Российское ПО с зарубежными библиотеками: какие вопросы проверить до подачи в реестр

Российское ПО с зарубежными библиотеками может быть включено в реестр Минцифры, если программный продукт соответствует установленным требованиям. Использование иностранных компонентов само по себе не является безусловным основанием для отказа. Однако разработчику необходимо подтвердить законность их применения, проверить лицензионные ограничения и оценить зависимость программы от зарубежной инфраструктуры.

Современное программное обеспечение редко создаётся полностью с нуля. Даже российские корпоративные системы, промышленные программы и облачные платформы используют библиотеки, фреймворки, базы данных и инструменты сторонних разработчиков.

Главная сложность заключается в том, что открытый исходный код не всегда означает отсутствие ограничений. Бесплатная библиотека может распространяться по лицензии, предусматривающей определённые условия использования, изменения и передачи программного обеспечения.

Компания «МинпромХелп» разбирает, какие зарубежные компоненты допустимы при включении ПО в реестр Минцифры, как проверить лицензии и что необходимо подготовить до подачи заявления в 2026 году.

Можно ли включить российское ПО с иностранными библиотеками в реестр Минцифры

Основные требования к российскому программному обеспечению установлены статьёй 12.1 Федерального закона №149-ФЗ «Об информации, информационных технологиях и о защите информации» и Постановлением Правительства РФ от 16 ноября 2015 года №1236.

Законодательство предусматривает проверку исключительных прав на программный продукт, условий его распространения, выплат иностранным лицам и других характеристик.

Требования о том, чтобы абсолютно каждая используемая библиотека была разработана в России, в качестве универсального условия включения ПО в реестр не установлено.

При этом программный продукт должен правомерно вводиться в гражданский оборот и свободно распространяться на территории Российской Федерации без препятствующих этому ограничений.

На официальном портале реестра российского ПО опубликованы разъяснения по разрешённым и запрещённым компонентам. В числе допустимых вариантов названы библиотеки и другие программные компоненты, распространяемые по открытым лицензиям, включая Apache, BSD и MIT.

Но разработчику необходимо проверить условия конкретной лицензии и отсутствие территориальных ограничений.

Какие зарубежные компоненты требуют особого внимания

• Open-source библиотеки. Необходимо установить действующую лицензию и выполнить её условия.
• Коммерческие SDK. Следует проверить договор, ограничения на использование и распространение в России.
• Сторонние программные движки. Важно оценить права на распространение готового продукта и условия обновления.
• Зарубежные СУБД. Проверяются редакция, лицензионная модель и ограничения на эксплуатацию.
• Внешние API. Необходимо установить, может ли программа выполнять основные функции без иностранного сервиса.
• Средства сборки и развёртывания. Проверяются зависимости от зарубежных репозиториев, серверов и платформ.

Одинаковая технология может распространяться в нескольких редакциях на разных условиях. Поэтому нельзя делать вывод о допустимости компонента только по его торговому названию.

Лицензии MIT, Apache, GPL и другие: что проверять разработчику

Первый этап подготовки — составление полного перечня сторонних компонентов, используемых программным продуктом.

Для каждой библиотеки рекомендуется зафиксировать наименование, версию, разработчика, источник получения, лицензию и назначение в архитектуре программы.

Особенно важно различать разрешение на использование чужого кода и наличие собственных исключительных прав на заявляемый программный продукт.

Тип лицензии	Основные особенности	Что проверить
MIT	Разрешает использование, изменение и распространение при соблюдении условий лицензии	Сохранение уведомления об авторских правах и текста лицензии
Apache 2.0	Допускает коммерческое использование и модификацию	Уведомления об авторских правах, лицензии и изменениях
BSD	Предусматривает разрешительное лицензирование с условиями сохранения уведомлений	Конкретную редакцию BSD и её требования
GPL	Предусматривает условия распространения производных программ и предоставления исходного кода	Способ объединения компонентов и условия передачи программы пользователям
LGPL	Допускает определённые способы использования библиотеки в других программах при выполнении специальных условий	Способ связывания, модификации и распространения
AGPL	Содержит дополнительные требования, связанные с сетевым использованием модифицированной программы	Применимость требований к конкретной архитектуре и модели предоставления доступа
Коммерческая лицензия	Права определяются договором правообладателя	Территорию, срок, ограничения, поддержку и порядок распространения

Использование GPL или AGPL не означает автоматического отказа во включении в реестр российского ПО. Но такие лицензии требуют особенно внимательной юридической проверки.

