Как добровольная сертификация ISO 27001 укрепляет доверие клиентов, помогает выигрывать тендеры и госзакупки и открывает доступ к контрактам с международными компаниями.
Международный стандарт ISO/IEC 27001 задаёт требования к системе менеджмента информационной безопасности (СМИБ). Он определяет, как организация выявляет риски для информации, выбирает меры защиты, проверяет их работу и исправляет недостатки. Российский закон не обязывает коммерческие компании проходить сертификацию по этому стандарту, и решение остаётся за самим бизнесом. Спрос на неё при этом растёт, потому что для заказчика, банка или иностранного партнёра сертификат ISO 27001 служит коротким и проверяемым ответом на вопрос: можно ли доверить поставщику свои данные, доступ к инфраструктуре или обработку персональных данных клиентов.
Что подтверждает сертификат и чего он не подтверждает
Сертификат выдаёт орган по сертификации после двухэтапного аудита. На первом этапе (Stage 1) аудитор изучает документацию: область применения СМИБ, методику оценки рисков, Положение о применимости (Statement of Applicability, SoA), политики и регламенты. На втором этапе (Stage 2) он проверяет, работают ли описанные процессы на деле. Для этого берётся выборка заявок на предоставление доступа, журналы резервного копирования, записи о разборе инцидентов, подтверждения обучения сотрудников. Сертификат действует три года. В первый и второй год проходят надзорные аудиты, в третий — ресертификационный.
Действующая редакция стандарта — ISO/IEC 27001:2022. Её приложение A содержит 93 меры контроля в четырёх группах: организационные (37), связанные с персоналом (8), физические (14) и технологические (34). Переходный период для сертификатов по редакции 2013 года завершился 31 октября 2025 года. Если партнёр сегодня предъявляет документ со ссылкой на ISO/IEC 27001:2013, этот сертификат недействителен.
Главное ограничение сертификата — область применения (scope). Компания вправе сертифицировать один центр обработки данных, одно юрлицо или одну услугу. Формулировка «предоставление услуг колокации в ЦОД» ничего не говорит о том, как защищены отдел разработки или бухгалтерия той же компании. Опытные заказчики читают не только номер сертификата, но и строку scope, а затем запрашивают SoA, чтобы увидеть, какие меры исключены и чем это обосновано.
Отсутствия инцидентов сертификат не гарантирует. Он подтверждает наличие управляемого процесса: риски выявляются, за них отвечают конкретные люди, а независимая сторона проверяет систему не реже раза в год. Заказчику этого обычно достаточно, потому что он ищет предсказуемость поставщика, а не абсолютную защиту, которой не существует.
Как сертификация формирует доверие клиентов
Анкеты безопасности сокращаются до нескольких документов
Крупный клиент перед подписанием договора проводит оценку поставщика (vendor due diligence). Банк, страховая компания или федеральный ритейлер присылает анкету на 150–300 вопросов: шифрование данных при хранении и передаче, разграничение прав, управление уязвимостями, проверка кандидатов при найме, план непрерывности бизнеса. Без сертификата на каждый пункт приходится отвечать отдельно и прикладывать доказательства. Служба безопасности заказчика задаёт уточняющие вопросы, назначает созвоны, иногда — собственный выездной аудит. Согласование растягивается на два-три месяца.
С сертификатом и SoA большая часть анкеты закрывается ссылками на конкретные меры приложения A. Распространённые отраслевые опросники, например SIG от Shared Assessments или CAIQ от Cloud Security Alliance, содержат таблицы сопоставления с ISO 27001. Заказчик принимает сертификат вместо ответов на целые блоки вопросов, и онбординг поставщика занимает недели, а не месяцы.
Доверие закрепляется в условиях договора
Зрелость процессов поставщика отражается на тексте контракта. Заказчик реже настаивает на праве выездного аудита (right to audit) за счёт исполнителя, соглашается на стандартные сроки уведомления об инцидентах и не требует завышенных лимитов ответственности. Страховщики киберрисков спрашивают о сертификации в анкете андеррайтинга, и положительный ответ влияет на тариф и размер франшизы.
