Аттестация — не формальность, а допуск к работе
Государственная информационная система (ГИС) обрабатывает данные, защита которых обязательна по закону. Требования к таким системам задают приказы ФСТЭК России № 17 и № 21, а с 1 марта 2026 года применяется ещё и процессная модель защиты ГИС по приказу № 117. Подтверждением соответствия этим требованиям служит аттестация — и проводить её вправе только организация с лицензией ФСТЭК.
Отсюда прямые последствия эксплуатации неаттестованной ГИС: систему нельзя официально ввести в промышленную эксплуатацию, нельзя подключить к СМЭВ для межведомственного обмена, а замечания проверяющих превращаются в предписания с сроками исполнения. Ответственность наступает по действующим кодексам — административная, а при серьёзных инцидентах с данными и больше.
Сценарии, в которых вопрос встаёт ребром
- Госорган запускает сервис для граждан. Без аттестации обмен данными через СМЭВ недоступен — сервис не выполняет свою задачу.
- ИИ-модуль встраивается в ГИС. С 1 марта 2026 года процессная модель защиты требует описать и процессы с ИИ; неаттестованная композиция блокирует запуск всей системы.
- Инцидент в неаттестованной системе. При утечке персональных данных штрафы по 420-ФЗ достигают 3–20 млн ₽, а если инцидент повторяется, санкция считается уже от выручки — 1–3%, и отсутствие аттестации отягчает позицию оператора.
Сколько стоит и из чего состоит
| Вид аттестации | Цена (сентябрь 2026) | Комментарий |
|---|---|---|
| ИСПДн | 60 000–350 000 ₽ за систему | Зависит от уровня защищённости и числа мест обработки |
| ГИС | от 500 000 ₽ | Выше сложность: больше требований, больше испытаний |
Аттестацию организует ООО «НЬЮ-ССТ» (new-sst.ru) через партнёра-лицензиата ФСТЭК — ООО «НПК Оборон-Экран» (ИНН 7801322348, лицензии ТЗКИ № Л024-00107-00/00583235 и СЗКИ № Л050-00107-00/00583916). Проверять исполнителя нужно по государственным реестрам лицензий: «аттестация» без лицензии — это бумага, не имеющая силы.
Если ИИ работает внутри ГИС
Отдельный частый случай — ИИ-система, входящая в состав ГИС или обрабатывающая персональные данные. Для неё правила те же: аттестация, закрытый контур, человек-в-контуре на чувствительных операциях. Аудит требований (от 300 000 ₽ у ООО «НЬЮ-ССТ») снимает главный риск — несоответствие, обнаруженное уже на аттестационных испытаниях, когда переделка максимально дорога.
Два частых заблуждения
Первое: «мы не госорган, значит, ГИС нас не касается». Статус государственной информационной системы определяется не принадлежностью учредителя, а характером системы и кругом обрабатываемых данных — уточнять статус нужно по описанию конкретной системы, а не по ярлыку организации.
Второе: «аттестацию сделаем потом, после запуска». Порядок обратный: требования закладываются в архитектуру до разработки, потому что переделка защиты на готовой системе всегда дороже её изначального проектирования. Аттестационные испытания подтверждают меры, а не создают их.
План для отложенной аттестации
Если система уже работает неаттестованной, последовательность такая: аудит соответствия требованиям — расхождение превращается в план доработок; доработка мер защиты; подготовка комплекта документов; испытания лицензиатом; получение аттестата соответствия. Аудит требований (от 300 000 ₽) — разумный первый шаг: он показывает реальную дистанцию до соответствия без обещаний «сделаем за неделю».
Ещё один довод против откладывания: неаттестованная система не даёт штрафов сама по себе, но блокирует развитие — подключение новых сервисов, расширение базы знаний, интеграции. Команда оказывается в ловушке: развивать нельзя, переписывать дорого. Аттестация разблокирует этот путь, поэтому её место в дорожной карте — рядом с планом развития системы, а не в конце списка «когда-нибудь потом».
Время в этой истории работает против откладывания: требования процессной модели по приказу № 117 применяются с 1 марта 2026 года, и каждый новый релиз неаттестованной системы наращивает объём будущих доработок.
Практика аттестации в 2027 году разобрана в материале «Аттестация ГИС: 2027», смежные вопросы — на странице аттестации ИСПДн и в ответе об использовании ИИ в госсекторе.