В закупке написано «сертифицированное отечественное ПО». На деле за этим стоит одна из трёх разных процедур. У каждой свой смысл, срок и цена. Разберём, чем они отличаются.

1. Реестр отечественного ПО

Это не сертификация, а внесение в перечень. Реестр ведёт Минцифры. Он подтверждает, что продукт российский. Качество и безопасность никто не проверяет.

Что даёт: - право продавать госзаказчикам, которым запрещено покупать иностранный софт; - налоговые льготы.

Что нужно: - российский правообладатель; - исходный код и средства сборки хранятся в России.

Для продаж в страны ЕАЭС есть отдельный реестр евразийского ПО.

С реестра обычно и стоит начинать: это самый простой вход в госсегмент.

2. Совместимость с отечественными платформами

Это тоже не требование регулятора. Тесты проводит производитель платформы: он проверяет, что ваш продукт работает на его ОС.

Пример: «Ready for Astra» от группы Астра. По итогам вы получаете логотип совместимости и запись в каталоге.

Каталог работает как витрина. По данным «Группы Астра», в 2023 году число решений, совместимых с её экосистемой, превысило 2,5 тысячи. А по оценке Strategy Partners, доля группы на российском рынке операционных систем за тот же год достигла 76%. Если вы продаёте в госсектор и крупный бизнес, велика вероятность, что у заказчика стоит именно Astra Linux.

Есть и польза для кода. Пока вы не запустили продукт на целевой ОС, вы не знаете, сколько в нём скрытых зависимостей от Windows.

3. Сертификация ФСТЭК

Это настоящая проверка безопасности. Её проводят испытательная лаборатория и орган по сертификации.

Что проверяют: - исходный код; - статический и динамический анализ; - фаззинг; - состав компонентов: какие сторонние библиотеки вы используете; - процесс разработки по ГОСТ Р 56939; - комплект документации.

Проверяют не только продукт, но и то, как вы его делаете. Нужны контроль изменений, учёт зависимостей, воспроизводимая сборка, тесты и работа с уязвимостями. Если процесса нет, его придётся строить до подачи заявки. Подготовка обычно занимает больше времени, чем сами испытания.

С чего начать Откройте требования закупки и найдите, что в них написано. Чаще всего хватает реестра. Если заказчик работает на Astra Linux, добавьте совместимость. К ФСТЭК идите только тогда, когда без неё не обойтись.