Скачать PDF

Приказ ФСТЭК России от 20.01.2026 № 9

Федеральная служба по техническому и экспортному контролю · № 9 от 20.01.2026Действующий акт

Актуально на 11.11.2026.

Как цитировать: Приказ ФСТЭК России от 20.01.2026 N 9. 9. 20.01.2026. https://bukva.ai/docs/prikaz-9-2026-fstek-rossii-federalnaya

«О внесении изменений в Положение о системе сертификации средств защиты информации, утвержденное приказом Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. № 55»

(Зарегистрировано в Минюсте России 20.04.2026 № 86119)

Примечание

Начало действия документа — 02.05.2026.

Зарегистрировано в Минюсте России 20 апреля 2026 г. № 86119

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ПРИКАЗ от 20 января 2026 г. № 9

О ВНЕСЕНИИ ИЗМЕНЕНИЙ В ПОЛОЖЕНИЕ О СИСТЕМЕ СЕРТИФИКАЦИИ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ, УТВЕРЖДЕННОЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ОТ 3 АПРЕЛЯ 2018 Г. № 55

В соответствии с подпунктом 13 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085, пунктом 2 постановления Правительства Российской Федерации от 26 июня 1995 г. № 608 «О сертификации средств защиты информации» и постановлением Правительства Российской Федерации от 15 мая 2010 г. № 330 приказываю:

Внести в Положение о системе сертификации средств защиты информации, утвержденное приказом Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. № 55 (зарегистрирован Минюстом России 11 мая 2018 г., регистрационный № 51063), с изменениями, внесенными приказами ФСТЭК России от 5 августа 2021 г. № 121 (зарегистрирован Минюстом России 27 октября 2021 г., регистрационный № 65594) и от 19 сентября 2022 г. № 172 (зарегистрирован Минюстом России 19 октября 2022 г., регистрационный № 70614), изменения согласно приложению к настоящему приказу.

Директор

Федеральной службы по техническому
и экспортному контролю
В.СЕЛИН

Приложение к приказу ФСТЭК России от 20 января 2026 г. № 9

ИЗМЕНЕНИЯ, КОТОРЫЕ ВНОСЯТСЯ В ПОЛОЖЕНИЕ О СИСТЕМЕ СЕРТИФИКАЦИИ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ, УТВЕРЖДЕННОЕ ПРИКАЗОМ ФСТЭК РОССИИ ОТ 3 АПРЕЛЯ 2018 Г. № 55

1. Пункт 21 изложить в следующей редакции:

«21. К заявке на сертификацию прилагаются следующие документы:»

технические условия в двух экземплярах;

техническое задание в двух экземплярах (в случае, если планируется проведение сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании);

задание по безопасности в двух экземплярах (в случае необходимости его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

договор с лицом (лицами), обладающим (обладающими) исключительными правами на средство защиты информации, о предоставлении заявителю права на сертификацию, эксплуатацию или производство средства защиты информации, а также на техническую поддержку средства защиты информации (прилагается в случае, если заявитель не обладает исключительными правами на средство защиты информации).».

2. В абзаце третьем пункта 28 слова «или задание по безопасности» заменить словами «, задание по безопасности или перечень заимствованных программных компонентов с открытым исходным кодом».

3. Пункт 35 изложить в следующей редакции:

«35. Решение о проведении сертификации средства защиты информации аннулируется в случае:»

обращения заявителя о прекращении сертификации средства защиты информации;

незаключения заявителем договоров с испытательной лабораторией и органом по сертификации на проведение сертификации по истечении 1 года с даты принятия решения о проведении сертификации средства защиты информации;

наличие в заключении органа по сертификация вывода о невозможности выдачи сертификата соответствия.».

4. Абзац третий пункта 37 после слов «средств защиты информации» дополнить словами «от утечки по техническим каналам».

5. Пункт 37.2 изложить в следующей редакции:

«37.2. На отобранный образец (образцы) средства защиты информации заявителем представляется в испытательную лабораторию следующая документация:»

технические условия;

задание по безопасности (в случае его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

иная конструкторская (программная) и эксплуатационная документация на средство защиты информации, предусмотренная требованиями по безопасности информации.

В целях соблюдения конфиденциальности информации о средстве защиты информации документация на средство защиты информации может быть представлена заявителем непосредственно на месте проведения сертификационных испытаний средства защиты информации.».

6. Пункт 40 изложить в следующей редакции:

«40. Испытательной лабораторией осуществляется рассмотрение отобранного образца средства защиты информации и документации на него, а также проводится оценка перечней заимствованных программных компонентов с открытым исходным кодом и образов контейнеров, входящих в состав средства защиты информации, в части их полноты и корректности отнесения компонентов к поверхности атаки и к компонентам, реализующим функции безопасности информации или участвующим в их реализации, и при выявлении недостатков направляются заявителю предложения по доработке средства защиты информации и (или) документации.».

7. Абзац второй пункта 42 дополнить словами «, а также план проведения испытаний заимствованных компонентов».

8. Пункт 43 изложить в следующей редакции:

«43. Программа и методика сертификационных испытаний средства защиты информации согласовываются с заявителем и представляются на утверждение в орган по сертификации.»

