Что аттестуют и когда это обязательно
Аттестация соответствия — завершающий этап приведения системы в соответствие требованиям по защите персональных данных. Обязательность определяется уровнем защищённости ИСПДн, который зависит от категорий персональных данных и числа субъектов: чем чувствительнее данные, тем выше требования. Для уровней, где аттестация предписана, заказчик не может ограничиться внутренними проверками — нужна формальная оценка с аттестационными испытаниями. Порядок самой аттестации, сроки и состав документов детально разобраны в комплаенс-материале аттестация ИСПДн в 2026 году — здесь мы смотрим на неё глазами закупки.
Частный, но важный случай — аттестация ГИС: государственные информационные системы аттестуются по своему приказу регулятора, и заказчики нередко объединяют аттестацию ГИС и ИСПДн в одном лоте, если системы технологически связаны.
Как заказчик оформляет предмет закупки
Предмет формулируется как «услуги по аттестации соответствия информационной системы персональных данных требованиям по защите информации» с указанием систем, их уровней защищённости и мест выполнения работ. В ТЗ заказчик описывает состав систем, режим доступа и требования к результату — аттестату. Типовая структура ТЗ на такие работы разобрана в руководстве как составить ТЗ на разработку ПО — принципы описания результата там те же.
В извещении заказчик обязан установить требование к независимости: аттестацию выполняет аккредитованная испытательная лаборатория, не участвовавшая в разработке и внедрении аттестуемой системы. Для интеграторов это означает: сделать систему и аттестовать её самому не получится — но помочь заказчику подготовить систему к аттестации можно, и такие подготовительные лоты встречаются регулярно.
Этапы работ по контракту
Технология аттестации устоялась: анализ документации системы и её соответствия требованиям, подготовка программы и методик аттестационных испытаний, проведение испытаний (включая проверку реализованных мер защиты), оформление протоколов и заключения, выдача аттестата соответствия. Если испытания выявляют несоответствия — система дорабатывается, и испытания повторяются. Для исполнителя важно, чтобы в контракте были честно описаны условия повторных испытаний: кто оплачивает повтор, если несоответствие вызвано не системой, а документацией заказчика.
| Этап | Результат | Участник |
|---|---|---|
| Анализ документации | заключение о готовности к испытаниям | аттестатор |
| Программа и методики | утверждённые документы испытаний | аттестатор |
| Аттестационные испытания | протоколы испытаний | аттестатор |
| Устранение несоответствий | доработки системы | заказчик и подрядчик |
| Аттестат соответствия | итоговый документ | аттестатор |
Что проверять в заявке и контракте
Исполнителю (или лаборатории) в заявке подтверждают аккредитацию и опыт аттестации аналогичных систем. В проекте контракта проверяют три вещи: состав систем и базу для испытаний (изменение базы в ходе работ — обычный спор), порядок взаимодействия при выявлении несоответствий и условие о результате — аттестате с параметрами, указанными в ТЗ. Формулировки контракта можно корректировать протоколом разногласий на этапе заключения — порядок описан в материале протокол разногласий к проекту контракта.
Заказчику же стоит заранее готовить систему: привести документацию, реализовать меры защиты и закрыть организационные вопросы — тогда аттестационные испытания проходят в один заход, без повторов и сдвига сроков. Наш опыт подготовки систем к проверкам описан в услуге ИСПДн и 152-ФЗ.
Типичные ситуации и споры
Ситуация первая: система дорабатывалась разными подрядчиками, документация неполная — аттестатор фиксирует несоответствия не системы, а документов. Вывод: перед лотом на аттестацию заказчику нужен аудит документации. Ситуация вторая: в лоте объединены подготовка системы и аттестация одним исполнителем — это риск для итогового документа, и заказчику лучше разнести роли. Ситуация третья: сроки испытаний зависят от доступа к системе в эксплуатационном режиме — пропуска и окна доступа нужно согласовать до старта работ. Все ситуации типовые, без привязки к конкретным лотам.
Типичные ошибки участников
- Заявка без подтверждённой аккредитации лаборатории — отклонение.
- Не прочитан перечень систем в ТЗ: часть систем «вне зоны» работ исполнителя.
- Повторные испытания не урегулированы контрактом — спор о доп. работах.
- Заказчик совмещает разработку и аттестацию — риск к итоговому документу.
- Сроки согласования документов заказчиком не учтены в графике работ.
Маршрут заказчика: от решения до аттестата
Заказчику, который планирует закупку аттестации, стоит пройти маршрут из пяти шагов. Первый — определить состав систем и их уровни защищённости: без этого предмет закупки не описать. Второй — привести документацию в порядок: модель угроз, перечень мер, акт классификации. Третий — сформулировать лот: только аттестация или аттестация плюс устранение выявленных несоответствий. Четвёртый — выбрать процедуру и корректно описать требования к аттестатору. Пятый — спланировать график: испытания требуют доступа к работающей системе и занятости сотрудников заказчика.
Поставщику услуг подготовки этот же маршрут полезен зеркально: чем аккуратнее заказчик прошёл первые шаги, тем предсказуемее лот и тем меньше споров по объёму работ. Обратное тоже верно: хаотичное извещение — маркер хаотичного проекта, и цену заявки стоит считать с запасом на неопределённость.
Что спросить на этапе разъяснений
До подачи заявки на аттестационный лот участнику разумно запросить разъяснения по трём пунктам: актуален ли состав систем и версия документации, в каком режиме будут проводиться испытания и кто отвечает за устранение несоответствий, если они выявятся. Ответы публикуются в ЕИС и становятся частью документации — это защищает обе стороны от «внезапных» объёмов после подписания контракта.
Как мы помогаем
НЬЮ-ССТ помогает обеим сторонам аттестационной закупки: заказчику — подготовить систему и документацию к испытаниям, поставщику — собрать заявку и проверить соответствие требованиям извещения. Подготовка системы к аттестации — от 90 000 ₽, разбор закупки — бесплатно. Мы помогаем подготовить; аттестат соответствия выдают аккредитованные организации — наших партнёров привлекаем отдельно.