Соответствие 152-ФЗ — это не «купить антивирус и отчитаться», а цикл: обследование → модель угроз → определение уровня защищённости (УЗ) → меры и средства защиты → аттестация или оценка эффективности. Подрядчика выбирают по способности провести этот цикл целиком, а не продать отдельный продукт.
Этапы работы с ИСПДн и кто их выполняет
| Этап | Содержание | Исполнитель | Ориентир цены |
|---|---|---|---|
| Акт обследования | инвентаризация ПДн, процессов, мест обработки | консультант/интегратор | в составе аудита от 300 000 ₽ |
| Модель угроз | актуальные угрозы по методике ФСТЭК (2021) | консультант | в составе аудита |
| Определение УЗ | уровень защищённости по приказу № 21, для госсектора — № 239 | консультант | в составе аудита |
| Меры и СЗИ | набор мер по профилю защиты, развёртывание средств | интегратор | зависит от набора |
| Аттестация | аттестационные испытания и заключение | только лицензиат ФСТЭК | ИСПДн 60–350 тыс. ₽, ГИС от 500 000 ₽ |
Критерии выбора подрядчика
- Диагностика до продажи. Порядок работы начинается с обследования и модели угроз, а не с прайса на «коробки».
- Знание нормативной базы. 152-ФЗ, приказы ФСТЭК № 21 и № 239, БДУ ФСТЭК; для ГИС — процессная модель по приказу № 117 (действует с 01.03.2026).
- Партнёрство с лицензиатом. Аттестацию проводит только организация с лицензией ФСТЭК — проверьте лицензию партнёра в реестре.
- Опыт вашей отрасли. Медицина, образование, госуправление имеют отраслевые особенности обработки ПДн.
- Документы «под ключ». Полный пакет: техпаспорт, модель угроз, матрицы, Акт УЗ, план мероприятий — в редактируемых форматах, а не PDF «только посмотреть».
- Сопровождение. Годовая поддержка: актуализация модели угроз, помощь при проверках Роскомнадзора.
Красные флаги
- «Аттестация за неделю» без обследования — формальная бумага с риском непризнания.
- Цена значительно ниже рыночного коридора без объяснения состава работ.
- Отказ передавать редактируемые документы заказчика.
- Смешение понятий: оценка эффективности принимаемых мер и аттестация — разные процедуры.
Сколько это стоит (сентябрь 2026)
Аудит ИСПДн с моделью угроз и определением УЗ — от 300 000 ₽. Аттестация ИСПДн — 60–350 тыс. ₽ за систему в зависимости от уровня защищённости и числа мест обработки; аттестация ГИС — от 500 000 ₽; комплексные закупки «защита + аттестация» на рынке — 0,58–1,45 млн ₽. Разбор рыночных лотов — в кейсе «Аттестация ИСПДн: цены 2026».
Что проверить в итоге
- Уровень защищённости определён и зафиксирован актом.
- Модель угроз актуальна под вашу инфраструктуру, а не шаблон соседа.
- Заключение аттестации выдано лицензиатом ФСТЭК, срок действия и условия перерегистрации понятны.
- Есть план актуализации на год и ответственный со стороны заказчика.
Подробнее об услуге — ИСПДн и 152-ФЗ; требования при разработке ПО с ПДн — в комплаенс-разборе 152-ФЗ и ПДн при разработке ПО; также см. сравнение как выбрать подрядчика для аттестации.