Сервер с сертификатом ФСТЭК: что это значит и почему важно для госзаказчика

ИТ-отдел ведомства открывает тендер на обновление инфраструктуры. В техническом задании — сервер с сертификатом ФСТЭК и обязательная запись в реестре Минцифры. Привычные брендовые платформы под спецификацию не проходят — не по характеристикам, а по документам. Сертификат здесь не маркетинг, а условие допуска к закупке: без него заказчик снимает участника с торгов.

Что такое сертификат ФСТЭК и какие уровни существуют

ФСТЭК России (Федеральная служба по техническому и экспортному контролю) — федеральный орган, отвечающий за техническую защиту информации и контроль оборота продукции с требованиями по безопасности. Сертификация в системе ФСТЭК — подтверждение того, что конкретное изделие соответствует требованиям безопасности по утверждённым методикам. Испытания проводят аккредитованные лаборатории, документ выдаёт ФСТЭК.

Для серверного оборудования и средств защиты применяются две группы требований. Классы защищённости средств вычислительной техники (СВТ) описывают, в системах какого уровня может применяться оборудование с учётом обрабатываемой информации. Требования к средствам защиты информации (СЗИ) — межсетевым экранам, средствам доверенной загрузки, СОВ, задают уровни доверия от шестого, самого массового, до первого.

Сертификат ФСТЭК России — не «знак качества», а разрешение применять конкретное изделие в системах определённого класса. У документа есть номер, дата выдачи, срок действия и привязка к модели с заявленной конфигурацией. Поставщик должен предъявить сертификат именно с нужным показателем, а не ссылаться на «аналогичное изделие».

Когда сертификат обязателен

Когда становится понятно, что такое сертификат ФСТЭК, важно различать, в каких системах он обязателен по закону, а в каких остаётся на усмотрение организации.

Государственные и муниципальные информационные системы

Базовая норма — 152-ФЗ «О персональных данных». Он делит информационные системы персональных данных (ИСПДн) по категориям обрабатываемых данных и уровням защищённости. Государственные информационные системы (ГИС) долгое время защищались по приказу ФСТЭК России № 17 от 11.02.2013, который с приказа ФСТЭК № 27 от 15.02.2017 делит их на три класса защищенности (К1–К3). С 01.03.2026 действует приказ ФСТЭК № 117 от 11.04.2025, тоже с классами К1–К3, и он прямо предписывает применять сертифицированные средства защиты в зависимости от значимости обрабатываемой информации. По новому приказу для ГИС классов К1, К2 и К3 нужны СЗИ 4, 5 и 6 класса соответственно без отдельного требования к классу СВТ, а для ИСПДн и значимых объектов КИИ класс СВТ должен быть не ниже 5. Как соотносятся классы защищенности СВТ и аттестация сервера, разбирает отдельная статья.

На практике это означает, что для ГИС объект информатизации проходит аттестацию: проверяется состав оборудования, программного обеспечения, организационные меры. Сервер без действующего сертификата ФСТЭК в этот периметр не попадает — аттестующая организация не подпишет заключение, потому что в составе системы окажется элемент без подтверждённого соответствия.

Объекты критической информационной инфраструктуры (КИИ)

Вторая обязательная норма — 187-ФЗ «О безопасности критической информационной инфраструктуры РФ». К субъектам КИИ относятся организации энергетики, транспорта, связи, банковской сферы, здравоохранения, оборонно-промышленного комплекса, государственного управления. Каждый значимый объект получает категорию значимости — первую, вторую или третью, в зависимости от последствий возможного инцидента.

Для значимых объектов КИИ применение сертифицированных средств защиты и доверенного аппаратного обеспечения предписано 187-ФЗ и приказом ФСТЭК России № 239 от 25.12.2017 «Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры». Нарушение фиксируется при плановых проверках регулятора и может закончиться признанием объекта несоответствующим требованиям с предписанием на устранение в сжатый срок.

