Дата‑центры готовятся к новым требованиям безопасности инфраструктуры

Новые регуляторные требования к дата-центрам и облакам: что меняется для бизнеса

В последние дни августа 2026 года в России вышел пакет нормативных документов, который существенно расширяет периметр ответственности операторов дата-центров и облачных провайдеров. По данным Хабра и CNews, речь идёт одновременно о физической защите объектов и обязательной криптографической защите для облачных сервисов, обслуживающих государственные информационные системы. Для компаний, выбирающих ЦОД или IaaS-платформу под рабочие нагрузки, это сигнал пересмотреть условия контрактов и бюджеты на инфраструктуру.

Физическая защита ЦОД: указ президента и новая реальность

Указ президента № 604 от 24 августа 2026 года даёт право вводить временное государственное управление в отношении объектов критической инфраструктуры, если их защита признана недостаточной. Под действие документа попадают объекты ТЭК, промышленности, связи, транспорта и энергетики — включая коммерческие и ведомственные ЦОДы, от которых зависит работа госорганов, банков и федеральных операторов.

По словам генерального директора CorpSoft24 Константина Рензяева, крупные ЦОДы уровня Tier III и выше уже давно оснащены системами информационной безопасности, поэтому речь идёт прежде всего о физической защите. Никита Цаплин из RUVDS подтвердил, что ряд российских дата-центров уже начал модернизацию систем защиты внешнего инженерно-технологического оборудования.

Ключевой контекст: около 80–90% коммерческих мощностей ЦОД сосредоточены в европейской части России, и до последнего времени защита от воздушных угроз не была стандартным элементом проектирования. Рынок ожидает появления детальных отраслевых требований, привязанных к категории и критичности объекта.

Криптография для облаков: приказ ФСБ расширяет периметр

Приказ ФСБ № 321 от 22 августа 2026 года распространил требования к криптографической защите на внешние облачные сервисы и аппаратную часть, которые не входят в состав госсистем, но обеспечивают их работу. Ранее сертифицированное шифрование требовалось только для самих ГИС. Теперь оно может понадобиться при передаче данных из ведомства в облако и даже между серверами внутри одного ЦОД.

Параллельно постановление правительства № 1024 от 18 августа обязало размещать компоненты таких сервисов в России, разграничивать ответственность заказчика и поставщика в контракте, обеспечивать резервное копирование и сообщать об инцидентах. В силу документ вступил 1 сентября. Впрочем, это не только российский тренд — давление на регуляторов ужесточается глобально, и нацбанки разных стран всё чаще вмешиваются в работу критической инфраструктуры.

Что это значит для выбора инфраструктуры

Для бизнеса, который размещает нагрузки в российских ЦОД или использует облака для работы с государственными системами, последствия вполне измеримы:

• Рост стоимости владения. Никита Цаплин предупреждает о заметном увеличении капитальных затрат, которое неизбежно отразится на цене IT-инфраструктуры для конечных потребителей. Рост цен будет неравномерным — сильнее всего затронет критичные телекоммуникационные, государственные и финансовые ЦОДы.
• Периметр проверки расширяется. Криптографическую часть моделей угроз и технических заданий для ГИС необходимо согласовывать с ФСБ, а требования проверяются не реже раза в три года. Это новая статья эксплуатационных расходов.
• Риск вендор-лока усиливается. Обязательное размещение данных в России и согласование СКЗИ с регулятором создают дополнительные барьеры при смене провайдера.

При выборе ЦОД или облачной платформы теперь к стандартному чек-листу (SLA, география, каналы связи) добавляются вопросы: провайдер сертифицировал СКЗИ нужного класса, какие меры физической защиты внедрены, есть ли согласованная модель угроз. Для компаний, работающих с ГИС или подключёнными к ним сервисами, — это уже не рекомендация, а требование закона.