Закупки ИТ-сопровождения и техподдержки по 44-ФЗ: исполнитель, SLA и защита данных

Обновлено 06.11.2026

ИТ-сопровождение — постоянные услуги по поддержке рабочих мест, сети, серверов и программ заказчика. Лицензия ФСТЭК (Федеральной службы по техническому и экспортному контролю) нужна, только если в техническом задании (ТЗ) есть работы по технической защите информации. Главный денежный риск — SLA, то есть соглашение об уровне услуги: цифры, которые вы обязаны выдерживать. За каждое нарушение штраф при цене контракта до 3 млн ₽ — 10% цены контракта или этапа.

Что входит в сопровождение и чем оно отличается от других ИТ-закупок?

Разработку программ, права на код и малые закупки лицензий разбирает статья об ИТ-закупках и реестре ПО. Технику — статья о компьютерах и оргтехнике. Здесь речь об услугах сопровождения.

Что требуют от исполнителя?

Лицензия. Заказчик устанавливает единое требование: у участника есть лицензия, если закон требует её для ваших работ (п. 1 ч. 1 ст. 31 44-ФЗ). Для защиты информации это лицензия на техническую защиту конфиденциальной информации (п. 5 ч. 1 ст. 12 закона № 99-ФЗ «О лицензировании отдельных видов деятельности»). Положение о лицензировании утверждено постановлением Правительства № 79 от 03.02.2012. В его перечне (п. 4 в ред. постановления № 541 от 15.06.2016): контроль защищённости, мониторинг информационной безопасности средств и систем информатизации (подп. «в»), аттестационные испытания, проектирование в защищённом исполнении, установка, монтаж, наладка, испытания и ремонт средств защиты информации.

Администрирование и поддержка пользователей в перечне не названы. Если в ТЗ есть круглосуточный мониторинг событий безопасности, это может быть лицензируемая услуга.

Работы с шифровальными средствами и услуги в области шифрования лицензируются отдельно (п. 1 ч. 1 ст. 12 закона № 99-ФЗ).

Как подтвердить. Декларация лицензию не заменяет: документы подтверждают отдельно (подп. «н» п. 1 ч. 1 ст. 43). В электронной закупке их передаёт площадка из вашего профиля (п. 3 ч. 6 ст. 43). Нет лицензии — отклонение по п. 3 ч. 12 ст. 48. Подробно — в статье о требованиях к участникам.

Опыт. Если НМЦК — начальная (максимальная) цена контракта — от 20 млн ₽, заказчик обязан требовать опыт. Нужен контракт по 44-ФЗ или договор по 223-ФЗ не меньше 20% НМЦК за три года, с уплаченными неустойками (ч. 2.1 ст. 31). Отдельной позиции об ИТ-сопровождении в приложении к постановлению № 2571 нет: его разделы касаются культуры, строительства, дорог, обороны, атомной энергии, здравоохранения и образования, перевозок, природных ресурсов и оценки.

Сертификаты и штат. В заявку заказчик вправе включить только документы, названные в ст. 43. Иные требовать он не вправе (ч. 3 ст. 43). Если ТЗ просит приложить сертификаты специалистов, спросите, на каком основании: запрос разъяснений.

Как описывают объём и чем это опасно?

ТЗ задаёт характеристики услуги (п. 1 ч. 1 ст. 33): число рабочих мест и серверов, адреса, режим работы, число заявок. Способ расчёта цены определяет риск.

• Фиксированная месячная плата. Цена контракта твёрдая на весь срок (ч. 2 ст. 34). Парк вырос или заявок стало вдвое больше — доплаты нет, менять цену можно только по закону.
• Цена единицы (заявка или нормо-час) и максимальное значение цены контракта. Так бывает, когда объём заранее неизвестен (ч. 24 ст. 22). Платят за фактический объём (п. 1 ч. 13 ст. 34), потолок задаёт максимум.

