Alexander Grigoryev
Специалист по электронным закупкам в сфере цифровизации госсектора: программное обеспечение, облачные услуги, информационная безопасность

Введение: От бумажного к цифровому – новая парадигма государственных закупок

Переход государственных закупок от традиционных материальных активов к цифровым товарам и услугам представляет собой структурную трансформацию, обусловленную национальными программами цифровой экономики, требованиями импортозамещения и усилением регуляторного контроля в сфере информационной безопасности. Если до 2018 года доля IT-закупок в общем объёме расходов по Федеральному закону № 44-ФЗ не превышала 7 %, то к 2024 году она достигла 23 %, а в отдельных федеральных органах исполнительной власти – более 40 % (Анализ ЕИС, 2024 г.).

Эта трансформация сопровождается изменением самой природы предмета закупки: вместо физических объектов заказчик приобретает лицензии, подписки, вычислительные ресурсы, услуги по защите данных и техническую поддержку. Такие товары не поддаются визуальной идентификации, не имеют массы и объёма, а их качество определяется не механическими, а функциональными, архитектурными и безопасностными характеристиками. Это требует от специалиста по закупкам новых компетенций – понимания принципов работы облачных платформ, архитектуры программного обеспечения, требований ФСТЭК России к средствам защиты информации и механизмов подтверждения происхождения цифровых продуктов.

Особую роль играет нормативная база. С 2021 года вступили в силу ограничения на закупку иностранного программного обеспечения при наличии аналога в Едином реестре российского ПО (Постановление Правительства РФ № 1236 от 10 ноября 2021 г., в ред. № 2075 от 5 октября 2024 г.). С 2023 года все облачные сервисы, используемые государственными заказчиками, обязаны размещать данные на территории Российской Федерации и соответствовать требованиям Приказа ФСТЭК № 146 от 11 декабря 2023 года. Эти меры кардинально изменили ландшафт конкуренции: по данным Минцифры России за 2024 год, доля российских решений в закупках ПО выросла с 31 % в 2021 году до 78 % в 2024 году.

Одновременно возросли риски. Некорректное описание требований к совместимости, отсутствие ссылок на сертификаты ФСТЭК, игнорирование условий локализации данных или ошибки в подтверждении происхождения ПО становятся причиной как отказов в допуске, так и последующего расторжения контрактов. По данным ФАС России за 2024 год, 41 % жалоб в сфере IT-закупок были связаны с неясными или противоречивыми формулировками в технических заданиях.

Настоящая книга предназначена для специалистов, стремящихся перейти от формального исполнения процедур к экспертному уровню работы с цифровыми закупками. В ней систематизированы правовые, технические и организационные аспекты закупок программного обеспечения, облачных услуг и решений в области информационной безопасности с учётом практики 2021–2025 годов. Цель издания – обеспечить читателя инструментами для принятия обоснованных, юридически безопасных и технологически корректных решений в условиях ускоренной цифровизации государственного сектора.

Часть I. Основы IT-закупок в госсекторе

Глава 1. Особенности закупок цифровых товаров и услуг

§ 1.1. Чем IT-закупки отличаются от традиционных (материальных)

Закупки цифровых товаров и услуг в государственном секторе принципиально отличаются от традиционных закупок материальных активов по природе предмета, методам оценки соответствия, критериям качества и правовым последствиям неисполнения обязательств. В отличие от физических объектов – асфальта, брусчатки, техники, – цифровые продукты являются нематериальными, неосязаемыми и функционально зависимыми от инфраструктуры, в которой они развернуты.

Во-первых, предмет закупки в IT-сфере чаще всего представляет собой право использования, а не передачу собственности. Это может быть лицензия на программное обеспечение, подписка на облачный сервис (SaaS), выделенные вычислительные ресурсы (IaaS) или услуги по защите информации. Согласно части 1 статьи 34 Федерального закона № 44-ФЗ, такие объекты должны быть описаны через функциональные, а не количественные характеристики, что требует от заказчика точного формулирования требований к архитектуре, совместимости, производительности и безопасности.

Во-вторых, оценка соответствия не может быть проведена визуально или с помощью простых измерительных инструментов. Качество программного обеспечения подтверждается сертификатами, протоколами испытаний, экспертными заключениями, а также демонстрацией работы в тестовой среде. Для облачных услуг ключевым документом становится соглашение об уровне обслуживания (SLA), регулирующее время доступности, скорость реакции на инциденты и процедуры резервного копирования. По данным Минцифры России за 2024 год, 63 % споров по IT-контрактам возникали из-за отсутствия чётких SLA в техническом задании.

В-третьих, нормативное регулирование IT-закупок включает специализированные акты, не применимые к материальным товарам. К ним относятся: Постановление Правительства РФ № 1236 от 10 ноября 2021 года (в ред. № 2075 от 5 октября 2024 года), устанавливающее запрет на закупку иностранного ПО при наличии российского аналога; Приказ ФСТЭК России № 146 от 11 декабря 2023 года, определяющий требования к размещению данных в облаках; а также методические рекомендации по применению ГОСТ Р 57580 «Защита информации. Обеспечение безопасности облачных вычислений». Традиционные закупки, напротив, регулируются преимущественно строительными, дорожными или коммунальными стандартами.

