Аттестация — процедура с юридическими последствиями: заключение признаётся при проверках и закупках. Поэтому первый фильтр выбора подрядчика — правомочность, второй — комплексность, и только третий — цена.
Фильтр 1. Право проводить аттестацию
Аттестационные испытания по требованиям безопасности информации проводит только лицензиат ФСТЭК России. Проверка занимает пять минут: запросите номер лицензии у подрядчика и сверьте запись в реестре лицензий на сайте ФСТЭК. Работы, требующие лицензии, в НЬЮ-ССТ выполняются через партнёра-лицензиата.
Фильтр 2. Комплексность подхода
| Критерий | Вопрос подрядчику | Признак надёжности |
|---|---|---|
| Обследование | что входит до аттестации | актуализация документов, аудит СЗИ перед испытаниями |
| Модель угроз | по какой методике | методика ФСТЭК 2021, привязка к вашей инфраструктуре |
| УЗ и профиль защиты | как определяете состав мер | приказы № 21/239, для ГИС — процессная модель приказа № 117 |
| Испытания | состав и продолжительность | программа и методика испытаний, протоколы по каждому требованию |
| После выдачи | сопровождение заключения | план мероприятий, помощь при проверках, контроль сроков |
Фильтр 3. Цена и сроки
Ориентиры сентября 2026: аттестация ИСПДн — 60–350 тыс. ₽ за систему (зависит от уровня защищённости и числа мест обработки), ГИС — от 500 000 ₽. Комплексные закупки «защита информации + аттестация» на рынке — 0,58–1,45 млн ₽, аттестационные испытания как отдельный лот — до 1 452 300 ₽ НМЦК. Разбор живых лотов — в кейсе «Аттестация ИСПДн: цены 2026».
Отдельные случаи 2026 года
- ИИ-системы. Если ИИ-система входит в состав ГИС или обрабатывает ПДн в ИСПДн — аттестация нужна; с 01.03.2027 добавляются требования 243-ФЗ к ИИ в госсекторе — разбор в FAQ «Нужна ли аттестация для ИИ-системы».
- Переаттестация. Существенные изменения системы требуют корректировки; когда нужна именно переаттестация по приказу № 117 — см. разбор «Нужна ли переаттестация».
- Отраслевые сценарии. Поликлиники и школы имеют типовые комплекты документов — их наличие ускоряет и удешевляет проект.
Красные флаги
- «Аттестуем без лицензии через партнёра, которого не назовём» — называть обязаны.
- Заключение «за 3 дня без выезда» при сложной инфраструктуре.
- Отказ дать программу и методику испытаний до договора.
- Цена ниже 60 тыс. ₽ за систему с несколькими местами обработки — проверяйте состав.
Итоговый чек-лист
- Лицензия ФСТЭК сверена в реестре (или назван партнёр-лицензиат).
- Состав работ: обследование → модель угроз → меры → испытания → сопровождение.
- Передаются редактируемые документы и планы мероприятий.
- Прозрачная цена «от» и вилка по местам обработки.
Больше контекста — в сравнении как выбрать ИСПДн-подрядчика по 152-ФЗ и услуге ИСПДн и аттестация.