Приказ ФСТЭК России от 01.12.2023 № 240

(ред. от 30.06.2025)

«Об утверждении Порядка проведения сертификации процессов безопасной разработки программного обеспечения средств защиты информации»

(Зарегистрировано в Минюсте России 16.04.2024 № 77896)

Зарегистрировано в Минюсте России 16 апреля 2024 г. № 77896

В соответствии с подпунктом 13 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085, и пунктом 9 приложения, утвержденного постановлением Правительства Российской Федерации от 15 мая 2010 г. № 330, приказываю:

1. Утвердить прилагаемый Порядок проведения сертификации процессов безопасной разработки программного обеспечения средств защиты информации.

2. Установить, что настоящий приказ вступает в силу с 1 июня 2024 г.

1. Сертификация процессов проектирования и производства программного обеспечения (далее — процессы безопасной разработки программного обеспечения) средств защиты информации, содержащей сведения, составляющие государственную тайну или относимые к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, осуществляется на соответствие требованиям национального стандарта Российской Федерации ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования», утвержденного и введенного в действие приказом Федерального агентства по техническому регулированию и метрологии от 24 октября 2024 г. № 1504-ст <1> (далее — требования по безопасной разработке).

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

<1> М., ФГБУ «Институт стандартизации», 2024.

(сноска в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

2. Сертификация процессов безопасной разработки программного обеспечения (далее — сертификация) осуществляется на основании договора, заключаемого изготовителем средства защиты информации (далее — изготовитель) с органом по сертификации <2>.

<2> Пункт 11 Положения о сертификации средств защиты информации, утвержденного постановлением Правительства Российской Федерации от 26 июня 1995 г. № 608.

3. Изготовитель при намерении сертифицировать процессы безопасной разработки программного обеспечения выбирает для проведения сертификации аккредитованный ФСТЭК России орган по сертификации, согласовывает с ним сроки проведения сертификации.

4. Для получения сертификата соответствия изготовитель представляет в ФСТЭК России заявку на сертификацию (далее — заявка).

В заявке указываются:

а) полное и сокращенное (при наличии) наименование изготовителя, его организационно-правовая форма;

б) адрес юридического лица в пределах места нахождения юридического лица — изготовителя;

в) адрес для корреспонденции изготовителя;

г) фамилия, имя и отчество (при наличии) лица, ответственного за сертификацию;

д) номер телефона и адрес электронной почты (при наличии) изготовителя;

е) наименование органа по сертификации, в котором планируется проведение сертификации;

ж) заявляемый срок действия сертификата соответствия.

Заявка подписывается руководителем изготовителя (лицом, которое в силу закона или учредительных документов выступает от его имени) и заверяется печатью изготовителя (при наличии печати) (рекомендуемый образец заявки приведен в приложении № 1 к настоящему Порядку).

5. К заявке прилагается руководство по безопасной разработке программного обеспечения, разработанное в соответствии с пунктом 5.1 настоящего Порядка.

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

5.1 В руководстве по безопасной разработке программного обеспечения указываются:

описание области действия руководства по безопасной разработке программного обеспечения;

цели изготовителя в области создания безопасного программного обеспечения;

перечень и описание реализованных процессов по безопасной разработке программного обеспечения;

распределение ролей и обязанностей, связанных с реализацией процессов по безопасной разработке программного обеспечения;

перечень регламентов по безопасной разработке программного обеспечения в соответствии с пунктами 5.1 — 5.25 раздела 5 требований по безопасной разработке;

правила и требования, относящиеся к планированию и проведению внутренних проверок реализации требований по безопасной разработке программного обеспечения;

описание действий, направленных на улучшение процессов, связанных с безопасной разработкой программного обеспечения.

Руководство по безопасной разработке программного обеспечения должно быть утверждено изготовителем, издано и доведено до всех работников, имеющих отношение к безопасной разработке программного обеспечения.

(п. 5.1 введен Приказом ФСТЭК России от 30.06.2025 № 230)

6. Заявка с приложением направляется изготовителем в ФСТЭК России почтовым отправлением с уведомлением о вручении или представляется непосредственно в ФСТЭК России.

