Указ № 604: очередь за ЦОДами?

24 августа 2026 года Президент РФ подписал Указ № 604 «О мерах по обеспечению безопасности объектов критической инфраструктуры Российской Федерации», вступивший в силу в день опубликования. Его появление прямо обусловлено «нарастанием в период проведения специальной военной операции угроз безопасности объектов критической инфраструктуры».

Невозможно не согласиться с президентом в том, что угрозы нарастают и безопасностью критической инфраструктуры (КИ) надо заниматься. Достаточно вспомнить события последних дней. За несоблюдение положений указа наказания предусматриваются серьезные — вплоть до «высшей меры» для бизнеса: если хозяйствующий субъект не принимает или несвоевременно принимает необходимые меры безопасности, нарушает установленные требования, создает угрозу нормальному функционированию объекта или своевременно не восстанавливает его работу, правительство по поручению президента может ввести временное управление в отношении его имущества. Причем речь может идти не только о самом объекте: указ допускает передачу во временное управление всего или части находящегося на территории РФ имущества хозяйствующего субъекта, его ценных бумаг, долей и имущественных прав. Управляющим по умолчанию становится Росимущество. 

О дата-центрах в указе прямо не говорится, но среди объектов критической инфраструктуры упоминаются объекты связи, к которым относятся ЦОДы. «ЦОДы однозначно подпадают под действие этой нормы», — отметили в пресс-службе «РТК-ЦОД» («Ростелеком»).

Для отрасли ЦОДов возникает терминологическая ловушка. Сам ЦОД как совокупность зданий, помещений и инженерной инфраструктуры, согласно Федеральному закону «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 № 187-ФЗ, не относится к объектам критической информационной инфраструктуры (КИИ). Указ № 604, однако, говорит не об объектах КИИ, а об объектах КИ.

Это далеко не одно и то же. Согласно закону № 187-ФЗ, объектами КИИ являются информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъектов КИИ. Причем не любые, а функционирующие в сфере одной из определенных в законе № 187-ФЗ отраслей, в которых работает предприятие. Так что не только здание ЦОДа, дизель-генераторная установка, система бесперебойного питания или чиллер не являются объектами КИИ. Как правило не являются объектами КИИ и его инженерные и специализированные системы управления (BMS, DCIM), ведь для этого недостаточно быть АСУ, надо быть АСУ в сфере основных отраслей работы предприятия. 

Например, АСУ ТП, непосредственно управляющая технологическим процессом металлургического производства, относится к объектам КИИ, тогда как его бухгалтерская система расчета зарплаты — нет. И АСУ энергоснабжения ЦОДа не становится автоматически объектом КИИ, даже если владелец ЦОДа имеет лицензию Роскомнадзора на услуги связи. 

Однако указ № 604 смотрит на критическую инфраструктуру не с точки зрения специалиста по информационной безопасности, а значительно шире. К числу КИ прямо отнесены объекты топливно-энергетического комплекса, промышленности, связи, энергетики, транспорта, логистики, коммунального хозяйства и жизнеобеспечения, критически важные и потенциально опасные объекты. Более того, перечень оставлен открытым: в него могут входить «иные объекты, имеющие особо важное значение» для безопасности, экономической стабильности страны и жизнедеятельности населения.

С 1 марта 2026 года в России действует новое законодательное регулирование центров обработки данных. Принятые в июле 2025 года поправки в закон «О связи» № 126-ФЗ закрепили определение ЦОДа как совокупность зданий, частей зданий или помещений, которые объединены единым назначением и включают инженерно-технические системы, предназначенные для размещения оборудования обработки или хранения данных. 

Раньше при обсуждении связи ЦОДа и КИИ основным был вопрос: размещается ли в дата-центре объект КИИ и кому он принадлежит? Теперь появляется второй вопрос: не является ли сам ЦОД объектом критической инфраструктуры как объект инфраструктуры связи?

Причем государство уже включает наиболее крупные ЦОДы в категорию объектов федерального значения. Постановлением Правительства РФ от 20.06.2026 № 764 предусмотрено отображение в схеме территориального планирования РФ в области связи ЦОДов, имеющих 200 и более стоек, наряду с магистральными волоконно-оптическими линиями связи.

Если посмотреть за рубеж, то стоит отметить опыт Великобритании, которая объединяет КИИ и КИ под общим понятием «критическая национальная инфраструктура» (Critical National Infrastructure, CNI). В сентябре 2024 года правительство Великобритании официально отнесло дата-центры к CNI. Отдельно в рамках регулирования кибербезопасности и устойчивости предусматриваются пороги для соответствия дата-центров требованиям: номинальная ИТ-нагрузка — от 1 МВт, а для корпоративных ЦОДов, обслуживающих только собственного владельца, — от 10 МВт.

