Перечень провайдеров хостинга для ГИС: кто вправе размещать госсистемы

Перед размещением ГИС у облачного провайдера нужно проверить одно условие, которое есть далеко не у всех: включение в перечень провайдеров хостинга, утверждённый Правительством. Аттестат соответствия его не заменяет: закон ставит для включения пять условий (часть 2.1-2 статьи 13 закона № 149-ФЗ), а сведения об аттестате лишь один из документов, которыми провайдер подтверждает условие о защите информации (ПП № 1144, пункт 4«в»). Ниже: кто в перечне на 22 июля 2026 года, как в него попадают и что запросить у провайдера.

Откуда обязанность

Часть 2.1-1 статьи 13 закона № 149-ФЗ: операторы государственных и муниципальных систем, систем ГУП и МУП, государственных и муниципальных учреждений «при эксплуатации информационных систем обязаны использовать вычислительные мощности провайдера хостинга, предоставляемые для размещения информации в информационной системе, постоянно подключенной к сети „Интернет“, сведения о котором включены в перечень провайдеров хостинга, утверждаемый Правительством Российской Федерации». Норму ввёл закон № 406-ФЗ от 31 июля 2023 года. С 1 сентября 2026 года она распространяется и на «иные информационные системы государственных органов», которые ввёл закон № 568-ФЗ.

Норма говорит об эксплуатации: на этапе создания перечень выбор площадки не ограничивает, но облачный сервис для создания ГИС всё равно подчиняется постановлению № 1024 (компоненты в России, класс сервиса в составе системы не ниже её класса); промышленную ГИС с реальными данными придётся держать у провайдера из перечня.

Какие провайдеры входят в перечень для ГИС?

Распоряжение Правительства от 4 октября 2024 г. № 2753-р. Редакция от 22 июля 2026 года (распоряжение № 1935-р), десять позиций:

Данные приведены по тексту распоряжения № 2753-р в редакции от 22 июля 2026 года (№ 1935-р), сверены 12 сентября 2026 года. Действующую редакцию смотрите на официальном интернет-портале правовой информации (поиск по номеру 2753-р) или на сайте Правительства России или на официальном портале правовой информации.

За два года перечень менялся шесть раз. Последнее пополнение, три организации сразу, вышло 22 июля 2026 года. Так что перед каждой закупкой редакцию открывайте заново: список полугодовой давности уже мог измениться.

В списке не только облачные платформы: региональный ГУП, технопарк, регистратор доменов. Остальные - операторы связи и коммерческие ЦОД с облачными сервисами.

Аттестат не заменяет перечень

Аттестат на ГИС первого класса у площадки означает, что её инфраструктура защищена по нужному классу, и к этому вопросов нет. Право принимать государственные системы даёт другой документ, распоряжение Правительства, и у большинства площадок, которые называют себя аттестованным облаком для ГИС, его пока нет. Оператор ГИС, постоянно подключённой к интернету, разместивший её у такой площадки, нарушает часть 2.1-1 статьи 13.

Как попадают в перечень

Часть 2.1-2 статьи 13 задаёт пять условий. Юридическое лицо должно быть российским и под контролем российских лиц, без записи о недостоверности в ЕГРЮЛ; технические средства стоят в России; сама организация уже числится в общем реестре провайдеров хостинга Роскомнадзора. Отдельно проверяют защиту информации по требованиям Минцифры, согласованным с ФСБ и ФСТЭК: сейчас это приказ Минцифры № 677 от 31 июля 2024 года, с 1 марта 2027-го его заменит приказ № 702.

Процедуру описывают Правила по постановлению Правительства № 1144 от 24 августа 2024 года, с 1 сентября 2026 года они действуют в редакции постановления № 884. По ним провайдер подаёт заявление в Минцифры, министерство проверяет его по пяти условиям выше, после чего Правительство вносит организацию в распоряжение отдельным актом. Основания исключения перечислены в пункте 12 Правил: среди них заявление самого провайдера, ликвидация, прекращение хостинговой деятельности, несоблюдение требований к защите информации, неподтверждение соответствия в ноябре и исключение из реестра Роскомнадзора.

Как использовать перечень при закупке

1. Проверить наличие организации в действующей редакции распоряжения № 2753-р. Ищите в тексте распоряжения: реестр РКН (595 записей по выгрузке от 30 июля 2026 года) отвечает на другой вопрос, есть ли у компании право на хостинг вообще.
2. Убедиться, что договор заключается именно с включённым в перечень юридическим лицом, и что оно соответствует приказу Минцифры № 677 сейчас и готово к № 702 с марта 2027 года. Приказ № 702 в пункте 3 пока ссылается на приказ ФСБ № 117 по СКЗИ, а тот с 11 сентября 2026 года заменён приказом № 321.
3. Отдельно запросить класс сервиса, область действия аттестата и сведения о размещении компонентов: класс сервиса в составе системы не ниже её класса, при эксплуатации соответствие требованиям к обрабатываемой информации, все компоненты в России (постановление № 1024, пункт 5).
4. Перенести требования к сервису в закупочную документацию и договор. Требования к регламенту взаимодействия входят в закупочную документацию и проект контракта (ПП № 1024, пункт 4«в»), срок отчёта поставщика о принятых мерах при нарушении защиты не превышает трёх часов, если регламент не задал иного (пункт 6). Подробно о Правилах - в статье о ПП № 1024, об обязанности по ГосСОПКА для того же круга операторов - в разборе 568-ФЗ.

Включение в перечень не подтверждает соответствие вашей системы: перечень решает только, у кого размещать. После выбора провайдера у оператора остаются модель угроз с классом СКЗИ (приказ ФСБ № 321, пункты 2 и 4), аттестация системы (приказ ФСТЭК № 77) и ГосСОПКА; ответственность за соблюдение Правил лежит на руководителях пользователя сервиса (ПП № 1024, пункт 7).

Модель угроз, аттестацию системы и подключение к ГосСОПКА выполняет «Кредо-С» как лицензиат ФСТЭК; страницы: КИИ в облаке: соответствие требованиям и аттестация · аттестат соответствия на облако: что он покрывает · подключение к ГосСОПКА · аттестация информационных систем.