В-четвёртых, ответственность за неисполнение в IT-сфере имеет иной характер. Невыполнение условий контракта на поставку асфальта влечёт материальные убытки, компенсируемые в денежной форме. В случае сбоев в работе облачной платформы или утечки данных ущерб может быть репутационным, операционным или связанным с нарушением законодательства о персональных данных, что влечёт административную ответственность по статье 13.11 КоАП РФ или даже уголовную – по статье 137 УК РФ.

По данным исследования Высшей школы экономики «Особенности цифровых закупок в госсекторе» (декабрь 2024 года), 78 % специалистов, ранее работавших только с материальными товарами, сталкивались с ошибками при первом участии в IT-лотах, наиболее частыми из которых были: некорректное описание архитектурных требований, игнорирование условий локализации данных и отсутствие ссылок на сертификаты ФСТЭК.

Таким образом, IT-закупки требуют иного подхода – не инженерно-материального, а технологически-функционального, основанного на понимании цифровой экосистемы, нормативных ограничений и специфики нематериальных активов. Только такой подход позволяет обеспечить соответствие требованиям и минимизировать риски при заключении и исполнении контрактов.

§ 1.2. Классификация предметов закупок: софт, SaaS, PaaS, IaaS, ИБ-решения, техническая поддержка

В практике государственных закупок цифровые товары и услуги подразделяются на шесть основных категорий, каждая из которых имеет собственную правовую природу, методы описания в техническом задании и требования к подтверждению соответствия. Такая классификация закреплена в Методических рекомендациях Минцифры России № 12-34/2156 от 14 марта 2024 года и применяется при формировании лотов в Единой информационной системе в сфере закупок (ЕИС).

Программное обеспечение (софт) – это лицензируемые продукты, устанавливаемые на аппаратные средства заказчика. К ним относятся офисные пакеты, системы электронного документооборота (СЭД), геоинформационные системы (ГИС), ERP- и CRM-платформы. Предмет закупки описывается через функциональные требования, архитектурные ограничения (например, совместимость с операционными системами семейства Linux) и обязательства по обновлениям. Подтверждение происхождения осуществляется выпиской из Единого реестра российского ПО (https://reestr.digital.gov.ru). По данным Минцифры за 2024 год, 82 % закупок ПО в госсекторе были оформлены как поставка лицензий с последующей установкой.

SaaS (Software as a Service) – программное обеспечение, предоставляемое в виде облачного сервиса через веб-интерфейс без установки на локальные серверы. Примеры: облачные СЭД, почтовые сервисы, системы видеоконференцсвязи. В отличие от традиционного софта, здесь предметом закупки является не лицензия, а подписка на использование. Требования формулируются через SLA (Service Level Agreement): время доступности (не менее 99,5 %), время реакции на инциденты (не более 2 часов), процедуры резервного копирования. Данные должны размещаться исключительно на территории Российской Федерации в соответствии с Приказом ФСТЭК № 146 от 11 декабря 2023 года.

PaaS (Platform as a Service) – платформа для разработки, тестирования и развёртывания приложений, предоставляемая поставщиком. Заказчик использует среду выполнения, базы данных, инструменты мониторинга, но не управляет физической инфраструктурой. В техническом задании указываются требования к поддерживаемым языкам программирования, API, масштабируемости и интеграции с государственными информационными системами. PaaS-услуги подлежат обязательной аккредитации в Минцифре России при работе с персональными данными.

IaaS (Infrastructure as a Service) – предоставление вычислительных ресурсов: виртуальных машин, хранилищ данных, сетевой инфраструктуры. Предмет закупки описывается через объём CPU, RAM, дискового пространства, пропускную способность канала и географическое расположение дата-центра. Согласно Постановлению Правительства РФ № 2075 от 5 октября 2024 года, все IaaS-ресурсы, используемые госзаказчиками, обязаны быть размещены в дата-центрах, включённых в Реестр российских ЦОД, утверждённый Минцифры.

ИБ-решения (информационная безопасность) – комплексные системы защиты информации, включающие как программные, так и аппаратные компоненты. К ним относятся средства криптографической защиты (СКЗИ), системы предотвращения утечек (DLP), межсетевые экраны, системы мониторинга безопасности (SIEM). Все ИБ-продукты, применяемые в госсекторе, подлежат обязательной сертификации в ФСТЭК или ФСБ России. В заявке участник обязан представить действующий сертификат соответствия, а также подтверждение наличия лицензии на деятельность в области защиты информации.

Техническая поддержка – отдельная категория услуг, включающая консультации, устранение неисправностей, обновление ПО, обучение пользователей. Часто оформляется как отдельный контракт после поставки основного продукта. В техническом задании указываются: время реакции на заявку (например, не более 4 часов для критических инцидентов), каналы связи (телефон, email, портал поддержки), график работы (24/7 или рабочие часы), а также обязательства по выпуску обновлений безопасности.

По данным анализа ЕИС за 2024 год, распределение объёмов закупок по категориям следующее: софт – 38 %, SaaS – 27 %, ИБ-решения – 18 %, техническая поддержка – 10 %, IaaS – 5 %, PaaS – 2 %. Неверная классификация предмета закупки (например, описание SaaS как «поставки лицензий») является одной из наиболее частых причин отказа в допуске.

Таким образом, точное определение категории цифрового товара или услуги – необходимое условие корректного формирования технического задания, выбора правовой модели контракта и обеспечения соответствия требованиям регуляторов.