Опасные формулировки: «неограниченное число заявок» за месячную плату, выезд на любые объекты, «восстановление после сбоев» без предела по времени работ. Запросите у заказчика статистику заявок за год, перечень оборудования и программ, адреса. Без ответа цену не посчитать.

Как считать цену?

НМЦК обычно строят методом сопоставимых рыночных цен (ч. 2 ст. 22), и ваши расходы она может не покрывать. Подробнее — в статье о НМЦК.

Себестоимость месяца складывается из зарплаты специалистов с налогами на оплату труда, доли инструментов и транспорта. К ним добавьте плату площадке (до 5 000 ₽ для малого бизнеса в обычной закупке, см. статью о плате площадке) и резерв на штрафы. Налоги, включая НДС, считайте по статье о налогах. Освобождение подп. 26 п. 2 ст. 149 НК РФ относится к передаче прав на программы из реестра.

Как SLA превращается в штрафы?

Слова SLA в 44-ФЗ нет. Цифры пишут в ТЗ и контракте, а ответственность за их нарушение закон требует предусмотреть (ч. 4 ст. 34).

• Просрочка срока даёт пени: 1/300 ключевой ставки Банка России за каждый день (ч. 7 ст. 34).
• Иное ненадлежащее исполнение даёт штраф (ч. 8 ст. 34). Его размер задают Правила, а не заказчик (постановление № 1042).
• Обязательство без стоимостного выражения. Если контракт относит к нему время реакции, штраф — 1 000 ₽ при цене контракта до 3 млн ₽ (подп. «а» п. 6 Правил № 1042).

Пропущенная реакция на заявку — просрочка или ненадлежащее исполнение, решает формулировка контракта. Прочитайте её до подачи.

Штраф по Правилам № 1042 (подробно — в статье о пенях и штрафах):

• цена контракта до 3 млн ₽ — 10% цены (п. 3);
• закупка только для малого бизнеса — 1% цены, но от 1 000 до 5 000 ₽ (п. 4);
• при этапах исполнения базой служит цена этапа, а не контракта (п. 2);
• все штрафы вместе не превышают цену контракта (п. 11).

Что вас защищает. Освобождение от неустойки при вине заказчика или непреодолимой силе (ч. 9 ст. 34). Заказчик не дал доступ к серверу — зафиксируйте это письменно. Сбой у ваших поставщиков непреодолимой силой не считается (п. 3 ст. 401 ГК РФ). Если контракт исполнен полностью, а неустойки не больше 5% цены, заказчик их списывает (постановление № 783).

Что согласовать до подписания. Что считать «фактом»: одна авария — один штраф, а не по числу пользователей. Откуда считают время: от регистрации заявки в вашей системе. Исключаются ли плановые окна и время ожидания ответа заказчика. Разбит ли контракт на ежемесячные этапы. Для споров после победы пригодится протокол разногласий.

Нужен ли реестр российского ПО?

Запрет на иностранные программы задаёт позиция 146 приложения № 1 к постановлению № 1875. Сопровождение, техподдержку и обновление он охватывает, только если они связаны с предоставлением прав на программу или расширением их объёма (подп. «с» п. 4).

• Только труд специалистов: администрирование, настройка, консультации. Права вы не передаёте, по тексту подп. «с» запрета нет. Практику мы не нашли, спорный случай уточните у заказчика.
• Обновления, новые версии, лицензии. Нужен номер записи в российском реестре (подп. «г» п. 3) или реестре стран ЕАЭС (подп. «е» п. 3). Без него заявку приравняют к заявке с иностранным товаром (п. 5 ч. 1 ст. 43) и отклонят (п. 4 и 5 ч. 12 ст. 48).
• Установка программ при обслуживании компьютеров. В подп. «с» входит и техобслуживание техники, на которую устанавливают программу. Нужны номера записей на программы.
• Исключения. Запрет не действует для программ, сведения о которых составляют государственную тайну (подп. «о» п. 4). Порог «до 300 тыс. ₽» из подп. «з» и «и» п. 5 позицию 146 не охватывает.

