Как получить статус доверенного ПО: пошаговая инструкция

Материал давал детальный сквозной план получения доверенного статуса от предварительного аудита до отметки в ФГИС — с реалистичными сроками для каждого из девяти шагов и параллельным таймлайном проекта. Портили его самопродвижение под видом «под ключ» и вымышленная статистика «95% без замечаний» — обе вставки убраны. Оставляем полный план с шагами и сроками, убираем рекламные вставки.

Главное: процедура получения доверенного статуса состоит из последовательных этапов, порядок которых менять нельзя, хотя часть подготовительной работы можно вести параллельно. Регламентные сроки официальных этапов (рассмотрение Минцифры, экспертиза центра, правительственная комиссия) фиксированы постановлением №1937 и ускорить их нельзя — но качество предварительной подготовки определяет, пройдёт ли продукт экспертизу с первого раза или потребует нескольких циклов доработки; итоговый срок при готовом продукте без замечаний — от четырёх до шести месяцев.

Полная схема процедуры

Шаг 0: предварительный аудит

Формально предварительный аудит не часть официальной процедуры — постановление о нём не говорит. На практике компании, пропустившие этот шаг, платят за это вдвойне: деньгами на повторную экспертизу и месяцами задержки. Юридический аудит проверяет исключительные права на продукт (договоры с разработчиками, служебные задания, историю подрядных работ) и корпоративную структуру на соответствие требованию российского контроля, а для компаний с госучастием — расчёт доли аффилированной выручки по правилу 30%. Технический аудит проверяет совместимость с доверенными ОС на внутреннем стенде, инвентаризирует компонентный стек на уязвимости и лицензионную чистоту, анализирует сетевую активность продукта — и выявляет технические проблемы, которые иначе обнаружатся только в центре тестирования. Аудит документации проверяет актуальность реестровой записи и соответствие версии дистрибутива документации — нередко выясняется, что реестровая запись не обновлялась несколько лет и не отражает текущую функциональность. Срок предварительного аудита — семь-четырнадцать рабочих дней, по итогам которых получается конкретный список действий с оценкой времени и бюджета на каждое.

Шаг 1: включение в реестр российского ПО

Если продукт ещё не включён в реестр российского ПО Минцифры, это первый обязательный шаг: без действующей реестровой записи заявление на доверенный статус не примут к рассмотрению. Срок рассмотрения заявки на включение в реестр — около 90 рабочих дней, но подготовку к доверенному статусу можно вести параллельно: пока идёт рассмотрение заявки на реестр, команда проводит технический аудит и готовит продукт к экспертизе, что сокращает суммарный срок проекта на полтора-два месяца. Если продукт уже в реестре, но записи несколько лет, стоит проверить её актуальность: описание функциональности, сведения о правообладателе и версия продукта должны соответствовать текущему состоянию, поскольку расхождение между записью и реальным продуктом создаёт проблемы при экспертизе, и актуализацию лучше завершить до подачи заявления на доверенный статус.

Шаг 2: техническая подготовка продукта

Это самый технически ёмкий этап, и его продолжительность сильнее всего варьируется между продуктами: для кросс-платформенного продукта на Java или Go — несколько недель тестирования и документирования, для глубоко Windows-зависимого приложения — несколько месяцев разработки. Первый подшаг: развернуть стенд с теми же доверенными ОС, что будут использоваться при официальной экспертизе, в конфигурации, максимально точно воспроизводящей реальные условия использования. Второй: провести полное функциональное тестирование каждой заявленной функции, покрывая не только штатные сценарии, но и граничные случаи и работу под нагрузкой. Третий: устранить выявленные несовместимости и уязвимости — заменить Windows-специфичные компоненты, адаптировать инсталлятор для Linux-среды, обновить устаревшие зависимости с CVE, задокументировать все внешние соединения, повторяя тест на стенде после каждого исправления. Четвёртый: актуализировать техническую документацию, приведя руководства пользователя и администратора в соответствие с текущей версией продукта; особое внимание стоит уделить документации по архитектуре безопасности — её нередко нет вообще, хотя центр тестирования запрашивает эту документацию в первую очередь.

