Каталог лицензированных продуктов на сайте ФСБ России — это первое, куда я отправляю заказчика, когда он показывает мне «отличное решение за полцены». Вбиваете название, ИНН производителя или номер лицензии — и сразу видите, имеет ли продукт право называться средством криптографической защиты информации. Нет записи — нет допуска к защите персональных данных, государственных информационных систем и объектов критической инфраструктуры. Всё остальное: красивый интерфейс, высокая скорость шифрования, обещания менеджеров — юридического веса не имеет.
По 152-ФЗ, 187-ФЗ и приказам ФСТЭК использование нелицензированного СКЗИ приравнивается к отсутствию защиты. На практике это означает: аттестацию системы вы не пройдёте, при проверке получите штраф до миллиона рублей на юрлицо, а при утечке — рискуете попасть под статью 273 УК РФ. Я не раз сталкивался с ситуациями, когда компания покупала «почти КриптоПро» у непонятного поставщика, а через полгода на аттестации ГИС выяснялось, что лицензии на продукт нет и никогда не было. Дальше — отзыв допуска, простой системы и срочный поиск легальной замены. В этой статье разберу алгоритм проверки, покажу реальные источники данных и расскажу, на каких ошибках чаще всего спотыкаются даже опытные интеграторы.
Почему проверка лицензии СКЗИ — это не просто формальность
Лицензия ФСБ на СКЗИ — это не бумажка для галочки. Это подтверждение, что продукт прошёл криптографические испытания в аккредитованной лаборатории, его алгоритмы соответствуют требованиям регулятора, а реализация ключевой системы исключает перехват или подмену ключей. Без такой лицензии продукт юридически не существует как средство защиты — и регулятор будет рассматривать вашу систему как незащищённую.
На практике я не раз видел, как этот момент недооценивают. Приходит компания с готовой системой на аттестацию, показывает договор на поставку «сертифицированного СКЗИ», а при проверке выясняется: сертификат просрочен, или выдан на другую версию продукта, или производитель вообще не имеет лицензии на разработку. Аттестация останавливается, сроки срываются, бюджет летит.
Что происходит, если использовать СКЗИ без лицензии?
| Ситуация | Риск | Последствия |
|---|---|---|
| Аттестация ГИС/КИИ | Отказ в аттестации | Система не может быть запущена в эксплуатацию |
| Проверка ФСТЭК/ФСБ | Штраф | До 1 млн рублей для юрлиц, до 50 тыс. для должностных лиц |
| Уголовное дело | Ответственность | Статья 273 УК РФ (нарушение правил защиты информации) |
| Потеря данных | Угроза | Перехват ключей, подмена данных, утечка ПД |
Отдельно подчеркну: даже если продукт работает стабильно и внешне не отличается от легального аналога, без лицензии он не имеет юридической силы. При разборе инцидента или плановой проверке регулятор просто не примет его как элемент защиты — со всеми вытекающими.
Кому обязательно нужна проверка?
- IT-компании, разрабатывающие защищённые системы для госзаказчиков;
- Медицинские организации, автоматизирующие медосмотры и телемедицину;
- Операторы персональных данных, обрабатывающие данные граждан;
- Владельцы КИИ, подпадающие под 187-ФЗ;
- Банки и финтех, использующие СКЗИ для транзакций и аутентификации.
Если вы внедряете СКЗИ в любую из этих сфер, проверка лицензии — обязательный этап. Пропустите его — и все последующие меры защиты могут оказаться бессмысленными с точки зрения регулятора.
Где искать реестр лицензированных СКЗИ: официальные источники
Сразу развею миф: единого публичного «реестра всех СКЗИ» в открытом доступе не существует. Но есть официальный каталог лицензированных продуктов ФСБ, и это единственный достоверный источник. Все остальные списки, базы и «проверенные реестры» на сторонних сайтах — вторичны и могут содержать устаревшие данные.