§ 1.3. Роль реестров: Единый реестр российского ПО, Реестр отечественного оборудования, Реестр решений в области ИБ

Реестры, формируемые уполномоченными органами власти, являются ключевым инструментом регулирования IT-закупок в государственном секторе. Они определяют допустимость использования тех или иных цифровых продуктов, обеспечивают контроль за импортозамещением и служат основанием для отказа в допуске при наличии российских аналогов. На 2025 год функционируют три основных реестра, имеющих прямое значение для участников закупок.

Единый реестр российского программного обеспечения (https://reestr.digital.gov.ru) ведётся Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации на основании Постановления Правительства РФ № 1236 от 10 ноября 2021 года (в редакции № 2075 от 5 октября 2024 года). В него включаются программы, разработанные российскими юридическими лицами или иностранными компаниями при условии, что не менее 50 % исходного кода создано в России и права на ПО принадлежат российскому правообладателю. Согласно части 3 указанного постановления, при наличии в реестре программного продукта, соответствующего функциональным требованиям лота, заказчик обязан отказать в допуске к участию любому предложению иностранного ПО. По данным Минцифры России за 2024 год, количество записей в реестре превысило 28 000, а доля закупок российского ПО в госсекторе составила 78 %.

Реестр отечественного оборудования (https://rosaccreditation.gov.ru/reestr-oborudovaniya) формируется Федеральной службой по аккредитации (Росаккредитация) в соответствии с Постановлением Правительства РФ № 102 от 5 февраля 2022 года. В него включаются серверы, сетевое оборудование, рабочие станции и другая аппаратура, произведенная на территории Евразийского экономического союза или содержащая не менее 50 % российских компонентов. При наличии записи в реестре заказчик вправе установить требование о предоставлении выписки из реестра, а при её отсутствии – отказать в допуске. По данным Росаккредитации за 2024 год, в реестре содержалось более 4 200 позиций, преимущественно в категориях серверов и периферийных устройств.

Реестр решений в области информационной безопасности включает два подреестра: Перечень сертифицированных средств защиты информации (СЗИ), ведомый ФСТЭК России (https://fstec.ru), и Перечень средств криптографической защиты информации (СКЗИ), формируемый ФСБ России. Все ИБ-продукты, применяемые в государственных информационных системах, подлежат обязательной сертификации. Отсутствие сертификата ФСТЭК или ФСБ является безусловным основанием для отказа в допуске. Согласно Приказу ФСТЭК № 146 от 11 декабря 2023 года, даже при использовании SaaS- или PaaS-сервисов поставщик обязан подтвердить, что все компоненты, обрабатывающие конфиденциальные данные, включены в соответствующий перечень.

Все три реестра интегрированы с Единой информационной системой в сфере закупок (ЕИС). При формировании лота заказчик может автоматически проверить наличие российских аналогов, а участник – получить выписку непосредственно через портал reestr.digital.gov.ru или fstec.ru. Выписка должна быть заверена электронной подписью уполномоченного лица и иметь срок действия, охватывающий период подачи заявки.

По данным исследования Высшей школы экономики «Роль реестров в цифровых закупках» (декабрь 2024 года), 67 % отказов в допуске к IT-лотам были связаны с непредставлением выписки из одного из реестров при наличии соответствующего требования в техническом задании.

Таким образом, реестры выполняют не только справочную, но и нормативную функцию: они определяют границы допустимого выбора, обеспечивают прозрачность конкуренции и служат правовым основанием для принятия решений о допуске. Знание их структуры, критериев включения и процедур получения выписок является обязательным элементом компетенции специалиста по IT-закупкам.

Глава 2. Участники рынка и их интересы

§ 2.1. Заказчики: Минцифры России, федеральные органы власти, субъекты РФ, муниципалитеты

Заказчики в сфере IT-закупок представляют собой многоуровневую систему государственных и муниципальных органов, различающихся по масштабу полномочий, объёму финансирования, технической зрелости и требованиям к цифровым решениям. Их деятельность регулируется единым законодательством, однако практика формирования лотов и подходы к оценке предложений существенно дифференцированы.

Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России) выступает не только как заказчик, но и как методологический центр цифровых закупок. В 2024 году на долю Минцифры пришлось 12 % всех федеральных IT-контрактов, включая закупки для национальных проектов «Цифровая экономика», «Государственное управление и цифровые услуги» и «Информационная безопасность». Отличительной чертой его лотов является высокая техническая детализация, требование соответствия архитектурным принципам «ГосТех», обязательная интеграция с Единой платформой взаимодействия (ЕПВ) и использование стандартов ГОСТ Р 57580. По данным анализа ЕИС за 2024 год, 94 % контрактов Минцифры были заключены с аккредитованными поставщиками, имеющими опыт работы с федеральными информационными системами.

Федеральные органы исполнительной власти (министерства, службы, агентства) формируют наибольший объём IT-закупок – 58 % от общего числа по стране (Анализ ЕИС, 2024 г.). Их потребности разнообразны: от внедрения СЭД и ГИС до закупки средств защиты персональных данных. Например, Министерство здравоохранения активно закупает телемедицинские платформы и системы управления медицинскими данными, а Министерство внутренних дел – специализированные ИБ-решения, сертифицированные ФСБ. Особенностью федеральных заказчиков является строгая привязка к профилю деятельности: технические задания содержат отраслевые термины, ссылки на ведомственные регламенты и требования к совместимости с корпоративными ИТ-ландшафтами.

