Сертификация программного обеспечения в Казахстане
Закон требует испытаний на кибербезопасность от конкретного списка объектов: систем и сайтов госсектора, критически важных объектов и частных систем, через которые оказывают госуслуги. Остальное ПО проходит испытания по желанию владельца, но протокол или сертификат часто просят реестр доверенного ПО и заказчики. Мы определяем, какой документ нужен именно вам, готовим документацию и ведём испытания в лаборатории до протокола.
Коротко
- Обязательные испытания на соответствие требованиям кибербезопасности перечислены в ст. 49 Закона «О кибербезопасности»: в основном это объекты госсектора, критически важные объекты и частные системы для госуслуг. Для другого ПО испытания добровольны.
- Частные объекты испытывают аккредитованные лаборатории. Методика — приказ № 111/НҚ: анализ исходного кода, функции безопасности, нагрузка, сеть и процессы.
- Протокол испытаний действует 3 года. Если изменилась функциональность, условия работы или собственник, его получают заново раньше срока.
- Сертификаты СТ-KZ с 1 января 2026 года не выдают. Казахстанское происхождение ПО теперь подтверждает включение в реестр доверенных цифровых объектов.
Кому испытания обязательны
- Цифровые системы госсектораСистемы госорганов, государственных юрлиц и квазигоссектора. Заявку подаёт владелец или уполномоченное им лицо, например разработчик.
- Интернет-ресурсы госсектораСайты и порталы госорганов, государственных юрлиц и квазигоссектора.
- Критически важные цифровые объектыОбъекты из перечня уполномоченного органа: энергетика, связь, банки, транспорт, здравоохранение и другие сферы, где сбой бьёт по безопасности или экономике.
- Частные системы для госуслугНегосударственные цифровые системы, через которые формируют государственные цифровые ресурсы, выполняют госфункции или оказывают госуслуги.
- Платформа «цифрового правительства»Сама платформа и платформенные программные продукты. Протокол по платформе действует 1 год, а не 3.
Что входит
- Карта требованийСмотрим, кто заказчик и где будет работать продукт, и говорим, что нужно: обязательные испытания, протокол для реестра или сертификат по СТ РК ISO/IEC 15408-3.
- Подбор лабораторииСравниваем аккредитованные лаборатории по составу работ и срокам. Договор с лабораторией заключаете вы, срок испытаний согласуется с ней.
- Документация к испытаниямСобираем вместе с вашей командой описание объекта, архитектуру, перечень функций безопасности и сведения об инфраструктуре.
- Сопровождение испытанийВедём переписку с лабораторией, следим за этапами и передаём вопросы лаборатории вашим разработчикам.
- Замечания и повторная проверкаЕсли лаборатория нашла несоответствия, превращаем их в список задач для разработки и организуем повторную проверку.
- Срок действияВедём календарь протокола: 3 года или до изменения функциональности. Для реестра обновлённые документы подают за 30 календарных дней до истечения.
- Связка с реестромЕсли протокол нужен для реестра доверенных цифровых объектов, параллельно готовим права на код, расчёт локализации и сведения о техподдержке.
Как работаем
- Бриф на 15 минутЧто за продукт, кто заказчик, где он будет работать и зачем нужен документ.
- Карта требованийПишем, какие испытания или сертификат нужны, у кого их проходить и какие документы готовить.
- Документация и заявкаСобираем пакет с вашей командой и подаём заявку в лабораторию.
- ИспытанияСостав зависит от объекта: исходный код, функции безопасности, нагрузка, сеть, процессы. Срок согласуете с лабораторией.
- Протокол и дальшеПолучаете протокол. Если он нужен для реестра, переходим к заявлению, а потом следим за сроком действия.
Сколько стоит
Что влияет на цену
- обязательные испытания или добровольные
- состав испытаний: код, нагрузка, сеть, процессы
- готовность технической документации
- нужны ли потом реестр и закупки
Результат зависит от продукта и выводов лаборатории, поэтому положительный протокол мы не гарантируем. Отвечаем за подготовку, сроки и за то, чтобы замечания дошли до разработчиков вовремя.
Типичные ситуации
Выиграли тендер квазигосударственной компании на разработку портала.
Интернет-ресурсы и системы квазигоссектора проходят обязательные испытания. Заявку подаёт владелец или уполномоченное им лицо, поэтому сразу договариваемся с заказчиком, кто заявитель, и закладываем испытания в план проекта.
Хотим в реестр доверенного ПО, а протокола нет.
Реестр принимает протокол по методике приказа № 111/НҚ или сертификат по СТ РК ISO/IEC 15408-3 не ниже 4-го уровня доверия. Сравниваем оба пути по составу работ и срокам и параллельно считаем локализацию.
Раньше для тендеров брали СТ-KZ на продукт.
С 1 января 2026 года СТ-KZ не выдают. Статус казахстанского ПО теперь даёт реестр доверенных цифровых объектов: готовим пакет туда.
Обновления выходят каждый месяц, протокол получили два года назад.
Протокол действует 3 года, но изменение функциональности тоже требует нового. Сверяем, что изменилось с прошлых испытаний, и планируем повторные до того, как документ перестанет действовать.
Частые вопросы
Нужна ли сертификация программного обеспечения в Казахстане?
Не всякому ПО. Испытания на соответствие требованиям кибербезопасности обязательны для систем и сайтов госсектора, критически важных объектов и частных систем для госуслуг. Остальное ПО проходит их по желанию владельца, чаще всего ради реестра или тендера.
Кто проводит испытания ПО на кибербезопасность?
Частные объекты испытывают аккредитованные испытательные лаборатории. Для объектов госорганов работает Государственная техническая служба. Методика и правила утверждены приказом № 111/НҚ.
Что проверяют при испытаниях?
Пять видов работ: анализ исходных кодов, испытание функций кибербезопасности, нагрузочное испытание, обследование сетевой инфраструктуры и процессов обеспечения кибербезопасности. Набор зависит от объекта.
Сколько действует протокол испытаний?
3 года, для платформы «цифрового правительства» — 1 год. Если изменилась функциональность, условия работы или собственник, протокол получают заново раньше срока.
Можно ли получить СТ-KZ на программное обеспечение в 2026 году?
Нет. По Закону о промышленной политике сертификаты СТ-KZ и индустриальные сертификаты выдавали до 1 января 2026 года. Теперь ПО, произведённое в Казахстане, приравнивается к казахстанскому товару через реестр доверенных цифровых объектов.
Какой документ нужен для реестра доверенного ПО?
Протокол испытаний по методике приказа № 111/НҚ или сертификат по СТ РК ISO/IEC 15408-3 не ниже 4-го уровня доверия. На дату подачи документ должен действовать, иначе заявление не примут.
Гарантируете ли вы прохождение испытаний?
Нет, результат зависит от продукта и выводов лаборатории. Мы готовим документацию, ведём сроки и помогаем закрыть замечания до повторной проверки.
| | Определим, какой документ нужен продукту Опишите продукт, кто заказчик и зачем нужен документ: тендер, реестр доверенного ПО или требование клиента. WhatsApp +7 700 365 57 54 · Telegram @Aiupov_kz · WeChat arturaiupov Нажимая кнопку, вы даёте согласие на обработку персональных данных и принимаете политику обработки персональных данных. |