Сертификация ПО во ФСТЭК — подтверждение соответствия средства защиты информации или программного продукта требованиям по безопасности и уровню доверия через испытания в аккредитованной лаборатории. Подготовка стоит от 800 тыс. ₽, полный цикл для уровней доверия 4–6 — 3–10 млн ₽, для высоких уровней — до 30 млн ₽. Срок — 6–18 месяцев, основное время уходит на доработку процессов разработки и испытания.
Кому подходит
Сертификация ФСТЭК нужна разработчику, если продукт используется для защиты информации в государственных информационных системах, на объектах КИИ, в системах с персональными данными высоких уровней защищённости или продаётся заказчикам, для которых сертификат — условие закупки. Порядок задаёт Положение о системе сертификации средств защиты информации (приказ ФСТЭК № 55), а требования к уровням доверия — отдельный нормативный документ с шестью уровнями, где первый самый строгий.
Основная сложность — не бумаги, а процессы. Для большинства уровней доверия нужна выстроенная безопасная разработка по ГОСТ Р 56939: управление конфигурацией, статический и динамический анализ кода, фаззинг, контроль заимствованных компонентов, воспроизводимая сборка. Сильный консультант сначала оценивает разрыв между вашим SDLC и требованиями, помогает выбрать испытательную лабораторию и орган по сертификации, готовит задание по безопасности и техническую документацию, сопровождает испытания и устранение замечаний. Фстэк система сертификации требует и поддержки после выдачи сертификата: каждое обновление продукта нужно оценивать и согласовывать.
Стоимость
Разработчик, который оценивает готовность продукта и процессов
от 800 000 ₽
до 2,5 млн ₽ за проект · 2–4 месяца
Продукт для ГИС, ИСПДн и КИИ стандартных классов
от 3 млн ₽
до 10 млн ₽ за проект · 8–12 месяцев
СЗИ и системное ПО для значимых объектов КИИ и защищённых систем
от 10 млн ₽
до 30 млн ₽ за проект · 12–18 месяцев
| Фактор | Влияние на бюджет |
|---|---|
| Уровень доверия | УД 1–3 ×2–4 к стоимости по сравнению с УД 4–6 |
| Объём и сложность кода | Основной фактор стоимости испытаний |
| Зрелость процессов безопасной разработки | +30–100% при построении SDLC с нуля |
| Число поддерживаемых платформ и редакций | +20–40% за каждую дополнительную |
| Заимствованные компоненты и open source | +15–30% к анализу |
Для сравнения — рыночные диапазоны по разделу «Информационная безопасность». Рядом часто лежит услуга, которая решает ту же задачу дешевле или быстрее.
| Услуга | Стоимость | Срок |
|---|---|---|
| Защита персональных данных по 152-ФЗ | 80 000 ₽ — 5 млн ₽ | от 2 недель до 6 месяцев |
| WAF — защита веб-приложений | 100 000 ₽ — 12 млн ₽ | от 1 до 12 недель |
| SOC — мониторинг ИБ на аутсорсе | 150 000 ₽ — 3 млн ₽ в месяц | подключение за 1–3 месяца |
| Категорирование и защита КИИ (187-ФЗ) | 200 000 ₽ — 15 млн ₽ | от 1 до 12 месяцев |
| Пентест (тестирование на проникновение) | 250 000 ₽ — 3 млн ₽ | от 2 до 8 недель |
| Внедрение DLP-системы | 250 000 ₽ — 15 млн ₽ | от 1 до 6 месяцев |
| Bug Bounty программа | 350 000 ₽ — 6 млн ₽ | 1–3 месяца на запуск |
| Соответствие PCI DSS | 400 000 ₽ — 10 млн ₽ | от 3 до 12 месяцев |
| Внедрение SIEM | 600 000 ₽ — 25 млн ₽ | от 2 до 9 месяцев |
| Сертификация ПО во ФСТЭК эта страница | 800 000 ₽ — 30 млн ₽ | от 6 до 18 месяцев |
Результат
Сравнение текущего SDLC с требованиями уровня доверия и ГОСТ Р 56939 с планом доработок.
Определение требований, уровня доверия, испытательной лаборатории и органа по сертификации.
Описание объекта оценки, угроз, функций безопасности и среды функционирования.
Формуляр, руководства, описание архитектуры и процессов разработки по требованиям методик.
Статический и динамический анализ, фаззинг, проверка заимствованных компонентов до испытаний.
Взаимодействие с лабораторией, устранение замечаний и подготовка к экспертизе результатов.
Порядок выпуска обновлений, оценка изменений и работа с уязвимостями после сертификации.
