Доверенное ПО: разбор требований из нового проекта Минцифры от октября 2026 года
Рейтинг материала:
старший юрист практики цифрового права и руководитель блока взаимодействия с Министерством цифрового развития
Дата публикации: 23.10.2026
Дата обновления: 23.10.2026
Дата обновления: 23.10.2026
Минцифры предложило установить требования к обеспечению информационной безопасности доверенного российского ПО, перенести сроки применения требования о совместимости с доверенными операционными системами и ввести отдельное подтверждение соответствия дополнительным требованиям. В статье разбираем проект изменений и его значение для правообладателей программ.
В прошлом году в Правила ведения реестра, утвержденные Постановлением Правительства РФ от 16 ноября 2015 г. № 1236, были внесены изменения Постановлением Правительства РФ от 28.11.2025 № 1937 (вступили в силу 1 марта 2026 г.). Одним из ключевых нововведений было создание признака доверенного программного обеспечения, которое будет обладать преимуществами при государственных закупках перед другими заявленными в закупке продуктами. Так, согласно подп. «х» п. 4 Постановления Правительства РФ от 23.12.2024 № 1875 (в ред. Постановления № 1937) участвующие в закупке программы, не обладающие доверенным статусом, приравниваются к иностранным, если в ней принимает участие доверенное ПО.
Программное обеспечение, входящее в реестр российского ПО Минцифры, при этом должно было в определенные сроки обеспечить совместимость с российскими доверенными операционными системами. Однако до недавнего времени не было опубликовано требований к доверенному программному обеспечению, в связи с чем не было нормативного фундамента для получения данного статуса и, как следствие, не появилось операционных систем, с которыми могла обеспечиваться совместимость. Опубликованный проект постановления призван разрешить сложившуюся ситуацию.
Что предлагается изменить
Программам, которые распространяются по модели облачного сервиса (SaaS), и программам, предназначенным для защиты конфиденциальной информации, предлагается разрешить обеспечение совместимости только с одной доверенной ОС. Сейчас одной ОС достаточно, только если правообладатели программы и ОС входят в одну группу лиц либо программа используется исключительно в составе программно-аппаратного комплекса.
Пожалуй, самым важным изменением в отношении обеспечения совместимости с операционными системами, обладающими статусом доверенного ПО, является продление сроков на один год для каждой группы классов. Сейчас формально правообладатели офисных программ, находящихся в реестре, обязаны обеспечивать их совместимость не менее чем с двумя доверенными операционными системами. При этом в ходе регистрации программ в реестре Минцифры соответствие данному признаку не проверяется в связи с отсутствием достаточной нормативной базы.
Изменяются правила проведения проверок. На текущий момент они должны проводиться не реже одного раза в год. Предлагается проводить их в соответствии с определенной методикой, которую предстоит установить Минцифры.
Напомним, что статус доверенного ПО присваивается по решению Правительственной комиссии по итогам экспертизы, которую проводят аттестованные Минцифры центры тестирования. Согласно проекту, Минцифры должно будет также издать методические рекомендации по проведению экспертиз.
Требования к доверенному ПО
Для получения программой доверенного статуса предлагается установить следующие требования:
1] Отсутствие в программе неустраненных уязвимостей, описанных в Банке данных угроз безопасности информации ФСТЭК России.
2] Исходный код, инфраструктура разработки и среда сборки должны находиться в контролируемом окружении. Требования к окружению установит ФСТЭК.
3] Обновления должны предоставляться по разрешению пользователя. Автоматический прием обновлений может быть предусмотрен договором с пользователем. Запрещается использовать для обновления технические и программные средства, расположенные за пределами РФ, а также их копии, размещенные в России.
4] Необходимо документировать перечень компонентов программы и предоставлять его по требованию ее пользователя.
5] Должны соблюдаться условия лицензий на компоненты с открытым исходным кодом, на базе которых разрабатывается программа. Пользователь должен быть проинформирован о необходимых условиях open-source лицензий.
6] Для облачных решений, доступных через браузер, необходимо обеспечить возможность работы через браузер, получивший статус доверенного ПО.
7] В отношении ПО, предназначенного для защиты конфиденциальной информации, требования пунктов 1–3 считаются выполненными, если его правообладатель располагает сертификатом системы сертификации средств защиты информации по Постановлению Правительства РФ от 26.06.1995 № 608 либо сертификатом соответствия процессов безопасной разработки ПО.
1] Отсутствие в программе неустраненных уязвимостей, описанных в Банке данных угроз безопасности информации ФСТЭК России.
2] Исходный код, инфраструктура разработки и среда сборки должны находиться в контролируемом окружении. Требования к окружению установит ФСТЭК.
3] Обновления должны предоставляться по разрешению пользователя. Автоматический прием обновлений может быть предусмотрен договором с пользователем. Запрещается использовать для обновления технические и программные средства, расположенные за пределами РФ, а также их копии, размещенные в России.
4] Необходимо документировать перечень компонентов программы и предоставлять его по требованию ее пользователя.
5] Должны соблюдаться условия лицензий на компоненты с открытым исходным кодом, на базе которых разрабатывается программа. Пользователь должен быть проинформирован о необходимых условиях open-source лицензий.
6] Для облачных решений, доступных через браузер, необходимо обеспечить возможность работы через браузер, получивший статус доверенного ПО.
7] В отношении ПО, предназначенного для защиты конфиденциальной информации, требования пунктов 1–3 считаются выполненными, если его правообладатель располагает сертификатом системы сертификации средств защиты информации по Постановлению Правительства РФ от 26.06.1995 № 608 либо сертификатом соответствия процессов безопасной разработки ПО.
Нельзя не отметить, что данные требования существенно мягче, чем те, которые планировалось ввести ранее. Например, ранее предлагалось требовать для доверенного ПО обеспечения совместимости с российскими центральными процессорами, интеграции с сервисами автоматизированного отслеживания ошибок ПО, инфраструктуры для обучения пользователей эксплуатации ПО и др. В текущей редакции изменений данные требования перенесены в разряд дополнительных, при соответствии которым в реестровую запись будет внесена отметка.
Нельзя не отметить, что данные требования существенно мягче, чем те, которые планировалось ввести ранее. Например, ранее предлагалось требовать для доверенного ПО обеспечения совместимости с российскими центральными процессорами, интеграции с сервисами автоматизированного отслеживания ошибок ПО, инфраструктуры для обучения пользователей эксплуатации ПО и др. В текущей редакции изменений данные требования перенесены в разряд дополнительных, при соответствии которым в реестровую запись будет внесена отметка.
Дополнительные требования можно разделить на общие и требования к отдельным классам ПО.
- -!-К общим дополнительным требованиям относятся совместимость с российским центральным процессором в соответствии с планом-графиком, обеспечение технической поддержки на всей территории России, документирование публичных API, а также наличие инфраструктуры и (или) материалов для обучения пользователей и другие.
- -!-Требования к отдельным классам планируется предъявлять, в частности, к операционным системам, СУБД, офисным пакетам, почтовым клиентам, мессенджерам, браузерам, системам электронного документооборота и PLM-системам. Они в основном связаны с наличием особых функций и возможностью работы с определенными технологиями.
Соответствие дополнительным требованиям предлагается подтверждать в рамках отдельной процедуры по заявлению правообладателя с проведением экспертизы центром тестирования. Решение будет принимать Минцифры в течение 10 рабочих дней, без участия Правительственной комиссии. Информация о соответствии будет отражаться в реестровой записи либо записи в перечне ПО для собственных нужд. Решение о соответствии дополнительным требованиям будет действовать три года.