Хостинг в России для 152-ФЗ: требования и сравнение провайдеров

Хостинг в России для 152-ФЗ: что требует закон и как выбрать провайдера

«Хостинг в России» и «хостинг, соответствующий 152-ФЗ» — не одно и то же. Сервер в московском ЦОД — необходимое условие, но не достаточное. Без правильных документов и технических мер нарушение закона сохраняется — штраф до 18 млн рублей за повторное нарушение требований локализации данных.

Что требует 152-ФЗ от хостинга

Три условия, без которых хостинг не считается соответствующим закону:

  1. Серверы физически расположены на территории РФ — уточняйте конкретный ЦОД при заказе: многие провайдеры имеют узлы в нескольких странах.
  2. Провайдер — российское юрлицо — иностранная компания с серверами в Москве создаёт риски трансграничной передачи данных.
  3. Подписано соглашение-поручение на обработку ПДн (ст. 6 152-ФЗ) — без этого документа вы нарушаете закон, даже с отличным хостингом.

Уровни защищённости ИСПДн: какой нужен вашему проекту

Уровень Тип данных Требования к хостингу
УЗ-1 Биометрия, здоровье (спецкатегории) Аттестованный комплекс, максимальные меры
УЗ-2 Биометрия + общие данные Высокие требования, лицензия ФСТЭК обязательна
УЗ-3 Общие данные, >1 000 субъектов VPS/облако с сертификатами (ISO 27001, ГОСТ Р 57580)
УЗ-4 Общие данные, <1 000 субъектов Виртуальный хостинг + организационные меры
💡 Большинство коммерческих сайтов (лендинги, блоги, интернет-магазины малого бизнеса) работают с УЗ-4 или УЗ-3. Медицина, биометрия, финансы — УЗ-1/2.

Сравнение типов хостинга по требованиям 152-ФЗ

Параметр Виртуальный хостинг VPS / Облако Защищённое облако
Подходит для УЗ УЗ-4 УЗ-3, частично УЗ-2 УЗ-1, УЗ-2
Лицензия ФСТЭК У части провайдеров Как правило, есть Обязательно
ISO 27001 / ГОСТ Р 57580 Редко У крупных провайдеров Стандарт
Поручение на обработку ПДн Да Да Да + полный пакет
Цена в месяц (старт) от 150–300 ₽ от 700–2 000 ₽ от 15 000 ₽
Управляемые услуги Нет Частично Да
Типичные клиенты Лендинги, блоги, малый бизнес Интернет-магазины, SaaS Медицина, банки, госсектор
⚠️ На VPS вы сами несёте ответственность за настройку технических мер: шифрование раздела с ПДн, файрвол, SSH-ключи, обновления ОС. Провайдер отвечает только за физическую инфраструктуру.

Чек-лист: как проверить провайдера перед подписанием договора

Проверено: 0/7

  • ✓Адрес ЦОД. Запросить точный адрес дата-центра и убедиться, что он на территории РФ (не «Европа + Россия»)
  • ✓Российское юрлицо. Проверить ИНН провайдера на сайте ФНС — иностранная компания с московскими серверами создаёт риски трансграничной передачи
  • ✓Поручение на обработку ПДн. Запросить до подписания договора — добросовестный провайдер предоставляет его в стандартном пакете документов
  • ✓Сертификаты. Запросить актуальные копии: лицензия ФСТЭК на ТЗКИ, ISO 27001 и/или ГОСТ Р 57580 (в зависимости от вашего УЗ)
  • ✓Технические меры. Уточнить наличие: шифрование дисков, TLS при передаче, разграничение доступа, журналы аудита, резервное копирование в РФ
  • ✓SLA и уведомление об инцидентах. SLA не ниже 99,9%; провайдер обязан оперативно уведомлять об инцидентах (у вас есть 24 часа на уведомление РКН)
  • ✓Трансграничные инструменты на сайте. Проверить: если используете зарубежный CDN, Google Analytics или иностранные CRM — данные уходят за рубеж, и хостинг в РФ не поможет

Типичные ошибки при выборе хостинга

  • «Серверы в России» = соответствие 152-ФЗ — нет. Физическое размещение лишь одно из условий без документов и технических мер
  • Верить только надписи «152-ФЗ» на сайте провайдера — без реальных документов это маркетинг, а не гарантия соответствия
  • Не подписывать поручение на обработку ПДн — без него нарушение сохраняется независимо от качества хостинга
  • Путать «дешёвый» с «достаточным» — минимальный тариф может не включать нужные технические меры; уточняйте состав услуги
  • Забывать про зарубежные инструменты на сайте — Google Analytics, пиксели рекламных платформ, иностранные CDN передают данные за рубеж вне зависимости от хостинга

Соответствие 152-ФЗ — это экосистема мер, где хостинг лишь один элемент. Перед выбором провайдера убедитесь, что технический профиль самого сайта не создаёт нарушений: устаревший TLS, открытые порты, зарубежные трекеры сведут на нет любой правильный хостинг.

Проверьте технический профиль вашего сайта

scanbase.ru за 2 минуты покажет HTTPS, заголовки безопасности, зарубежные запросы и очевидные уязвимости

Запустить проверку →

Частые вопросы

Достаточно ли разместить сайт на сервере в России, чтобы соответствовать 152-ФЗ? +

Нет. Физическое расположение серверов — необходимое, но недостаточное условие. Дополнительно нужны: подписанное соглашение-поручение с провайдером, технические меры защиты (шифрование, контроль доступа, журналирование), внутренние документы оператора (политика ПДн, приказ о назначении ответственного). Без этого нарушение сохраняется, даже если сервер стоит в российском ЦОД.

Можно ли использовать зарубежный CDN (например, Cloudflare) при российском хостинге? +

Использование зарубежного CDN создаёт риск трансграничной передачи ПДн — часть данных пользователей может обрабатываться на серверах за пределами РФ. Для персонализированных данных (сессии, история действий) это потенциальное нарушение. Решение: использовать российский CDN или настроить CDN так, чтобы персональные данные не кешировались через зарубежные узлы.

Обязателен ли сертификат ФСТЭК у провайдера? +

Для УЗ-1 и УЗ-2 — фактически да. Для УЗ-3 и УЗ-4 закон прямо не требует, чтобы именно провайдер имел лицензию ФСТЭК на ТЗКИ, но это серьёзный маркер надёжности. Проверить актуальность лицензии можно на официальном сайте ФСТЭК России.

Олег Просин
Об авторе
Олег Просин
Основатель Scanbase

Эксперт по соответствию сайтов 152-ФЗ. Пишет о практике защиты персональных данных, требованиях Роскомнадзора и технической стороне закона.