Сертификат ФСТЭК на сервере работает как допуск на дорогу госзакупок: без него технику просто не пустят в систему, где обрабатываются защищаемые данные. Речь именно о серверах для госзаказчика, а не о сертифицированном антивирусе или средстве шифрования — кластер запроса «сертификат ФСТЭК» широкий, но здесь разберем только железо. Цена ошибки тут высокая: сервер не той категории или забытая сертифицированная ОС всплывают уже на аттестации, когда переиграть закупку поздно.
Что такое сертификат ФСТЭК и зачем он серверу
ФСТЭК России — Федеральная служба по техническому и экспортному контролю, основной регулятор по технической защите информации. Она оценивает средства защиты и средства вычислительной техники: продукт проходит испытания в аккредитованной лаборатории, и при их успешном завершении регулятор подтверждает соответствие заданным требованиям безопасности. Для сервера это значит, что его как СВТ проверили на отсутствие недокументированных возможностей и присвоили класс защищенности.
Важно различать, на что именно выдан документ: на железо, на операционную систему или на средство защиты информации (СЗИ). Оценка сервера как СВТ не отменяет проверку ОС или СЗИ — для защищенной системы нужны все слои сразу. Поэтому «сервер с сертификатом ФСТЭК» в закупке почти всегда означает связку из проверенной регулятором аппаратной платформы, такой же ОС и при необходимости отдельных модулей защиты.
Когда госзаказчик обязан брать сертифицированный сервер
Обязанность применять сертифицированные средства возникает не везде, а в трех типовых ситуациях, и их стоит различать. Первая — информационные системы персональных данных (ИСПДн), которые защищают по 152-ФЗ и приказу ФСТЭК № 21: уровень защищенности (от УЗ1 до УЗ4) определяет, какие средства и какого класса применять. Вторая — государственные информационные системы (ГИС), которые относят к одному из классов защищенности и защищают по профильным требованиям регулятора. Третья — значимые объекты критической информационной инфраструктуры (КИИ) по 187-ФЗ, разделенные на три категории значимости.
Граница между «желательно» и «обязательно» проходит по категории системы. Для значимого объекта КИИ первой категории или ГИС класса К1 сертифицированные средства обязательны и проверяются при аттестации. Для внутреннего контура без персональных данных и без отнесения к КИИ такой допуск не требуется вовсе. Ошибка с категорией дорого обходится: либо переплата за избыточную защиту, либо срыв аттестации из-за недостаточной.
Что сертифицирует ФСТЭК в сервере
Когда оценку проводят для сервера как СВТ, смотрят на два параметра. Первый — класс защищенности средства вычислительной техники по шкале от 6 (базовый) до 1 (высший). Второй — уровень контроля отсутствия недекларированных возможностей, НДВ, по шкале от 4 до 1. Чем критичнее объект, тем выше требуемый класс и строже контроль НДВ. Под эти задачи мы подбираем серверы с актуальными сертификатами нужного уровня.
Для высоких классов защищенности (как правило, начиная с третьего) к платформе добавляют средство доверенной загрузки — отдельный аппаратный модуль вроде «Соболь» или «Аккорд-АМДЗ», который ставится PCIe-платой и контролирует целостность до старта ОС. Поверх железа работает проверенная регулятором операционная система: Astra Linux Special Edition, ALT СП Сервер или РЕД ОС. Только связка из СВТ, средства доверенной загрузки и ОС с действующими записями образует защищенную платформу — допуск любого из слоев по отдельности систему не закрывает.
Классы защищенности СВТ
Нумерация устроена контринтуитивно: шестой уровень — самый мягкий, первый — самый жесткий. Базовые требования закрывает шестой, его берут под задачи с минимальными рисками. Середину занимают пятый и четвертый — на них приходится большинство распространенных ГИС и объектов КИИ. Третий и выше резервируют под самые критичные объекты, где обязательны доверенная загрузка и углубленный контроль недекларированных возможностей.
Класс СВТ не выбирают произвольно — он вытекает из категории системы. Классу защищенности ГИС (К1, К2, К3) и уровню ИСПДн (УЗ1-УЗ4), а также категории значимости объекта КИИ соответствует минимально допустимый класс средств защиты. Сначала систему категорируют, и уже из категории следует, сервер какого класса закупать. Сравнительная таблица ниже сводит это соответствие воедино.
