| Разработчики: | Министерство цифрового развития, связи и массовых коммуникаций РФ (Минцифры), ФГАУ НИИ Восход |
| Отрасли: | Информационные технологии |
Содержание |
2025
В России появится госсистема тестирования доверенного программного обеспечения
В конце ноября Правительство РФ опубликовало постановление № 1931 «Об утверждении правил формирования и ведения перечня доверенных российских программ для электронных вычислительных машин и баз данных»[1], которое вступает в силу с 1 марта 2026 года и будет действовать по 1 марта 2032 года. В нем, в частности, предполагается, что Минцифры должно построить систему аккредитованных центров тестирования, которые будут проверять ПО с помощью специальных испытательных полигонов.
 | На сегодняшний день не все программные продукты, включенные в Единый реестр российского ПО, являются одинаково российскими, – считает Игорь Корчагин, руководитель департамента безопасности «ИВК». – В реестре есть продукты, которые позиционируются как отечественные, но на самом деле являются клонами зарубежных. Переход на них не дает возможности организации или предприятию выполнить требования указа №166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры РФ». |  |
Поэтому, по мнению эксперта, и возникла необходимость более тщательной проверки программных продуктов на доверенность. Правительство инициирует создание соответствующей системы оценки ПО с учетом специальных требований для применения в критических сегментах ИТ-инфраструктуры. Для этого будет создана сеть центров тестирования.
| | Тестирование ПО и отнесение его к категории доверенного уже сейчас производится в рамках множества приказов Центробанка, ФСТЭК или ФСБ, – заметил TAdviser Константин Ващенков, технический директор компании «Хи-Квадрат». – Однако, безусловно, есть потребность в гармонизации данного направления. Первая задача, которую пытаются решить ответственные органы, это унификация процесса на уровне различных министерств и ведомств. Выработка единого стандарта оценки степени доверенности ПО. | |
Собственно, возможность построения системы тестирования ПО на базе Минцифры появилась в связи с изменениями в закон №187-ФЗ «О безопасности КИИ РФ», которые внес принятый весной этого года закон №58-ФЗ. В частности, в нем сказано, что до 2030 года правительство РФ вправе устанавливать требования по информационной безопасности к значимым объектам критической информационной инфраструктуры (ЗОКИИ) такие же как для госИС. В результате правительство и приняло постановление о тестировании доверенного ПО аж до 1 марта 2032 года.Переход на отечественную информационную систему управления и учета по мировым стандартам 
В соответствии с правилами, перечень доверенного ПО будет базироваться на госИС «Реестры программ для электронных вычислительных машин и баз данных», а обеспечивать его работу будет Минцифры. Чтобы попасть в этот перечень, разработчик программного обеспечения должен пройти процедуру регистрации, одним из пунктов которой является следующий:
| | Заявитель в течение 30 рабочих дней со дня регистрации заявления о включении сведений выбирает центр тестирования, заключает с центром тестирования договор о проведении экспертизы программного обеспечения на предмет соответствия требованиям к доверенному программному обеспечению и представляет в уполномоченный орган копию указанного договора, – указано в правилах формирования и ведения перечня доверенных российских программ. | |
Далее в течение 30 дней центр тестирования должен провести экспертизу ПО в том числе и на соответствие требованиям информационной безопасности к госИС, которые изложены в законе №149-ФЗ «Об информации, информационных технологиях и о защите информации». Эти требования устанавливаются ФСБ России и ФСТЭК, то есть все программное обеспечение для ЗОКИИ должно быть протестировано на соответствие требованиям в том числе и ИБ.
| | Как нам видится, проверка и попадание в перечень доверенного ПО – это процедура, подобная получению лицензии ФСТЭК, но более мягкая, – пояснил TAdviser Константин Ващенков. – Своего рода первичное заключение без необходимости проходить технически сложную процедуру получения заключения от ФСТЭК, которая зачастую тормозит вывод нового ПО на рынок. | |
Система тестирования аналогична сертификации средств защиты, которую выполняет ФСТЭК, поскольку проверка идет по одним и тем же требованиям. Однако тестированием ПО будут заниматься центры тестирования, аккредитованные Минцифры, а не лаборатории ФСТЭК, как в случае сертификации средств защиты. Но это не точно.