На практике стоит рассмотреть три ситуации. Первая — корпоративный ЦОД субъекта КИИ. Например, крупный банк, энергетическая компания, оператор связи или предприятие ТЭК эксплуатирует собственный дата-центр. В нем работают информационные системы, сети или АСУ, отнесенные к объектам КИИ.

Здесь связь наиболее очевидна. Согласно закону № 187-ФЗ, объектом КИИ является не весь ЦОД как здание, а соответствующая информационная система, сеть или АСУ. Но по указу № 604, физическая площадка одновременно может рассматриваться как объект критической инфраструктуры, особенно если прекращение ее работы приводит к остановке критически важных процессов.

Получается своеобразная двухэтажная конструкция: на информационном уровне действует законодательство о КИИ, а на уровне физической и инженерной инфраструктуры может применяться более широкое регулирование КИ.

Сложнее ситуация, когда в коммерческом ЦОДе размещаются системы клиентов — субъектов КИИ. Сам факт установки серверов банка, энергетической компании или промышленного предприятия в арендованной стойке не превращает весь коммерческий ЦОД в объект КИИ в соответствии с законом № 187-ФЗ. Закон связывает статус объекта КИИ с информационной системой, информационно-телекоммуникационной сетью или АСУ и с субъектом, которому они принадлежат на законном основании.

Однако зависимость очевидна. Если в коммерческом ЦОДе одновременно размещены объекты КИИ нескольких банков, операторов связи или энергетических компаний, то авария электроснабжения, охлаждения или сети может вывести из строя сразу несколько объектов КИИ.

Поэтому с точки зрения указа № 604 такой ЦОД потенциально может иметь самостоятельное критическое значение уже не потому, что в нем стоит конкретный сервер КИИ, а потому, что площадка обеспечивает устойчивость критических процессов.

Еще сложнее ситуация, когда коммерческий ЦОД не имеет клиентов — субъектов КИИ. Даже здесь нельзя с уверенностью сказать: «Указ № 604 нас не касается». Документ не устанавливает зависимость статуса критической инфраструктуры от наличия в ЦОДе значимых объектов КИИ. Это позволяет предположить, что дата-центр, являющийся существенным элементом инфраструктуры связи либо имеющий особо важное значение для безопасности, экономической стабильности или жизнедеятельности населения, потенциально может рассматриваться как объект критической инфраструктуры в понимании указа № 604. Хотя сам указ специальных критериев отнесения ЦОДов к таким объектам не устанавливает.

В указе № 604 отдельно говорится о недостаточных мерах защиты и об угрозе нормальному функционированию объекта. Для ЦОДа это выводит дискуссию далеко за пределы классической информационной безопасности.

Причиной остановки дата-центра может стать не только кибератака на серверы. Достаточно вывести из строя электроснабжение, дизель-генераторы, ИБП, охлаждение или систему управления инженерной инфраструктурой.

Российское регулирование ЦОДов уже движется в эту сторону. Для включения ЦОДа в государственный реестр его владелец должен декларировать соответствие ряду требований, включая мониторинг инфраструктуры, физическую защищенность, резервирование, контроль физического и сетевого доступа, резервное копирование информации систем управления и сегментацию доступа.

Происходит сближение двух миров — эксплуатации инженерной инфраструктуры и информационной безопасности. Для современного ЦОДа BMS, DCIM, системы управления электроснабжением, холодоснабжением и физической безопасностью становятся не просто вспомогательной автоматикой. Их компрометация способна остановить вычислительную инфраструктуру так же эффективно, как атака непосредственно на ИТ-системы.

Отдельно стоит остановиться на упомянутой в указе «неэффективности реализации мероприятий, непосредственно направленных на пресечение угроз нападения с использованием беспилотных воздушных судов». В настоящий момент, насколько известно, не имеется четкого и исчерпывающего перечня достаточных мер, которые должен принимать владелец критического объекта. Отсутствие такого перечня вызывает определенную обеспокоенность у участников рынка, связанную с необходимостью планирования расходов и проведения работ.

Из документа нельзя вывести простой формальный критерий вроде «если больше 200 стоек, то ЦОД — объект критической инфраструктуры, если меньше 200 — нет». Указ таких критериев не содержит. Применимость указа к конкретному ЦОДу, скорее всего, придется оценивать по совокупности факторов: роли площадки в инфраструктуре связи, масштабу, составу размещенных систем, последствиям длительной остановки, зависимости от нее работы критически важных организаций и способности оператора обеспечить безопасность и восстановление функционирования. Вопросов больше, чем ответов.