Реестр сертификатов ФСТЭК: сертифицированные средства защиты информации по профилям

Сертификат соответствия ФСТЭК России — документ, которым подтверждается, что средство защиты информации прошло испытания в аккредитованной лаборатории и отвечает требованиям определённого профиля защиты. Выдаёт его орган по сертификации, а сведения вносятся в Госреестр сертифицированных СЗИ, который ведёт ФСТЭК. У сертификата есть номер, заявитель, перечень документов, требованиям которых средство соответствует, и срок действия — обычно пять лет, но встречаются и бессрочные записи.

Сертификат нужен не всем и не всегда. Он обязателен там, где этого прямо требует нормативный акт: на значимых объектах критической информационной инфраструктуры, в государственных информационных системах, в информационных системах персональных данных при определённых уровнях защищённости. В остальных случаях продукт можно применять и без сертификата — но тогда его нельзя учитывать как сертифицированное средство защиты при проверке.

Сертификат на продукт — не то же самое, что лицензия ФСТЭК. Лицензия выдаётся организации на вид деятельности (техническая защита конфиденциальной информации, разработка средств защиты), сертификат — конкретному изделию конкретной версии. И то и другое не заменяет запись в реестре российского ПО: реестр отвечает на вопрос о происхождении продукта, сертификат — о его соответствии требованиям безопасности.

Как проверить сертификат по номеру

Актуальный статус смотрят в Госреестре СЗИ на reestr.fstec.ru — там же виден срок действия и запись о приостановке, если она есть. Проверять стоит перед каждой закупкой: реестр меняется молча, без объявлений. Мы ведём собственный архив срезов и показываем, что в нём менялось — продления, приостановки и исключения, которых в самом реестре не увидеть, потому что истории он не хранит.

Сколько сертификатов действует сейчас

На 5 сентября 2026 в Госреестре СЗИ ФСТЭК действует 788 сертификатов: 563 с конкретной датой окончания и 225 бессрочных. Ещё 3 записи приостановлены — на время приостановки средство нельзя считать сертифицированным. В ближайшие двенадцать месяцев истекает 90 сертификатов, это 16% всех срочных; в ближайшие полгода — 62.

Волна не случайна: пик выдачи пришёлся на 2021 год (52 сертификата), а типичный срок действия — пять лет. За 48 дней наблюдения реестр изменился так: 13 продлений, 23 новых записей и 19 исключённых.

Что значит «сертификат истёк»

Истечение срока означает, что перестал действовать именно этот сертификат, а не что продукт запрещён. Вендоры проходят переоформление, и в реестре появляется новая запись с новым сроком — иногда до даты истечения, иногда после. Проблема возникает в момент проверки или закупки: если действующего сертификата на эту дату нет, средство нельзя засчитать как сертифицированное там, где это обязательно. Отдельным списком мы держим сертификаты, истекающие в ближайший год.

Официальный источник — Госреестр сертифицированных средств защиты информации на сайте ФСТЭК России (reestr.fstec.ru/reg3). Искать в нём можно по номеру сертификата, наименованию средства или заявителю. Порядок проверки такой:

1. Найти запись по номеру сертификата. Номер вендор указывает в документации и на сайте; если номера нет — ищите по точному наименованию средства, а не по названию компании.
2. Сверить наименование и версию. Сертификат выдаётся на конкретное изделие определённой версии. Продукт с тем же названием, но другой версии сертификатом не покрыт.
3. Посмотреть статус. В реестре три состояния: действует, срок действия истёк и действие приостановлено. Приостановленный сертификат не считается действующим — на время приостановки применять средство там, где требуется сертифицированное СЗИ, нельзя.
4. Проверить срок. Часть сертификатов бессрочные, у остальных есть дата окончания. На 5 сентября 2026 действующих — 788, из них 563 с датой окончания и 225 бессрочных.
5. Сверить профиль и класс защиты. Сертификат подтверждает соответствие конкретному профилю (ИТ.МЭ, ИТ.СОВ, ИТ.САВЗ и другим) и классу. Средство с сертификатом по профилю межсетевого экрана не закрывает требование к системе обнаружения вторжений.
6. Посмотреть заявителя. Заявитель в реестре и правообладатель продукта — не всегда одно лицо: сертификат нередко оформлен на дочернюю компанию холдинга.

Главная ловушка — не отсутствие сертификата, а его срок. Реестр не уведомляет об истечении, а продление занимает время: в ближайшие двенадцать месяцев истекает 90 сертификатов, это 16% всех срочных. Поимённый список — на странице истекающих сертификатов, а что менялось в реестре за время наблюдения — в хронике.

Чтобы применить средство защиты на значимом объекте КИИ, в государственной информационной системе или там, где обязательны меры ФСТЭК, средство должно иметь действующий сертификат соответствия по нужному профилю защиты. Проверка «есть ли у продукта сертификат и не истёк ли он» — рутинная задача при выполнении требований к КИИ и подготовке к закупкам.

Справочник сводит эти данные из Госреестра ФСТЭК в удобные списки по профилям и связывает их с реестром российского ПО и каталогом классов СЗИ.

Профиль защиты — это утверждённый ФСТЭК набор требований к определённому типу средств защиты информации. Средство проходит сертификационные испытания в аккредитованной лаборатории именно на соответствие профилю, и в сертификате указывается, какому профилю и какому классу защиты продукт отвечает. Для межсетевых экранов это профиль ИТ.МЭ, для систем обнаружения вторжений — ИТ.СОВ, для средств антивирусной защиты — ИТ.САВЗ.

Внутри профилей средства делятся на классы защиты и типы: у межсетевых экранов, например, выделяют типы (А, Б, В, Г, Д, Е — по уровню применения) и шесть классов защиты, где меньший номер класса означает более высокие требования. Один многофункциональный продукт может иметь сертификаты сразу по нескольким профилям — тогда он присутствует в нескольких списках справочника.

Списки формируются из Госреестра сертифицированных СЗИ ФСТЭК: остаются только действующие на текущую дату сертификаты, а несколько сертификатов и исполнений одного средства сводятся к одной строке. Справочник пополняется — сейчас пять категорий (межсетевые экраны, обнаружение вторжений, антивирусы, средства доверенной загрузки и DLP), далее добавим средства контроля съёмных носителей, защищённые ОС и другие.