У этого механизма есть обратная сторона. Клиенты часто вносят в договор обязанность уведомить их о приостановке или отзыве сертификата. Поставщик получает формальный аргумент против требований, выходящих за рамки согласованной СМИБ, а заказчик — рычаг контроля на весь срок сотрудничества.
Проверяемость вместо обещаний
Фраза «мы серьёзно относимся к безопасности» на сайте компании ничего не доказывает. Сертификат можно проверить. Если орган по сертификации аккредитован участником Международного форума по аккредитации (IAF), запись о сертификате, как правило, есть в базе IAF CertSearch, а на документе стоит знак аккредитующего органа — например, UKAS, DAkkS или ANAB. За несколько минут клиент выясняет, действует ли сертификат, на какое юрлицо он выдан и какую услугу покрывает.
С проверяемостью связан распространённый риск. На рынке работают организации, которые оформляют «сертификат» за несколько дней без аудита на месте, часто в рамках собственных систем добровольной сертификации без признаваемой аккредитации. Подготовленный заказчик такой документ отклонит, а поставщик, предъявивший его, потеряет репутацию быстрее, чем если бы честно сообщил об отсутствии сертификата.
Тендеры и государственные контракты
Закупки по 44-ФЗ
В закупках для государственных и муниципальных нужд возможности заказчика ограничены законом. Требовать добровольный сертификат как условие допуска к участию нельзя, если такое требование не установлено нормативно: контрольные органы расценивают его как ограничение конкуренции. Сертификат здесь работает косвенно. Он упрощает подготовку ответа на техническое задание, где заказчик описывает меры защиты информации, и помогает подтвердить квалификацию, если документация закупки допускает учёт таких сведений при оценке по нестоимостным критериям.
Закупки по 223-ФЗ и корпоративные тендеры
Госкорпорации, компании с государственным участием, субъекты естественных монополий и крупные банки закупают по 223-ФЗ и собственным положениям о закупке. Свободы у них больше: положение может включить наличие сертификата СМИБ в квалификационные требования или в критерии оценки. Типичная конструкция — критерий «квалификация участника» весом 20–40%, внутри которого сертификаты ISO 9001 и ISO 27001 приносят отдельные баллы. При близких ценовых предложениях эти баллы определяют победителя.
Тендеры частных компаний устроены ещё жёстче. Банк, выбирающий подрядчика для обработки клиентских данных, или ритейлер, передающий на аутсорс поддержку платёжной инфраструктуры, часто ставит сертификат в предквалификационный фильтр. Участник без него не попадает в короткий список, и его цену никто не рассматривает.
Где сертификат не заменяет обязательные требования
ISO 27001 не отменяет российских обязательных норм. Для государственных информационных систем нужна аттестация по требованиям ФСТЭК России (приказ № 17). Обработка персональных данных регулируется 152-ФЗ и приказом ФСТЭК № 21. Объекты критической информационной инфраструктуры подпадают под 187-ФЗ и связанные с ним приказы. Отдельные виды деятельности требуют лицензий ФСТЭК на техническую защиту конфиденциальной информации или лицензий ФСБ в области криптографии.
Пересечение при этом большое. Компания с действующей СМИБ уже ведёт реестр активов, модель угроз, регламент управления доступом и журнал инцидентов. Сопоставление мер приложения A с мерами приказов ФСТЭК избавляет от необходимости создавать эти документы заново, и подготовка к аттестации или проверке Роскомнадзора идёт быстрее.
