Приложение

к приказу ФСТЭК России

от 20 января 2026 г. N 9

ИЗМЕНЕНИЯ,
КОТОРЫЕ ВНОСЯТСЯ В ПОЛОЖЕНИЕ О СИСТЕМЕ СЕРТИФИКАЦИИ СРЕДСТВ
ЗАЩИТЫ ИНФОРМАЦИИ, УТВЕРЖДЕННОЕ ПРИКАЗОМ ФСТЭК РОССИИ
ОТ 3 АПРЕЛЯ 2018 Г. N 55

1. Пункт 21 изложить в следующей редакции:

"21. К заявке на сертификацию прилагаются следующие документы:

технические условия в двух экземплярах;

техническое задание в двух экземплярах (в случае, если планируется проведение сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании);

задание по безопасности в двух экземплярах (в случае необходимости его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

договор с лицом (лицами), обладающим (обладающими) исключительными правами на средство защиты информации, о предоставлении заявителю права на сертификацию, эксплуатацию или производство средства защиты информации, а также на техническую поддержку средства защиты информации (прилагается в случае, если заявитель не обладает исключительными правами на средство защиты информации).".

2. В абзаце третьем пункта 28 слова "или задание по безопасности" заменить словами ", задание по безопасности или перечень заимствованных программных компонентов с открытым исходным кодом".

3. Пункт 35 изложить в следующей редакции:

"35. Решение о проведении сертификации средства защиты информации аннулируется в случае:

обращения заявителя о прекращении сертификации средства защиты информации;

незаключения заявителем договоров с испытательной лабораторией и органом по сертификации на проведение сертификации по истечении 1 года с даты принятия решения о проведении сертификации средства защиты информации;

наличие в заключении органа по сертификация вывода о невозможности выдачи сертификата соответствия.".

4. Абзац третий пункта 37 после слов "средств защиты информации" дополнить словами "от утечки по техническим каналам".

5. Пункт 37.2 изложить в следующей редакции:

"37.2. На отобранный образец (образцы) средства защиты информации заявителем представляется в испытательную лабораторию следующая документация:

технические условия;

задание по безопасности (в случае его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

иная конструкторская (программная) и эксплуатационная документация на средство защиты информации, предусмотренная требованиями по безопасности информации.

В целях соблюдения конфиденциальности информации о средстве защиты информации документация на средство защиты информации может быть представлена заявителем непосредственно на месте проведения сертификационных испытаний средства защиты информации.".

6. Пункт 40 изложить в следующей редакции:

"40. Испытательной лабораторией осуществляется рассмотрение отобранного образца средства защиты информации и документации на него, а также проводится оценка перечней заимствованных программных компонентов с открытым исходным кодом и образов контейнеров, входящих в состав средства защиты информации, в части их полноты и корректности отнесения компонентов к поверхности атаки и к компонентам, реализующим функции безопасности информации или участвующим в их реализации, и при выявлении недостатков направляются заявителю предложения по доработке средства защиты информации и (или) документации.".

7. Абзац второй пункта 42 дополнить словами ", а также план проведения испытаний заимствованных компонентов".

8. Пункт 43 изложить в следующей редакции:

"43. Программа и методика сертификационных испытаний средства защиты информации согласовываются с заявителем и представляются на утверждение в орган по сертификации.

К программе и методике сертификационных испытаний, представляемым на утверждение в орган по сертификации, прилагается следующая документация:

технические условия;

задание по безопасности (в случае его разработки в соответствии с требованиями по безопасности информации);

формуляр (паспорт) на средство защиты информации;

перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

иная конструкторская (программная) и эксплуатационная документация на средство защиты информации, предусмотренная требованиями по безопасности информации.

Органом по сертификации в течение 10 календарных дней со дня получения программы и методики сертификационных испытаний рассматриваются программа и методика сертификационных испытаний средства защиты информации и при отсутствии недостатков утверждаются им.

В случае выявления недостатков органом по сертификации в течение трех календарных дней со дня выявления указанных недостатков программа и методика сертификационных испытаний средства защиты информации возвращаются в испытательную лабораторию на доработку, о чем письменно уведомляется заявитель.

Испытательной лабораторией в течение 10 календарных дней со дня получения программы и методики сертификационных испытаний устраняются недостатки, повторно согласовываются программа и методика сертификационных испытаний с заявителем и представляются в орган по сертификации на утверждение.

