В России вводят суверенные сертификаты для подписи программного кода

Ввод сертификатов

Российские разработчики получат национальные сертификаты для подписи кода, об этом говорится в проекте постановления Правительства России, с которым ознакомились «Ведомости». Новые сертификаты смогут заменить западные аналоги главным образом внутри России.

В сентябре 2026 г. Минцифры предложило закрепить правила выдачи российских сертификатов для написанного кода. Информация о них будет отображаться в установочном файле конкретной программы. Это позволит операционной системе (ОС) по электронной метке определить издателя и предупредить пользователя, если программа выпущена неизвестной компанией.

Текущая ситуация с сертификатами

До сих пор подведомственный Минцифры Национальный удостоверяющий центр (НУЦ) выдавал сертификаты безопасности только для сайтов и веб-сервисов. Это было необходимо, чтобы ресурсы, потерявшие доступ к иностранным сертификатам безопасности, продолжали открываться.

Иностранные удостоверяющие центры в последний год несколько раз отзывали сертификаты у российских сайтов. По информации CNews, 3 августа 2026 г. из-за отзыва сертификатов со стороны японского удостоверяющего центра GlobalSign перестали открываться с зарубежных браузеров (Chrome, Safari, Edge и Opera) сайты Сбербанка и других российских банков.

Ранее, в июне 2026 г., прошли две волны отзывов с разницей в пять дней. Сначала GlobalSign отозвал около 20 тыс. доменов российских компаний. Вторая волна затронула около 310 доменных имён от 44 компаний, среди которых «Алроса», ВЭБ.РФ и другие.

Что предлагает Минцифры

По словам представителя Минцифры, порядок выпуска сертификатов уже применялся на практике, но не был закреплен в публичном регламенте. Ведомство не уточнило, выдавались ли раньше сертификаты именно для подписи кода и какими платформами они будут признаваться. Согласно проекту, сертификат для кода позволит установить ИТ-разработчика программы и проверить, не изменили ли ее после выпуска. Принятый в июне 2026 г. №210-ФЗ впервые закрепил статус НУЦ и его полномочия, а проект приказа описывает 11 профилей сертификатов: для сайтов, программного кода и корпоративных ИТ-систем. Правило должно вступить в силу 1 марта 2027 г.

Оценки экспертов

Опрошенные «Ведомостями» при содействии ассоциации «Руссофт» эксперты считают, что новые сертификаты смогут заменить западные аналоги главным образом внутри России. Microsoft, Apple и Google по умолчанию легитимность НУЦа не признают.

«Сложно представить, что к нашим отечественным сертификатам появилось бы доверие у иностранных магазинов приложений», — отмечает эксперт удостоверяющего центра «СКБ Контур» Иван Быков. Поэтому сертификат НУЦа не вернет подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его программы внутри российского контура. Если НУЦ остается государственным корнем доверия, то специализированная организация может работать непосредственно с ИТ-разработчиками. На эту роль потенциально может претендовать создаваемый ИТ-компаниями ОТУЦ, считает Быков. ОТУЦ сможет принимать заявления, проверять ИТ-разработчиков и сопровождать сертификаты, но это не дает ему или коммерческим удостоверяющим центрам права самостоятельно их выпускать.

Сам №210-ФЗ пока не обязывает ИТ-разработчиков подписывать программы сертификатами НУЦа, однако дает Правительству России право установить такое требование в отдельных случаях. Наиболее обоснованно вводить его при государственных закупках и поставках программного обеспечения (ПО) для критической информационной инфраструктуры (КИИ), считает генеральный директор Axiom JDK Роман Карпов.

ИТ-директор «Корус Консалтинг» Максим Копов предлагает вводить обязательную подпись поэтапно — с 2027-2028 г. и только для критичных категорий ПО. В этом случае ИТ-поставщикам понадобятся защищенное хранение ключей, средства российской криптографии, автоматическая подпись сборок и процедуры замены сертификатов. Для небольших ИТ-разработчиков такие затраты могут стать дополнительным барьером при работе с государством, отмечает эксперт.

Отраслевой удостоверяющий центр

Параллельно ИТ-компании начали создавать собственный Отраслевой технологический удостоверяющий центр (ОТУЦ) для сертификации российского программного кода. В проекте участвуют «Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС» и «Лаборатория Касперского». Однако принятый позднее закон оставил выпуск сертификатов за НУЦем, поэтому роль ОТУЦа в новой системе пока окончательно не определена.