| Тип закупки | Роль сертификата ISO 27001 | Что потребуют дополнительно |
|---|---|---|
| 44-ФЗ | Не может быть условием допуска; помогает подтвердить соответствие ТЗ и квалификацию, если это допускают критерии оценки | Лицензии ФСТЭК или ФСБ, аттестаты систем, соответствие техническому заданию |
| 223-ФЗ | Квалификационное требование или баллы в нестоимостных критериях | Опыт аналогичных договоров, финансовая устойчивость, профильные лицензии |
| Коммерческий тендер в России | Часто фильтр предквалификации | Анкета безопасности, NDA, иногда собственный аудит заказчика |
| Международный тендер | Базовое ожидание для ИТ-, облачных и аутсорсинговых услуг | Отчёт SOC 2, ISO/IEC 27701, соответствие GDPR, NIS2 или DORA |
Партнёрство с международными компаниями
Требования регуляторов переходят на поставщиков
В Евросоюзе директива NIS2 обязывает организации существенных и важных секторов управлять рисками цепочки поставок. Регламент DORA, применяемый с 17 января 2025 года, требует от финансовых организаций контролировать риски ИКТ-подрядчиков, вести их реестр и включать в договоры обязательные условия о безопасности. Статья 28 GDPR обязывает контролёра выбирать только тех обработчиков, которые дают достаточные гарантии защиты данных. Европейская компания не может поверить подрядчику на слово: ей нужен документ, который она предъявит регулятору или внешнему аудитору. Сертификат ISO 27001 чаще всего выполняет эту функцию, поскольку он признаётся в разных юрисдикциях и не привязан к законодательству одной страны.
Для поставщика из России, СНГ или Азии вывод прямой. Без сертификата он попадает в категорию высокого риска, и работа с ним требует от заказчика компенсирующих мер, дополнительных согласований и письменных обоснований. Отдел закупок чаще выберет другого исполнителя, чем возьмёт на себя эту нагрузку.
Отраслевые и смежные схемы
На ISO 27001 опирается ряд специализированных схем. В автомобильной промышленности Германии и ЕС действует TISAX, построенная на каталоге VDA ISA, который вырос из ISO 27001. Облачные провайдеры дополняют сертификацию стандартами ISO/IEC 27017 (меры для облачных услуг) и ISO/IEC 27018 (защита персональных данных в публичном облаке). ISO/IEC 27701 расширяет СМИБ до системы управления конфиденциальностью и облегчает подтверждение соответствия GDPR. Американские клиенты чаще ожидают отчёт SOC 2 Type II, но многие из них принимают ISO 27001 как равноценную альтернативу, особенно от поставщиков за пределами США.
| Параметр | ISO/IEC 27001 | SOC 2 Type II | TISAX |
|---|---|---|---|
| Результат | Сертификат | Заключение аудитора с описанием проверенных мер | Метка (label) в системе ENX |
| География признания | Весь мир | Преимущественно США | Автопром Германии и ЕС |
| Кто проводит | Аккредитованный орган по сертификации | Лицензированная аудиторская фирма (CPA) | Аудиторский провайдер, аккредитованный ENX |
| Срок действия | 3 года с ежегодным надзором | Охватывает период 3–12 месяцев, обновляется ежегодно | 3 года |
| Публичность | Сертификат можно размещать открыто | Отчёт передаётся под NDA | Результат виден участникам ENX с согласия компании |
Аккредитация и признание за рубежом
Иностранный партнёр примет сертификат, только если орган по сертификации аккредитован участником соглашения IAF MLA. Документ, выданный в национальной системе добровольной сертификации без такой аккредитации, может подойти для российского тендера, но не пройдёт проверку европейского отдела закупок. После 2022 года часть международных органов по сертификации ограничила работу в России. Компании, ориентированной на экспорт ИТ-услуг, нужно до выбора аудитора выяснить у целевых клиентов, сертификаты каких органов они принимают. Иногда сертификацию проходит зарубежное юрлицо группы, через которое заключаются экспортные контракты, и область применения описывается так, чтобы охватить реальных исполнителей услуги.
