В России вводят суверенные сертификаты для подписи программного кода

Минцифры предложило закрепить правила выдачи российских сертификатов для подписи программного кода, следует из проекта приказа ведомства. Документ описывает виды сертификатов для сайтов, программного кода и корпоративных ИТ-систем, разделенных по типам криптографических алгоритмов. Инициатива призвана защитить отечественное программное обеспечение в случае отзыва западных сертификатов, но за рубежом новые сертификаты вряд ли будут работать, отмечают эксперты.

Ввод сертификатов

Российские разработчики получат национальные сертификаты для подписи кода, об этом говорится в проекте постановления Правительства России, с которым ознакомились «Ведомости». Новые сертификаты смогут заменить западные аналоги главным образом внутри России.

В сентябре 2026 г. Минцифры предложило закрепить правила выдачи российских сертификатов для написанного кода. Информация о них будет отображаться в установочном файле конкретной программы. Это позволит операционной системе (ОС) по электронной метке определить издателя и предупредить пользователя, если программа выпущена неизвестной компанией.

Текущая ситуация с сертификатами

До сих пор подведомственный Минцифры Национальный удостоверяющий центр (НУЦ) выдавал сертификаты безопасности только для сайтов и веб-сервисов. Это было необходимо, чтобы ресурсы, потерявшие доступ к иностранным сертификатам безопасности, продолжали открываться.

Иностранные удостоверяющие центры в последний год несколько раз отзывали сертификаты у российских сайтов. По информации CNews, 3 августа 2026 г. из-за отзыва сертификатов со стороны японского удостоверяющего центра GlobalSign перестали открываться с зарубежных браузеров (Chrome, Safari, Edge и Opera) сайты Сбербанка и других российских банков.

Ранее, в июне 2026 г., прошли две волны отзывов с разницей в пять дней. Сначала GlobalSign отозвал около 20 тыс. доменов российских компаний. Вторая волна затронула около 310 доменных имён от 44 компаний, среди которых «Алроса», ВЭБ.РФ и другие.

Что предлагает Минцифры

По словам представителя Минцифры, порядок выпуска сертификатов уже применялся на практике, но не был закреплен в публичном регламенте. Ведомство не уточнило, выдавались ли раньше сертификаты именно для подписи кода и какими платформами они будут признаваться. Согласно проекту, сертификат для кода позволит установить ИТ-разработчика программы и проверить, не изменили ли ее после выпуска. Принятый в июне 2026 г. №210-ФЗ впервые закрепил статус НУЦ и его полномочия, а проект приказа описывает 11 профилей сертификатов: для сайтов, программного кода и корпоративных ИТ-систем. Правило должно вступить в силу 1 марта 2027 г.

Оценки экспертов

Опрошенные «Ведомостями» при содействии ассоциации «Руссофт» эксперты считают, что новые сертификаты смогут заменить западные аналоги главным образом внутри России. Microsoft, Apple и Google по умолчанию легитимность НУЦа не признают.

«Сложно представить, что к нашим отечественным сертификатам появилось бы доверие у иностранных магазинов приложений», — отмечает эксперт удостоверяющего центра «СКБ Контур» Иван Быков. Поэтому сертификат НУЦа не вернет подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его программы внутри российского контура. Если НУЦ остается государственным корнем доверия, то специализированная организация может работать непосредственно с ИТ-разработчиками. На эту роль потенциально может претендовать создаваемый ИТ-компаниями ОТУЦ, считает Быков. ОТУЦ сможет принимать заявления, проверять ИТ-разработчиков и сопровождать сертификаты, но это не дает ему или коммерческим удостоверяющим центрам права самостоятельно их выпускать.

Степан Терёхин, группа «Астрал»: Крупные участники рынка ЭПД будут постепенно подтягивать за собой более мелких Цифровизация

Сам №210-ФЗ пока не обязывает ИТ-разработчиков подписывать программы сертификатами НУЦа, однако дает Правительству России право установить такое требование в отдельных случаях. Наиболее обоснованно вводить его при государственных закупках и поставках программного обеспечения (ПО) для критической информационной инфраструктуры (КИИ), считает генеральный директор Axiom JDK Роман Карпов.

ИТ-директор «Корус Консалтинг» Максим Копов предлагает вводить обязательную подпись поэтапно — с 2027-2028 г. и только для критичных категорий ПО. В этом случае ИТ-поставщикам понадобятся защищенное хранение ключей, средства российской криптографии, автоматическая подпись сборок и процедуры замены сертификатов. Для небольших ИТ-разработчиков такие затраты могут стать дополнительным барьером при работе с государством, отмечает эксперт.

Отраслевой удостоверяющий центр

Параллельно ИТ-компании начали создавать собственный Отраслевой технологический удостоверяющий центр (ОТУЦ) для сертификации российского программного кода. В проекте участвуют «Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС» и «Лаборатория Касперского». Однако принятый позднее закон оставил выпуск сертификатов за НУЦем, поэтому роль ОТУЦа в новой системе пока окончательно не определена.

• Подобрать оптимальный тариф на IaaS на ИТ-маркетплейсе CNewsMarket среди десятков поставщиков