Оценка соответствия и сертификация СЗИ ФСТЭК: как проходит и где проверить сертификат

Федеральный закон № 184-ФЗ «О техническом регулировании» различает широкое понятие «оценка соответствия» и более узкое «подтверждение соответствия». Подтверждение соответствия — это декларирование и сертификация; оценка соответствия — более широкий набор форм, куда применительно к СЗИ входят ещё испытания и приёмка. Статья 20 закона: подтверждение соответствия может быть добровольным (форма — добровольная сертификация) или обязательным (декларация о соответствии либо обязательная сертификация).

Для значимых объектов критической информационной инфраструктуры это правило раскрыто прямо — в приказе ФСТЭК № 239, п. 28 (подробнее — «Приказ ФСТЭК № 239: требования к защите значимых объектов КИИ»). Это и есть главный тезис статьи: сертификация — распространённый, но не единственный путь подтвердить соответствие СЗИ требованиям безопасности.

На рынке ИБ словом «сертификация» часто называют вообще любое подтверждение того, что продукт признан безопасным регулятором. Это не совсем точно. Оценка соответствия СЗИ по российскому законодательству — более широкое понятие, и сертификация — лишь одна из форм наряду с испытаниями и приёмкой. Дословная формулировка для значимых объектов критической информационной инфраструктуры (приказ ФСТЭК № 239, п. 28):

«Для обеспечения безопасности значимых объектов должны применяться средства защиты информации, прошедшие оценку соответствия требованиям по безопасности информации в форме обязательной сертификации, испытаний или приёмки… Сертифицированные средства защиты информации применяются в случаях, установленных законодательством Российской Федерации, либо по решению субъекта критической информационной инфраструктуры».

Для государственных информационных систем норма жёстче: приказ ФСТЭК о требованиях к защите ГИС формулирует требование без явной альтернативы — «для защиты информации должны применяться сертифицированные средства защиты информации в соответствии с инструкциями (правилами) по их эксплуатации». На практике для ГИС де-факто нужен именно сертификат, тогда как для значимых объектов КИИ заказчик формально вправе выбрать одну из трёх форм (подробнее — «Приказ ФСТЭК № 117 (сменил № 17): требования к защите ГИС»).

↔ таблицу можно прокрутить вбок

Базовый акт уровня правительства — постановление Правительства РФ от 26.06.1995 № 608 «О сертификации средств защиты информации» (в редакции от 21.04.2010). Оно вводит рамочный принцип обязательности сертификации СЗИ для гостайны и конфиденциальной информации в органах власти и относит организацию сертификации к компетенции федеральных органов; детальный порядок делегирован ведомственным актам.

Кто именно сертифицирует, задаёт статья 28 Закона РФ от 21.07.1993 № 5485-I «О государственной тайне»: «Средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности». Организацию сертификации закон возлагает на ФСТЭК России, ФСБ России и Минобороны России — каждый в пределах своей компетенции, а координацию работ — на межведомственную комиссию по защите государственной тайны.

На практике: ФСТЭК России сертифицирует основной массив рынка — межсетевые экраны, антивирусы, СОВ, СДЗ, СЗИ от несанкционированного доступа; ФСБ России ведёт отдельную систему сертификации для криптографических средств (тема СКЗИ по линии ФСБ — за рамками этой статьи); Минобороны России — узкая сфера Вооружённых сил. Дальше речь только о системе сертификации ФСТЭК.

Действующий операционный документ — приказ ФСТЭК России от 03.04.2018 № 55 «Об утверждении Положения о системе сертификации средств защиты информации», зарегистрированный в Минюсте 11.05.2018 за № 51063. Он заменил собой более старое Положение, утверждённое приказом Гостехкомиссии России от 27.10.1995 № 199, — ссылки на «Положение № 199» до сих пор встречаются в сети, но действующий документ уже несколько лет как приказ ФСТЭК № 55.

Редакция менялась приказами от 05.08.2021 № 121, от 19.09.2022 № 172 и, по последней сверке, от 20.01.2026 № 9 — документ поддерживается в актуальном состоянии. Сама система сертификации ФСТЭК зарегистрирована в национальной системе аккредитации под номером РОСС RU.0001.01БИ00 — этот номер системы не нужно путать с номером конкретного сертификата продукта (о нём — в разделе про срок действия).

↔ таблицу можно прокрутить вбок

По Положению, утверждённому приказом ФСТЭК № 55, у системы сертификации СЗИ четыре типа участников.

Укрупнённо процесс сертификации СЗИ по ФСТЭК выглядит так:

1. Заявка. Заявитель — изготовитель или разработчик СЗИ — подаёт заявку на сертификацию в аккредитованный орган по сертификации вместе с комплектом документов: технической и эксплуатационной документацией на продукт.
2. Рассмотрение заявки. По устойчивой отраслевой практике ФСТЭК России рассматривает заявку и приложенные документы в течение 15 календарных дней с даты получения.
3. Направление на испытания. Орган по сертификации направляет образец СЗИ и документацию в аккредитованную испытательную лабораторию — на сертификационные испытания. Их состав (функциональное тестирование, анализ уязвимостей и недекларированных возможностей, при необходимости анализ скрытых каналов) зависит от требуемого уровня доверия по приказу ФСТЭК № 76.
4. Протокол и экспертиза. Испытательная лаборатория оформляет протокол испытаний и передаёт его в орган по сертификации, который проводит экспертизу результатов и документации и готовит заключение.
5. Решение и внесение в реестр. Решение о выдаче сертификата принимает ФСТЭК России как федеральный орган по сертификации на основании заключения органа по сертификации. Сведения вносятся в Государственный реестр сертифицированных СЗИ, заявителю выдаётся сертификат соответствия.
6. Инспекционный контроль. В течение срока действия сертификата проводится периодическая проверка того, что продукт продолжает соответствовать требованиям сертификации.