Практический разбор: как интегратор вышел в финал тендера банка
Сценарий собирательный, но типичный. ИТ-интегратор на 120 сотрудников сопровождает серверную инфраструктуру клиентов. В прошлом году он проиграл предквалификацию банка: квалификационные требования по 223-ФЗ включали действующий сертификат СМИБ. В опубликованном плане закупки банк указал, что повторная процедура на трёхлетний договор техподдержки пройдёт через десять месяцев. Руководство решило уложиться в этот срок.
- Определили область применения: услуги удалённого администрирования и технической поддержки, офис в Москве, арендуемая облачная инфраструктура. Продажи и бухгалтерию в scope не включили. Область узкая, но дословно совпадает с предметом будущего договора.
- Провели gap-анализ по 93 мерам приложения A. Нашли четыре серьёзных пробела: доступы уволенных сотрудников отзывались вручную и с задержкой, восстановление из резервных копий ни разу не тестировалось, привилегированные учётные записи работали без многофакторной аутентификации, поставщиков никто не оценивал.
- Составили реестр примерно из 80 активов, оценили риски, утвердили план их обработки и SoA. Меры по безопасной разработке исключили с обоснованием: компания не разрабатывает программное обеспечение.
- За четыре месяца внедрили MFA и систему управления привилегированным доступом, настроили автоматическую блокировку учёток по приказу об увольнении из HR-системы, ввели ежеквартальный тест восстановления, провели обучение персонала и утвердили процедуру реагирования на инциденты.
- Через три месяца работы процессов провели внутренний аудит и анализ со стороны руководства — без этих записей (пункты 9.2 и 9.3 стандарта) аудит второго этапа не начинается.
- Прошли Stage 1 и Stage 2. Аудитор выявил два малых несоответствия: реестр активов не обновили после переезда части серверов, а проверка облачного провайдера не была задокументирована. Оба закрыли за 30 дней.
- Подали заявку на предквалификацию с сертификатом, SoA и выпиской из базы органа по сертификации.
Сертификат компания получила на восьмом месяце. Из девяти участников предквалификации допустили четырёх. Двое не имели сертификата вовсе. Третий предъявил действующий документ, но его область применения покрывала только собственный ЦОД, а не удалённое администрирование, и банк не засчитал его. Интегратор прошёл в финальный этап, где спор шёл уже между четырьмя участниками по цене и опыту.
Сколько стоит сертификация и когда она окупается
Бюджет складывается из нескольких частей, и сбор органа по сертификации редко оказывается самой крупной из них.
- Аудит органом по сертификации. Число аудиторо-дней рассчитывается по ISO/IEC 27006 исходя из численности персонала в области применения и сложности процессов. Каждый надзорный аудит занимает примерно треть времени первоначального.
- Внешний консультант, если компания не готова строить СМИБ своими силами.
- Внутренние трудозатраты: ответственный за СМИБ, время ИТ-службы, HR, юристов и руководителей подразделений.
- Технические меры, закрывающие найденные пробелы: MFA, централизованный сбор журналов, управление привилегированным доступом, резервное копирование с проверкой восстановления.
- Обучение персонала и подготовка внутренних аудиторов.
Компания на 50–250 человек обычно проходит путь от решения до сертификата за 6–12 месяцев. Ускорить его сверх этого сложно: аудитор второго этапа хочет видеть записи о работе процессов за несколько месяцев, а не документы, подписанные накануне.
Окупаемость считают по конкретным сделкам. Один выигранный договор по 223-ФЗ или с иностранным клиентом обычно перекрывает трёхлетние расходы на аудиты. Прямой эффект виден и без новых контрактов: отдел продаж и служба безопасности тратят меньше времени на анкеты, юристы реже спорят о праве на аудит, страховщик снижает тариф. Для поставщика, который продаёт услуги банкам, телеком-операторам или зарубежным компаниям, вопрос часто стоит иначе: без сертификата часть рынка закрыта полностью.
