Не так давно мы писали про новости из мира позитива, но получили ряд вопросов, как жить эту жизнь с сертификатом и без?
Многие компании годами живут с мыслью, что «нам срочно нужен сертификат ФСТЭК, иначе оштрафуют». Другие, наоборот, уверены, что их это не касается. И те, и другие часто заблуждаются.
Давайте разложим по полочкам.
Кому сертификат действительно обязателен
Если вы разрабатываете СЗИ и хотите продавать их регулируемым заказчикам — сертифицируйте продукт. Если вы используете СЗИ в определённых системах, требования к вам предъявляются не как к разработчику, а как к оператору. Сертифицированные средства обязаны применять:
-
государственные информационные системы и иные ИС госорганов, государственных унитарных предприятий и учреждений;
-
значимые объекты критической информационной инфраструктуры — энергетика, транспорт, связь, финансы и другие;
-
операторы персональных данных определённых уровней защищённости: для 1-го уровня — СЗИ не ниже 4-го класса и 4-го уровня доверия, для 2-го — 5-го, для 3-го и 4-го — 6-го.
С 1 марта 2026 года Приказ ФСТЭК № 117 расширил это требование: теперь сертифицированные СЗИ должны использоваться не только в ГИС, но и во всех ИС государственных органов, ГУПов и государственных учреждений.
- Кому сертификат не нужен
Если вы — коммерческая компания и защищаете собственную сеть, вы вправе использовать любые средства. Закон не обязывает вас покупать именно сертифицированный продукт. Вы также не обязаны сертифицировать своё прикладное ПО, если оно не реализует функции защиты информации.
- Что нужно вместо сертификата
Если вы обрабатываете персональные данные, вам нужен не сертификат на продукт, а аттестат соответствия на вашу информационную систему. Это разные документы, и путать их — распространённая ошибка. Аттестация подтверждает, что система в целом соответствует требованиям 152-ФЗ.
- Что делать, если вы в «серой зоне»
Многие компании находятся между «обязательно» и «не нужно»: формально не подпадают под требования, но обрабатывают чувствительные данные или работают с госзаказом. Здесь работает принцип экономической целесообразности: оцените реальные угрозы, определите, какие меры закроют риски, и только потом решайте, нужен ли сертифицированный продукт или достаточно компенсирующих мер.
Если хотите понять, где вы находитесь — на стороне «обязательно», «не нужно» или «серая зона», - попробуйте краткий квиз на три вопроса!