Например, при определённых способах объединения и распространения программ может возникнуть обязанность предоставлять исходный код на условиях соответствующей лицензии. Это необходимо учитывать ещё до выбора архитектуры коммерческого продукта.

Кому принадлежат права на программу со сторонними библиотеками

Наличие в программе open-source компонентов не означает, что российская компания получает исключительные права на весь сторонний код.

Правообладатель сохраняет права на собственные оригинальные разработки, а чужие компоненты использует на предусмотренных лицензиями основаниях.

Поэтому перед подачей заявления необходимо разграничить:

• Собственный программный код заявителя.
• Компоненты, созданные сотрудниками и подрядчиками.
• Сторонние библиотеки с открытым исходным кодом.
• Коммерческие программные модули, используемые по лицензии.

Документы должны подтверждать исключительные права на заявляемый программный продукт и законность использования всех включённых в него сторонних компонентов.

Подробнее об этой проблеме рассказывается в статье «Юридическая проверка прав на ПО: исключительные права и доверенное ПО».

Зарубежные серверы, API и лицензионные платежи: скрытые риски для реестра

При подготовке к включению российского ПО в реестр необходимо проверять не только библиотеки, входящие в программный код, но и инфраструктуру, обеспечивающую работу продукта.

Зависимость от иностранных облачных сервисов

Пункт 5 Правил, утверждённых ПП №1236, предусматривает требования к отсутствию принудительного обновления и управления программой из-за рубежа, а также к размещению определённых технических средств на территории России.

В частности, необходимо проверить расположение инфраструктуры хранения исходного и объектного кода, средств компиляции, а также систем активации и управления лицензионными ключами.

Для разработчика риск может возникнуть, если:

• Исходный код хранится исключительно на зарубежной платформе.
• Сборка продукта выполняется на иностранных серверах.
• Для активации необходим недоступный в России зарубежный сервис.
• Основная функциональность зависит от иностранного API.
• Программа не может быть установлена без обращения к иностранному репозиторию.
• Зарубежная компания может принудительно изменять работу продукта.

Наличие любой интеграции с зарубежным сервисом не следует автоматически считать нарушением. Принципиально важно установить, какую функцию выполняет сервис, предусмотрены ли альтернативы и выполняются ли требования законодательства.

Пример: российская CRM с иностранными библиотеками

Предположим, российский разработчик создал CRM-систему, использующую библиотеки с лицензиями MIT и Apache 2.0.

При этом программа развёртывается на российских серверах, самостоятельно выполняет основные функции, а техническая поддержка и управление лицензиями осуществляются российской организацией.

Такая архитектура не исключает включения продукта в реестр Минцифры только по причине иностранного происхождения библиотек.

Но если авторизация, хранение критических данных или работа основных функций полностью зависят от зарубежного сервиса, требуется дополнительная оценка соответствия установленным условиям.

Ограничение выплат иностранным правообладателям

Отдельное требование установлено подпунктом 3 части 5 статьи 12.1 Федерального закона №149-ФЗ.

Общая сумма предусмотренных этой нормой выплат иностранным лицам и связанным с ними организациям за календарный год должна составлять менее 30% выручки правообладателя от реализации соответствующего программного обеспечения, включая предоставление прав его использования.

Это не универсальное ограничение любых зарубежных расходов компании. При расчёте необходимо определить, какие именно платежи относятся к установленным законом категориям.

Например, платная иностранная библиотека может использоваться по лицензионному договору. Соответствующие платежи требуют анализа на предмет включения в расчёт установленного ограничения.

Если библиотека распространяется бесплатно, отсутствие лицензионных платежей не освобождает от проверки условий её использования.

Какие документы подготовить до подачи заявления в реестр Минцифры

Для снижения риска замечаний компания «МинпромХелп» рекомендует провести предварительную проверку технологического стека и сформировать доказательную базу до подачи заявления.