7. ФСТЭК России рассматривает заявку в течение 15 рабочих дней со дня получения заявки.

8. Заявка возвращается для доработки в случае отсутствия в ней сведений, предусмотренных пунктом 4 настоящего Порядка, а также в случае несоответствия руководства по безопасной разработке программного обеспечения пункту 5.1 настоящего Порядка.

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

9. Уведомление о необходимости доработки заявки вручается изготовителю или направляется ему почтовым отправлением в срок не позднее 15 рабочих дней со дня получения заявки.

10. Сертификация проводится на основании решения ФСТЭК России о проведении сертификации процессов безопасной разработки программного обеспечения (далее — решение). В решении указываются:

а) номер и дата принятия решения;

б) полное и сокращенное (при наличии) наименование изготовителя, его организационно-правовая форма;

в) адрес юридического лица в пределах места нахождения юридического лица — изготовителя;

г) наименование органа по сертификации, который будет проводить сертификацию.

Решение оформляется в трех экземплярах, подписывается уполномоченным должностным лицом ФСТЭК России и направляется почтовым отправлением или вручается по одному экземпляру изготовителю и органу по сертификации. Один экземпляр решения остается в ФСТЭК России (рекомендуемый образец решения приведен в приложении № 2 к настоящему Порядку).

11. Оформление нового решения осуществляется в случае замены органа по сертификации, в том числе в связи с приостановлением или прекращением действия аттестата аккредитации органа по сертификации <3>.

<3> Пункты 41 и 42 Правил выполнения отдельных работ по аккредитации органов по сертификации и испытательных лабораторий, выполняющих работы по оценке (подтверждению) соответствия в отношении продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну, в установленной ФСТЭК России сфере деятельности, утвержденных приказом ФСТЭК России от 10 апреля 2015 г. № 33 (зарегистрирован Минюстом России 20 мая 2015 г., регистрационный № 37342), с изменениями, утвержденными приказом ФСТЭК России от 27 июля 2023 г. № 148 (зарегистрирован Минюстом России 23 ноября 2023 г., регистрационный № 76062).

12. Обращение изготовителя с обоснованием необходимости оформления нового решения направляется в ФСТЭК России почтовым отправлением.

13. ФСТЭК России в срок не позднее 15 рабочих дней со дня получения обращения изготовителя оформляет новое решение и направляет его почтовым отправлением или вручает изготовителю и органу по сертификации.

14. Действие решения прекращается в случае получения ФСТЭК России обращения изготовителя о прекращении сертификации.

15. ФСТЭК России в срок не позднее 15 рабочих дней со дня получения обращения изготовителя направляет почтовым отправлением или вручает изготовителю и органу по сертификации уведомление о прекращении действия решения.

16. Для проведения сертификации изготовитель направляет органу по сертификации руководство по безопасной разработке программного обеспечения.

17. Орган по сертификации проводит сертификацию в сроки, установленные договором на проведение сертификации, заключенным с изготовителем.

18. Сертификация проводится на материально-технической базе изготовителя, используемой для разработки, модернизации, производства, хранения, распространения и поддержки безопасности программного обеспечения, расположенной на территории Российской Федерации. Изготовитель должен обеспечить доступ представителей органа по сертификации к материально-технической базе изготовителя, в том числе к среде сборки и разработки программного обеспечения.

(п. 18 в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

19. В процессе сертификации осуществляются:

оценка соответствия руководства по безопасной разработке программного обеспечения требованиям пункта 5.1 настоящего Порядка;

проверка соответствия артефактов реализации процессов безопасной разработки программного обеспечения, имеющихся у изготовителя, требованиям пунктов 5.1 — 5.25 раздела 5 требований по безопасной разработке;

проверка наличия у изготовителя средств разработки и тестирования программного обеспечения, а также средств, предназначенных для проведения композиционного, статического, динамического анализа программного обеспечения, предусмотренных пунктами 5.8 — 5.12, 5.16, 5.18 и 5.19 раздела 5 требований по безопасной разработке;

проверка фактического соответствия процессов безопасной разработки программного обеспечения, реализованных у изготовителя, руководству по безопасной разработке программного обеспечения;

инструментальный контроль представителями органа по сертификации реализации изготовителем процессов безопасной разработки программного обеспечения, в том числе среды сборки и разработки программного обеспечения;

проверка полноты и обеспеченности изготовителя сотрудниками, обладающими знаниями и умениями, необходимыми для реализации процессов безопасной разработки программного обеспечения.

