Государство создаст собственную систему доверия к российскому ПО

Минцифры намерено с 2027 года запустить выдачу сертификатов электронной подписи программного кода российским разработчикам. Следующим этапом станет внедрение корпоративных сертификатов безопасности, которое запланировано на 2028 год. Сертификаты подписи кода позволят подтверждать происхождение программного обеспечения и выявлять изменения, внесенные в него после выпуска. Сведения о разработчике будут включаться непосредственно в установочный файл. Благодаря такой электронной метке ОС сможет распознавать издателя приложения и уведомлять пользователя, если ПО распространяется от имени неизвестной компании.

Правовую основу для работы новой системы должен дополнить проект правительственного постановления, обнародованный в конце октября. Документ предусматривает передачу Минцифры функций Национального удостоверяющего центра (НУЦ). Министерство получит право определять требования к сертификатам и продолжительность их действия, заниматься выпуском и отзывом, формировать ключи, а также вести соответствующий реестр.

Законодательное оформление НУЦ, включая закрепление его статуса и полномочий, предусмотрено законом № 210-ФЗ от 26 июня 2026 года. Его положения вступят в силу 1 марта 2027 года. До этого функции центра фактически обеспечивал НИИ «Восход», находящийся в ведении Минцифры. В 2022 г. институт создал информационную систему НУЦ, в 2025 г. получил статус исполнителя закупок министерства, связанных с эксплуатацией центра в 2025-2026 гг. Новое законодательство разграничивает полномочия самого удостоверяющего центра и работу ГИС, обеспечивающей формирование сертификатов. Организацию, ответственную за эксплуатацию этой инфраструктуры, правительству предстоит выбрать по согласованию с ФСБ. При этом опубликованный проект не проясняет, сохранит ли НИИ «Восход» функции технического оператора после 1 марта 2027 года.

На действующем этапе бесплатная выдача сертификатов организована только для сайтов через портал «Госуслуги». Как уточнили в Минцифры, возможность направлять заявки через этот сервис уже предоставлена и владельцам информационных систем. Вместе с тем новый закон разрешает устанавливать плату за все категории сертификатов, включая предназначенные для веб-ресурсов, ИС, программного кода и корпоративного взаимодействия. Однако обязательного перехода на платную модель документ не предусматривает. Если соответствующее решение будет принято, стоимость услуг НУЦ не сможет превышать предельный уровень, механизм определения которого должно утвердить правительство.

Условия деятельности удостоверяющего центра детализируются в отдельном проекте приказа Минцифры, подготовленном также в конце октября. Документ предусматривает, что при введении платы регламент НУЦ должен закреплять процедуру расчетов и сроки внесения средств. Для государственных органов, муниципальных структур, ЦБ и организаций, включенных в специальный правительственный перечень, выдача сертификатов останется бесплатной. Пока ведомство не установило ни тарифов, ни самого факта перехода к платному обслуживанию. Открытым остается и вопрос о сроках оформления сертификатов и периодах их действия: соответствующие параметры предстоит определить НУЦ.

Окончательное решение о назначении оператора информационной системы центра, согласно закону, остается за правительством. В Минцифры пояснили, что конкретные технические решения, характеристики инфраструктуры, процедуры выдачи сертификатов разных категорий и вопросы организационного и кадрового обеспечения будут урегулированы подзаконными актами и внутренними документами после утверждения основного постановления. При этом, как следует из проекта, реализация предусмотренных изменений не потребует дополнительного финансирования.

О технологических ограничениях российских сертификатов подписи кода сообщалось в конце августа. Такие инструменты полноценной заменой зарубежным решениям станут лишь на российском рынке. Причина заключается в отсутствии доверия иностранных платформ к отечественному корневому сертификату. На тот момент, по информации представителя Минцифры, НУЦ еще не приступил к выпуску сертификатов этой категории. Их поддержку планировалось встроить в российские операционные системы и RuStore.

Параллельно собственную инфраструктуру сертификации развивала ИТ-отрасль. Технологические компании с 2025 года испытывали Отраслевой технологический удостоверяющий центр (ОТУЦ), среди задач которого также значилась выдача сертификатов подписи программного кода. Однако принятый закон закрепил полномочия по их выпуску за государственным НУЦ, оставив некоммерческим организациям лишь возможность принимать обращения разработчиков.

Эксперты отмечают риски совмещения Минцифры функций регулятора и оператора по выдаче сертификатов. Для обеспечения прозрачности необходимы независимый аудит, понятные тарифы, четкие сроки и механизм обжалования решений. По оценкам специалистов, стоимость одного сертификата может составить 2000-5000 рублей, что соответствует расценкам коммерческих удостоверяющих центров. Для полноценной работы системы потребуется интеграция сертификатов в российские операционные системы, браузеры и магазины приложений. При этом за рубежом отечественные сертификаты по-прежнему могут не признаваться, поэтому экспортерам придется использовать несколько цифровых подписей. Дополнительные вопросы вызывает возможность введения платы за обязательную сертификацию, которая создаст финансовую нагрузку на бизнес.