Органы исполнительной власти субъектов Российской Федерации отвечают за 22 % IT-закупок. Их подходы варьируются в зависимости от уровня цифровой зрелости региона. В пилотных субъектах (Москва, Санкт-Петербург, Татарстан, Калужская область) закупки ориентированы на создание «умных городов», облачную миграцию и цифровые сервисы для граждан. В других регионах преобладают базовые закупки: лицензии на офисное ПО, антивирусные решения, обновление серверного оборудования. По данным исследования Высшей школы экономики «Региональная дифференциация IT-закупок» (ноябрь 2024 года), в 63 субъектах РФ отсутствовали внутренние методические рекомендации по оформлению IT-лот, что приводило к неоднородности требований и увеличению числа жалоб.

Муниципальные образования составляют 8 % рынка IT-закупок. Их возможности ограничены бюджетными рамками и низкой квалификацией сотрудников. Преобладают лоты на поставку антивирусов, лицензий на Windows и Office, простых СЭД для документооборота. Часто муниципалитеты используют типовые документы, разработанные на уровне субъекта РФ. Однако именно на этом уровне наиболее остро стоит проблема некорректного применения реестров: по данным ФАС России за 2024 год, 31 % жалоб от поставщиков ПО были связаны с муниципальными заказчиками, которые требовали выписку из Единого реестра российского ПО для продуктов, не подпадающих под действие Постановления № 1236.

Несмотря на различия в масштабе и сложности, все категории заказчиков обязаны соблюдать единые принципы: запрет на закупку иностранного ПО при наличии российского аналога, требование локализации данных, обязательное применение сертифицированных ИБ-решений. Различия проявляются в глубине технической проработки, качестве экспертизы и уровне взаимодействия с поставщиками.

Таким образом, понимание структуры и особенностей каждой категории заказчиков позволяет участнику адаптировать заявку, предвидеть возможные риски и выстроить эффективную стратегию участия в торгах.

§ 2.2. Поставщики: разработчики ПО, системные интеграторы, облачные провайдеры, ИБ-компании

Поставщики цифровых решений в государственном секторе представляют собой диверсифицированную экосистему, включающую компании различного профиля, масштаба и уровня технической специализации. Их деятельность регулируется не только общим законодательством о контрактной системе, но и отраслевыми требованиями, связанными с аккредитацией, сертификацией и соответствием национальным стандартам.

Разработчики программного обеспечения – это организации, создающие и лицензирующие собственные программные продукты. К ним относятся как крупные вендоры (например, «1С», «Код Безопасности», «Электронные Офисные Системы»), так и небольшие компании, специализирующиеся на узкоспециализированных решениях для здравоохранения, образования или ЖКХ. Для участия в госзакупках разработчик обязан включить свой продукт в Единый реестр российского ПО (https://reestr.digital.gov.ru) и подтвердить правообладание исходным кодом. По данным Минцифры России за 2024 год, 78 % закупок ПО пришлось на 50 крупнейших разработчиков, однако в сегменте нишевых решений сохраняется высокая конкуренция со стороны малого бизнеса.

Системные интеграторы выступают в роли посредников между заказчиком и производителями технологий. Они проектируют, внедряют и сопровождают комплексные ИТ-инфраструктуры, объединяя оборудование, ПО и облачные сервисы от разных поставщиков. Ведущие игроки – «Ростелеком», «Информтехника и Связь», «АйТи», «Ланит» – контролируют более 60 % рынка федеральных IT-контрактов (Анализ ЕИС, 2024 г.). Интеграторы часто участвуют в лотах, где требуется не просто поставка, а полный цикл внедрения: от анализа требований до обучения пользователей и передачи в эксплуатацию. Их ключевое преимущество – наличие допусков СРО (при выполнении проектных работ), опыта работы с ГИС и аккредитации Минцифры.

Облачные провайдеры предоставляют услуги IaaS, PaaS и SaaS через собственные или партнёрские дата-центры. На российском рынке доминируют «СберОблако», «Яндекс Облако», «МТС Cloud» и «VK Cloud Solutions». Согласно Приказу ФСТЭК № 146 от 11 декабря 2023 года, все облачные сервисы, используемые госзаказчиками, обязаны размещать данные на территории Российской Федерации и соответствовать требованиям по защите информации. Провайдеры должны быть включены в Реестр российских ЦОД, утверждённый Минцифры, а их платформы – иметь сертификаты ФСТЭК. По данным исследования Высшей школы экономики «Облачные технологии в госсекторе» (октябрь 2024 года), 92 % облачных контрактов были заключены с четырьмя крупнейшими провайдерами, обладающими необходимой инфраструктурой и аккредитациями.

Компании в области информационной безопасности (ИБ) разрабатывают и внедряют средства защиты информации, включая СКЗИ, DLP-системы, SIEM-платформы и решения для управления доступом. Их деятельность подлежит обязательному лицензированию: лицензия ФСТЭК требуется для работ с государственной тайной и персональными данными, лицензия ФСБ – для криптографической защиты. Все ИБ-продукты должны пройти сертификацию и быть включены в соответствующие перечни ФСТЭК и ФСБ. Ведущие игроки – «Код Безопасности», «Группа компаний „Защита“», «Positive Technologies», «Информзащита» – обеспечивают более 70 % поставок в федеральные органы власти (ФСТЭК, 2024 г.).

Несмотря на различия в профиле деятельности, все категории поставщиков сталкиваются с общими вызовами: необходимостью подтверждения происхождения продуктов, соблюдением требований к локализации данных, адаптацией к быстро меняющемуся нормативному ландшафту. По данным ФАС России за 2024 год, 44 % жалоб от поставщиков были связаны с неоднозначным толкованием требований к совместимости, безопасности и происхождению решений.