(п. 19 в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

20. По результатам проведения сертификации орган по сертификации оформляет Протокол сертификации, содержащий:

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

основание для проведения сертификации (номер и дату решения);

даты и места проведения сертификации;

описание процессов безопасной разработки программного обеспечения, реализованных изготовителем, в отношении которых была проведена сертификация;

описание результатов сертификации по каждому реализованному у изготовителя процессу безопасной разработки программного обеспечения;

выводы о соответствии (несоответствии) процессов безопасной разработки программного обеспечения, реализованных изготовителем, требованиям по безопасной разработке.

Протокол сертификации подписывается экспертами органа по сертификации, проводившими сертификацию.

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

21. По завершении сертификации орган по сертификации оформляет экспертное заключение о соответствии (несоответствии) реализованных изготовителем процессов безопасной разработки программного обеспечения требованиям по безопасной разработке, содержащее:

основание для проведения сертификации (номер и дату решения);

абзац утратил силу. - Приказ ФСТЭК России от 30.06.2025 № 230;

описание результатов сертификации по каждому процессу безопасной разработки программного обеспечения;

вывод о соответствии (несоответствии) реализованных изготовителем процессов безопасной разработки программного обеспечения требованиям по безопасной разработке;

выводы о возможности (невозможности) выдачи сертификата соответствия.

Экспертное заключение подписывается экспертами органа по сертификации, проводившими сертификацию, и утверждается руководителем органа по сертификации.

22. В случае несоответствия реализованных изготовителем процессов безопасной разработки программного обеспечения требованиям по безопасной разработке экспертное заключение, содержащее такой вывод, направляется изготовителю.

Изготовитель устраняет выявленные несоответствия процессов (процедур) безопасной разработки программного обеспечения требованиям по безопасной разработке и информирует об этом орган по сертификации почтовым отправлением.

23. Орган по сертификации после устранения изготовителем несоответствий проводит повторную сертификацию в объеме, необходимом для проверки устранения изготовителем выявленных несоответствий.

По результатам повторной сертификации оформляется протокол повторной сертификации и экспертное заключение.

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

24. В случае соответствия реализованных изготовителем процессов безопасной разработки программного обеспечения требованиям по безопасной разработке орган по сертификации подготавливает проект сертификата соответствия (рекомендуемый образец приведен в приложении № 3 к настоящему Порядку) и представляет материалы сертификации в ФСТЭК России.

Материалы сертификации должны включать:

экспертное заключение;

проект сертификата соответствия;

протокол сертификации;

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

протокол повторной сертификации и экспертное заключение (в случае проведения повторной сертификации);

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

руководство по безопасной разработке программного обеспечения;

документацию по безопасной разработке программного обеспечения, представленную изготовителем при проведении сертификации.

Материалы сертификации, за исключением документации по безопасной разработке программного обеспечения, представляются на бумажном носителе и в электронном виде. Документация по безопасной разработке программного обеспечения представляется в электронном виде.

25. В случае если в экспертном заключении содержится вывод о невозможности выдачи сертификата соответствия, ФСТЭК России в срок не позднее 5 рабочих дней со дня поступления материалов сертификации принимает решение об отказе в выдаче сертификата соответствия.

26. В случае если в экспертном заключении содержится вывод о возможности выдачи сертификата соответствия, ФСТЭК России в срок не более 30 календарных дней со дня поступления материалов сертификации рассматривает их и при отсутствии недостатков принимает решение о выдаче сертификата соответствия.

27. В случае выявления в материалах сертификации недостатков ФСТЭК России направляет органу по сертификации и изготовителю уведомление о выявленных в материалах сертификации недостатках с их описанием и предложениями по устранению.

