В последние годы вопросы сертификации программного обеспечения приобретают всё большую актуальность. В связи с масштабной цифровизацией в экономике и господдержкой IT-отрасли, механизм подтверждения соответствия программных продуктов установлен четко действующим законодательством: от ФЗ-184 «О техническом регулировании» до постановлений Правительства о национальных и межгосударственных стандартах. Разобраться в этой сфере зачастую непросто: какие программы подлежат обязательной сертификации, а где достаточно добровольной оценки, какие требования предъявляются при работе с государственным сектором, сколько стоит оформление документов? Юристы и эксперты центра «СертЦентр» ежедневно сопровождают компании по вопросам подтверждения соответствия ПО, и готовы поделиться экспертным мнением и реальными кейсами.
Зачем нужна сертификация компьютерной программы?
Основная задача сертификации — официально подтвердить, что программное обеспечение отвечает заявленным характеристикам и требованиям ГОСТ, ТУ или отраслевым нормативам безопасности. Наличие сертификата открывает широкие возможности:
- доступ к государственным и корпоративным тендерам (44-ФЗ, 223-ФЗ);
- выход на зарубежные рынки;
- гарантия качества перед партнёрами и пользователями;
- защита авторских прав и юридическая прозрачность;
- снижение претензий контролирующих органов.
Особенно значима сертификация в таких сферах, как информационная безопасность, критически важная инфраструктура, медицинское, бухгалтерское и образовательное ПО. В ряде случаев наличие сертификата — не право, а обязанность поставщика.
Регуляторные требования к сертификации ПО
На сегодняшний день в РФ отсутствует единая обязательная система государственной сертификации всех компьютерных программ. Однако существует целый спектр нормативных актов, регламентирующих оценку соответствия отдельных категорий софта:
- ГОСТ Р 56939-2016 «Информационные технологии. Программное обеспечение. Требования к инспекции программной продукции»;
- ГОСТ Р 51275-2006 для автоматизированных систем;
- СТО БР ИББС-1.0-2014 (стандарты Банка России по защите информации);
- Постановления Правительства РФ от 01.12.2009 № 982 (Об утверждении единого перечня продукции…);
- Приказ ФСТЭК РФ от 14.03.2014 № 31 — сертификация по безопасности информации;
- Письма Минцифры по процедурам подтверждения происхождения ПО;
- Требования, установленные Федеральным законом № 152-ФЗ «О персональных данных».
Для ряда классов программных продуктов могут применяться положения ТН ВЭД ЕАЭС, если планируется экспорт или импорт ПО на физических носителях. Из добровольных систем сертификации наиболее популярна ГОСТ Р и регистрация в едином реестре российского ПО (приказ Минкомсвязи № 658 от 31.12.2015).
Виды и схемы сертификации программ
В практике центра «СертЦентр» наиболее востребованы:
| Тип сертификации | Описание | Основание (документы, законы) |
|---|---|---|
| Обязательная | Требуется для защиты информации, работы с персональными данными, при взаимодействии с госорганами, критической инфраструктурой | Приказ ФСТЭК РФ № 31, ФЗ-152, отраслевая регуляция |
| Добровольная | Оформление по желанию правообладателя для повышения статуса и конкурентоспособности ПО | ГОСТ Р 56939-2016, ТУ, доп. стандарты, корпоративные политики |
| Добровольная регистрация в Реестре российского ПО | Не формальная сертификация, но важный этап для подтверждения российского происхождения и получения льгот (налог, участие в закупках) | Приказ Минцифры № 658 |
Схема подтверждения включает подачу заявки, экспертизу документации, лабораторные и функциональные испытания и получение итогового сертификата соответствия. Для некоторых типов достаточно проведения аттестационных испытаний по контрольным требованиям безопасности.