Шаг 3: подготовка документального пакета

Шаг 4: подача заявления в Минцифры

Заявление подаётся через личный кабинет ФГИС «Реестр программного обеспечения» — тот же интерфейс, что использовался при включении в реестр российского ПО, с усиленной квалифицированной электронной подписью руководителя или уполномоченного представителя. Минцифры проверяет полноту и корректность пакета: при наличии замечаний возвращает на доработку, при принятии к рассмотрению регистрирует заявление и присваивает номер — с этого момента начинается отсчёт 30 рабочих дней на выбор центра тестирования (шаг 5).

Переговоры с центром тестирования разумно начинать одновременно с финальной подготовкой к подаче заявления, за две-четыре недели до планируемой даты, а не после регистрации: в периоды пиковой нагрузки центры заполняют расписание на месяцы вперёд, и если начинать переговоры только после регистрации заявления, часть 30-дневного срока уйдёт на ожидание ответа; при предварительной договорённости этот разрыв сокращается до нескольких дней.

Шаг 5: выбор и договор с центром тестирования

В течение 30 рабочих дней после регистрации заявления правообладатель выбирает аккредитованный центр из перечня Минцифры и заключает договор, фиксирующий состав работ, конфигурацию тестовой среды, перечень доверенных ОС, сроки и стоимость. Ключевые критерии выбора: специализация центра по категории продукта, наличие нужных ОС на стенде, доступность в нужные сроки, готовность к предварительному согласованию программы тестирования. Самый дешёвый центр без нужного опыта не лучший выбор, если его замечания добавят к проекту два месяца и бюджет на повторную экспертизу.

Шаг 6: экспертиза в центре тестирования

Центр проводит экспертизу в течение 30 рабочих дней с момента заключения договора, на практике же с учётом взаимодействия и уточнений реальный срок нередко составляет 40–60 рабочих дней. Экспертиза охватывает три блока: совместимость с доверенными ОС, информационную безопасность и функциональную корректность. При положительном заключении центр направляет его в Минцифры в течение пяти рабочих дней, после чего проект переходит на рассмотрение правительственной комиссии. При заключении с замечаниями правообладатель получает их перечень, устраняет и инициирует повторную проверку — каждый такой цикл добавляет один-два месяца и расходы на повторную экспертизу продукта.

Шаги 7–8: правительственная комиссия и отметка в реестре

После положительного заключения центра материалы направляются на рассмотрение правительственной комиссии по цифровому развитию — срок рассмотрения не закреплён жёстким регламентом и на практике составляет от двух до восьми недель; запрос дополнительных сведений комиссией увеличивает этот срок. После положительного решения в реестровой записи ФГИС появляется отметка о доверенном статусе — заказчики проверяют именно эту отметку при проведении закупок. Статус присваивается на три года, до истечения которых нужно инициировать переподтверждение — процедуру, аналогичную первичному получению; планировать переподтверждение стоит заблаговременно, за шесть-восемь месяцев до истечения текущего срока.

Полный временной план проекта

Итоговый срок — четыре-шесть месяцев при готовом продукте и отсутствии замечаний по итогам экспертизы. Если продукт требует существенной технической доработки для совместимости с доверенными ОС, к сроку стоит добавить два-четыре месяца; если в ходе экспертизы выявляются замечания — ещё один-два месяца на каждый цикл доработки и повторной проверки.

Источники

• КонсультантПлюс, порядок формирования перечня доверенного ПО: этапы и регламентные сроки процедуры по постановлению №1937.
• Реестр российского программного обеспечения, Минцифры России: подача заявления через ФГИС и реестровая запись как предварительное условие.