Регуляторика: какие приказы стоит знать
Закупка и защита упираются в несколько профильных приказов, и их полезно держать под рукой при подготовке техзадания — спроектировать систему под требования помогает аудит ИТ-инфраструктуры. По ГИС долгое время действовал приказ № 17 (от 11 февраля 2013 года), деливший такие системы на три класса. Защиту ИСПДн регулирует приказ № 21 (18 февраля 2013-го) с уровнями от УЗ1 до УЗ4, а безопасность значимых объектов КИИ — приказ № 239 (25 декабря 2017-го) с тремя категориями значимости.
Главное обновление 2026 года — приказ № 117 от 11.04.2025. Он зарегистрирован в Минюсте 16.06.2025 и вступает в силу 1 марта 2026 года, приходя на смену приказу № 17 для ГИС. Новый документ расширяет охват на виртуализацию, облачные и контейнерные среды, удаленный доступ и смещает акцент с разовой настройки на постоянный контроль защищенности. Для серверов виртуализации в ГИС это означает новые требования к сертифицированным средствам, и закладывать их нужно уже сейчас.
Реестр Минпромторга и реестр Минцифры
В тендере проверяют не одну запись, а несколько, и три реестровые системы легко спутать. Перечень радиоэлектронной продукции Минпромторга на портале ГИСП говорит о российском происхождении железа — это линия импортозамещения. Список Минцифры отвечает за отечественность программного обеспечения. А база средств защиты на fstec.ru — за соответствие требованиям безопасности. Три независимых параметра, и закупка может требовать наличия всех трех сразу.
Перед покупкой платформу прогоняют по всем трем спискам: есть ли запись Минпромторга, внесена ли предустановленная ОС в перечень Минцифры, действует ли допуск ФСТЭК нужного класса. Приоритет диктует тип объекта: для КИИ и ГИС на первом месте именно допуск регулятора и категория значимости, для общей закупки по импортозамещению — реестр Минпромторга. Несовпадение хотя бы по одному пункту — основание отклонить поставку.
Примеры серверов с ФСТЭК-сертификатом
На рынке есть несколько отечественных платформ с действующими сертификатами, и их выбор — часть импортозамещения серверов. Серверы YADRO линейки Vegman имеют сертификаты ФСТЭК на ряд моделей, платформы Аквариус и Sitronics закрывают корпоративный и госсегмент, Бештау и другие российские вендоры расширяют выбор под конкретные классы. Многие поставляются с предустановленной Astra Linux Special Edition, что сразу дает готовую связку проверенного железа и ОС.
Ключевой нюанс: запись привязана к конкретной модели и партии, а не к бренду в целом. Ее наличие у одной модели вендора не означает, что проверена соседняя. Поэтому перед закупкой актуальность сверяют по реестру на fstec.ru — по точному наименованию и номеру, а не по названию производителя.
Как закупить сервер с сертификатом ФСТЭК
Закупку ведут по 44-ФЗ (для отдельных заказчиков — по 223-ФЗ), и техзадание составляют так, чтобы оно отсекало неподходящее оборудование. В реквизитах прямо прописывают нужный класс защищенности СВТ, уровень контроля НДВ, обязательность средства доверенной загрузки и проверенной регулятором ОС — со ссылкой на категорию объекта и применимый приказ. Размытая строка без класса и категории открывает дорогу поставке не того уровня.
При приемке проверяют подлинность сертификата по реестру ФСТЭК и совпадение наименования и номера с поставленной моделью. Отдельно фиксируют условия гарантии и поддержки, а также порядок замены при отзыве: регулятор вправе аннулировать запись, и тогда оборудование меняют или дозащищают. Эти условия закладывают в договор заранее, а не разбираются с ними по факту.
Аттестация системы после установки
Сертифицированный сервер — необходимое, но не достаточное условие. Систему в целом аттестуют: аттестат соответствия объекта информатизации подтверждает, что вся инфраструктура отвечает требованиям по защите. Без аттестата ГИС или значимый объект КИИ нельзя вводить в эксплуатацию. Подготовку к аттестации ускоряет предварительный аудит безопасности, который выявляет несоответствия до прихода аттестующей организации.
Аттестацию проводит лицензиат ФСТЭК — организация с правом на такие работы; заказчик делает это не сам. После выдачи аттестата соответствие нужно поддерживать: значимые обновления ОС или средств защиты, замена оборудования, изменение конфигурации требуют переоценки, а иногда повторных испытаний. Аттестат — не разовая бумага, а состояние, которое сопровождают весь срок эксплуатации системы.
