Если положить рядом коммерческие предложения трех облачных провайдеров, страницы про соответствие требованиям будут выглядеть почти одинаково. Правовое поле для размещения значимых объектов критической информационной инфраструктуры (КИИ) в облаке сформировано, и описывают его все одними словами.
Разница между площадками живет уровнем ниже: где проходят границы аттестованного контура, какие документы получит заказчик, что происходит с аттестатом в середине контракта и как устроен выход. Ниже шесть вопросов, которые эту разницу проявляют. Ответы на них пригодятся и юристу, и руководителю ИТ-службы, поэтому просить их лучше письменно: приложением к коммерческому предложению или протоколом встречи. Вопрос о выходе стоит задавать обязательно: зрелый провайдер отвечает на него спокойно, а по ответу видно, во сколько обойдется переезд, если он однажды понадобится.
1. На какие классы систем аттестована инфраструктура
Первый вопрос самый простой, и именно на нем чаще всего возникает путаница. Хороший ответ выглядит как перечень: класс государственной информационной системы (ГИС), уровень защищенности информационной системы персональных данных (ИСПДн), категория значимости объекта КИИ. К перечню прилагаются реквизиты аттестата и акт классификации, на основании которого проводилась аттестация. Классы ГИС К1, К2 и К3 установлены требованиями ФСТЭК (с 1 марта 2026 года действует приказ № 117, ранее применялся приказ № 17), уровни защищенности ИСПДн определены постановлением Правительства № 1119 и приказом ФСТЭК № 21, категории значимости объектов КИИ установлены ПП № 127 и приказом ФСТЭК № 239.
Путаница возникает, когда вместо аттестата инфраструктуры в ответе появляется формулировка «у нас применяются сертифицированные средства защиты информации (СЗИ)». Это разные предметы: аттестат подтверждает соответствие площадки целиком, сертификат относится к отдельному средству защиты. Аттестованное облако и облако с сертифицированными СЗИ закрывают разные задачи. Заодно стоит сверить заявленный класс с тем, который нужен вашей системе: разницу между ними придется компенсировать собственными мерами и отдельным бюджетом.
2. Что входит в границы аттестата, а что остается на нашей стороне
Границы аттестованного контура читаются по трем документам, которые по приказу ФСТЭК № 77 оформляются на аттестованный объект: аттестат соответствия, технический паспорт объекта информатизации и акт классификации системы. Адрес места размещения входит в сведения об аттестованном объекте, поэтому уместно спросить прямо, какие центры обработки данных и какие сегменты инфраструктуры покрыты документом. Сюда же относится модель изоляции: выделенные физические ресурсы под заказчика или общие ресурсы с логическим разделением. Разграничение зон ответственности по слоям оформляется матрицей в приложении к договору.
Формула «все, что ниже виртуальной машины — на нашей стороне» верна только в границах, зафиксированных документами. Например, аттестат выдан на одну площадку, а размещение планируется на нескольких, или технический паспорт в передаваемый комплект не входит. Оба случая стоит разобрать до подписания договора.
3. Какой комплект документов мы получим для аттестации своей системы
Документы об аттестации инфраструктуры провайдера могут использоваться при подтверждении соответствия системы заказчика применимым требованиям безопасности. Необходимость аттестации либо иной формы оценки соответствия зависит от правового режима системы: ГИС, ИСПДн или значимый объект КИИ. Сложившаяся на рынке практика выглядит так: копия аттестата с приложениями, технический паспорт инфраструктуры, модели угроз и формуляры, сертификаты на применяемые средства защиты с указанием уровней доверия, схема разграничения ответственности. Прямой нормы, обязывающей провайдера передавать такой комплект, нет, поэтому его состав определяет договор. Уровни доверия к средствам защиты установлены приказом ФСТЭК № 76: для значимых объектов КИИ первой категории, ГИС класса К1 и ИСПДн уровня УЗ-1 применяются средства не ниже четвертого уровня доверия.
Ответ «все документы передаем по запросу после подписания договора» означает, что состав комплекта станет известен после выбора площадки. Перечень документов, хотя бы на одну страницу, стоит согласовать до сделки. Там же полезно проверить, привязаны ли сертификаты к тем версиям средств защиты, которые работают на площадке сейчас.
4. Что происходит с вашим аттестатом в середине нашего контракта
Аттестат соответствия по приказу ФСТЭК № 77 выдается на весь срок эксплуатации объекта, а соответствие поддерживается периодическим контролем уровня защищенности. Протокол оценки уровня защищенности владелец объекта направляет во ФСТЭК не реже раза в три года, процедура включает анализ уязвимостей и тестирование на проникновение; непредставление протокола служит основанием для приостановления действия аттестата. При модернизации объекта, замене или добавлении средств защиты проводятся дополнительные аттестационные испытания: функциональное тестирование и анализ уязвимостей, если изменения не повысили класс защищенности системы. С 1 сентября 2026 года порядок контроля уточнен приказом ФСТЭК № 60 от 27 февраля 2026 года: конкретизировано содержание протокола, а для ГИС классов К1 и К2 введено обязательное тестирование на проникновение.
