново (можно подать заявление не ранее чем за 3 месяца до истечения срока).

Важно отметить, что статус доверенного ПО может быть утрачен досрочно в случае выявления несоответствий требованиям, исключения из реестра российского ПО или истечения срока действия решения.

Важно: если вы не работаете с госорганами и госзакупками, то получение статуса доверенного ПО вашим продуктам и вашему бизнесу ничего не даст. Дополнительные налоговые льготы для доверенного ПО не предусмотрены. Размер пошлин и порядок их уплаты для данной процедуры пока не опубликованы.  

Заключение

Введение перечня доверенного ПО — это серьезный вызов для IT-отрасли, но одновременно и возможность для добросовестных разработчиков (в первую очередь крупных) укрепить свои позиции на рынке. Компании, которые уже сейчас начнут подготовку к новым требованиям, смогут избежать аврала в 2027 году и получить конкурентное преимущество. 

Главное — не откладывать аудит и тестирование на последний момент, так как процесс сертификации требует значительных временных и ресурсных затрат. Начните действовать сегодня, чтобы быть готовыми к завтрашним требованиям цифрового суверенитета.

И важно: если ваш продукт отсутствует в Реестре отечественного ПО, то статус доверенного он не получит ни при каких условиях. С этой процедурой лучше тоже не медлить. В этом вам могут помочь эксперты Онлайн Патента.