Как устроен реестр и как найти запись — в статьях об ИТ-закупках и о стране происхождения.

Что спросить у заказчика о защите информации?

1. Какие данные видит исполнитель? Если персональные, вы обрабатываете их по поручению оператора. В поручении должны быть перечень данных, перечень действий, цели, обязанность хранить конфиденциальность и требования безопасности (ч. 3 ст. 6 закона № 152-ФЗ). Перед оператором отвечаете вы, перед гражданином — оператор (ч. 5 ст. 6).
2. Какой уровень защищённости? Уровней четыре (п. 8 постановления Правительства № 1119). Меры задают ФСБ и ФСТЭК (ч. 4 ст. 19 закона № 152-ФЗ), для персональных данных — приказ ФСТЭК № 21 от 18.02.2013.
3. Это государственная информационная система или система госоргана, госучреждения? Требования к защите задаёт приказ ФСТЭК № 117 от 11.04.2025. Он действует с 01.03.2026 и заменил приказ № 17 от 11.02.2013.
4. Есть ли значимый объект критической информационной инфраструктуры? Закон № 187-ФЗ вводит категорирование (ст. 7), систему и требования к безопасности значимых объектов (ст. 10–11). Спросите категорию и кто отвечает за инциденты.
5. Какие права доступа получает исполнитель? Закон требует правила доступа и регистрацию всех действий с данными (п. 8 ч. 2 ст. 19 закона № 152-ФЗ). Договоритесь о журнале действий администратора.
6. Можно ли привлекать субисполнителей? По умолчанию услуги оказывают лично (ст. 780 ГК РФ). Привлекать других можно, если контракт это допускает.
7. Нужна ли лицензия ФСТЭК на ваши работы? Сверьте ТЗ с перечнем выше.

Как оценивают заявки в конкурсе?

Для работ по созданию, развитию, обеспечению функционирования и обслуживанию государственных и муниципальных информационных систем и официальных сайтов цена весит не меньше 30%. На качество и квалификацию остаётся до 70% (приложение № 2 к постановлению № 2604, позиция 12). Для остальных услуг сверьтесь с таблицей в статье об электронном конкурсе: ваша услуга может попасть в другую позицию.

Как сдают услугу и когда платят?

Вы формируете документ о приёмке в единой информационной системе (ЕИС) и подписываете его усиленной электронной подписью (п. 1 ч. 13 ст. 94). Заказчик в срок контракта, но не позже 20 рабочих дней со дня поступления документа, подписывает его или присылает мотивированный отказ (п. 4 ч. 13). Оплата — не более 7 рабочих дней с подписания (ч. 13.1 ст. 34).

Экспертиза результата обязательна (ч. 3 ст. 94). К документу приложите выгрузку заявок из системы: время регистрации, реакции и закрытия. Подробно — в статье о приёмке.

Пример: сопровождение 40 рабочих мест

Пример. Выдуманный случай. Муниципальное учреждение покупает на 12 месяцев сопровождение 40 рабочих мест и двух серверов: 85 000 ₽ в месяц. НМЦК — 1 020 000 ₽. Реакция на критичную заявку — 30 минут.

НМЦК больше 1 млн ₽, поэтому обеспечение заявки обязательно: от 5 100 до 10 200 ₽ (ч. 1–2 ст. 44). Вы снижаете цену на 12%: 1 020 000 × 0,88 = 897 600 ₽, или 74 800 ₽ в месяц. Ваша себестоимость месяца — 68 000 ₽ (предположение), за год 816 000 ₽. Плата площадке — 1% НМЦК, но не больше 5 000 ₽. НДС не учитываем.

Прибыль до налога: 897 600 − 816 000 − 5 000 = 76 600 ₽. Без резерва на штрафы нижняя цена — 821 000 ₽, снижение от НМЦК около 19,5%.