Практический чек-лист включает следующие действия:

1. Составить перечень компонентов. Зафиксировать все значимые библиотеки, фреймворки, SDK и внешние зависимости.
2. Проверить лицензии. Убедиться в законности коммерческого использования и распространения каждого компонента.
3. Проверить территориальные ограничения. Установить, нет ли препятствий для распространения и эксплуатации ПО на всей территории России.
4. Подтвердить права. Собрать документы о создании собственной программы и правомерном использовании стороннего кода.
5. Проверить инфраструктуру. Установить местонахождение необходимых серверов, репозиториев, средств сборки и управления лицензиями.
6. Проанализировать иностранные платежи. Проверить договоры и применимость ограничения менее 30% выручки.
7. Подготовить тестовый экземпляр. Убедиться, что программу можно установить и проверить в заявленной среде.
8. Оформить техническую документацию. Описать архитектуру, версии, зависимости, условия установки и эксплуатации.

Для сложных продуктов полезно дополнительно подготовить ведомость состава программного обеспечения — Software Bill of Materials (SBOM). В ней фиксируются сторонние компоненты и их версии.

SBOM рассматривается как практический инструмент внутреннего аудита, а не как универсальный обязательный документ для каждой заявки по ПП №1236.

Подробно о требованиях экспертизы читайте в статье «Как Минцифры проверяет российскость ПО в 2026 году: реальные причины отказов».

Дополнительно необходимо учитывать требования к совместимости программного обеспечения с отечественными операционными системами, сроки применения которых зависят от класса ПО. Подробнее — в материале «Совместимость российского ПО с отечественными ОС: как собрать доказательства для реестра».

Частые вопросы о зарубежных библиотеках в российском ПО

Можно ли использовать иностранные open-source библиотеки?

Да, если соблюдаются условия соответствующих лицензий, отсутствуют препятствующие распространению программы ограничения и выполняются остальные требования реестра Минцифры.

Нужно ли заменять все иностранные библиотеки российскими?

Нет, универсального требования о полной замене иностранных библиотек нет. Однако отдельные компоненты могут потребовать замены из-за лицензионных ограничений, зарубежной зависимости или несоответствия условиям эксплуатации.

Может ли коммерческая библиотека стать причиной отказа?

Да, если её лицензия запрещает необходимое использование или распространение в России либо возникает другое несоответствие требованиям законодательства. Сам по себе платный характер компонента не означает запрета.

Обязательно ли раскрывать исходный код всех сторонних библиотек?

Необходимо соблюдать действующие требования к предоставлению материалов для экспертизы и условия конкретных лицензий. Универсальная обязанность становиться правообладателем исходного кода всех сторонних open-source компонентов отсутствует.

Можно ли исправить проблемы с библиотеками после отказа?

Если замечания устранимы, разработчик может изменить технологический стек, заменить проблемные компоненты, подготовить недостающие подтверждения и повторно обратиться за включением ПО в реестр в установленном порядке.

Заключение

Российское программное обеспечение может использовать зарубежные библиотеки и при этом соответствовать требованиям реестра Минцифры. Решающее значение имеет не географическое происхождение каждой строки кода, а законность использования компонентов, подтверждение прав на программу, соблюдение ограничений по иностранным выплатам и выполнение требований к инфраструктуре.

Поэтому до подачи заявления разработчику необходимо проверить технологический стек, лицензионные договоры, архитектуру программы и документы о правообладании.

Компания «МинпромХелп» помогает разработчикам подготовиться к включению программного обеспечения в реестр Минцифры, выявить юридические и технические риски, проверить доказательную базу и организовать сопровождение заявки.

Если ваше ПО использует иностранные библиотеки, коммерческие SDK или зарубежные программные компоненты, обратитесь в МинпромХелп для предварительной проверки готовности программного продукта к включению в российский реестр.

Официальные и нормативные источники

• Минцифры России — официальный реестр программного обеспечения, методические рекомендации и перечни компонентов.
• Федеральный закон №149-ФЗ, статья 12.1 — требования к российскому программному обеспечению.
• Постановление Правительства РФ №1236 — правила формирования и ведения реестра российского ПО.
• Методические рекомендации по проверке технологического стека и сторонних компонентов.