Ошибки, которые обесценивают сертификат
Самая частая ошибка — область применения, выбранная под минимальный аудит, а не под интересы клиентов. Сертификат на «управление ИБ в головном офисе» не поможет в тендере на облачные услуги, если облачная платформа в scope не входит.
Вторая ошибка — «бумажная» СМИБ. Политики написаны, но никто по ним не работает: журналы не ведутся, риски не пересматриваются, внутренний аудит проводится формально. На надзорном аудите это выявляется как значительное несоответствие, а неустранённое значительное несоответствие ведёт к приостановке сертификата. Клиент, у которого в договоре есть условие об уведомлении, узнает об этом сразу.
Третья — выбор органа без признаваемой аккредитации ради низкой цены или скорости. Такой документ создаёт иллюзию защищённости для самой компании и рушит доверие при первой серьёзной проверке со стороны заказчика.
Четвёртая — нежелание показывать SoA. Компания публикует сертификат на сайте, но отказывается передать Положение о применимости даже под NDA. Для подготовленного заказчика это сигнал, что за сертификатом скрыты существенные исключения мер.
FAQs
Обязательна ли сертификация ISO 27001 в России?
Нет. Для коммерческих организаций она добровольна. Обязательными остаются требования 152-ФЗ о персональных данных, 187-ФЗ о критической информационной инфраструктуре, приказы ФСТЭК и лицензионные требования. Сертификат их не заменяет, но упрощает выполнение, поскольку часть документов и процессов совпадает.
Сколько времени занимает получение сертификата?
Для компании на 50–250 сотрудников типичный срок — от шести до двенадцати месяцев. Больше всего времени уходит на внедрение недостающих мер и накопление записей о работе процессов. Сам аудит двух этапов занимает несколько недель с учётом интервала между ними и закрытия несоответствий.
Можно ли сертифицировать только часть компании?
Да. Стандарт допускает любую обоснованную область применения: отдельное юрлицо, площадку, услугу или подразделение. Узкая область удешевляет и ускоряет сертификацию, но клиент засчитает сертификат только тогда, когда scope покрывает услугу, которую он покупает.
Чем ISO 27001 отличается от требований ФСТЭК?
ISO 27001 описывает систему управления: как выявлять риски, выбирать меры и улучшать их. Приказы ФСТЭК задают конкретные обязательные меры для определённых классов систем и данных. Первый подход гибкий и признаётся международно, второй — обязательный и проверяется государственными органами. Компании, работающие и с госсектором, и с иностранными клиентами, обычно выстраивают единую СМИБ и сопоставляют её меры с обоими наборами требований.
Как проверить подлинность сертификата партнёра?
Запросите копию сертификата и найдите на ней знак аккредитующего органа. Затем проверьте запись в базе органа по сертификации или в IAF CertSearch: совпадают ли название юрлица, область применения, редакция стандарта (2022) и срок действия. При необходимости запросите SoA под NDA, чтобы увидеть исключённые меры.
Что будет, если не пройти надзорный аудит?
Малые несоответствия закрываются по плану корректирующих действий в согласованный с аудитором срок. Значительные несоответствия нужно устранить до установленной даты, иначе орган по сертификации приостановит действие сертификата, а при длительном бездействии отзовёт его. Приостановленный сертификат отражается в базах, и заказчики, которые их проверяют, это увидят.
Заключение
Добровольная сертификация ISO 27001 даёт бизнесу документ, который заменяет обещания проверяемым фактом. Она сокращает цикл согласования с крупными клиентами, приносит баллы или прямой допуск в тендерах по 223-ФЗ и корпоративных закупках, а для работы с европейскими компаниями, подпадающими под NIS2, DORA и GDPR, становится базовым условием. Ценность сертификата определяют три параметра: аккредитация органа, область применения, совпадающая с продаваемыми услугами, и реально работающая система за документом. Компания, которая выбирает scope под своих клиентов и поддерживает СМИБ между аудитами, получает конкурентное преимущество, которое конкурентам без сертификата нечем компенсировать.