Минцифры планирует сертификаты подписи кода с 2027 года и корпоративные сертификаты безопасности с 2028-го

Что произошло

По сообщению IT World, Минцифры планирует создать государственную систему доверия к российскому программному обеспечению. В её рамках разработчикам начнут выдавать сертификаты подписи программного кода, а позже — корпоративные сертификаты безопасности.

Сроки

• С 2027 года — сертификаты подписи программного кода для российских разработчиков.

• С 2028 года — корпоративные сертификаты безопасности.

Точная дата публикации материала IT World в переданных данных не указана, поэтому соотнести её с датами вступления норм в силу нельзя.

Подтверждённые подробности

В переданном фрагменте источника подтверждаются только три элемента: ведомство (Минцифры), два типа сертификатов и годы начала выдачи (2027 и 2028). Также упоминаются предупреждения экспертов о рисках платной сертификации и об ограниченном признании российских сертификатов за рубежом.

Детали — правовой статус сертификатов, обязательность или добровольность, стоимость, перечень требований, органы выдачи, порядок проверки подписи — в исходном фрагменте не раскрыты.

Кто затронут

• Российские разработчики ПО, которым потребуется получать сертификаты подписи кода.

• Компании, закупающие и распространяющие российское ПО: им придётся учитывать новые сертификаты при проверке подлинности дистрибутивов.

• Экспортно ориентированные разработчики: ограниченное признание российских сертификатов за рубежом может усложнить работу на внешних рынках.

Практическое значение

Подпись кода — стандартный механизм, позволяющий получателю проверить, что файл выпущен заявленным разработчиком и не изменён после подписания. Государственная система сертификатов может упростить такую проверку внутри страны, если она будет совместима с существующими инструментами и операционными системами.

Однако без опубликованных технических требований нельзя оценить, насколько новые сертификаты будут совместимы с распространёнными цепочками доверия (например, в Windows, Linux и мобильных платформах) и потребуют ли разработчики менять процессы сборки и релиза.

Что делать пользователю

На текущем этапе конкретных действий не требуется: инициатива рассчитана на 2027–2028 годы, а нормативные документы, судя по доступной информации, ещё не опубликованы. Разработчикам имеет смысл следить за проектами нормативных актов Минцифры и за требованиями к сертификатам, чтобы заранее оценить влияние на процесс выпуска ПО.

Что остаётся неизвестным

• Обязательность сертификации и её стоимость.

• Кто будет выдавать сертификаты и как будет устроена цепочка доверия.

• Технические требования и совместимость с существующими платформами.

• Признание сертификатов за пределами России.

• Точная дата публикации источника и статус инициативы (проект, утверждённый план, законопроект).

Эти вопросы требуют проверки по первичным документам Минцифры.