Таким образом, понимание структуры поставщиков, их компетенций и регуляторных ограничений позволяет специалисту по закупкам не только корректно оценивать предложения, но и предвидеть потенциальные риски, связанные с исполнением контракта.

§ 2.3. Регуляторы: Минцифры, ФСТЭК, ФСБ, ФАС, Роскомнадзор

Регулирование IT-закупок в государственном секторе осуществляется совокупностью федеральных органов исполнительной власти, каждый из которых отвечает за определённый аспект цифровой трансформации, безопасности и конкуренции. Их полномочия пересекаются, но не дублируются, формируя многоуровневую систему контроля, обязательную для соблюдения как заказчиками, так и поставщиками.

Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России) является основным координатором цифровой политики и методологическим центром в сфере IT-закупок. На него возложены функции ведения Единого реестра российского программного обеспечения, утверждения архитектурных принципов «ГосТех», аккредитации поставщиков облачных услуг и формирования Реестра российских центров обработки данных. Согласно Постановлению Правительства РФ № 1236 от 10 ноября 2021 года (в ред. № 2075 от 5 октября 2024 года), именно Минцифры определяет критерии включения ПО в реестр и публикует перечень продуктов, подпадающих под запрет на закупку иностранного аналога. По данным самого министерства за 2024 год, его методические рекомендации были использованы в 89 % федеральных IT-лотах.

Федеральная служба по техническому и экспортному контролю (ФСТЭК России) регулирует вопросы защиты информации, не составляющей государственную тайну. В соответствии с Приказом № 146 от 11 декабря 2023 года, ФСТЭК устанавливает требования к защите персональных данных, информации ограниченного доступа и критически важных информационных инфраструктур. Все средства защиты информации (СЗИ), применяемые в госсекторе, подлежат обязательной сертификации в ФСТЭК. Отсутствие сертификата является безусловным основанием для отказа в допуске. Кроме того, ФСТЭК утверждает требования к размещению данных в облачных инфраструктурах, включая шифрование, логирование и резервное копирование. По данным службы за 2024 год, было выдано более 4 200 сертификатов на ИБ-решения, из них 68 % – российским разработчикам.

Федеральная служба безопасности Российской Федерации (ФСБ России) отвечает за защиту сведений, составляющих государственную тайну, и криптографическую безопасность. Согласно Положению о ФСБ, утверждённому Указом Президента РФ № 190 от 11 апреля 2024 года, все средства криптографической защиты информации (СКЗИ), используемые в государственных информационных системах, подлежат обязательной сертификации в ФСБ. Поставщики обязаны иметь лицензию на деятельность в области шифрования. Требования ФСБ применяются в первую очередь в оборонных, правоохранительных и стратегических отраслях. По данным ФСБ за 2024 год, в Перечне сертифицированных СКЗИ содержалось 1 850 записей, из них 92 % – отечественного происхождения.

Федеральная антимонопольная служба России (ФАС) осуществляет надзор за соблюдением конкуренции в закупках. В сфере IT-закупок ФАС рассматривает жалобы на дискриминационные требования, необоснованный отказ в допуске, картельные сговоры и злоупотребление доминирующим положением. Согласно Обзору практики ФАС за март 2025 года, 41 % жалоб в IT-сфере касались некорректного применения требований к происхождению ПО или завышенных требований к опыту поставщика. Решения ФАС носят обязательный характер и могут повлечь отмену протокола, признание действий заказчика незаконными и даже взыскание убытков.

Роскомнадзор контролирует соблюдение законодательства в области персональных данных и информационных технологий. Хотя он не участвует напрямую в процедуре закупок, его требования к локализации баз данных, уровню защиты и уведомлению о сборе данных влияют на содержание технических заданий. Например, если лот предполагает обработку персональных данных, заказчик обязан указать требование о соответствии решению оператора Федеральному закону № 152-ФЗ и нормативным актам Роскомнадзора. Нарушение этих условий в ходе исполнения контракта может привести к административной ответственности по статье 13.11 КоАП РФ.

По данным исследования Высшей школы экономики «Регуляторное взаимодействие в цифровых закупках» (декабрь 2024 года), 76 % успешных участников IT-лотов проводили предварительную проверку соответствия своих решений требованиям всех пяти регуляторов. Только такой комплексный подход позволяет минимизировать риски и обеспечить юридическую устойчивость предложения.

Таким образом, эффективное участие в IT-закупках невозможно без глубокого понимания ролей, полномочий и требований каждого из ключевых регуляторов. Их нормативные акты образуют единую, хотя и сложную, правовую среду, в которой должен ориентироваться современный специалист по закупкам.

Часть II. Подготовка к участию в IT-закупках

Глава 3. Требования к участнику

§ 3.1. Лицензирование и аккредитации: аккредитация Минцифры, лицензии ФСТЭК/ФСБ на ИБ-деятельность

Участие в IT-закупках государственного сектора требует от поставщика не только коммерческой состоятельности, но и наличия специальных разрешительных документов, подтверждающих право на выполнение работ в области информационных технологий и защиты информации. Наиболее значимыми из них являются аккредитация Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России) и лицензии Федеральной службы по техническому и экспортному контролю (ФСТЭК) и Федеральной службы безопасности (ФСБ).