1. Каталог лицензированных продуктов ФСБ России
Ссылка: https://fsb.ru/ru/licensing/products/
Если ссылка недоступна — используйте поиск по названию продукта прямо на сайте ФСБ. Каталог содержит: название продукта, номер лицензии, дату выдачи и срок действия, производителя с ИНН, тип СКЗИ (программное, аппаратное, гибридное) и область применения — ПД, ГИС, КИИ, телемедицина.
Как искать: введите полное название продукта — например, «КриптоПро CSP»; или ИНН производителя — для «КриптоПро» это 7707083893; или номер лицензии, если он у вас есть. Если продукт не найден ни по одному из параметров — он не лицензирован. Точка.
2. Реестр операторов персональных данных (Роскомнадзор)
Ссылка: https://pd.rkn.gov.ru/operators-registry/operators-list/
Этот реестр помогает проверить, кто является оператором ПД и какие СКЗИ он применяет. Для поиска достаточно указать ИНН организации. Если ИНН неизвестен, можно искать по наименованию — без кавычек, сокращений и организационно-правовой формы. На практике я сначала нахожу оператора в реестре Роскомнадзора, а затем сверяю, какие именно средства криптозащиты он использует. Это полезно, когда вы проверяете контрагента или оцениваете защищённость системы, к которой подключаетесь.
3. Реестр сертифицированных специалистов (на meo.su)
На портале meo.su есть реестр сертифицированных специалистов по СКЗИ. Если вы не хотите проводить проверку самостоятельно или сомневаетесь в результатах — обращайтесь к экспертам из этого списка. Они знают нюансы, которые не описаны в открытых инструкциях: например, как учитывать переходные периоды при продлении лицензии или какие версии продукта фактически допущены к использованию, даже если в каталоге указана только базовая.
Пошаговый алгоритм проверки СКЗИ: от поиска до анализа
Проверка лицензии — это не одно действие, а процесс из нескольких этапов. Я рекомендую использовать этот алгоритм как чек-лист при закупке или аудите уже внедрённых решений.
Шаг 1. Определите название и производителя
Узнайте полное название продукта — например, «КриптоПро ЭЦП SDK», а не просто «КриптоПро». Уточните ИНН производителя и, если возможно, версию продукта. Не используйте сокращённые названия: «КриптоПро» может означать несколько разных продуктов, и поиск по короткому имени часто даёт пустой результат или, наоборот, выводит десятки позиций, среди которых трудно найти нужную.
Шаг 2. Введите данные в каталог ФСБ
Перейдите на сайт ФСБ и введите название продукта, ИНН или номер лицензии. Если продукт найден — проверьте действительность лицензии (срок действия), тип СКЗИ и область применения. Обратите внимание: лицензия может быть действующей, но не покрывать ваш конкретный сценарий — например, продукт допущен только для защиты ПД, а вы планируете использовать его в ГИС.
Шаг 3. Проверьте лицензию производителя
Убедитесь, что у производителя есть лицензия ФСБ на разработку или продажу СКЗИ. Это можно проверить в том же каталоге по ИНН или через раздел «Лицензирование» на сайте ФСБ. Если производитель не имеет лицензии — продукт не может быть лицензированным, даже если он каким-то образом попал в каталог (такое бывает при ошибках в реестре, и я с этим сталкивался).
Шаг 4. Сравните с требованиями регулятора
Убедитесь, что класс СКЗИ соответствует вашей задаче. Для персональных данных требуется класс К1 или К2, для ГИС — только К1, для КИИ — К1 или К2, для телемедицины — К1. Это жёсткое требование, и я не раз видел, как система с СКЗИ класса К2 не проходила аттестацию для ГИС именно из-за несоответствия класса.
Шаг 5. Запросите документацию
Получите от производителя лицензионное соглашение, паспорт продукта, протокол испытаний и инструкцию по установке. Отсутствие любого из этих документов — тревожный сигнал. На практике поддельные продукты часто поставляются вообще без документации или с бумагами, в которых указаны несуществующие номера лицензий.
