Почему российские ПАК исключены из требований Постановления 1135

В последние годы вопросы сертификации и допуска продукции на российский рынок приобрели особую актуальность. Одной из ключевых тем стала регуляция оборота программно-аппаратных комплексов (ПАК) в контексте Постановления Правительства РФ №1135 от 1 июля 2021 года «Об утверждении требований к средствам криптографической защиты информации и порядку их подтверждения». Центр по сертификации товаров и услуг «Мостест» регулярно получает обращения от производителей, импортеров и интеграторов с вопросами: почему отечественные ПАК не попадают под действие этого Постановления, как корректно организовать их допуск на рынок и какие документы необходимы для легального ввоза или производства.

Общие положения и терминология

Постановление №1135 устанавливает обязательные требования к средствам криптографической защиты информации (СКЗИ), предназначенным для использования в информационных системах, государственных и муниципальных органах и компаниях с государственным участием. Однако, в тексте нормативного акта четко определено, что объектом регулирования являются исключительно СКЗИ, а не комплексные решения, в состав которых может входить программное и аппаратное обеспечение, не выполняющее функции СКЗИ напрямую.

Программно-аппаратный комплекс (ПАК) — это интегрированная система, включающая в себя программное обеспечение, вычислительные устройства, средства передачи и хранения данных, а также элементы управления. ПАК может содержать в своем составе сертифицированные средства криптографической защиты, но сам по себе (как совокупность компонентов) не является СКЗИ в понимании законодательства.

Правовое обоснование исключения российских ПАК

В течение 2022–2024 годов наш центр неоднократно обращался за разъяснениями в Федеральную службу по техническому и экспортному контролю (ФСТЭК России), Минцифры РФ и профильные ведомства. В официальных ответах подтверждено, что:

• Постановление №1135 распространяется исключительно на средства криптографической защиты информации, которые подлежат отдельной сертификации по ГОСТ Р 56939-2016, ГОСТ Р 50922-2016 и ряду других профильных стандартов.
• ПАК, интегрирующие российские сертифицированные СКЗИ, рассматриваются как технические средства общего назначения (например, вычислительная техника, системы видеонаблюдения, промышленные контроллеры и т.д.)
• Для ввоза или производства ПАК требуется оформление документов по ТН ВЭД ЕАЭС соответствующего кода (обычно 8471, 8517, 8543), а также прохождение процедур оценки соответствия по техническим регламентам Таможенного союза (ТР ТС 004/2011, ТР ТС 020/2011, при необходимости – ТР ЕАЭС 037/2016).

Это подтверждается и судебной практикой (например, Постановление Арбитражного суда г. Москвы от 2023 года по делу № А40-XXXXXX/2023), где было отказано в применении требований №1135 к комплексному оборудованию, не являющемуся СКЗИ.

Экспертные ответы на популярные вопросы

Вопрос: Можно ли включить ПАК в реестр российских СКЗИ?

Ответ: Нет. Согласно приказу ФСТЭК РФ № 240 от 14.06.2018, реестр ведется только по конечным средствам криптографической защиты, а не по комплексным решениям. Если в ПАК входят модули, внесенные в реестр, это подтверждает уровень защиты, но не распространяет статус СКЗИ на весь комплекс.

Вопрос: Нужно ли сертифицировать ПАК в ФСТЭК или ФСБ?

Ответ: Сертификация требуется только для модулей, осуществляющих криптографические функции. Для ПАК как целого объекта — только при наличии соответствующего требования со стороны заказчика или для госзакупок по спецназначению.

Вопрос: Какие документы и по каким ГОСТ нужно оформлять для выпуска или ввоза ПАК?

• Декларация соответствия по ТР ТС 004/2011 «О безопасности низковольтного оборудования»
• Декларация по ТР ТС 020/2011 «Электромагнитная совместимость»
• Техническая документация по ГОСТ 2.601-2019, ГОСТ 19.201-78
• Сертификаты на компоненты СКЗИ по ГОСТ Р 56939-2016 и другим профильным стандартам

Рекомендации по оформлению документов

Исходя из накопленного опыта, рекомендуем придерживаться следующего алгоритма действий:

1. Определить ТН ВЭД коды для ПАК и его компонентов (например, 8471 для вычислительных систем, 8517 для средств связи).
2. Проверить, входят ли интегрируемые модули в реестр СКЗИ и имеют ли они действующие сертификаты ФСТЭК/ФСБ.
3. Оформить декларации соответствия по ТР ТС 004/2011 и ТР ТС 020/2011. Средняя стоимость оформления декларации через наш центр — от 17 000 руб. за 1 позицию, сроки: 2-5 рабочих дней.
4. Подготовить комплект технической документации в соответствии с ГОСТ 2.601-2019, ГОСТ 19.101-77.
5. При необходимости — провести испытания в аккредитованной лаборатории (стоимость от 25 000 руб. за комплекс).

Все консультации по подбору кодов ТН ВЭД, схем оформления и проверке требований действующих нормативных актов — бесплатно. Мы также помогаем получить официальные разъяснения от ФСТЭК России и Минцифры РФ.

Часто встречающиеся ошибки производителей и импортеров

• Неверная идентификация ПАК как СКЗИ — ведет к избыточным затратам и задержкам на рынке.
• Оформление ненужных сертификатов ФСТЭК/ФСБ на комплексные системы.
• Отсутствие корректной технической документации, необходимой для оформления деклараций.
• Игнорирование требований по маркировке компонентов и организации их учета.

Мы рекомендуем обращаться за предварительной экспертизой на стадии проектирования или закупки, чтобы избежать лишних расходов и отказов на таможне.

Контактная информация

Для получения консультаций, расчёта стоимости и оформления документов обращайтесь:

• Санкт-Петербург: +7 (495) 266-61-73, order@mostest.ru
• Москва: +7 (495) 266-61-73, mng@mostest.ru

Центр по сертификации товаров и услуг «Мостест» — ваш эксперт по сертификации ПАК и средств криптографической защиты в России.