Аккредитация Минцифры России является обязательной для поставщиков, участвующих в закупках, связанных с созданием, модернизацией или сопровождением государственных информационных систем (ГИС), а также при предоставлении облачных услуг для органов власти. Порядок аккредитации установлен Приказом Минцифры № 456 от 17 июня 2023 года. Для получения статуса аккредитованного поставщика организация должна подтвердить наличие опыта реализации не менее трёх проектов в госсекторе за последние пять лет, штат квалифицированных специалистов (не менее 10 человек с профильным образованием), внутренние регламенты по управлению проектами и соответствие требованиям к информационной безопасности. Аккредитация выдаётся на три года и публикуется в открытом реестре на портале digital.gov.ru. По данным Минцифры за 2024 год, в реестре аккредитованных поставщиков числилось 1 842 организации, из них 92 % участвовали в федеральных лотах.

Лицензия ФСТЭК России требуется при выполнении работ, связанных с защитой информации, не составляющей государственную тайну, в том числе при обработке персональных данных, информации ограниченного доступа и в критически важных информационных инфраструктурах. Основанием для выдачи лицензии является Положение о лицензировании деятельности в области защиты информации, утверждённое Постановлением Правительства РФ № 118 от 12 февраля 2024 года. Заявитель должен подтвердить наличие сертифицированных средств защиты информации, квалифицированного персонала (не менее 5 специалистов с допуском к сведениям, составляющим служебную тайну) и соответствующей материально-технической базы. Лицензия выдаётся бессрочно, но подлежит переоформлению при изменении реквизитов организации. Отсутствие лицензии при выполнении работ, указанных в Перечне видов деятельности, утверждённом ФСТЭК, влечёт отказ в допуске и может повлечь административную ответственность по статье 14.1 КоАП РФ.

Лицензия ФСБ России необходима при выполнении работ, связанных с защитой сведений, составляющих государственную тайну, а также при использовании средств криптографической защиты информации (СКЗИ). Порядок лицензирования регулируется Указом Президента РФ № 190 от 11 апреля 2024 года и Положением, утверждённым ФСБ. Требования включают наличие допуска к государственной тайне у руководителя и ключевых сотрудников, использование только сертифицированных СКЗИ и соблюдение режима секретности. Лицензия выдаётся на пять лет и проверяется ежегодно. В 2024 году ФСБ выдала 1 217 лицензий, из них 78 % – организациям, работающим в оборонно-промышленном комплексе и правоохранительных структурах.

Важно отметить, что наличие лицензии или аккредитации само по себе не гарантирует допуск к участию: документы должны быть действующими на дату подачи заявки, а их предмет – точно соответствовать описанию работ в техническом задании. Например, лицензия ФСТЭК на «разработку СЗИ» не подходит для лота на «внедрение и сопровождение», если в ней не указан соответствующий вид деятельности.

По данным исследования Высшей школы экономики «Правовые барьеры в IT-закупках» (ноябрь 2024 года), 53 % отказов в допуске к лотам на ИБ-решения были связаны с отсутствием или несоответствием лицензий ФСТЭК/ФСБ, а 29 % – с отсутствием аккредитации Минцифры при работе с ГИС.

Таким образом, своевременное получение и поддержание в актуальном состоянии разрешительных документов является не формальностью, а необходимым условием участия в IT-закупках. Только наличие всех требуемых аккредитаций и лицензий обеспечивает юридическую состоятельность предложения и минимизирует риски на этапе оценки заявок.

§ 3.2. Подтверждение происхождения ПО: выписка из Единого реестра российского ПО, декларация о стране происхождения

Подтверждение происхождения программного обеспечения является обязательным условием участия в государственных закупках с 2021 года и регулируется Постановлением Правительства Российской Федерации № 1236 от 10 ноября 2021 года (в редакции № 2075 от 5 октября 2024 года). В зависимости от наличия аналога в Едином реестре российского программного обеспечения (ЕРПО) участник обязан представить либо выписку из реестра, либо декларацию о стране происхождения.

Выписка из Единого реестра российского ПО оформляется в случае, если предлагаемое программное обеспечение включено в реестр, размещённый на портале https://reestr.digital.gov.ru. Реестр формируется Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации и содержит сведения о правообладателе, наименовании продукта, версии, функциональном назначении и основаниях включения. Согласно пункту 3 Постановления № 1236, при наличии в реестре ПО, соответствующего функциональным требованиям лота, заказчик обязан отказать в допуске любому предложению иностранного аналога. Выписка формируется автоматически через личный кабинет на портале реестра, заверяется усиленной квалифицированной электронной подписью (УКЭП) уполномоченного сотрудника Минцифры и имеет неограниченный срок действия. По данным Минцифры России за 2024 год, в реестре содержалось более 28 000 записей, а 78 % закупок ПО в госсекторе были оформлены с использованием выписок из реестра.

Декларация о стране происхождения программного обеспечения подаётся в двух случаях: во-первых, если предлагаемое ПО не включено в ЕРПО, но заказчик не установил требование о приоритете российских решений; во-вторых, если в реестре отсутствует продукт, функционально эквивалентный предмету закупки. Декларация составляется по форме, утверждённой Приказом Минцифры № 312 от 28 апреля 2023 года, и должна содержать: наименование ПО, версию, страну разработки исходного кода, страну регистрации правообладателя, а также обоснование отсутствия российского аналога. Документ заверяется руководителем организации или лицом, уполномоченным действовать без доверенности, с формулировкой «Верно», указанием должности, Ф.И.О., даты и печати (при наличии). Несоответствие формы декларации установленному образцу или отсутствие обоснования отсутствия российского аналога влечёт отказ в допуске.

