Нет, коммерческому бизнесу аттестация ИСПДн не обязательна. Это требование приказа ФСТЭК № 77 распространяется только на государственные и муниципальные информационные системы. Для обычной компании аттестация — добровольная процедура, которую вы запускаете только если сами этого захотели.
Что такое аттестация объекта информатизации
Аттестация — это комплекс организационных и технических мероприятий, которые подтверждают, что ваша информационная система соответствует установленным требованиям по защите информации. Проводится она на этапе создания системы или при её развитии — когда вы меняете состав оборудования, программное обеспечение или условия эксплуатации.
Результат аттестации — аттестат соответствия. Это официальный документ, подписанный уполномоченным органом (ФСТЭК или организацией, имеющей соответствующую лицензию), который подтверждает, что ваша система безопасна.
Процедура серьёзная: проверяют всё — от паролей до физической защиты серверной. Она требует времени, денег и квалифицированных специалистов. Поэтому важно понимать: для кого это обязательно, а для кого — нет.
Кому она обязательна
Приказ ФСТЭК России от 29.04.2021 № 77 устанавливает порядок аттестации объектов информатизации. Пункт 3 перечисляет объекты, для которых этот порядок обязателен.
Это государственные и муниципальные информационные системы, включая государственные и муниципальные ИСПДн. Также — информационные системы управления производством организаций оборонно-промышленного комплекса и защищаемые помещения для конфиденциальных переговоров.
То есть если вы — государственное учреждение или муниципальный орган, аттестация обязательна. Если вы частная компания, не относящаяся к ОПК, — вы в этот список не попадаете.
А что с коммерческим бизнесом
Пункт 3 приказа № 77 говорит дальше: порядок применяется также для объектов, для которых владелец сам установил требование о такой оценке соответствия. Среди них — ИСПДн, за исключением государственных и муниципальных. Это прямо про коммерческие информационные системы.
Ключевое слово — «владелец сам установил». Для коммерческой компании аттестация становится обязательной только в одном случае: если вы сами прописали в своих внутренних документах, что ваша система должна пройти аттестацию. Никто вас к этому не принуждает — это ваше добровольное решение.
На практике к добровольной аттестации прибегают, когда заказчик требует подтверждения безопасности системы. Например, если вы обрабатываете данные крупного банка или госкорпорации, в договоре может быть условие о наличии аттестата соответствия. Тогда да, вы идёте на аттестацию. Но это требование не закона, а контракта.
Также под аттестацию попадают значимые объекты критической информационной инфраструктуры и АСУ производством на критически важных объектах — если владелец установил такое требование. Но это уже не про обычный малый бизнес, а про специфические отрасли.
Для обычного ООО, которое ведёт базу клиентов или обрабатывает данные сотрудников, аттестация не нужна. Не тратьте на это деньги и время.
Чем аттестация отличается от оценки эффективности мер
Здесь часто путаются. Аттестация — это формальная процедура с получением аттестата. Она дорогая и сложная. Оценка эффективности мер безопасности — это другая, более простая обязанность, которая есть у всех операторов.
Пункт 17 постановления № 1119 и пункт 6 приказа ФСТЭК № 21 требуют: контроль выполнения требований к защите ПДн проводится оператором самостоятельно либо по договору с лицензиатом по технической защите конфиденциальной информации. И делать это нужно не реже одного раза в три года.
Это не аттестация. Это внутренняя оценка: вы или ваш подрядчик проверяете, работают ли средства защиты, соблюдаются ли регламенты, нет ли новых уязвимостей. Результат — отчёт или акт, который хранится у вас. Никаких аттестатов, никакого взаимодействия с ФСТЭК.
Разница принципиальная. Оценка эффективности обязательна для всех операторов ИСПДн без исключения. Аттестация — только для государственных и муниципальных систем.
Вот наглядное сравнение:
| Критерий | Аттестация (приказ №77) | Оценка эффективности (п.17 ПП 1119) |
|---|---|---|
| Обязательность для коммерческого бизнеса | Нет, только добровольно | Да, для всех операторов |
| Основание | Приказ ФСТЭК №77, п.3 | ПП 1119, п.17; приказ №21, п.6 |
| Результат | Аттестат соответствия | Акт или отчёт внутренней проверки |
| Периодичность | При создании или изменении системы | Не реже одного раза в 3 года |
Не путайте эти две процедуры. Если вы — коммерческая компания, у вас есть обязательство раз в три года оценивать эффективность мер. Аттестация — это дополнительная опция, которая нужна только в специфических случаях.
Подробнее о том, как проводить оценку эффективности и оформлять её результаты, читайте в статье внутренний контроль обработки данных. А про уровни защищённости, которые влияют на состав мер, — в материале уровни защищённости ИСПДн. Полную картину всех требований к операторам даёт полный гид по 152-ФЗ.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про аттестацию ИСПДн
Мне, как ИП с интернет-магазином, нужно аттестовывать ИСПДн по приказу №77?
Нет. Вы — коммерческий оператор, не государственный и не муниципальный. Аттестация для вас добровольна. Обязательна только оценка эффективности мер раз в три года.
Если заказчик требует аттестат, как это оформить?
Это договорное требование, а не законное. Вы можете провести аттестацию добровольно — приказ №77 допускает такое для коммерческих ИСПДн, если владелец установил это требование самостоятельно.
Чем грозит отсутствие аттестации коммерческой компании?
Ничем, если это не оговорено в ваших внутренних документах или договоре. Закон не требует аттестации для коммерческого бизнеса. Наказывать за её отсутствие не за что.
Можно ли заменить аттестацию оценкой эффективности мер раз в три года?
Да, и это правильный путь для коммерческой компании. Оценка эффективности обязательна, аттестация — нет. Они решают разные задачи, и подмена одной процедуры другой невозможна, но для вас достаточно оценки.
Похожие материалы
Источники
- Приказ ФСТЭК России № 77 от 29.04.2021 — порядок аттестации объектов информатизации — base.garant.ru
Норма приведена дословно по официальному тексту приказа ФСТЭК №77 (п. 3), сверено 22.07.2026.