Есть минимум две модели. При сертификации единичного образца или партии отдельный срок действия не устанавливается — сертификат привязан к конкретному экземпляру. При сертификации серийного производства СЗИ считается сертифицированным, только если произведено в период действия сертификата на серийное производство. Кого именно ФСТЭК аккредитовала в качестве органов по сертификации и испытательных лабораторий, можно проверить в открытых реестрах reestr.fstec.ru/reg6 и reestr.fstec.ru/reg7 — они ведутся отдельно от госреестра сертифицированных продуктов.

Методологическая база — ГОСТ Р ИСО/МЭК 15408 («Общие критерии»): национальный стандарт, вводящий понятия «профиль защиты» (типовой набор требований для класса продуктов) и «задание по безопасности» (требования к конкретному продукту). ФСТЭК России использует эту методологию как основу для профилей защиты по каждому типу СЗИ — ниже приказ для каждого распространённого типа.

↔ таблицу можно прокрутить вбок

Отдельная смежная процедура — сертификация процессов безопасной разработки ПО СЗИ по приказу ФСТЭК № 240 от 01.12.2023 (в ред. приказа № 230 от 30.06.2025), действующему с 01.06.2024. Это не сертификация продукта, а сертификация процесса разработки — тема отдельного материала.

• Гостайна — только сертификация, без альтернатив (ст. 28 закона № 5485-I).
• ГИС — де-факто только сертификация, см. приказ ФСТЭК № 117 (ранее № 17).
• Значимые объекты КИИ — сертификация, испытания или приёмка на выбор, см. приказ ФСТЭК № 239.
• ИСПДн — оценка соответствия нужна, если СЗИ применяется для нейтрализации актуальных угроз (приказ ФСТЭК № 21 от 18.02.2013); для УЗ-1/УЗ-2 на практике это сертифицированные средства.
• Коммерческий рынок вне регулируемых сфер — сертификация добровольная, по инициативе производителя (ст. 20 184-ФЗ) — ради доверия заказчиков и тендерных требований.

Три документа, которые на рынке регулярно смешивают, хотя это разные процедуры с разным предметом проверки и разными объектами регулирования.

↔ таблицу можно прокрутить вбок

reestr.fstec.ru/reg3 — «Государственный реестр сертифицированных средств защиты информации», государственная информационная система, которую ведёт ФСТЭК России в рамках системы сертификации РОСС RU.0001.01БИ00. По согласованному описанию из нескольких независимых источников карточка записи реестра содержит:

• номер сертификата соответствия;
• дату внесения в реестр и срок действия сертификата;
• наименование средства защиты информации (шифр, модель);
• назначение (тип) средства — МЭ, СОВ, САВЗ, СДЗ, СКН, СЗИ от НСД и другие;
• класс защиты и отдельным полем — уровень доверия;
• схему сертификации (единичный образец/партия либо серийное производство);
• испытательную лабораторию, проводившую испытания;
• заявителя (производителя) и его реквизиты.

Практический порядок проверки сертификата конкретного продукта:

1. Откройте reestr.fstec.ru/reg3.
2. Введите в поиск номер сертификата, напечатанный на самом документе, либо название продукта или производителя.
3. В карточке проверьте, что срок действия сертификата не истёк, что класс защиты и (если требуется) уровень доверия соответствуют требованиям проекта, и что версия продукта совпадает с той, что реально разворачивается.

↔ таблицу можно прокрутить вбок

Включение продукта в один реестр не означает автоматического включения в другой. Продукт может быть в реестре российского ПО, но не быть сертифицированным СЗИ — если он не относится к ИБ-функциональности либо просто не проходил сертификацию. И наоборот: сертифицированное ФСТЭК СЗИ может быть зарубежным продуктом — сертификация не требует российского происхождения как условия.

Отдельный разбор реестра российского ПО и его связи с классом СЗИ — в материале «Реестр российского ПО Минцифры».

Срок действия сертификата соответствия указывается в заявке на сертификацию и, по согласованным отраслевым источникам, как правило не превышает 5 лет — распространены сертификаты на 3 или 5 лет. Для сертификации единичного образца или партии отдельный срок действия не устанавливается: сертификат привязан к конкретному экземпляру. Для сертификации серийного производства средство считается сертифицированным, только если произведено в период действия сертификата на серийное производство оценка.

В течение срока действия сертификата проводится инспекционный контроль — периодическая проверка того, что сертифицированное СЗИ продолжает соответствовать предъявленным при сертификации требованиям, в том числе отсутствие несогласованных изменений в продукте или документации. По истечении срока заявитель вправе подать заявку на продление; по имеющимся описаниям сертификационные испытания при продлении проводятся по сокращённой программе, а не с нуля оценка.

Если СЗИ применяется там, где сертификация обязательна — гостайна, ГИС, отдельные случаи значимых объектов КИИ, — а сертификат истёк и не продлён либо не выдавался вовсе, это формальное несоответствие обязательным требованиям по защите информации: оно может обнаружиться при проверках ФСТЭК, категорировании и приёмке значимого объекта КИИ, аттестации ГИС или расследовании инцидента.

Точную норму ответственности именно за факт применения несертифицированного СЗИ в рамках подготовки материала не устанавливали — для конкретного проекта тему стоит закрывать отдельной юридической проверкой уточняется.