Минцифры создаёт ГИС для российских сертификатов безопасности: что это значит для сайтов бизнеса

Коротко: по данным «Интерфакса», проект размещён на портале проектов нормативных актов. ГИС создадут на базе уже работающей системы НУЦ, оператором станет Минцифры с правом передать функции подведомственному учреждению. Если постановление примут, оно вступит в силу 1 марта 2027 года. Конкретных сроков запуска самой системы в документе нет. Органы власти, госпредприятия и учреждения будут пользоваться ГИС бесплатно, граждане — тоже бесплатно через Госуслуги. Для бизнеса, как пишет ПРАЙМ, предусмотрена плата: предельная стоимость складывается из «реальных и экономически оправданных затрат», пересматривается раз в три года и может ежегодно индексироваться.

Российские сертификаты появились после того, как зарубежные удостоверяющие центры массово отозвали сертификаты у российских ресурсов. Технически они работают так же, как зарубежные. Отличие в другом: им доверяют не все браузеры. Без отдельной настройки их принимают в основном российские браузеры, а у посетителя с другим браузером сайт, где стоит только сертификат НУЦ, откроется с предупреждением о небезопасном соединении.

Для малого бизнеса главный риск здесь связан с доверием, а не с новыми правилами. Страница оплаты счёта, личный кабинет клиента и форма заявки должны открываться без предупреждений в любом браузере, иначе клиент закроет вкладку раньше, чем дойдёт до кнопки «Оплатить». Если сайт собирали «один раз и навсегда», стоит проверить, кто продлевает сертификаты и сможет ли сервер работать с двумя сертификатами одновременно. Аудит и доработку сайта под эти требования можно поручить команде, которая делает и сопровождает корпоративные сайты. Остальные шаги ниже — организационные.

Что предусматривает проект

• Сертификаты для сайтов и информационных систем. Подтверждают подлинность ресурса и шифруют соединение, как привычные TLS-сертификаты.
• Сертификаты для российского ПО. Подтверждают целостность и происхождение программ из государственного реестра.
• Защищённое взаимодействие внутри корпоративных систем. ГИС должна поддерживать обмен между участниками корпоративных информационных систем.
• Обязательность только для госсектора. Госорганы, местные администрации, государственные и муниципальные предприятия и учреждения будут использовать сертификаты НУЦ. Для коммерческих компаний это право, а не обязанность.

Кого это затронет в первую очередь

• Поставщиков госзаказчиков. Если ваш портал, API или кабинет обменивается данными с госорганом или госучреждением, со временем от вас могут потребовать сертификат НУЦ на стороне интеграции.
• Компании с онлайн-оплатой. Клиенты приходят на страницу оплаты из разных браузеров, поэтому им нужен сертификат, которому доверяют все. Российский сертификат может понадобиться в дополнение к нему, но не вместо.
• Тех, кто уже перешёл на сертификат НУЦ. Сейчас такие сертификаты выдают бесплатно. Если проект примут в нынешнем виде, их стоимость станет отдельной строкой ИТ-бюджета.

Как подписывать и защищать платёжки, которые уходят в банк напрямую из учётной системы, мы разбирали в материале об оплате счетов через API банка. А о том, почему покупателю нужен один официальный адрес для сверки ссылок, — в новости о клонах интернет-магазинов перед 11.11.

Что сделать сейчас

• Составьте список доменов. Сайт, личный кабинет, страница оплаты, поддомены интеграций: для каждого запишите, какой сертификат стоит, кто его выпустил и когда он истекает.
• Проверьте автопродление. Просроченный сертификат на странице оплаты обходится дороже любой платы за выпуск: клиент видит предупреждение и уходит.
• Уточните требования контрагентов. Если работаете с госзаказчиками, спросите заранее, понадобится ли сертификат НУЦ для обмена данными.
• Заложите строку в бюджет 2027 года. Тарифы для бизнеса проект пока не называет. Их стоит отслеживать после публикации итоговой версии постановления.
• Не меняйте сертификат вслепую. Не заменяйте международный сертификат российским, не проверив, в каких браузерах открывают сайт ваши клиенты.

Проект сейчас на общественном обсуждении, и до 1 марта 2027 года его формулировки, в том числе порядок оплаты для бизнеса, могут измениться. Мы будем следить за итоговой редакцией.