Для коммерческой компании, которая не подпадает под перечисленные категории, сертификат на серверное оборудование не нужен. Но как только речь идёт о госзаказе, периметре КИИ или обработке крупных объёмов персональных данных в государственной системе, требование появляется уже на первой странице технического задания. Цена ошибки измерима: отклонение заявки на этапе рассмотрения вторых частей, повторный выход на торги через 3–6 месяцев, а в худшем случае — переделка проекта уже после поставки и срыв сроков по контракту с риском внесения поставщика в РНП.

Какие серверы и компоненты подлежат сертификации

Объект сертификации — не «бренд» и не «линейка», а конкретная серверная платформа с заявленной конфигурацией. В сертификате фиксируются модель, материнская плата, BMC (контроллер удалённого управления), дисковые контроллеры, иногда блок питания. Замена компонента на несертифицированный аналог формально выводит изделие за рамки документа.

Само по себе наличие отечественного процессора в сервере не делает его «сертифицированным»: документ ФСТЭК выдаётся на готовое изделие в конкретной конфигурации, а не на отдельную её составляющую. Платформы с российскими процессорами проходят сертификацию по тем же правилам, что и любые другие — отдельной «упрощённой» процедуры для них нет, а сами сертификаты выдаются с привязкой к конкретной модели и платам, а не к семейству CPU.

Сертификат на сервер не равен сертификатам на средства защиты. Межсетевые экраны, средства доверенной загрузки, системы криптографической защиты сертифицируются отдельно, по своим требованиям и со своими документами. Их наличие в инфраструктуре не «зачитывается» вместо сертификата на сервер. Сертифицированное серверное оборудование чаще всего поставляется в инфраструктуру ведомств, медицинских и образовательных учреждений, подробные конфигурации под классы защищённости собраны в каталоге серверы для государственных учреждений.

К сертифицированной платформе при необходимости добавляют средство доверенной загрузки — отдельный аппаратный модуль вроде «Соболь» или «Аккорд-АМДЗ», который ставится PCIe-платой и контролирует целостность до старта ОС. Поверх железа работает проверенная регулятором операционная система: Astra Linux Special Edition, ALT СП Сервер или РЕД ОС. Только связка из СВТ, средства доверенной загрузки и ОС с действующими записями образует защищенную платформу — допуск любого из слоев по отдельности систему не закрывает. Средства криптографической защиты в эту связку входят со своими документами: их подтверждает ФСБ, и о том, чем сертификат ГОСТ (ФСБ) на СКЗИ отличается от сертификата ФСТЭК, рассказывает отдельная статья.

Что важно проверить при закупке

От сертифицируемого объекта переходим к проверке документов на стороне заказчика: до подписания договора пакет должен подтверждаться по открытым реестрам, а не по словам поставщика.

Документы и реестры

1. Действующий сертификат ФСТЭК России на конкретную модель с указанием номера, даты выдачи, срока действия, заявленных классов защищённости или уровня доверия. Сертификат ФСТЭК России всегда привязан к производителю и модели. Общие формулировки «серверы такого-то вендора сертифицированы» без номера документа не принимаются.
2. Реестровая запись конкретной модели в реестре российской промышленной продукции Минпромторга в ГИСП, куда по постановлению № 1030 от 08.07.2025 переносятся сведения прежнего реестра радиоэлектронной продукции. Проверка ведется по номеру реестровой записи, а не по словесным заявлениям поставщика, а о том, чем реестр российского ПО отличается от реестра Минпромторга, рассказывает отдельный разбор.
3. Запись в Едином реестре российского ПО, который ведёт Минцифры России, если речь идёт о предустановленной операционной системе или о входящем в комплект программном обеспечении. Для серверов это, как правило, отечественная ОС и средства управления.

