Субъекты КИИ: является ли субъектом КИИ организация – ЦОД (дата-центр), предоставляющая в рамках оказания услуг информационную инфраструктуру (IaaS, PaaS, SaaS) другим организациям, функционирующим в сферах деятельности субъектов КИИ?

2025 год

Ответ: для ответа на данный вопрос необходимо рассматривать условия оферты или договора, на основании которых информационная инфраструктура предоставляется как услуга.
В случае, если организация, предоставляющая услуги центра обработки данных (далее – ЦОД), оказывает услуги неограниченному кругу лиц в рамках оферты или договора на предоставление таких услуг без относительной привязки к конкретному функциональному назначению и отраслевой принадлежности предоставляемых мощностей, то такая организация не обладает признаками субъекта критической информационной инфраструктуры (далее – КИИ). В рамках описанных договорных отношений организация, предоставляющая вычислительные мощности любым юридическим лицам, не несет обязательства по определению себя как субъекта КИИ.
Если сторонняя организация заключает договоры с конкретными субъектами КИИ на предоставление ИТ-инфраструктуры для функционирования тех или иных объектов КИИ (например, предоставление инфраструктуры для предприятий определенной отрасли), то организация является субъектом КИИ и должна выполнять требования законодательства о безопасности КИИ Российской Федерации (далее – РФ) в отношении принадлежащей (эксплуатируемой) инфраструктуры объектов КИИ. Однако стоит отметить, что субъект КИИ, как владелец функциональной части объекта КИИ, обязан обеспечить реализацию и выполнение правовых мер обеспечения безопасности такого объекта в соответствии с нормативными правовыми актами в сфере безопасности КИИ РФ. Реализация правовых мер безопасности в рамках договорных отношений обеспечивается путем включения требований по обеспечению безопасности КИИ РФ в заключаемые договоры на предоставление ИТ-инфраструктуры (предоставление вычислительных мощностей, услуг ЦОД) или путем оценки соответствия условий оферты таким требованиям.