Размещение объектов КИИ в облаке

Да, законодательство рассматривает ЦОД и облачную инфраструктуру как инфраструктурное обеспечение объектов КИИ. С 1 сентября 2026 года ФЗ-568 даёт прямую правовую основу для размещения ГИС в облаке, а их защиту регулирует приказ ФСТЭК № 117. Ответственность перед регулятором сохраняется за субъектом КИИ. Требования к безопасности объектов КИИ на уровне инфраструктуры закрываются аттестатом и договором с провайдером.

187-ФЗ определяет субъектов КИИ в 14 сферах, среди них: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, ТЭК, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. Типовые перечни распоряжения № 360-р конкретизируют объекты внутри отраслей: под категорирование попадают в том числе медицинские и фармацевтические организации, аэропорты, страховые компании, лаборатории.

Субъект критической информационной инфраструктуры: категорирование, модель угроз, аттестация своей системы и информирование об инцидентах остаются его обязанностями. Провайдер отвечает за инфраструктурный слой по договору и предоставляет комплект документов, на который заказчик опирается при аттестации.

Категорирование объектов КИИ идёт в пять шагов: инвентаризация информационных систем, сетей и АСУ ТП; сверка с типовыми объектами КИИ из распоряжения № 360-р; оценка возможного ущерба по пяти критериям; присвоение категории значимости I (федеральный масштаб), II (региональный), III (локальный) или «без категории»; пересмотр не реже раза в пять лет или в течение 10 дней после существенных изменений.

**Ключевые сроки:** направить сведения о категорировании во ФСТЭК в течение 10 дней после утверждения акта, сообщать НКЦКИ об инцидентах в течение 24 часов, перевести значимые объекты на доверенные ПАК до 2030 года (ПП № 1912). По сведениям о категорировании ФСТЭК России вносит объекты в реестр значимых объектов КИИ. **Ключевые обязанности:** выполнять меры защиты значимых объектов по приказу ФСТЭК № 239 согласно плану обеспечения безопасности и замещать иностранные СЗИ при плановом обновлении или окончании их поддержки.

Аттестат подтверждает соответствие инфраструктуры требованиям к защите конкретных классов систем: в случае VK Secure Cloud это ГИС К1, ИСПДн УЗ-1 и ЗОКИИ до 1 категории значимости. Заказчик получает изолированный аппаратный контур, средства защиты инфраструктурного уровня и комплект документов, который сокращает объём работ при аттестации собственной системы.

Аттестованное облако VK Secure Cloud подходит, когда нужен быстрый старт без капитальных затрат на защищённый контур. Частное облако VK Private Cloud выбирают организации с требованием размещать данные в собственном периметре. Гибридная схема совмещает оба подхода на едином стеке.

КоАП устанавливает штрафы за нарушение требований безопасности КИИ (ст. 13.12.1): до 500 тыс. рублей для должностных лиц и до 1 млн рублей для юридических лиц. Отдельная ст. 19.7.15 касается непредставления сведений во ФСТЭК. За неправомерное воздействие на КИИ с тяжкими последствиями предусмотрена уголовная ответственность (ст. 274.1 УК РФ). Чтобы закрывать обязательства в срок, требования выполняют по плану, а работы распределяют с провайдером.