| | У испытательных лабораторий, которые занимаются процедурами сертификации ПО, накоплен огромный опыт и экспертиза таких работ, – поделился своим мнением с TAdviser Сергей Коловангин, начальник отдела информационных технологий компании «Газинформсервис». – Наверняка они примут самое деятельное участие в задачах тестирования ПО. Возможности открываются у тех участников, кто включит в перечень услуг тестирование новых технологий, например, связанных с ИИ. | |
Если разработчики средств защиты давно живут в реалиях сертификации своего ПО, то для всех остальных разработчиков программного обеспечения подобные требования могут оказаться неожиданностью. Поэтому одним из важных вопросов является насколько российские разработчики ПО готовы к прохождению тестирования своих продуктов по требованиям ФСТЭК.
| | Крупные готовы, – заявил TAdviser Данила Трусов, директор продукта «Инферит ИТМен». – Средним придется подтянуть процессы: безопасность, качество кода, документацию. В целом рынок давно к этому шел. Главный риск — чтобы это не превратилось в перегретый рынок с гигантскими бюджетами и бессмысленной бюрократией. Это сильно влияет на затраты любого вендора: как следствие повышается рекомендованная розничная цена для конечного потребителя, увеличивается цикл доставки дистрибутива после релиза до потребителя. Если сделать все через реальный контроль качества, а не через бумажный ритуал, отрасль только выиграет. | |
Центрам тестирования, скорее всего, придется проверять огромное количество программ, разработанных в рамках проектов с открытыми кодами. Это может создать проблемы при их тестировании и подтверждении доверенности.
| | Сегодня многие продукты, включенные в ЕРРП, создаются на базе открытого кода с минимальными модификациями и без раскрытия состава техстека, – заметил TAdviser Андрей Гулидин, заместитель генерального директора по развитию бизнеса «Т1 Иннотех». – Это мешает организациям собственноручно проверять безопасность решения, приводит к рискам несовместимости с их инфраструктурой и фактически превращает открытые коды в закрытый продукт без прозрачности. | |
По мнению эксперта, новая инфраструктура тестирования должна устранить эти проблемы: гарантировать надежность и безопасность решений, обеспечить доступность проверенных проектов с открытыми кодами и создать условия, при которых компании смогут использовать такие технологии легально, прозрачно и без угроз для безопасности. Для полноценной работы такой системы потребуется дополнительное нормативное регулирование — определение функций оператора репозитория доверенных кодов, правил его проверки и тарифов.
| | Реестровое отечественное ПО должно соответствовать определенным стандартам качества, – считает Евгений Смирнов, управляющий партнер Navicon. – Поэтому повышение правительством критериев качества для доверенных российских программ — правильный и своевременный шаг, верный вектор движения. Тем не менее, пока сложно оценить, каким именно образом будет организован контроль качества и соответствия российского ПО установленным стандартам. | |
Правкомиссия по цифровому развитию получила полномочия включать продукты в перечень доверенного ПО
В конце сентября 2025 года стало известно о том, что Минцифры РФ предлагает расширить полномочия Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности. Ее президиум будет принимать решения о включении продуктов в перечень доверенного программного обеспечения.
Включение софта в реестр доверенного даст возможность использовать его при взаимодействии с критической информационной инфраструктурой (КИИ). Кроме того, разработчики таких продуктов получат преференции при государственных закупках.
Новые полномочия у правкомиссии появятся с 1 марта 2026 года. Как сообщает газета «Коммерсантъ», проверку на соответствие ПО критериям для признания доверенным будут проводить аттестованные Минцифры экспертные организации. К последним также предъявляется определенный набор требований. Подчеркивается, что для разработчиков подача заявлений о включении продуктов в перечень доверенного ПО будет добровольной.
Кроме того, Минцифры займется формированием списка «значимых разработчиков» — компаний, которые реализуют особо значимые проекты за свой счет (без госфинансирования) и обязуются «не передавать права на разработку иностранным гражданам» (это будет фиксироваться в специальном соглашении с правительством). В секретариате вице-премьера Дмитрия Григоренко (курирует цифровое развитие и связь) сообщили, что создание нового реестра поможет оценить ситуацию на рынке. Отмечается, что зачастую корпоративные разработки, предназначенные для собственных нужд компаний, не рассчитаны на высокую тиражируемость, но не менее важны, потому что нередко «становятся частью объектов критической инфраструктуры».