При повторном рассмотрении программы и методики сертификационных испытаний органом по сертификации проверяется устранение ранее выявленных недостатков.

Общий срок рассмотрения и утверждения программы и методики сертификационных испытаний средства защиты информации органом по сертификации не должен превышать 30 календарных дней со дня получения программы и методики сертификационных испытаний.

Органом по сертификации в срок, не превышающий 5 рабочих дней со дня утверждения программы и методики сертификационных испытаний средства защиты информации, письменно извещается об этом ФСТЭК России.".

9. Пункт 52 изложить в следующей редакции:

"52. Материалы сертификационных испытаний средства защиты информации представляются испытательной лабораторией в орган по сертификации в сроки, согласованные с заявителем и испытательной лабораторией.".

10. Дополнить пунктом 52(1) следующего содержания:

"52(1). Материалы сертификационных испытаний средства защиты информации должны включать:

1) программу и методику сертификационных испытаний средства защиты информации, протоколы сертификационных испытаний средства защиты информации и техническое заключение;

2) протоколы повторных сертификационных испытаний средства защиты информации и техническое заключение (в случае проведения повторных сертификационных испытаний);

3) акт отбора образца (образцов) средства защиты информации;

4) техническое заключение;

5) технические условия и извещение о внесении изменений в технические условия в двух экземплярах (в случае внесения таких изменений);

6) дополнительное техническое задание в двух экземплярах (в случае проведения сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании);

7) задание по безопасности в двух экземплярах (в случае его разработки в соответствии с требованиями по безопасности информации);

8) формуляр (паспорт) на средство защиты информации в двух экземплярах, в том числе содержащий контрольные суммы исполняемых файлов;

9) перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

10) перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров);

11) дополнительную документацию на средство защиты информации, представленную заявителем при проведении сертификационных испытаний.".

11. Дополнить пунктом 52(2) следующего содержания:

"52(2). Документы, указанные в подпунктах 4 - 8 пункта 52(1) настоящего Положения, представляются на бумажном носителе и в электронном виде. Документы, указанные в подпунктах 1 - 3, 9 - 11 пункта 52(1) настоящего Положения, представляются только в электронном виде. В электронном виде должны быть представлены копии документов, идентичные подписанным (утвержденным) в бумажном виде документам.".

12. Дополнить пунктом 73(1) следующего содержания:

"73(1). В случае внесения изменений в перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации, изготовителем в течение 5 календарных дней со дня внесения указанных изменений представляется в ФСТЭК России скорректированный перечень заимствованных программных компонентов с открытым исходным кодом.".

13. Пункт 74 изложить в следующей редакции:

"74. По результатам проведенных испытаний средства защиты информации в связи с внесением в него изменений заявителем представляются в ФСТЭК России материалы испытаний, содержащие:

1) техническое заключение;

2) протоколы по результатам проведенных испытаний;

3) технические условия и извещение о внесении изменений в технические условия в двух экземплярах (в случае внесения таких изменений);

4) дополнительное техническое задание в двух экземплярах (в случае проведения сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании, и в случае внесения изменений в техническое задание);

5) задание по безопасности (при наличии) в двух экземплярах (в случае внесения изменений в задание по безопасности);

6) формуляр (паспорт) на средство защиты информации, в том числе содержащий контрольные суммы исполняемых файлов, и извещение о внесении изменений в формуляр (паспорт) в двух экземплярах (в случае внесения таких изменений);

7) перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации заимствованных программных компонентов с открытым исходным кодом);

8) перечень образов контейнеров, входящих в состав средства защиты информации (в случае наличия в средстве защиты информации образов контейнеров)".

14. Дополнить пунктом 74(1) следующего содержания:

"74(1). Документы, указанные в подпунктах 1, 3 - 6 пункта 74 настоящего Положения, представляются на бумажном носителе и в электронном виде. Документы, указанные в подпунктах 2, 7, 8 пункта 74 настоящего Положения, представляются только в электронном виде. В электронном виде должны быть представлены копии документов, идентичные подписанным (утвержденным) в бумажном виде документам".

15. Пункт 83 дополнить абзацем следующего содержания:

"непредставления сведений о внесении изменений в перечень заимствованных программных компонентов с открытым исходным кодом, входящих в состав средства защиты информации.".