Notifica crittografia (Russia e Unione Eurasiatica)

La notifica crittografia registrata dal Servizio federale di sicurezza russo (FSB) è la via leggera per portare prodotti con crittografia nell'Unione Economica Eurasiatica. La base giuridica è la Decisione n. 30 del Collegio della CEE del 21 aprile 2015 sulle misure di regolazione non tariffaria, che tiene l'elenco unificato delle merci che alla frontiera richiedono un documento di autorizzazione. La notifica registrata viene pubblicata nel registro comune delle notifiche sulle caratteristiche dei mezzi crittografici tenuto dalla CEE, e il prodotto che vi compare passa la dogana di qualsiasi stato membro senza licenza. La crittografia che la notifica non copre richiede un parere peritale dell'FSB e una licenza di importazione del Minpromtorg, valida solo in Russia e rilasciata per singola spedizione.

Quali prodotti hanno bisogno della notifica crittografia?

Quasi ogni prodotto di consumo connesso. L'elenco unificato delle merci soggette a misure di regolazione non tariffaria nel commercio con paesi terzi, pubblicato sul sito dell'Unione in base alla Decisione n. 30, comprende i mezzi crittografici e i prodotti che li contengono, e il criterio è la funzione crittografica; il nome con cui il prodotto si vende non conta. Un altoparlante senza fili con WPA2, un termostato che si accoppia via Bluetooth, una telecamera con client HTTPS verso il cloud: ciascuno contiene una funzione crittografica a questi fini.

La via della notifica è aperta quando la crittografia è quella del mercato di massa: algoritmi standard pubblicati, lunghezze di chiave ordinarie, uso accessorio rispetto allo scopo del prodotto. Wi-Fi, Bluetooth e TLS in un apparecchio di consumo sono esattamente questo caso. Un prodotto il cui scopo è la crittografia stessa, un gateway VPN o un modulo di sicurezza hardware, resta fuori dalle categorie della notifica e segue la via della licenza descritta più avanti.

Il primo errore che vediamo è di inquadramento. Il fascicolo di conformità dice "non è un prodotto di sicurezza", il firmware dice il contrario, e a decidere è la specifica crittografica: quali algoritmi, quali lunghezze di chiave, quali protocolli, in quale modulo. Chiediamo quella lista agli ingegneri del firmware prima di ogni altra cosa, perché la risposta stabilisce se il progetto è una sola notifica o una licenza per ogni spedizione con un parere peritale dietro.

Come si registra la notifica FSB e dove vale?

La notifica FSB è una registrazione, presentata una volta per un prodotto e il suo fabbricante, e viene verificata su un registro pubblico. In Russia l'autorità competente è l'FSB. La notifica registrata entra nel registro comune delle notifiche sulle caratteristiche dei mezzi crittografici e dei prodotti che li contengono, pubblicato dalla CEE, e la stessa guida al commercio della CEE cita quel registro fra le basi per importare merci senza presentare licenza o parere.

Il documento indica il fabbricante, il prodotto e le sue caratteristiche crittografiche, e lo presenta il fabbricante o una persona da lui autorizzata. Vale in tutti gli stati membri dell'Unione: una sola registrazione sostiene importazioni in Russia, Kazakistan, Bielorussia, Armenia e Kirghizistan da parte di qualunque importatore. La dogana verifica il prodotto sul registro alla frontiera; per ciò che vi compare non si presentano né licenza né parere.

Poiché il registro è pubblico e la voce appartiene al fabbricante, tenete la notifica a suo nome. Il distributore che la presenta in base alla propria lettura del firmware finisce per detenere l'unica voce su cui la dogana farà il confronto, e l'importatore successivo del fabbricante riparte da zero. Quando il fabbricante non ha nessuno che firmi, redigiamo la notifica e la presentiamo come persona autorizzata, a nome del fabbricante.

E se il prodotto resta fuori dalle categorie della notifica?

Allora la via è la licenza di importazione (crittografia): prima un parere peritale dell'FSB sul prodotto e, su quella base, una licenza singola per una spedizione individuata, oppure una licenza generale, del Ministero dell'Industria e del Commercio (Minpromtorg). Sono entrambi documenti russi. La licenza vale solo in Russia e si rilascia per singola spedizione, quindi un invio in Kazakistan o in Bielorussia ha bisogno lì di un'autorizzazione nazionale propria.

La licenza usa il modulo unificato che la CEE ha fissato per tutti gli stati membri con la Decisione n. 199 del Collegio del 6 novembre 2014, e la guida della CEE è esplicita: per queste merci il documento di autorizzazione si presenta alla dogana all'arrivo. Il tempo se ne va nel parere peritale. L'FSB esamina l'implementazione crittografica, e il fascicolo deve descriverla a un livello che un ufficio conformità raramente possiede senza il team firmware nella stanza.

La decisione che questo impone è se spedire il prodotto in quella configurazione. Quando la funzione che spinge il prodotto fuori dalle categorie della notifica interessa a pochi acquirenti, una variante di firmware per l'Unione senza quella funzione trasforma una licenza per spedizione in una sola notifica. Fate quella conversazione con la progettazione prima del primo ordine; la via della licenza è la più lunga fra le autorizzazioni russe.

La notifica è separata da EAC, FAC e parere RFC?

Sì, e nessuno degli altri la sostituisce. La dichiarazione o il certificato EAC copre sicurezza elettrica e compatibilità elettromagnetica secondo i regolamenti tecnici. Il documento FAC copre il collegamento alla rete pubblica di comunicazione, e il parere RFC fa passare le apparecchiature radio alla dogana russa. Questi due sono permessi russi. La notifica dei mezzi crittografici è l'unica della serie che vale in tutta l'Unione.

Le pratiche corrono in parallelo, ed è per questo che conviene avviarle insieme. La stessa scheda tecnica del modulo alimenta i parametri radio del parere RFC e l'elenco degli algoritmi della notifica, e un fascicolo assemblato una volta serve a tre domande.

È sulle modifiche di prodotto che una storia pulita si rompe. La notifica descrive un prodotto con una implementazione crittografica. Una revisione per ridurre i costi che cambia il modulo Wi-Fi, o una versione di firmware che aggiunge un protocollo, è un altro prodotto a questi fini, e la voce del registro smette di corrispondere a quello che c'è nel container. Confrontate la voce con la distinta base prima di spedire ogni nuova revisione. Ci vuole un'ora, ed è il controllo che farà la dogana.

Via della notifica e via della licenza

Le due vie le decide la specifica crittografica del prodotto, quindi la stessa linea può avere un modello in notifica e una variante in licenza.