Теперь четыре пропуска реакции за год. Закупка не только для малого бизнеса:

Если бы пропуск считали просрочкой, пени за день на этапе составили бы 74 800 × 14% / 300 = 34,91 ₽ (ключевая ставка 14%). В закупке только для малого бизнеса штраф был бы 1 000 ₽ за факт при этапах: 1% от 74 800 — это 748 ₽, минимум 1 000 ₽. Без этапов он составил бы 5 000 ₽. Плата площадке там другая, прибыль считайте заново.

Что сделать

1. Разделите задачи ТЗ на три группы: труд специалистов, права на программы, защита информации.
2. Если есть установка или аттестация средств защиты, мониторинг информационной безопасности, проверьте лицензию ФСТЭК до подачи.
3. Для обновлений и лицензий получите номера записей у правообладателя.
4. Запросите перечень парка, статистику заявок, категорию систем и уровень защищённости персональных данных.
5. В проекте контракта найдите этапы, определение «факта нарушения», окна работ и способ фиксации времени.
6. Посчитайте цену с резервом на штрафы и платой площадке. Определите нижнюю границу снижения.
7. Подготовьте форму отчёта для приёмки.

Частые вопросы

Нужна ли лицензия ФСТЭК для обычного администрирования?

Нет, если в ТЗ нет работ из перечня п. 4 Положения № 79. Они лицензируются. Проверьте каждую строку ТЗ.

Можно ли уменьшить штраф «за каждый факт»?

Размер штрафа задаёт закон, а понятие «факт» — контракт. Меняйте его до подачи через запрос разъяснений, после победы — через протокол разногласий. Закон освобождает от неустойки, если нарушение вызвано виной заказчика (ч. 9 ст. 34).

Нужен ли реестр ПО, если я только настраиваю чужую систему?

Запрет касается сопровождения, связанного с предоставлением прав на программу (подп. «с» п. 4 постановления № 1875). Чистый труд специалистов права не передаёт. Спорный случай уточните у заказчика.

Что если заказчик не даёт доступ и срывает SLA?

Фиксируйте обращения письменно. Вина заказчика освобождает от неустойки (ч. 9 ст. 34).

Источники

44-ФЗ в ред. от 04.08.2026 (КонсультантПлюс, rulaws.ru):

• ст. 22 — ч. 2, 24; ст. 31 — п. 1 ч. 1, ч. 2.1; ст. 33 — п. 1 ч. 1
• ст. 34 — ч. 2, 4, 7, 8, 9, п. 1 ч. 13, ч. 13.1; ст. 43 — подп. «н» п. 1 ч. 1, п. 5 ч. 1, ч. 3, п. 3 ч. 6; ст. 44 — ч. 1, 2
• ст. 48 — п. 3, 4 и 5 ч. 12; ст. 94 — ч. 3, п. 1 и 4 ч. 13

Другие акты:

• постановление Правительства № 1875 от 23.12.2024, ред. от 17.10.2026 — п. 3 (подп. «г», «е»), п. 4 (подп. «о», «с»), п. 5 (подп. «з», «и»)
• закон № 99-ФЗ, ст. 12 — п. 1, 5 ч. 1; постановление Правительства № 79 от 03.02.2012 — п. 4 (подп. «а»–«е», ред. постановления № 541)
• постановление Правительства № 2604 от 31.12.2021, приложение № 2, позиция 12; приложение № 2 на КонсультантПлюс
• закон № 152-ФЗ «О персональных данных»: ст. 6, ст. 19; постановление Правительства № 1119 от 01.11.2012 — п. 8
• приказ ФСТЭК № 21 от 18.02.2013 (ред. от 14.05.2020); приказ ФСТЭК № 117 от 11.04.2025 — по обзору ppt.ru и Anti-Malware
• закон № 187-ФЗ «О безопасности критической информационной инфраструктуры» — ст. 7, 10, 11; ГК РФ, ст. 780
• постановление Правительства № 1042 от 30.08.2017 — п. 2–4, 6, 11 Правил; № 783; № 2571, приложение; ГК РФ ст. 401 — по статьям о пенях и штрафах, о связи и интернете, о требованиях к участникам