Формулировка «аттестат бессрочный, ничего меняться не будет» звучит спокойно и при этом неполна: платформа развивается, средства защиты обновляются, контроль идет по расписанию. Хороший ответ выглядит как раздел договора: как провайдер уведомляет заказчика о плановых изменениях платформы и о приостановлении действия аттестата, в какие сроки, что делают стороны в такой ситуации и как заказчик получает свои данные и сопроводительные документы.
5. В каких реестрах числятся ПО и оборудование платформы и кто их разработчик
Здесь хороший ответ содержит номера записей. Программное обеспечение проверяется по единому реестру российских программ Минцифры, оборудование — по реестру радиоэлектронной продукции Минпромторга, а с 1 марта 2026 года площадку можно сверить и с реестром центров обработки данных, который ведет Минцифры. Нормативная рамка задана статьей 10.1 187-ФЗ: с 1 сентября 2025 года на значимых объектах КИИ применяется российское ПО при наличии аналога в реестре, а по доверенным программно-аппаратным комплексам ПП № 1912 задает горизонт до 1 января 2030 года.
Вторая часть вопроса касается разработчика. Если виртуализацию, хранилище или средства защиты провайдер лицензирует у стороннего вендора, сроки их обновления и повторной сертификации зависят от графика этого вендора. Ответ «у нас все российское» без номеров записей проверить нечем, а обязательства по срокам обновлений при стороннем стеке стоит увидеть в договоре.
6. Как устроен выход: миграция к другому провайдеру или на свою площадку
Порядок выхода из облака нормативно не предписан. Постановление Правительства от 18.08.2026 № 1024 требует размещать компоненты сервисов в России, резервировать информацию, закреплять распределение ответственности в регламенте взаимодействия и уведомлять заказчика о сбоях защиты информации. Порядок передачи данных при завершении контракта стороны определяют договором. Для персональных данных 152-ФЗ задает срок уничтожения не позднее 30 дней с даты достижения цели обработки, если иное не предусмотрено договором с субъектом данных; факт оформляется актом, подтверждающие документы хранятся три года по приказу Роскомнадзора № 179.
В договоре хороший ответ на этот вопрос занимает отдельный раздел: форматы выгрузки, сроки, передача документации и журналов, содействие в миграции, подтверждение уничтожения данных после переноса. Провайдер, который такой сценарий продумал, показывает порядок выхода до сделки.
Почему ответы на эти вопросы могут расходиться
Разброс в ответах объясняется просто: большую часть перечисленного нормативно никто не обязывает раскрывать. Приказ ФСТЭК № 239 адресован субъекту КИИ и обязанностей провайдера не устанавливает, а состав документов, которые площадка передает заказчику, нигде не закреплен: сложившаяся практика есть, прямой нормы нет. Исключение составляют государственные информационные системы: для них постановление Правительства № 1024 с 1 сентября 2026 года прямо требует регламент взаимодействия с распределением ответственности и сроками уведомления. Все остальное остается предметом договоренности, и глубина ответа зависит от того, готовилась ли площадка к таким разговорам заранее.
Одинаковая цена за ресурсы может стоять за разным объемом работ: там, где один провайдер отдает готовый комплект документов и описанный порядок выхода, другой оставляет это заказчику. Разница проявляется на этапе аттестации собственной системы.
Сужается круг и по охвату аттестата. Площадок, где один документ закрывает и государственные системы класса К1, и значимые объекты КИИ первой категории, заметно меньше, чем аттестованных облаков вообще. Для организации, которая ведет оба контура, этот фильтр работает еще до разговора о цене.
«Вопросы о приостановке аттестата и о порядке выхода звучат на переговорах все чаще, и это признак зрелости рынка. Ответ на них выглядит как документ: порядок уведомления заказчика об изменениях аттестата, регламент выхода с форматами выгрузки и сроками. Мы считаем готовность дать такой ответ письменно нормальной частью подготовки сделки»
Как на эти вопросы отвечает VK Tech
Аттестованное облако VK Secure Cloud работает по аттестату соответствия № 3740.00024.2026 от 20.02.2026 (об аттестации сообщал CNews). Один документ покрывает государственные информационные системы класса К1, системы персональных данных уровня УЗ-1 и значимые объекты КИИ до первой категории значимости, поэтому организация с обоими контурами размещает их на одной площадке. Для сценариев, где инфраструктура остается внутри организации, есть частное облако VK Private Cloud с сертификатом ФСТЭК № 4857, действующим до 24.09.2029.
Для аттестации своей системы заказчик получает модели угроз, формуляры инфраструктуры и копию аттестата облака, а перечень этих документов согласовывается до сделки. Порядок уведомления об изменениях аттестата, матрица разграничения ответственности и регламент выхода с форматами выгрузки и сроками входят в договор и согласовываются до подписания.