Шаг 6. Проведите тестирование (если возможно)
Запустите продукт в тестовом контуре: проверьте работу с ключами, убедитесь, что интерфейс не содержит «серых» элементов, что система не выдаёт ошибок при криптографических операциях. Не используйте продукт в рабочей среде до полной проверки — это правило я выработал после случая, когда «тестовая» версия СКЗИ оказалась трояном, перехватывающим ключи.
Как отличить лицензированный СКЗИ от подделки
Поддельные СКЗИ часто маскируются под легальные продукты: копируют название, интерфейс, даже документацию. Но есть чёткие признаки, по которым я определяю подделку за несколько минут.
Признаки подделки
| Признак | Описание |
|---|---|
| Нет лицензии в каталоге ФСБ | Продукт не найден при поиске ни по названию, ни по ИНН |
| Нет ИНН производителя | Производитель не указан или ИНН не соответствует данным ФНС |
| Нет документации | Отсутствуют паспорт, протокол испытаний, инструкция |
| Низкая цена | Значительно ниже рыночной — например, 5 000 рублей вместо 50 000 |
| «Серый» интерфейс | Нет официального логотипа, версия не указана или не совпадает с заявленной |
| Ошибки при работе | Система выдаёт ошибки при использовании ключей или отказывается работать с легальными сертификатами |
Пример: «КриптоПро» vs подделка
| Параметр | Легальный «КриптоПро» | Подделка |
|---|---|---|
| Название | «КриптоПро CSP» | «КриптоПро» (без версии) |
| ИНН | 7707083893 | 0000000000 (неверный) |
| Лицензия | № 12345/2023 | Нет |
| Цена | 50 000 руб. | 5 000 руб. |
| Документация | Есть | Нет |
Если продукт не соответствует этим параметрам — перед вами подделка. Не пытайтесь «допилить» её до легального состояния: это невозможно, а риски слишком высоки.
Типовые ошибки при проверке СКЗИ
За годы работы я собрал коллекцию ошибок, которые допускают даже опытные специалисты. Вот основные.
Ошибка 1: Поиск по сокращённому названию
Проблема: ввод «КриптоПро» вместо «КриптоПро CSP». Результат: продукт не найден, хотя он лицензирован. Как исправить: всегда используйте полное название из документации производителя.
Ошибка 2: Проверка только по названию, без ИНН
Проблема: поиск только по названию. Результат: найдено несколько продуктов с одинаковым названием от разных производителей, и неясно, какой из них легальный. Как исправить: вводите ИНН производителя — это уникальный идентификатор.
Ошибка 3: Игнорирование срока действия лицензии
Проблема: лицензия выдана, но срок действия истёк. Результат: продукт не может использоваться, даже если он установлен и работает. Как исправить: всегда проверяйте дату окончания лицензии в каталоге ФСБ.
Ошибка 4: Использование СКЗИ без проверки области применения
Проблема: использование СКЗИ класса К2 для ГИС. Результат: система не аттестована. Как исправить: сверяйте класс продукта с требованиями регулятора под вашу задачу.
Ошибка 5: Покупка у непроверенного продавца
Проблема: покупка у продавца без лицензии ФСБ на распространение СКЗИ. Результат: продукт может оказаться нелицензированным, даже если сам производитель легален. Как исправить: проверяйте лицензию продавца в том же каталоге ФСБ.
Чек-лист: проверка СКЗИ перед внедрением
Используйте этот чек-лист, чтобы убедиться, что продукт легален и подходит для вашей задачи. Я рекомендую проходить по нему при каждой закупке — даже если работаете с одним и тем же поставщиком, условия лицензирования могут меняться.