Как проходит работа
Выясняем, по каким требованиям и уровню доверия нужна сертификация для целевых заказчиков.
Проверяем процессы разработки, документацию и код на соответствие выбранному уровню.
Внедряем безопасную разработку, анализ кода, фаззинг и устраняем найденные уязвимости.
Разрабатываем задание по безопасности, формуляр и описания процессов.
Подаём заявку, передаём продукт в лабораторию и сопровождаем испытания.
Орган по сертификации проверяет результаты, ФСТЭК оформляет сертификат.
Выбор исполнителя
Юрлицо и репутация
Проверяем компанию по ЕГРЮЛ, судебным делам и отзывам на независимых площадках.
Кейсы с цифрами
Смотрим реальные проекты в вашей нише: задачи, сроки, метрики, контакты заказчиков.
Прозрачная смета
Просим разбивку по этапам и часам — без «пакетов на всё» и скрытых доплат.
Договор напрямую
Вы работаете с исполнителем по его договору. Подбор для вас бесплатный.
Инструмент
Готовый текст
Бриф: Сертификация ПО во ФСТЭК Задача: (опишите в двух-трёх предложениях, какой результат нужен) Что нужно сделать: — Gap-анализ процессов разработки — Выбор схемы и участников — Задание по безопасности — Техническая документация — Анализ кода и уязвимостей — Сопровождение испытаний — Поддержка сертификата Исходные данные: — Уровень доверия: (уточнить) — Объём и сложность кода: (уточнить) — Зрелость процессов безопасной разработки: (уточнить) — Число поддерживаемых платформ и редакций: (уточнить) — Заимствованные компоненты и open source: (уточнить) Прошу прислать: смету с разбивкой по этапам, сроки каждого этапа и примеры похожих проектов.
Исполнители
Бесплатный подбор
Ответьте на 3 вопроса — пришлём 2–3 предложения проверенных подрядчиков с ценами, сроками и кейсами в вашей нише.
Отзывы
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего задают перед заказом.
Подготовка и gap-анализ стоят 0,8–2,5 млн ₽. Полный цикл сертификации по уровням доверия 4–6 обходится в 3–10 млн ₽ вместе с испытаниями. Для высоких уровней доверия и сложного системного ПО бюджет доходит до 30 млн ₽.
Обычно 8–12 месяцев для уровней доверия 4–6 при готовых процессах разработки. Если безопасную разработку нужно выстраивать с нуля, срок растёт до 18 месяцев. Испытания и экспертиза занимают 4–9 месяцев.
Это Положение о системе сертификации средств защиты информации, утверждённое приказом ФСТЭК России № 55. Оно устанавливает участников системы, порядок сертификации, испытаний, выдачи сертификатов и их поддержки. Детальные требования к продуктам задаются отдельными нормативными документами.
Уровни доверия определяют, насколько глубоко проверяется безопасность разработки и самого продукта. Всего шесть уровней: первый самый строгий, шестой — базовый. Требуемый уровень зависит от класса системы, где будет применяться продукт.
Реестр российского ПО подтверждает происхождение продукта и нужен для импортозамещения и закупок. Сертификат ФСТЭК подтверждает соответствие требованиям безопасности информации. Для работы в ГИС и на объектах КИИ часто нужны оба.
Да, но изменения должны оцениваться в порядке, предусмотренном системой сертификации. Существенные изменения функций безопасности требуют повторных испытаний. Поэтому процесс выпуска обновлений нужно спроектировать заранее.
Оставьте заявку с описанием продукта, целевых заказчиков и желаемых сроков. Мы бесплатно подберём 2–3 проверенных исполнителя с опытом доведения продуктов до сертификата и поможем сравнить КП. Для заказчика подбор бесплатный — платит подрядчик.
Материал подготовлен редакцией «Рекламного коктейля». Цены — рыночные диапазоны агентств и студий России на 2026 год по данным брифов и коммерческих предложений; точную стоимость называет исполнитель после брифа. Обновлено 2 октября 2026 г.. Как мы считаем цены.
Смотрите также
Выполнение требований 187-ФЗ: перечень и категорирование объектов КИИ, документы для ФСТЭК, построение системы безопасности.
Круглосуточный мониторинг событий ИБ внешним центром: сбор логов в SIEM, выявление атак, реагирование и отчётность.
Санкционированная проверка защищённости периметра, приложений и сети силами команды пентестеров с отчётом и планом устранения уязвимостей.
Межсетевой экран уровня веб-приложений: фильтрация атак на сайты и API, защита от ботов и DDoS, настройка правил без ложных блокировок.
IT-разработка, AI и блокчейн
Финтех-разработка