Дополнительно стоит проверить соответствие оборудования Постановлению Правительства РФ 719, где описаны правила отнесения промышленной продукции к произведённой в Российской Федерации. С 2022 года для серверного оборудования действует балльная система локализации: модель должна набрать определённое количество баллов по перечню технологических операций, выполненных в РФ. Минцифры отвечает только за реестр программного обеспечения, а записи о серверах ведет Минпромторг, поэтому эти два реестра проверяют отдельно.

Типичные ошибки при подборе сертифицированных серверов

От требований по составу документов к ошибкам, которые регулярно встречаются в тендерах и приводят к отклонению заявок.

1. Путаница между сертификатом ФСТЭК и реестром Минпромторга. Это два разных документа: сертификат подтверждает соответствие требованиям безопасности, реестровая запись — российское происхождение и уровень локализации. Одно не заменяет другое. Для госзаказа, как правило, нужны оба, а для предустановленной ОС и ПО — еще и запись в реестре российского ПО Минцифры.
2. Истёкший срок действия сертификата. У документа есть конкретная дата окончания. Если на момент поставки сертификат закончился или приостановлен, оборудование считается несертифицированным. Проверять срок нужно по актуальной выписке, а не по копии полугодовой давности.
3. Сертификат только на корпус. Встречается ситуация, когда у поставщика есть документ на «платформу», но материнская плата и BMC внутри от сторонних производителей без отдельного подтверждения. Формально это уже другое изделие, и аттестация объекта информатизации такую конфигурацию не примет.
4. Подбор «по остаточному принципу». Сертифицированная техника подбирается под обязательные требования, а о реальной нагрузке вспоминают в последнюю очередь. В итоге ведомство получает сервер, который проходит все проверки, но не справляется с задачами 1С, виртуализации или хранилищ. Производительность и ёмкость дисковой подсистемы нужно закладывать одновременно с документами.

Сертифицированные серверы ФСТЭК: требования и список вендоров

Теория выше отвечает на вопрос «что и почему», а этот раздел — на вопрос «что конкретно брать». Ниже — сжатый чек актуальных на 2026 год требований, ориентир по сертифицированным платформам и порядок самостоятельной проверки модели по реестрам. Одно правило действует сквозь весь раздел: годность подтверждается по конкретной сборке, а не по имени бренда, поэтому каждый номер и срок сверяются в госреестре ФСТЭК прямо на дату закупки.

Актуальные требования: короткий чек

1. Живой сертификат ФСТЭК под нужную сборку — с номером, датой, сроком и заявленным классом СВТ или уровнем доверия. Ищется в госреестре сертифицированных средств защиты по производителю и наименованию изделия.
2. Позиция в реестре российской промышленной продукции Минпромторга в ГИСП — искомое изделие должно значиться под собственным номером реестровой записи, а не «где-то в семействе». Сведения прежнего реестра радиоэлектронной продукции перенесены туда по постановлению № 1030.
3. Реестр доверенных ПАК Минпромторга — если закупка идёт как доверенный программно-аппаратный комплекс, изделие проверяют и здесь; порядок ведения и статус позиции на 2026 год уточняют дополнительно.
4. Баллы локализации по ПП 719 — степень «российскости» считают по баллам, и планка год от года поднимается, так что действующий на 2026 год порог выясняют до подачи заявки.
5. Реестр отечественного ПО Минцифры — касается предустановленной ОС и средств управления, когда они идут вместе с сервером.

Чтобы модель проходила и по сертификату, и по реальной нагрузке, разумнее начинать с подбора сервера под класс защищённости, а не подгонять под требования «то, что осталось на складе».

Сертифицированные платформы: ориентир по вендорам

На российском рынке 2026 года сертифицированные под госзадачи серверы выпускает несколько производителей. Таблица ниже — навигационный ориентир по семействам; конкретную модель, номер и срок сертификата обязательно сверяют в реестре ФСТЭК.

Перечень вендоров — это ориентир по рынку, а не гарантия допуска: у одного производителя часть моделей сертифицирована, а часть нет. Готовые конфигурации под класс защищённости удобно смотреть в каталоге серверное оборудование, сверяя каждую позицию с реестрами.

