Notificação de criptografia (Rússia e UEEA)

A notificação de criptografia registrada pelo Serviço Federal de Segurança da Rússia (FSB) é a via leve para levar produtos com criptografia à União Econômica Euroasiática. A base legal é a Decisão nº 30 do Conselho da CEE, de 21 de abril de 2015, sobre medidas de regulação não tarifária, que mantém a lista unificada de mercadorias que precisam de documento de autorização na fronteira. A notificação registrada é publicada no registro comum de notificações sobre características de meios de criptografia, mantido pela CEE, e o produto que consta nele passa pela alfândega de qualquer Estado-membro sem licença. A criptografia que a notificação não cobre exige parecer pericial do FSB e licença de importação do Minpromtorg, válida só na Rússia e emitida por remessa.

Quais produtos precisam da notificação de criptografia?

Quase todo produto de consumo conectado. A lista unificada de mercadorias sujeitas a medidas de regulação não tarifária no comércio com terceiros países, publicada no site da União com base na Decisão nº 30, inclui os meios de criptografia e os produtos que os contêm, e o critério é a função criptográfica; o nome comercial do produto não importa. Uma caixa de som sem fio com WPA2, um termostato que pareia por Bluetooth, uma câmera com cliente HTTPS para a nuvem: cada um deles contém função criptográfica para esse fim.

A via da notificação está aberta quando a criptografia é a de mercado de massa: algoritmos padronizados e publicados, comprimentos de chave comuns, uso acessório em relação à finalidade do produto. Wi-Fi, Bluetooth e TLS em um aparelho de consumo são exatamente esse caso. Um produto cuja finalidade é a própria criptografia, como um gateway VPN ou um módulo de segurança de hardware, fica fora das categorias da notificação e segue a via da licença descrita mais abaixo.

O primeiro erro que vemos é de enquadramento. O dossiê de conformidade diz "não é produto de segurança", o firmware diz o contrário, e quem decide é a especificação criptográfica: quais algoritmos, quais comprimentos de chave, quais protocolos, em qual módulo. Pedimos essa lista aos engenheiros de firmware antes de qualquer outra coisa, porque a resposta define se o projeto é uma única notificação ou uma licença por remessa com parecer pericial por trás.

Como a notificação FSB é registrada e onde ela vale?

A notificação FSB é um registro, feito uma vez para um produto e seu fabricante, e conferido em um cadastro público. Na Rússia o órgão autorizado é o FSB. A notificação registrada entra no registro comum de notificações sobre características de meios de criptografia e produtos que os contêm, publicado pela CEE, e o próprio guia de comércio da CEE cita esse registro entre as bases para importar mercadorias sem apresentar licença ou parecer.

O documento nomeia o fabricante, o produto e suas características criptográficas, e é apresentado pelo fabricante ou por pessoa que ele autorize. Vale em todos os Estados-membros da UEEA: um único registro sustenta importações para Rússia, Cazaquistão, Belarus, Armênia e Quirguistão por qualquer importador. A alfândega confere o produto no registro na fronteira; para o que consta nele, não se apresenta licença nem parecer.

Como o registro é público e a entrada pertence ao fabricante, mantenha a notificação em nome dele. O distribuidor que registra a partir da própria leitura do firmware passa a deter a única entrada que a alfândega vai conferir, e o próximo importador do fabricante começa do zero. Quando o fabricante não tem quem assine, redigimos a notificação e a apresentamos como pessoa autorizada, em nome do fabricante.

E se o produto ficar fora das categorias da notificação?

Então a via é a licença de importação de criptografia: primeiro um parecer pericial do FSB sobre o produto e, com base nele, uma licença única para uma remessa nomeada, ou uma licença geral, do Ministério da Indústria e Comércio (Minpromtorg). Os dois são documentos russos. A licença vale só na Rússia e é emitida por remessa, de modo que um embarque para o Cazaquistão ou para Belarus precisa da própria autorização nacional.

A licença usa o formulário unificado que a CEE fixou para todos os Estados-membros na Decisão nº 199 do Conselho, de 6 de novembro de 2014, e o guia da CEE é explícito: para essas mercadorias o documento de autorização é apresentado à alfândega na chegada. O tempo vai embora no parecer pericial. O FSB examina a implementação criptográfica, e o dossiê precisa descrevê-la em um nível que o departamento de conformidade raramente domina sem a equipe de firmware na sala.

A decisão que isso impõe é se vale a pena embarcar o produto naquela configuração. Quando o recurso que tira o produto das categorias da notificação interessa a poucos compradores, uma versão de firmware para a União sem esse recurso transforma uma licença por remessa em uma única notificação. Tenha essa conversa com a engenharia antes do primeiro pedido de compra; a via da licença é a mais longa entre as liberações russas.

A notificação é separada do EAC, do FAC e do parecer RFC?

Sim, e nenhum dos outros a substitui. A declaração ou certificado EAC cobre segurança elétrica e compatibilidade eletromagnética sob os regulamentos técnicos. O documento FAC cobre a conexão à rede pública de comunicações, e o parecer RFC libera o equipamento de rádio na alfândega russa. Esses dois são autorizações russas. A notificação de meios de criptografia é a única do conjunto que vale em toda a União.

Os processos correm em paralelo, e por isso convém iniciá-los juntos. A mesma ficha técnica do módulo alimenta os parâmetros de rádio do parecer RFC e a lista de algoritmos da notificação, e um dossiê montado uma vez serve a três pedidos.

É nas alterações de produto que um histórico limpo se rompe. A notificação descreve um produto com uma implementação criptográfica. Uma revisão de redução de custo que troca o módulo Wi-Fi, ou uma versão de firmware que acrescenta um protocolo, é outro produto para esse fim, e a entrada do registro deixa de bater com o que está no contêiner. Confira a entrada com a lista de materiais antes de embarcar cada nova revisão. Leva uma hora, e é a conferência que a alfândega vai fazer.

Via da notificação e via da licença

As duas vias são decididas pela especificação criptográfica do produto, então a mesma linha pode ter um modelo em notificação e uma variante em licença.