Предполагается, что перечень доверенного программного обеспечения будет вести Минцифры России в электронном виде с использованием ФГИС "Реестры программ для электронных вычислительных машин и баз данных".[2]
«Омега Софт» модернизировал ключевую подсистему ФГИС Реестры ПО для НИИ «Восход»
«Омега Софт» завершила модернизацию одной из ключевых подсистем федеральной государственной информационной системы «Реестры программ для электронных вычислительных машин и баз данных» (ФГИС Реестры ПО) по заказу НИИ «Восход». Проект, выполненный в декабре 2024 года, адаптировал систему к требованиям регуляторов. Обновление сократило время обработки заявок на включение ПО в реестр. Об этом «Омега Софт» сообщила 14 июля 2025 года. Подробнее здесь.
2023: Минцифры РФ утвердило классификатор программно-аппаратных комплексов
В апреле 2023 года был утвержден приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 31.01.2023 № 62 "Об утверждении классификатора программно-аппаратных комплексов и правил применения классификатора программно-аппаратных комплексов (ПАК)". Согласно документу, информация из классификатора ПАК предназначена для формирования реестра российских программ для электронных вычислительных машин и баз данных.
В классификатор занесли 15 разделов программно-аппаратных комплексов. Среди них: ПАК передачи информации (комплексы базовых станций, маршрутизации и коммутации), ПАК хранения, извлечения, анализа и обработки данных (изображений, BigData и др.), ПАК мониторинга и управления, ПАК виртуализации, ПАК для Java приложений, ПАК для искусственного интеллекта, ПАК для умного многоквартирного дома, ПАК для виртуальной реальности, ПАК для обеспечения информационной безопасности и др. В этих разделах — порядка 100 классов комплексов. Наибольшее количество классов (24) указано в разделе информационной безопасности.
14 апреля 2023 года Минцифры РФ сообщило о начале приема заявок на включение программно-аппаратных комплексов в реестр российского ПО. Это позволит компаниям-производителям ПАК претендовать на налоговые льготы — пониженные страховые взносы (7,6%) и нулевую ставку по налогу на прибыль. Требования к продуктам следующие:
- в составе ПАК должен быть софт, включённый в реестр российского или евразийского ПО
- технические средства в составе ПАК должны быть включены в реестр российской радиоэлектронной продукции или реестр российской промышленной продукции. Другой вариант — предоставить информацию о том, что они разрабатываются в России и обслуживаются в российских сервисных центрах
- для ПАК в сфере информационной безопасности необходимы лицензии и сертификаты ФСТЭК и ФСБ
Заявки рассматривает экспертный совет при Минцифры.
2022: Минцифры разработало положение о ФГИС «Реестры программ для электронных вычислительных машин и баз данных»
В начале декабря 2022 года Минцифры РФ представило положение о федеральной государственной информационной системе «Реестры программ для электронных вычислительных машин и баз данных», оператором которой ведомство решило назначить НИИ «Восход». В Минцифры определили следующие задачи для этой ИТ-платформы:
- создание и поддержание в актуальном состоянии реестра российского ПО и реестра евразийского ПО;
- доставление всем заинтересованным лицам информации о программах для электронных вычислительных машин и базах данных (ПО), сведения о которых включены в реестр российского программного обеспечения (ПО) и реестр евразийского ПО (реестры);
- реализация информационного взаимодействия правообладателей ПО с Минцифры, которое является уполномоченным ФОИВ по формированию и ведению реестра;
- автоматизация процесса включения сведений о ПО в реестры;
- автоматизация процесса проведения экспертизы заявлений о включении сведений о ПО в реестры, а также прилагаемых к ним документов и материалов, подтверждающих соответствие ПО установленным требованиям;
- автоматизация процесса изменения сведений о ПО, сведения о котором включены в реестры;
- автоматизация процесса исключения из реестров сведений о включённом ПО;
- автоматизация процесса подтверждения соответствия ПО дополнительным требованиям к ПО, утверждённым постановлением правительства от 23 марта 2017 г. № 325 «Об утверждении дополнительных требований к программам для электронных вычислительных машин и базам данных, сведения о которых включены в реестр российского программного обеспечения, и внесении изменений в Правила формирования и ведения единого реестра российских программ для электронных вычислительных машин и баз данных»;
- автоматизация процесса проверки сведений, содержащихся в реестрах; [3]
Примечания
