Notificación de cifrado (Rusia y UEEA)

La notificación de cifrado que registra el Servicio Federal de Seguridad de Rusia (FSB) es la vía ligera para introducir productos con criptografía en la Unión Económica Euroasiática. Su base legal es la Decisión nº 30 del Consejo de la CEE, de 21 de abril de 2015, sobre medidas de regulación no arancelaria, que mantiene la lista unificada de mercancías que necesitan un documento de autorización en frontera. La notificación registrada se publica en el registro común de notificaciones sobre características de medios de cifrado que lleva la CEE, y el producto que figura en él pasa la aduana de cualquier Estado miembro sin licencia. El cifrado que la notificación no cubre exige un dictamen pericial del FSB y una licencia de importación del Minpromtorg, válida solo en Rusia y emitida por envío.

¿Qué productos necesitan la notificación de cifrado?

Casi todo producto de consumo conectado. La lista unificada de mercancías sujetas a medidas de regulación no arancelaria en el comercio con terceros países, publicada en el sitio de la Unión con base en la Decisión nº 30, incluye los medios de cifrado y los productos que los contienen, y el criterio es la función criptográfica; cómo se vende el producto no importa. Un altavoz inalámbrico con WPA2, un termostato que se empareja por Bluetooth, una cámara con cliente HTTPS hacia la nube: cada uno contiene función criptográfica a estos efectos.

La vía de la notificación está abierta cuando el cifrado es el de mercado masivo: algoritmos estándar publicados, longitudes de clave corrientes, uso accesorio respecto de la finalidad del producto. Wi-Fi, Bluetooth y TLS en un aparato de consumo son exactamente ese caso. Un producto cuya finalidad es el cifrado mismo, una pasarela VPN o un módulo de seguridad de hardware, queda fuera de las categorías de la notificación y sigue la vía de la licencia que se describe más abajo.

El primer error que vemos es de encuadre. El expediente de conformidad dice "no es un producto de seguridad", el firmware dice lo contrario, y lo decide la especificación criptográfica: qué algoritmos, qué longitudes de clave, qué protocolos, en qué módulo. Pedimos esa lista a los ingenieros de firmware antes que nada, porque la respuesta define si el proyecto es una sola notificación o una licencia por envío con un dictamen pericial detrás.

¿Cómo se registra la notificación FSB y dónde vale?

La notificación FSB es un registro, presentado una vez para un producto y su fabricante, y se coteja contra un registro público. En Rusia el órgano autorizado es el FSB. La notificación registrada entra en el registro común de notificaciones sobre características de medios de cifrado y productos que los contienen, que publica la CEE, y la propia guía de comercio de la CEE cita ese registro entre las bases para importar mercancías sin presentar licencia ni dictamen.

El documento nombra al fabricante, al producto y sus características criptográficas, y lo presenta el fabricante o una persona que él autorice. Vale en todos los Estados miembros de la UEEA: un solo registro sostiene importaciones a Rusia, Kazajistán, Bielorrusia, Armenia y Kirguistán por cualquier importador. La aduana coteja el producto contra el registro en frontera; para lo que figura en él no se presenta licencia ni dictamen.

Como el registro es público y la entrada pertenece al fabricante, mantenga la notificación a su nombre. El distribuidor que registra según su propia lectura del firmware termina con la única entrada que la aduana va a cotejar, y el siguiente importador del fabricante empieza de cero. Cuando el fabricante no tiene quién firme, redactamos la notificación y la presentamos como persona autorizada, a nombre del fabricante.

¿Y si el producto queda fuera de las categorías de la notificación?

Entonces la vía es la licencia de importación de cifrado: primero un dictamen pericial del FSB sobre el producto y, sobre esa base, una licencia única para un envío nombrado, o una licencia general, del Ministerio de Industria y Comercio (Minpromtorg). Los dos son documentos rusos. La licencia vale solo en Rusia y se emite por envío, así que un embarque a Kazajistán o a Bielorrusia necesita su propia autorización nacional.

La licencia usa el formulario unificado que la CEE fijó para todos los Estados miembros en la Decisión nº 199 del Consejo, de 6 de noviembre de 2014, y la guía de la CEE es explícita: para estas mercancías el documento de autorización se presenta a la aduana a la llegada. El tiempo se va en el dictamen pericial. El FSB examina la implementación criptográfica, y el expediente tiene que describirla a un nivel que el departamento de conformidad rara vez domina sin el equipo de firmware en la sala.

La decisión que esto impone es si conviene embarcar el producto en esa configuración. Cuando la función que saca al producto de las categorías de la notificación interesa a pocos compradores, una variante de firmware para la Unión sin esa función convierte una licencia por envío en una única notificación. Tenga esa conversación con ingeniería antes de la primera orden de compra; la vía de la licencia es la más larga de las autorizaciones rusas.

¿La notificación es independiente del EAC, el FAC y el dictamen RFC?

Sí, y ninguno de los otros la sustituye. La declaración o certificado EAC cubre seguridad eléctrica y compatibilidad electromagnética bajo los reglamentos técnicos. El documento FAC cubre la conexión a la red pública de comunicaciones, y el dictamen RFC deja pasar el equipo de radio por la aduana rusa. Esos dos son permisos rusos. La notificación de medios de cifrado es la única del conjunto que vale en toda la Unión.

Los trámites corren en paralelo, y por eso conviene iniciarlos juntos. La misma hoja de datos del módulo alimenta los parámetros de radio del dictamen RFC y la lista de algoritmos de la notificación, y un expediente armado una vez sirve para tres solicitudes.

Los cambios de producto son donde se rompe un historial limpio. La notificación describe un producto con una implementación criptográfica. Una revisión de reducción de costos que cambia el módulo Wi-Fi, o una versión de firmware que añade un protocolo, es otro producto a estos efectos, y la entrada del registro deja de coincidir con lo que va en el contenedor. Coteje la entrada con la lista de materiales antes de embarcar cada revisión nueva. Toma una hora, y es la comprobación que hará la aduana.

Vía de la notificación frente a vía de la licencia

Las dos vías las decide la especificación criptográfica del producto, así que la misma línea puede llevar un modelo con notificación y una variante con licencia.