Минцифры планирует в 2027 году начать выдавать сертификаты подписи программного кода разработчикам российского ПО, а в 2028 году — корпоративные сертификаты безопасности....

Минцифры планирует в 2027 году начать выдавать сертификаты подписи программного кода разработчикам российского ПО, а в 2028 году — корпоративные сертификаты безопасности. Об этом «Ведомостям» сообщил представитель министерства. Сертификат для кода позволит установить разработчика программы и проверить, не изменили ли её после выпуска. Информация будет отображаться в установочном файле конкретной программы. Это значит, что по электронной метке операционная система сможет определить издателя и предупредить пользователя, если программа выпущена неизвестной компанией.

Проект постановления правительства предлагает наделить Минцифры полномочиями Национального удостоверяющего центра (НУЦ). Ведомство будет устанавливать требования к сертификатам, выдавать и отзывать их, определять сроки действия, создавать ключи и вести реестр.

Появление НУЦа как такового, оформление его правового статуса и функций ввёл закон № 210-ФЗ, который начнёт действовать с 1 марта 2027 года. Фактически функционал НУЦа выполнял подведомственный Минцифры НИИ «Восход», но проект не указывает, останется ли он техническим оператором информсистемы после 1 марта.

Сейчас сертификаты бесплатно выдают только для сайтов через «Госуслуги». По словам представителя Минцифры, через портал уже могут подавать заявления и владельцы информационных систем. Но закон допускает введение платы за сертификаты всех видов: для сайтов, информационных систем, программного кода и корпоративного взаимодействия. Хотя это не обязывает НУЦ вводить плату за сертификаты. Тариф не должен превышать предела, порядок расчёта которого установит правительство, говорится в законе.

Одновременно с проектом постановления в конце октября подготовили проект приказа Минцифры, который устанавливает требования к работе НУЦа. Согласно ему, если плату введут, порядок НУЦа должен содержать сроки и порядок оплаты. Госорганы, муниципалитеты, Банк России и организации из отдельного правительственного перечня получат сертификаты бесплатно. Ни тариф, ни решение о введении платы пока не определены. Не определены и сроки выдачи и действия сертификатов — их также должен установить сам НУЦ.

Оператора информационной системы НУЦа, согласно закону, финально определит правительство. Дополнительного финансирования для этого не потребуется, сказано в проекте документа.

IT‑компании с прошлого года тестировали собственный Отраслевой технологический удостоверяющий центр (ОТУЦ), который должен был также выдавать сертификаты подписи кода. Но закон закрепил выпуск сертификатов за государственным НУЦем: некоммерческая организация сможет только принимать заявления разработчиков. Какую роль будет выполнять ОТУЦ в новой системе — не ясно.

Разработка удостоверяющим центром собственных политик — обычная практика, говорит руководитель Центра сертификации ТЦИ Никита Новиков. «Особенность Минцифры заключается в сочетании нормативных полномочий и предоставления услуги», — уточнил он. Поэтому нужны прозрачные тарифы, сроки и порядок обжалования.

Если судить по тарифам коммерческих удостоверяющих центров, то цены за одну единицу обычно варьируются в диапазоне от 2 до 5 тыс. рублей в зависимости от типа сертификата, срочности и объёма. Цена сертификатов Минцифры будет сопоставимой, считает председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров.

Сертификаты должны попасть в доверенные хранилища российских операционных систем, браузеров и магазинов приложений, говорит руководитель разработки GitFlic «Группы Астра» Эдуард Тихомиров. Потребуются также технические профили и служба меток времени. В закрытых системах нужно организовать получение списков отозванных сертификатов без интернета, добавила руководитель направления «Криптография и инфраструктура открытых ключей» «Газинформсервиса» Екатерина Ермина.