28. Орган по сертификации с участием изготовителя в срок не позднее 30 календарных дней со дня подписания уведомления о выявленных в материалах сертификации недостатках устраняет выявленные недостатки, при необходимости проводит повторную сертификацию и представляет в ФСТЭК России доработанные материалы сертификации.

29. В случае непредставления органом по сертификации в установленный пунктом 28 настоящего Порядка срок доработанных материалов сертификации ФСТЭК России принимает решение об отказе в выдаче сертификата соответствия.

Решение об отказе в выдаче сертификата соответствия подписывается уполномоченным должностным лицом ФСТЭК России и в срок не позднее 5 рабочих дней со дня подписания вручается изготовителю и органу по сертификации или направляется им почтовым отправлением.

30. В случае принятия ФСТЭК России решения о выдаче сертификата соответствия сертификат соответствия подписывается уполномоченным должностным лицом ФСТЭК России, сведения о сертификате соответствия учитываются в перечне сертификатов соответствия процессов безопасной разработки программного обеспечения требованиям по безопасной разработке (далее — перечень сертификатов соответствия).

Сертификат соответствия выдается на область действия, указанную в руководстве по безопасной разработке программного обеспечения, и срок, указанный в заявке, но не более чем на пять лет.

(в ред. Приказа ФСТЭК России от 30.06.2025 № 230)

Сертификат соответствия в течение 10 рабочих дней после дня подписания вручается изготовителю или направляется ему заказным почтовым отправлением.

31. В случае утраты сертификата соответствия изготовитель вправе обратиться в ФСТЭК России с заявлением о выдаче дубликата сертификата соответствия.

В течение 10 рабочих дней со дня регистрации заявления о выдаче дубликата сертификата соответствия ФСТЭК России оформляет дубликат на бланке сертификата соответствия с пометкой «дубликат, оригинал сертификата соответствия признается недействующим» и вручает изготовителю или направляет ему почтовым отправлением.

32. Выдача нового сертификата соответствия осуществляется в случае:

а) реорганизации изготовителя;

б) изменения наименования изготовителя;

в) изменения адреса юридического лица в пределах места нахождения юридического лица — изготовителя.

33. Для выдачи нового сертификата соответствия изготовитель либо его правопреемник представляют в ФСТЭК России заявление о выдаче нового сертификата соответствия.

В заявлении о выдаче нового сертификата соответствия указываются новые сведения об изготовителе или его правопреемнике.

Заявление о выдаче нового сертификата соответствия представляется непосредственно в ФСТЭК России или направляется почтовым отправлением.

34. ФСТЭК России в срок, не превышающий 10 рабочих дней со дня получения заявления о выдаче нового сертификата соответствия, осуществляет проверку достоверности содержащихся в заявлении сведений и принимает решение о выдаче нового сертификата соответствия или об отказе в его выдаче.

35. Основаниями для отказа в выдаче нового сертификата соответствия является наличие в заявлении о выдаче нового сертификата соответствия недостоверных сведений.

ФСТЭК России в течение 5 рабочих дней со дня принятия решения об отказе в выдаче нового сертификата соответствия вручает изготовителю или его правопреемнику уведомление об отказе в выдаче нового сертификата соответствия с указанием причин отказа или направляет его почтовым отправлением.

36. ФСТЭК России в течение 5 рабочих дней со дня принятия решения о выдаче нового сертификата соответствия направляет почтовым отправлением или вручает изготовителю или его правопреемнику уведомление о выдаче нового сертификата соответствия с приложением нового сертификата соответствия и вносит сведения о новом выданном сертификате соответствия в перечень сертификатов соответствия.

37. Изготовитель в течение 5 рабочих дней со дня получения нового сертификата соответствия представляет (направляет) в ФСТЭК России подлинник ранее выданного сертификата соответствия.

38. ФСТЭК России имеет право приостанавливать и (или) прекращать действие сертификатов соответствия <5>.

<5> Пункт 11 приложения, утвержденного постановлением Правительства Российской Федерации от 15 мая 2010 г. № 330.

безопасной разработки программного