Для сайтов и программ вводят сертификаты безопасности: кабмин решил, когда их отзовут

С марта 2027 года в законе об электронной подписи появятся специальные положения о сертификатах безопасности национального удостоверяющего центра. Они предназначены для подтверждения подлинности сайтов, информационных систем, разработчиков российского ПО и участников корпоративных систем. Изменения вносились федеральным законом 210-ФЗ, который был подписан летом этого года. Теперь правительство своим распоряжением определило дополнительные основания прекращения действия таких сертификатов.

Подтвердить, с кем связались

Новые статьи закона «Об электронной подписи» закрепляют статус национального удостоверяющего центра и правила выдачи сертификатов безопасности. Сертификат связывает специальный криптографический ключ с сайтом, информационной системой или определенным лицом. Его задача — помочь проверить подлинность участника взаимодействия и организовать защищенный обмен данными. Для сайта это, например, подтверждение того, что соединение устанавливается именно с указанным ресурсом.

Закон предусматривает несколько видов сертификатов:

• для подтверждения подлинности сайта или информационной системы и защищенного взаимодействия с ними;

• дополнительно подтверждающие, кому принадлежит сайт или система;

• для подтверждения личности разработчика, целостности и российского происхождения программы, включенной в реестр российского ПО;

• для проверки участников электронного взаимодействия внутри корпоративной информационной системы.

Отдельно предусмотрен корневой сертификат — на его основе будут создаваться остальные сертификаты.

Кому выдадут

За сертификатами смогут обращаться владельцы сайтов и информационных систем, разработчики программ из реестра российского ПО, участники корпоративных систем и уполномоченные ими лица. Владельцами ресурсов могут быть государственные и муниципальные органы, организации, ИП и граждане.

Выдавать сертификаты будет национальный удостоверяющий центр. Он же проверит владение соответствующим секретным ключом и уникальность связанного с ним ключа, включаемого в сертификат. Сведения о выданных сертификатах и прекращении их действия будут храниться в доступном для проверки реестре.

Общей обязанности получить такой сертификат для каждого сайта закон не устанавливает. При этом предусмотрено обязательное применение сертификатов для определенного круга органов и организаций. Кабмин также сможет устанавливать дополнительные случаи обязательного использования, в финансовой сфере — по согласованию с ЦБ.

Выдача может быть платной, в пределах установленного ограничения. Для госорганов, органов местного самоуправления, ЦБ и организаций из правительственного перечня предусмотрена бесплатная выдача. Владелец должен будет сохранять секретность ключа, а о ее нарушении уведомлять удостоверяющий центр не позднее одного рабочего дня после получения такой информации.

Когда сертификат потеряет силу

Сам закон предусматривает прекращение действия сертификата по истечении срока, по заявлению получателя, а также в случаях, оговоренных соглашением с удостоверяющим центром. Теперь правительство добавило еще четыре основания для отмены сертификата:

• вступило в силу решение суда, установившее недостоверность информации в сертификате;

• национальный удостоверяющий центр прекратил деятельность, а его функции никому не передали;

• выяснилось, что владелец сертификата не владеет соответствующим секретным ключом идентификации;

• обнаружено повторное использование ключа аутентификации, уже содержащегося в другом, ранее созданном сертификате.

Последние два основания связаны с надежностью подтверждения: сертификат не должен удостоверять владение ключом, которого у получателя нет, либо содержать неуникальный ключ.

Дополнительные основания начнут действовать одновременно с новыми положениями закона — с 1 марта 2027 года (распоряжение правительства от 05.11.2026 № 3218-р).