К программе и методике сертификационных испытаний, представляемым на утверждение в орган по сертификации, прилагается следующая документация:

технические условия;

задание по безопасности (в случае его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

иная конструкторская (программная) и эксплуатационная документация на средство защиты информации, предусмотренная требованиями по безопасности информации.

Органом по сертификации в течение 10 календарных дней со дня получения программы и методики сертификационных испытаний рассматриваются программа и методика сертификационных испытаний средства защиты информации и при отсутствии недостатков утверждаются им.

В случае выявления недостатков органом по сертификации в течение трех календарных дней со дня выявления указанных недостатков программа и методика сертификационных испытаний средства защиты информации возвращаются в испытательную лабораторию на доработку, о чем письменно уведомляется заявитель.

Испытательной лабораторией в течение 10 календарных дней со дня получения программы и методики сертификационных испытаний устраняются недостатки, повторно согласовываются программа и методика сертификационных испытаний с заявителем и представляются в орган по сертификации на утверждение.

При повторном рассмотрении программы и методики сертификационных испытаний органом по сертификации проверяется устранение ранее выявленных недостатков.

Общий срок рассмотрения и утверждения программы и методики сертификационных испытаний средства защиты информации органом по сертификации не должен превышать 30 календарных дней со дня получения программы и методики сертификационных испытаний.

Органом по сертификации в срок, не превышающий 5 рабочих дней со дня утверждения программы и методики сертификационных испытаний средства защиты информации, письменно извещается об этом ФСТЭК России.».

9. Пункт 52 изложить в следующей редакции:

«52. Материалы сертификационных испытаний средства защиты информации представляются испытательной лабораторией в орган по сертификации в сроки, согласованные с заявителем и испытательной лабораторией.».

10. Дополнить пунктом 52(1) следующего содержания:

«52(1). Материалы сертификационных испытаний средства защиты информации должны включать:»

  1. программу и методику сертификационных испытаний средства защиты информации, протоколы сертификационных испытаний средства защиты информации и техническое заключение;

  2. протоколы повторных сертификационных испытаний средства защиты информации и техническое заключение (в случае проведения повторных сертификационных испытаний);

  3. акт отбора образца (образцов) средства защиты информации;

  4. техническое заключение;

  5. технические условия и извещение о внесении изменений в технические условия в двух экземплярах (в случае внесения таких изменений);

  6. дополнительное техническое задание в двух экземплярах (в случае проведения сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании);

  7. задание по безопасности в двух экземплярах (в случае его разработки в соответствии с требованиями по безопасности информации);

  8. формуляр (паспорт) на средство защиты информации в двух экземплярах, в том числе содержащий контрольные суммы исполняемых файлов;

  9. перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

  10. перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

  11. дополнительную документацию на средство защиты информации, представленную заявителем при проведении сертификационных испытаний.».

11. Дополнить пунктом 52(2) следующего содержания:

«52(2). Документы, указанные в подпунктах 4 — 8 пункта 52(1) настоящего Положения, представляются на бумажном носителе и в электронном виде. Документы, указанные в подпунктах 1 — 3, 9 — 11 пункта 52(1) настоящего Положения, представляются только в электронном виде. В электронном виде должны быть представлены копии документов, идентичные подписанным (утвержденным) в бумажном виде документам.».

12. Дополнить пунктом 73(1) следующего содержания:

«73(1). В случае внесения изменений в перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации, изготовителем в течение 5 календарных дней со дня внесения указанных изменений представляется в ФСТЭК России скорректированный перечень заимствованных программных компонентов с открытым исходным кодом.».

13. Пункт 74 изложить в следующей редакции:

«74. По результатам проведенных испытаний средства защиты информации в связи с внесением в него изменений заявителем представляются в ФСТЭК России материалы испытаний, содержащие:»

  1. техническое заключение;

  2. протоколы по результатам проведенных испытаний;

  3. технические условия и извещение о внесении изменений в технические условия в двух экземплярах (в случае внесения таких изменений);

  4. дополнительное техническое задание в двух экземплярах (в случае проведения сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании, и в случае внесения изменений в техническое задание);

  5. задание по безопасности (при наличии) в двух экземплярах (в случае внесения изменений в задание по безопасности);

  6. формуляр (паспорт) на средство защиты информации, в том числе содержащий контрольные суммы исполняемых файлов, и извещение о внесении изменений в формуляр (паспорт) в двух экземплярах (в случае внесения таких изменений);

  7. перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

  8. перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров)».

14. Дополнить пунктом 74(1) следующего содержания:

«74(1). Документы, указанные в подпунктах 1, 3 — 6 пункта 74 настоящего Положения, представляются на бумажном носителе и в электронном виде. Документы, указанные в подпунктах 2, 7, 8 пункта 74 настоящего Положения, представляются только в электронном виде. В электронном виде должны быть представлены копии документов, идентичные подписанным (утвержденным) в бумажном виде документам».

15. Пункт 83 дополнить абзацем следующего содержания:

«непредставления сведений о внесении изменений в перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации.».