Минцифры ужесточает правила для «доверенного» российского ПО

Минцифры опубликовало проект, который закручивает гайки для российского софта, претендующего на статус «доверенного». Разработчикам придётся закрывать известные уязвимости, держать исходный код и сборку в контролируемой среде в России и обновлять продукты без зарубежной инфраструктуры.

Добавляется и совместимость — с российскими браузерами и электронной подписью.

Код под замком в России

Смысл — чтобы на критичный софт нельзя было повлиять извне. Поэтому и код, и разработка, и сборка должны держать в России, а обновления не идти через иностранные серверы. Ни чужого компонента, ни внешнего сервера в уязвимом месте.

Для отдельных классов планка ещё выше. Проект требует совместимости под российские процессоры и как минимум одну отечественную ОС, а выход в интернет — через реестровый браузер. Под требование подпадают операционные системы, СУБД, офисные пакеты, почта, браузеры, антивирусы и другой базовый софт.

Вот только признают в отрасли: всего этого у значительной части разработчиков попросту нет. А российские процессоры — «Эльбрус», «Байкал» — хоть и наши по разработке, выпускаются в основном за рубежом, поэтому бизнес просит смягчить требования. В Минцифры в ответ обещают переходный период, в том числе для продуктов, уже попавших в реестр.

Добровольно, но не совсем

Формально проверка добровольная. Она оформлена как отдельный перечень доверенного ПО с экспертизой в специализированных центрах, и разработчик сам решает, идти ли на неё. Но у статуса есть приятный бонус — преимущество на госзакупках.

А для многих госзаказ и есть главный рынок. Так «по желанию» быстро превращается в «по необходимости»: остаться без статуса — значит проиграть тендеры тем конкурентам, у кого он есть.

И статус к тому же хрупкий. Он держится, только пока продукт остаётся в реестрах: вылетел из основного реестра российского ПО — и из доверенного его уберут за один рабочий день. Один документ тянет за собой другой.

Теперь за всю цепочку отвечает сам разработчик

Формально статус добровольный. Но привязка к госзакупкам превращает его в условие доступа к крупнейшему заказчику: запись в реестре даёт преимущество на тендерах, а без неё дорога туда закрыта. Прямой обязанности нет — но это мягкое принуждение.

Второй сдвиг — про ответственность. Требование держать код, сборку и обновления внутри страны — это контроль над всей цепочкой поставки. И отвечать за иностранный компонент или внешний сервер теперь приходится самому правообладателю, а не абстрактному поставщику где-то за рубежом.

Но жёстче всего — связка реестров. Статус доверенного держится лишь по правилам реестра: выпал продукт из основного перечня — и доверенный с него снимают за день. Оспорить это трудно: решение по одному списку автоматически тянет последствия в другом.