Минцифры планирует в 2027 году начать выдавать сертификаты подписи программного кода разработчикам российского ПО, а в 2028 году — корпоративные сертификаты безопасности. Об этом «Ведомостям» сообщил представитель министерства. Сертификат для кода позволит установить разработчика программы и проверить, не изменили ли её после выпуска. Информация будет отображаться в установочном файле конкретной программы. Это значит, что по электронной метке операционная система сможет определить издателя и предупредить пользователя, если программа выпущена неизвестной компанией.
Проект постановления правительства предлагает наделить Минцифры полномочиями Национального удостоверяющего центра (НУЦ). Ведомство будет устанавливать требования к сертификатам, выдавать и отзывать их, определять сроки действия, создавать ключи и вести реестр.
Появление НУЦа как такового, оформление его правового статуса и функций ввёл закон № 210-ФЗ, который начнёт действовать с 1 марта 2027 года. Фактически функционал НУЦа выполнял подведомственный Минцифры НИИ «Восход», но проект не указывает, останется ли он техническим оператором информсистемы после 1 марта.
Сейчас сертификаты бесплатно выдают только для сайтов через «Госуслуги». По словам представителя Минцифры, через портал уже могут подавать заявления и владельцы информационных систем. Но закон допускает введение платы за сертификаты всех видов: для сайтов, информационных систем, программного кода и корпоративного взаимодействия. Хотя это не обязывает НУЦ вводить плату за сертификаты. Тариф не должен превышать предела, порядок расчёта которого установит правительство, говорится в законе.
Одновременно с проектом постановления в конце октября подготовили проект приказа Минцифры, который устанавливает требования к работе НУЦа. Согласно ему, если плату введут, порядок НУЦа должен содержать сроки и порядок оплаты. Госорганы, муниципалитеты, Банк России и организации из отдельного правительственного перечня получат сертификаты бесплатно. Ни тариф, ни решение о введении платы пока не определены. Не определены и сроки выдачи и действия сертификатов — их также должен установить сам НУЦ.
Оператора информационной системы НУЦа, согласно закону, финально определит правительство. Дополнительного финансирования для этого не потребуется, сказано в проекте документа.
IT‑компании с прошлого года тестировали собственный Отраслевой технологический удостоверяющий центр (ОТУЦ), который должен был также выдавать сертификаты подписи кода. Но закон закрепил выпуск сертификатов за государственным НУЦем: некоммерческая организация сможет только принимать заявления разработчиков. Какую роль будет выполнять ОТУЦ в новой системе — не ясно.
Разработка удостоверяющим центром собственных политик — обычная практика, говорит руководитель Центра сертификации ТЦИ Никита Новиков. «Особенность Минцифры заключается в сочетании нормативных полномочий и предоставления услуги», — уточнил он. Поэтому нужны прозрачные тарифы, сроки и порядок обжалования.
Если судить по тарифам коммерческих удостоверяющих центров, то цены за одну единицу обычно варьируются в диапазоне от 2 до 5 тыс. рублей в зависимости от типа сертификата, срочности и объёма. Цена сертификатов Минцифры будет сопоставимой, считает председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров.
Сертификаты должны попасть в доверенные хранилища российских операционных систем, браузеров и магазинов приложений, говорит руководитель разработки GitFlic «Группы Астра» Эдуард Тихомиров. Потребуются также технические профили и служба меток времени. В закрытых системах нужно организовать получение списков отозванных сертификатов без интернета, добавила руководитель направления «Криптография и инфраструктура открытых ключей» «Газинформсервиса» Екатерина Ермина.
На зарубежных платформах проблема останется нерешённой. «Российский закон не может изменить эту ситуацию: решение о признании сертификатов остаётся за владельцами платформ», — говорит Новиков. Экспортёрам придётся поддерживать несколько подписей. «Однако сочетание платной услуги с обязательностью её использования вызывает вопросы: фактически закон обязывает бизнес платить государству даже в тех случаях, когда у компании нет собственной потребности в такой услуге», — заключил он.
В июне 2026 года сообщалось, что российские IT‑компании ( «РусБИТех‑Астра» (часть ГК «Астра»), «Сбертех» («дочка» «Сбера»), «Базальт СПО», «Открытая мобильная платформа» («дочка» «Ростелекома»), «КриптоПро», «ИнфоТеКС», «Лаборатория Касперского» и другие) прорабатывают систему защиты отечественных программных проектов, которая сможет обеспечить защиту в условиях массового отзыва сертификатов для подписи программного кода иностранными удостоверяющими центрами.
Источник: habr.com