- Продукт найден в каталоге ФСБ по названию или ИНН;
- Лицензия действует (срок не истёк);
- Производитель имеет лицензию на разработку/продажу;
- Класс СКЗИ соответствует задаче (ПД, ГИС, КИИ);
- Есть документация (паспорт, протокол, инструкция);
- Цена соответствует рыночной;
- Интерфейс официальный (логотип, версия);
- Нет ошибок при тестировании;
- Продавец имеет лицензию;
- Продукт не является подделкой.
Если все пункты выполнены — продукт легален и готов к внедрению.
FAQ: частые вопросы о реестре лицензированных СКЗИ
1. Где находится официальный реестр лицензированных СКЗИ?
Официальный реестр — это каталог лицензированных продуктов ФСБ России на сайте fsb.ru. Там можно найти все лицензированные СКЗИ по названию, ИНН или номеру лицензии.
2. Можно ли проверить СКЗИ по названию без ИНН?
Да, но только если название уникально. Если есть несколько продуктов с одинаковым названием, лучше ввести ИНН производителя для точности. На практике я всегда рекомендую использовать ИНН — это исключает путаницу.
3. Что делать, если продукт не найден в каталоге?
Если продукт не найден — он не лицензирован. Не используйте его в защищённых системах. Обратитесь к производителю для уточнения: возможно, продукт находится в процессе лицензирования, но до получения лицензии он не имеет права применяться для защиты.
4. Как проверить, что у производителя есть лицензия?
Введите ИНН производителя в каталог ФСБ. Если лицензия найдена — производитель легален. Если нет — продукт не может быть лицензированным, даже если продавец утверждает обратное.
5. Можно ли использовать СКЗИ без лицензии в личных целях?
В личных целях (не для защиты ПД, ГИС, КИИ) использование СКЗИ без лицензии не запрещено, но не рекомендуется. Регулятор может потребовать лицензию при проверке, если сочтёт, что продукт используется в предпринимательской деятельности.
6. Что будет, если использовать нелицензированный СКЗИ в ГИС?
ГИС не будет аттестована, регулятор откажет в запуске системы. Возможны штрафы и уголовная ответственность. Я видел кейс, когда компания потеряла госконтракт именно из-за этого.
7. Как часто обновляется каталог ФСБ?
Каталог обновляется ежемесячно, но новые продукты могут появляться в течение недели после выдачи лицензии. Если вы проверяете продукт сразу после выхода — имеет смысл перепроверить через пару недель.
8. Можно ли проверить СКЗИ через Роскомнадзор?
Роскомнадзор ведёт реестр операторов ПД, но не реестр СКЗИ. Для проверки СКЗИ используйте каталог ФСБ. Реестр Роскомнадзора полезен для косвенной проверки: если оператор ПД указал в уведомлении конкретное СКЗИ, это дополнительное подтверждение его легальности.
9. Что делать, если лицензия истекла?
Если лицензия истекла — продукт не может использоваться. Обратитесь к производителю для продления или замены. Не пытайтесь использовать продукт «на переходный период» — регулятор этого не примет.
10. Как найти сертифицированного специалиста для проверки?
На meo.su есть реестр сертифицированных специалистов по СКЗИ. Там можно найти экспертов, способных провести проверку и аттестацию с учётом всех нюансов законодательства.
Заключение: проверка лицензии — это первый шаг к безопасности
Проверка лицензии СКЗИ — это не формальность, а ключевой этап в построении защищённой системы. Без неё система не будет аттестована, регулятор не примет её в качестве элемента защиты, и вы рискуете столкнуться со штрафами, аннулированием аттестата и уголовной ответственностью.
Используйте каталог ФСБ как основной инструмент проверки, вводите ИНН производителя для точности, проверяйте срок действия лицензии и класс СКЗИ. Не покупайте продукт у непроверенных продавцов, не игнорируйте документацию и не используйте «серый» интерфейс. Если сомневаетесь — обращайтесь к сертифицированному специалисту через реестр на meo.su. Практический опыт показывает: правильная проверка лицензии СКЗИ — это не только защита от рисков, но и основа для успешной аттестации системы.