Минцифры начнёт выдавать сертификаты подписи кода в 2027 году

Минцифры планирует в 2027 году начать выдавать разработчикам российского ПО сертификаты подписи программного кода, а в 2028 году — корпоративные сертификаты безопасности. Об этом сообщил представитель министерства.

Такой сертификат позволит установить автора программы и проверить, не изменили ли её после выпуска. Данные будут отображаться в установочном файле. Операционная система сможет определить издателя и предупредить пользователя, если приложение выпустила неизвестная компания.

Министерство получит функции НУЦ

Проект постановления правительства наделяет Минцифры полномочиями Национального удостоверяющего центра (НУЦ): ведомство будет задавать требования к сертификатам, выдавать и отзывать их, определять сроки действия, создавать ключи и вести реестр. НУЦ вводит закон № 210-ФЗ, который вступит в силу 1 марта 2027 года. Фактически эти функции выполнял подведомственный НИИ «Восход», но останется ли он техническим оператором, в проекте не сказано.

Сейчас бесплатно выдают лишь сертификаты для сайтов через «Госуслуги»; заявления на портале уже могут подавать и владельцы информационных систем. Закон допускает плату за все виды сертификатов, но не обязывает её вводить. Тариф не должен превышать предел, порядок расчёта которого установит правительство. По проекту приказа Минцифры, госорганы, муниципалитеты, Банк России и организации из правительственного перечня получат сертификаты бесплатно. Ни тариф, ни решение о плате, ни сроки выдачи и действия пока не определены.

Вопросы рынка

У коммерческих удостоверяющих центров цена за единицу обычно составляет от 2 до 5 тыс. рублей; Игорь Бедеров из КС НСБ России считает, что стоимость сертификатов Минцифры будет сопоставимой. Никита Новиков из ТЦИ отмечает, что ведомство сочетает нормативные полномочия и оказание услуги, поэтому нужны прозрачные тарифы, сроки и порядок обжалования. По его мнению, закон обязывает бизнес платить государству, даже если собственной потребности в услуге нет.

Сертификаты должны попасть в доверенные хранилища российских ОС, браузеров и магазинов приложений. На зарубежных платформах проблема останется: решение о признании за их владельцами, поэтому экспортёрам придётся поддерживать несколько подписей. Неясна и роль Отраслевого технологического удостоверяющего центра (ОТУЦ), который IT-компании тестируют с прошлого года: закон закрепил выпуск сертификатов за государственным НУЦ.