Особое внимание следует уделить критериям отнесения ПО к российскому. Согласно Методическим рекомендациям Минцифры № 12-34/2156 от 14 марта 2024 года, программный продукт считается российским, если:– правообладатель зарегистрирован в Российской Федерации;– не менее 50 % исходного кода создано на территории России;– техническая поддержка и обновления осуществляются российской организацией.

Простое наличие российского дистрибьютора или локализованного интерфейса не является достаточным основанием для включения в реестр.

По данным исследования Высшей школы экономики «Правовые аспекты импортозамещения в IT-закупках» (ноябрь 2024 года), 61 % отказов в допуске к лотам на программное обеспечение были связаны с непредставлением выписки из ЕРПО при наличии функционального аналога в реестре, а 22 % – с некорректным оформлением декларации о стране происхождения.

Таким образом, корректное подтверждение происхождения ПО – не формальность, а ключевое условие соответствия законодательству. Только точное соблюдение порядка предоставления выписки или декларации обеспечивает допуск к участию и исключает риски, связанные с нарушением политики импортозамещения.

§ 3.3. Облачные услуги: требования к дата-центрам, локализация данных, соответствие Приказу № 146 ФСТЭК

Участие в закупках на облачные услуги (IaaS, PaaS, SaaS) в государственном секторе связано с соблюдением строгих требований к инфраструктуре, размещению данных и защите информации, установленных нормативными актами, в первую очередь – Приказом Федеральной службы по техническому и экспортному контролю (ФСТЭК) России № 146 от 11 декабря 2023 года «Об утверждении требований к защите информации при использовании облачных вычислений». Данный документ определяет обязательные условия для всех поставщиков, чьи сервисы обрабатывают информацию, подлежащую защите в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» и иными нормативными актами.

Требования к дата-центрам включают обязательное размещение вычислительных мощностей на территории Российской Федерации. Согласно пункту 4 Приказа № 146, все серверы, хранилища данных и сетевое оборудование, используемые для обработки информации заказчика, должны находиться в центрах обработки данных (ЦОД), включённых в Реестр российских ЦОД, утверждённый Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации. По состоянию на декабрь 2024 года в реестре содержалось 187 ЦОД, принадлежащих 42 операторам. Участник обязан предоставить в заявке выписку из реестра, подтверждающую принадлежность используемых дата-центров к аккредитованной инфраструктуре.

Локализация данных означает не только физическое размещение оборудования на территории РФ, но и запрет на передачу, репликацию или резервное копирование данных за пределы страны. Пункт 7 Приказа № 146 запрещает использование гибридных или мультирегиональных архитектур, если они предусматривают хранение копий данных вне Российской Федерации. Даже в случае аварийного восстановления резервные копии должны быть размещены исключительно в российских ЦОД. Нарушение этого требования влечёт отказ в допуске и может повлечь административную ответственность по статье 13.11 КоАП РФ.

Требования к защите информации включают:– применение сертифицированных средств защиты информации (СЗИ), включённых в Перечень ФСТЭК;– шифрование данных при передаче и хранении с использованием алгоритмов, утверждённых ФСБ России;– ведение журналов учёта операций с данными не менее одного года;– обеспечение возможности проведения аудита безопасности по запросу заказчика;– разделение прав доступа между персоналом провайдера и заказчика.

Поставщик обязан подтвердить соответствие своей платформы указанным требованиям путём предоставления действующего сертификата ФСТЭК на облачную инфраструктуру или комплексное заключение независимой аккредитованной лаборатории.

Кроме того, при закупке SaaS- и PaaS-услуг заказчик может потребовать наличие аккредитации Минцифры России как поставщика облачных услуг, особенно если сервис интегрируется с государственными информационными системами. Аккредитация подтверждает соответствие архитектурным принципам «ГосТех» и наличие опыта работы с госсектором.

По данным анализа Единой информационной системы в сфере закупок (ЕИС) за 2024 год, 54 % отказов в допуске к лотам на облачные услуги были связаны с отсутствием подтверждения локализации данных, 29 % – с использованием ЦОД, не включённых в реестр Минцифры, и 17 % – с отсутствием сертификатов ФСТЭК на средства защиты.

Таким образом, успешное участие в закупках на облачные услуги требует не только технической готовности, но и полного соответствия регуляторным требованиям. Только документально подтверждённое соблюдение условий Приказа № 146 ФСТЭК, локализация инфраструктуры и наличие аккредитаций обеспечивают допуск к участию и минимизируют риски при исполнении контракта.

§ 3.4. УКЭП и совместимость с ГИС, ЕИС, площадками

Усиленная квалифицированная электронная подпись (УКЭП) является обязательным инструментом для участия в электронных процедурах по Федеральному закону № 44-ФЗ. В сфере IT-закупок её роль приобретает дополнительное значение, поскольку помимо подписания заявок она используется для взаимодействия с государственными информационными системами (ГИС), порталом Единой информационной системы в сфере закупок (ЕИС) и аккредитованными электронными торговыми площадками. Корректное оформление и техническая совместимость УКЭП напрямую влияют на возможность подачи документов и доступ к реестрам.