Как проверить модель в реестре ФСТЭК: пошагово

1. Откройте госреестр сертифицированных средств защиты на reestr.fstec.ru.
2. Найдите изделие по производителю и модели, сверьте номер сертификата, класс или уровень доверия и срок действия.
3. Проверьте реестровую запись Минпромторга по реестровому номеру модели.
4. Проверьте, что документ распространяется ровно на отгружаемую сборку — системную плату, контроллер управления и дисковые адаптеры, а не на «примерно такую же».

Ни один шаг не делается на доверии к продавцу: и сам номер, и его срок, и планка баллов подвижны во времени, поэтому до контракта статус изделия подтверждают свежими выписками из реестров, а не сканами и слайдами.

Аттестация после установки

Сертифицированный сервер — необходимое, но не достаточное условие: аттестуют не сервер, а информационную систему целиком. Аттестат соответствия подтверждает, что вся инфраструктура отвечает требованиям по защите, и без него ГИС нельзя вводить в эксплуатацию. Значимый объект КИИ проходит оценку соответствия в форме приемочных испытаний, а аттестацию для него проводят, если он является ГИС, в других случаях, установленных законодательством, или по решению субъекта КИИ. Аттестацию проводит лицензиат ФСТЭК, а не сам заказчик. После выдачи аттестата соответствие поддерживают: значимые обновления ОС или средств защиты, замена оборудования и изменение конфигурации требуют переоценки.

Как выбирать поставщика для госзаказа

Сертифицированное серверное оборудование закупается на годы, поэтому поставщик оценивается так же придирчиво, как и сама модель. У него должны быть действующие сертификаты ФСТЭК России на конкретные модели, а не на «линейку в целом», прозрачные ссылки на реестры Минпромторга России и Минцифры России по реестровому номеру, опыт поставок в государственный сектор и готовность сопроводить аттестацию объекта информатизации.

Рабочий индикатор для закупщика: поставщик показывает, как подбирает оборудование под нужный класс защищённости и реестровый статус одновременно, а не предлагает выбирать «из того, что есть в наличии». Развёрнутое описание процесса замены инфраструктуры заранее изучите в материале об импортозамещении серверного оборудования.

Часто задаваемые вопросы

Когда госзаказчик обязан брать сервер с сертификатом ФСТЭК?

Когда система относится к ГИС, к ИСПДн с высоким уровнем защищенности или к значимому объекту КИИ по 187-ФЗ. Для внутренних систем без персональных данных и без отнесения к КИИ сертификат не требуется.

Чем сертификат ФСТЭК на сервер отличается от реестра Минпромторга?

Сертификат ФСТЭК подтверждает соответствие требованиям безопасности, а реестр Минпромторга — российское происхождение оборудования. Это разные параметры: в закупке могут требоваться оба сразу, и одно не заменяет другое.

Можно ли заменить сертифицированный сервер обычным?

Нет, если система требует сертифицированных средств по своей категории. Замена на несертифицированное оборудование — основание не выдать или отозвать аттестат соответствия, а для значимого объекта КИИ — не пройти приемочные испытания.

Что делать, если сертификат истек?

Истекший сертификат выводит оборудование из правового поля для защищенных систем. Нужно либо дождаться продления сертификата вендором, либо заменить оборудование. Поэтому срок сертификата отслеживают и закладывают в договор поддержки.

Нужна ли аттестация после установки сертифицированного сервера?

Для ГИС да. Значимый объект КИИ подтверждает соответствие приемочными испытаниями или аттестацией, аттестация обязательна, если объект является ГИС. Сертифицированный сервер — лишь часть системы, а аттестат соответствия подтверждает защищенность всей инфраструктуры. Проводит аттестацию лицензиат ФСТЭК, и соответствие поддерживают при обновлениях.