Сравнение классов и категорий
Таблица сводит классы СВТ с категориями систем — это ориентир, а точный класс определяют при категорировании.
Три ошибки, которые срывают аттестацию
Три промаха повторяются из тендера в тендер и срывают ввод системы в строй. Первый — взяли сервер не той категории: бумага есть, а класс ниже требуемого, и объект не аттестуют. Второй — допуск истек, а следить за сроком никого не назначили: документы действуют ограниченное время, и просроченная техника выпадает из правового поля. Третий — закупили проверенное железо, но забыли про ОС и средства защиты: одна аппаратная платформа без остальных слоев защищенную систему не образует.
Заключение: чек-лист закупки
Чтобы сервер с сертификатом ФСТЭК прошел аттестацию, а не превратился в дорогую ошибку, перед закупкой проходят несколько контрольных точек:
- категорировать систему и из категории вывести нужный класс СВТ и уровень НДВ;
- в техзадании по 44-ФЗ прямо указать класс, доверенную загрузку и сертифицированную ОС;
- проверить модель по реестру ФСТЭК — по наименованию и номеру, а не по бренду;
- сверить реестровые записи Минпромторга и Минцифры, если их требует закупка;
- заложить в договор отслеживание срока сертификата и порядок замены при отзыве;
- запланировать аттестацию у лицензиата ФСТЭК и поддержание соответствия при обновлениях.
Пройденный чек-лист отличает закупку, которая выдержит проверку, от той, что встанет на этапе аттестации.
Часто задаваемые вопросы
Что такое сертификат ФСТЭК на сервер?
Это документ, подтверждающий, что сервер как средство вычислительной техники прошел испытания в аккредитованной лаборатории и соответствует классу защищенности СВТ и уровню контроля НДВ. Он нужен для систем, где обработка данных регулируется требованиями ФСТЭК.
Когда госзаказчик обязан брать сервер с сертификатом ФСТЭК?
Когда система относится к ГИС, к ИСПДн с высоким уровнем защищенности или к значимому объекту КИИ по 187-ФЗ. Для внутренних систем без персональных данных и без отнесения к КИИ сертификат не требуется.
Какой класс защищенности СВТ выбрать?
Класс не выбирают произвольно — он вытекает из категории системы. Сначала проводят категорирование (класс ГИС, уровень ИСПДн, категория КИИ), и из него следует минимально допустимый класс СВТ. Шкала идет от 6 (базовый) до 1 (высший).
Чем сертификат ФСТЭК на сервер отличается от реестра Минпромторга?
Сертификат ФСТЭК подтверждает соответствие требованиям безопасности, а реестр Минпромторга — российское происхождение оборудования. Это разные параметры: в закупке могут требоваться оба сразу, и одно не заменяет другое.
Можно ли заменить сертифицированный сервер обычным?
Нет, если система требует сертифицированных средств по своей категории. Замена на несертифицированное оборудование — основание не выдать или отозвать аттестат соответствия, без которого систему нельзя эксплуатировать.
Какие серверы с ФСТЭК есть в 2026?
Отечественные платформы YADRO Vegman, Аквариус, Sitronics, Бештау и другие имеют сертификаты на ряд моделей, часто с предустановленной Astra Linux SE. Сертификат привязан к конкретной модели, поэтому актуальность проверяют по реестру fstec.ru.
Что делать, если сертификат истек?
Истекший сертификат выводит оборудование из правового поля для защищенных систем. Нужно либо дождаться продления сертификата вендором, либо заменить оборудование. Поэтому срок сертификата отслеживают и закладывают в договор поддержки.
Нужна ли аттестация после установки сертифицированного сервера?
Да, для ГИС и значимых объектов КИИ. Сертифицированный сервер — лишь часть системы, а аттестат соответствия подтверждает защищенность всей инфраструктуры. Проводит аттестацию лицензиат ФСТЭК, и соответствие поддерживают при обновлениях.
Поможем с закупкой серверов под ФСТЭК
Готовите закупку серверов для ГИС, ИСПДн или КИИ? Инженеры Serverzilla подберут платформы с актуальным сертификатом ФСТЭК нужного класса, проверят реестровые записи Минпромторга и помогут с техническим заданием под 44-ФЗ. Рассчитаем сервер под задачу под категорию вашей системы. Оставьте заявку.
