>> Это не так, изучайте текущую ситуацию (вкратце -- Лютиков молодец).
> Миша, можешь для тормозов пояснить?

Несколько лет назад ФСТЭК скорректировали правила по инициативе Виталия Сергеевича -- сейчас поставщики сертифицированного ПО (как минимум ОС) _обязаны_ предоставлять обновления по безопасности асинхронно с их инспекционным контролем, а пользователи _обязаны_ их развёртывать.

Т.е. ИК всё так же проходит (и если кто-то попытается схалтурить, я бы ожидал последствий), но исключается несколькимесячная задержка между фактической доступностью исправлений и их выкатыванием.

Соответственно "поскольку необходимо сертифицировать все обновления до их попадания в репозиторий" -- неправда.  Просто если кто-либо возьмётся так сопровождать дебиан -- ему стоит плотно взаимодействовать с Debian Project в плане подготовки этих самых обновлений и, видимо, обзавестись несколькими DD (может, ещё несколькими DM) в штате, чтобы избегать необходимости форка репозитория.  Сами установочные образы почти наверняка придётся делать свои для соответствия РД.