Что такое аттестация и кто её вправе проводить
Аттестация — формальное подтверждение соответствия информационной системы требованиям по защите информации: для ИСПДн действуют требования приказа ФСТЭК России № 21, для ГИС — приказа № 17, а с 01.03.2026 к ГИС дополнительно применяется процессная модель защиты по приказу № 117. Проводить аттестационные испытания вправе только организация с лицензией ФСТЭК России; мы организуем работы через партнёра-лицензиата — ООО «НПК Оборон-Экран» (лицензии ТЗКИ № Л024-00107-00/00583235 и СЗКИ № Л050-00107-00/00583916). Исполнителя всегда можно и нужно проверять в государственных реестрах лицензий ФСТЭК.
Цены сентября 2026
| Объект | Цена | От чего зависит |
|---|---|---|
| ИСПДн | 60 000–350 000 ₽ за систему | уровень защищённости, число мест обработки ПДн |
| ГИС | от 500 000 ₽ (до 1+ млн ₽) | класс системы, состав подсистем, территория |
| Комплекс «защита + аттестация» (рынок) | 0,58–1,45 млн ₽ | объём мероприятий ЗИ и испытаний |
| Аудит требований к ИИ-системе | от 300 000 ₽ | проверка применимости приказов к вашей системе |
Рыночные ориентиры: аттестационные испытания в закупках встречаются с НМЦК до 1 452 300 ₽; медиана конкурентной скидки по ИБ-сегменту — всего −13,8%, то есть ИБ-услуги демпингу почти не поддаются. Разбор рынка — в кейсе аттестация ИСПДн: цены 2026.
Из чего состоят работы
- Обследование и акты классификации — определение типа системы (ИСПДн/ГИС), уровня защищённости или класса.
- Модель угроз и техзадание на систему защиты — по методическим документам ФСТЭК.
- Мероприятия защиты информации — СЗИ, разграничение доступа, журналирование, регламенты (если чего-то нет — внедряем).
- Аттестационные испытания — проверка выполнения требований, оформление заключения и внесение в реестр аттестованных объектов.
Когда аттестация обязательна
- ИСПДн, обрабатывающая персональные данные сотрудников или клиентов в масштабах, требующих формализации по 152-ФЗ (госсектор, медицина, образование).
- ГИС — государственные информационные системы: без аттестации их нельзя вводить в промышленную эксплуатацию.
- ИИ-система, встроенная в ГИС или ИСПДн, — аттестуется состав системы в целом; отдельная «аттестация алгоритма» законом не предусмотрена.
Практику по ИИ-системам разбираем в FAQ нужна ли аттестация для ИИ-системы; услуга — ИБ и ИСПДн (152-ФЗ); регламенты 2026 года — аттестация ИСПДн в 2026 году. Базовая страница услуги — аттестация ИСПДн.
Аттестация — часть проекта, а не «бумажка в конце»
Дороже всего обходится аттестация, которую вспомнили после запуска системы: приходится перестраивать архитектуру, докупать средства защиты и переделывать документацию. Правильный порядок — включить аттестацию в план с первого дня: классификация системы и модель угроз до разработки, меры защиты в архитектуре, испытания перед вводом в эксплуатацию. Так бюджет становится предсказуемым (ИСПДн 60 000–350 000 ₽ за систему, ГИС от 500 000 ₽), а сроки не срываются на финише. Мы включаем этот этап в смету сразу — при разработке порталов и ИИ-контуров для госзаказчиков это стандартная практика.
Не забудьте про сопровождение аттестата: при изменении состава системы (новые подсистемы, интеграции, ИИ-компоненты) аттестация актуализируется. Мы ведём это в рамках сопровождения, чтобы к следующей проверке не выяснялось, что система «выросла» из своего аттестата незаметно для владельца.