Rusia emitirá certificados de firma de código en 2027

El Ministerio de Desarrollo Digital de Rusia (Mintsifry) prevé empezar en 2027 a emitir certificados de firma de código a los desarrolladores de software ruso y, en 2028, certificados de seguridad corporativos, según informó un portavoz del departamento.

Un certificado de código permite identificar al autor de un programa y comprobar que no se ha modificado tras su publicación. Los datos aparecen en el archivo de instalación, de modo que el sistema operativo puede reconocer al editor y avisar al usuario si el programa procede de una empresa desconocida.

El ministerio asume la autoridad de certificación nacional

Un proyecto de decreto del Gobierno otorgaría al ministerio las funciones de la Autoridad Nacional de Certificación (NUC). Fijaría los requisitos, emitiría y revocaría certificados, definiría su vigencia, generaría claves y llevaría un registro. La NUC se creó con la ley n.º 210-FZ, que entra en vigor el 1 de marzo de 2027. Hasta ahora, sus funciones las ejercía en la práctica el instituto de investigación Voskhod; el proyecto no aclara si seguirá como operador técnico.

Por ahora solo son gratuitos los certificados para sitios web, mediante el portal Gosuslugi, donde los titulares de sistemas de información ya pueden presentar solicitudes. La ley permite cobrar por todos los tipos, aunque no obliga a la NUC a hacerlo. Según un proyecto de orden, organismos públicos, municipios, el Banco Central y entidades de una lista oficial los recibirían gratis. Aún no hay tarifa, decisión sobre el cobro ni plazos de emisión y vigencia.

Las autoridades comerciales cobran entre 2.000 y 5.000 rublos por certificado, y un experto espera precios similares en el ministerio. Nikita Novikov, del centro de certificación TCI, señala que el ministerio combina poder normativo y prestación del servicio, por lo que hacen falta tarifas transparentes, plazos y vías de recurso. También cuestiona que se obligue a pagar un servicio que algunas empresas no necesitan.

Dudas pendientes

Los especialistas indican que los certificados deben incluirse en los almacenes de confianza de sistemas operativos, navegadores y tiendas de aplicaciones rusos, con perfiles técnicos y un servicio de sellado de tiempo. Las redes cerradas necesitarán acceder sin internet a las listas de revocación.

En plataformas extranjeras el problema persiste: sus propietarios deciden si reconocen los certificados, y los exportadores tendrán que mantener varias firmas. Tampoco está claro el papel del centro sectorial OTUC, probado por empresas de TI desde el año pasado, ya que la ley solo le permite recibir solicitudes.