Тут надо подумать. Во первых, что важнее придерживаться требований ФСТЭК, или создание нужного софта...
Софт, насколько я представляю, - тема отдельная, во всяком случае, прикладной. Т.е. в идеале софт и ОС создаются отдельными командами, ну и сертифицируются, соответственно, тоже отдельно. Правда, конкретно в линуксе с этим есть трудности.
В любом случае, идея припахать сообщество, чтобы оно сделало хорошую систему, а потом подогнать ее под свои нужды, имеет свои подводные грабли.
Во-первых, сообществом трудно управлять, и в своих программистских фантазиях оно может уйти слишком далеко от желаемой линии. В результате доводка дистриба под заданные требования может оказаться слишком накладной.
Во-вторых, неопределенными оказываются сроки. Юрлицо подписывает контракт, в рамках которого выполняет работу в указанный срок. Сообщество ни с кем ничего не подписывает и может тянуть резину в долгий ящик сколько угодно времени. В случае дебиана это особенно актуально.