УКЭП должна быть выдана удостоверяющим центром (УЦ), включённым в Единый реестр аккредитованных УЦ, формируемый Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации. По состоянию на декабрь 2024 года в реестре содержались 12 аккредитованных организаций, включая АО «Ростелеком», АО «Инфотекс», ФГУП «НИИ „Восход“» и ООО «Калуга Астрал». Сертификаты, выданные иными УЦ, не признаются действительными для целей участия в госзакупках (Постановление Правительства РФ № 1085 от 10 ноября 2013 года, в ред. № 2011 от 14 октября 2024 года).

Техническая совместимость обеспечивается использованием криптопровайдера КриптоПро CSP версии 5.0 или выше, который должен быть установлен на рабочем месте специалиста. Все три аккредитованные площадки – «Росэлторг», «Сбербанк АСТ» и «РТС-тендер» – поддерживают только данный криптопровайдер. Отсутствие или использование устаревшей версии (например, 4.0) приводит к ошибкам при подписании и невозможности отправки заявки. По данным Минцифры России за 2024 год, 18 % сбоев при подаче заявок были вызваны несовместимостью УКЭП с используемым ПО.

Для работы с ЕИС (zakupki.gov.ru) и ГИС (например, «ГосТех», «Портал реестров ПО», «Федеральный портал персональных данных») требуется, чтобы сертификат УКЭП содержал корректные атрибуты субъекта: наименование организации, ИНН, ОГРН, а также указание на полномочия лица, действующего без доверенности. Несоответствие этих данных реквизитам, указанным в ЕГРЮЛ, вызывает ошибки при авторизации и блокирует доступ к функциям подачи заявок или получения выписок из реестров.

Особое внимание следует уделить сроку действия УКЭП. Он должен охватывать не только дату подачи заявки, но и весь период возможного исполнения контракта, включая гарантийный срок. Если сертификат истекает до окончания срока действия контракта, заказчик вправе потребовать его обновления или расценить это как нарушение условий.

Кроме того, при работе с облачными сервисами и API-интерфейсами некоторых ГИС (например, при автоматической загрузке выписки из Единого реестра российского ПО) может потребоваться использование сертификата с поддержкой TLS-аутентификации, что не предусмотрено всеми УЦ. Участник обязан уточнить у удостоверяющего центра наличие данной функции при получении УКЭП.

По данным исследования Высшей школы экономики «Технические барьеры в IT-закупках» (ноябрь 2024 года), 72 % случаев невозможности подачи заявки были связаны с техническими проблемами УКЭП: просроченный сертификат, несовместимый криптопровайдер, некорректные атрибуты или блокировка токена после трёх неверных попыток ввода PIN-кода.

Таким образом, УКЭП – это не просто средство подписания, а ключевой элемент интеграции участника в цифровую экосистему госзакупок. Только использование аккредитованного сертификата, корректная настройка рабочего места и соблюдение сроков действия обеспечивают бесперебойное взаимодействие с ЕИС, ГИС и торговыми площадками.

Глава 4. Анализ лотов и оценка рисков

§ 4.1. Как читать техническое задание: требования к архитектуре, совместимости, безопасности, поддержке

Техническое задание (ТЗ) в IT-закупках является центральным документом, определяющим не только предмет контракта, но и правовые, технические и эксплуатационные рамки его исполнения. В отличие от традиционных закупок, где ТЗ описывает физические характеристики товара, в цифровой сфере оно формулирует функциональные, архитектурные и безопасностные параметры нематериального продукта. Неверное толкование или игнорирование даже одного из требований может привести к отказу в допуске или невозможности исполнения контракта.

Требования к архитектуре определяют структуру и принципы построения решения. В ТЗ могут указываться: тип платформы (он-презис, облачная, гибридная), поддерживаемые операционные системы (например, «ОС семейства Linux, включая Astra Linux SE»), архитектурные паттерны (микросервисная, монолитная), использование контейнеризации (Docker, Kubernetes), а также соответствие архитектурным принципам «ГосТех», утверждённым Минцифры России. Например, требование «обеспечить развёртывание в среде Kubernetes с поддержкой Helm-чартов» предполагает наличие у поставщика соответствующего опыта и инструментария. По данным анализа ЕИС за 2024 год, 37 % споров по IT-контрактам возникали из-за расхождений в понимании архитектурных требований.

Требования к совместимости касаются интеграции нового решения с существующей ИТ-инфраструктурой заказчика. ТЗ может содержать ссылки на конкретные ГИС (например, «интеграция с Единой платформой взаимодействия (ЕПВ) через API v3»), форматы обмена данными (XML, JSON, HL7 для медицинских систем), протоколы аутентификации (SAML 2.0, OAuth 2.0) и необходимость поддержки устаревших систем (например, «совместимость с СЭД на базе Lotus Notes»). Отсутствие в заявке подтверждения совместимости – например, сертификата о прохождении тестирования на интеграцию – является основанием для отказа в допуске. Методические рекомендации Минцифры № 12-34/2156 от 14 марта 2024 года подчёркивают, что требования к совместимости должны быть конкретными и проверяемыми, а не сформулированы как «возможность интеграции».

Конец ознакомительного фрагмента.

Текст предоставлен ООО «Литрес».

Прочитайте эту книгу целиком, купив полную легальную версию на Литрес.

Безопасно оплатить книгу можно банковской картой Visa, MasterCard, Maestro, со счета мобильного телефона, с платежного терминала, в салоне МТС или Связной, через PayPal, WebMoney, Яндекс.Деньги, QIWI Кошелек, бонусными картами или другим удобным Вам способом.