Порядок и этапы оформления
Сам процесс занимает от 1 до 3 месяцев, в зависимости от вида ПО и объемов документации. В «СертЦентр» заявителю последовательно необходимо:
- Сформулировать требования к ПО (Техническое задание, описание архитектуры, состав модулей и функции);
- Предоставить исходные данные (программные модули, исходный код при необходимости, файлы дистрибутива);
- Оформить заявку с комплектом документов: свидетельство о праве, лицензии, паспорта безопасности (при необходимости);
- Согласовать объем и схему испытаний в аккредитованной лаборатории;
- Провести анализ и экспертизу — функциональное и (или) нагрузочное тестирование;
- Получить протоколы испытаний;
- Оформить заключительный пакет бумаг и получить сертификат или заключение — документ государственного образца или, при добровольной схеме, по установленной форме.
Средние затраты на сертификацию
Цены варьируются в зависимости от сложности, типа и объема работы:
- Добровольная сертификация — от 55 000 до 150 000 руб.
- Сертификация по требованиям ФСТЭК — 250 000 до 650 000 руб.
- Испытания на соответствие корпоративным стандартам — от 80 000 руб.
- Регистрация в реестре российского ПО — от 40 000 руб.
Дополнительно оплачиваются услуги перевода, доработки/анализ исходного кода, лабораторных работ. Итоговая цена фиксируется в договоре.
Ответы на частые вопросы
Вопрос: Какие программы подлежат обязательной сертификации?
Ответ «СертЦентр»: В первую очередь — софт, реализующий средства защиты информации (антивирусы, межсетевые экраны, СКЗИ), а также решения для обработки персональных данных, если это предусмотрено внутренними или отраслевыми требованиями. Остальное ПО проходит добровольную оценку.
Вопрос: Каков срок действия сертификата на ПО?
Ответ: Обычно срок действия документа — от 1 года до 3 лет, в зависимости от схемы сертификации, но при изменениях программы (обновления, переход на новую версию, существенные изменения алгоритмов) может требоваться повторное испытание или продление.
Вопрос: Какие документы предоставляет заявитель на этапе проверки?
Ответ: Заявление, техническое задание или описание функций, регистрационные документы компании, документы на ПО (авторское право или лицензионный договор), сертификаты менеджеров проекта, (опционально) исходный код и схемы защиты информации.
Вопрос: Обязательно ли раскрывать исходный код?
Ответ: Только при сертификации по требованиям информационной безопасности определенных классов (например, ФСТЭК и ФСБ) для проведения анализа защищённости. При добровольной сертификации, как правило, достаточно демонстрации функционала.
Реальные примеры из практики «СертЦентр»
В 2023 году одним из кейсов стало сопровождение регионального разработчика медицинской системы (электронная история болезни), который для участия в крупных тендерах был обязан представить комплект сертификатов по информационной безопасности и подтвердить совместимость с отечественными платформами. Сотрудники центра помогли собрать пакет документов, провести независимую экспертизу, организовать испытания. Проект был признан соответствующим последним требованиям ФСТЭК и успешно включён в региональный реестр решений.
Другой кейс — интегратор финансового ПО оформил добровольный сертификат по требованиям корпоративного заказчика (ГОСТ Р 56939-2016), что позволило значительно расширить рынок и упростить вхождение в корпоративные сети при внедрении продуктов. Сертификация ПО позволяет и стартапу, и крупному бизнесу оперативно встраиваться в современные цифровые процессы, получать доступ к заказчикам и государственным мерам поддержки.
Выводы и современные тенденции
Эксперты «СертЦентр» отмечают, что сертификация ПО больше не воспринимается как формальность — это инструмент реального повышения доверия и конкурентоспособности продуктов на российском и международном рынках. Современные вызовы (импортозамещение, рост требований к безопасности, цифровые госуслуги) диктуют новые подходы к проверке программ.
Мы готовы оперативно, прозрачно и экспертно проводить комплекс работ по любым видам сертификации — от простых решений до сложных автоматизированных систем, ориентируясь на нужды разработчиков и конечных пользователей.