# Хостинг по 152-ФЗ: где хранить персональные данные и сколько стоит

> Хостинг по 152-ФЗ: как определить уровень защищённости, когда хватит обычного облака, когда нужен аттестат, что делает провайдер и сколько это стоит.

Источник: https://infragid.ru/hosting-152-fz/ · Обновлено: 2026-11-08 · Цены проверены: 2026-11-08 · Раздел: Облако и переезд компаний

**Коротко.** Отдельный «хостинг по 152-ФЗ» малому бизнесу обычно не нужен: облачные серверы Selectel соответствуют 152-ФЗ по умолчанию и без доплаты, сервер 1 vCPU / 1 ГБ стоит 1 002,53 ₽/мес без диска, а комплект для сайта или онлайн-школы с базой и хранилищем — около 10 400 ₽ в месяц (наш расчёт). Аттестованное облако для ГИС дороже примерно в 1,7 раза — от 1 691,54 ₽/мес за 1 vCPU / 1 ГБ. Закон при этом выполняет оператор данных, а не хостинг: провайдер закрывает только инфраструктуру.

**Наш выбор.** Для сайта с личным кабинетом, CRM, онлайн-школы или небольшой клиники с данными клиентов (УЗ-3 или УЗ-4) берите обычное облако Selectel — оно же «Облако 152-ФЗ»: сервер 4 vCPU / 8 ГБ, управляемый PostgreSQL и S3 под файлы, плюс поручение на обработку персональных данных по тикету.
- Конфигурация: 4 vCPU · 8 ГБ · 50 ГБ SSD + PostgreSQL 2 vCPU / 4 ГБ + S3
- Цена от: 5 079,48 ₽/мес за сервер; ≈ 10 400 ₽ весь комплект (наш расчёт)
- Что входит: акт оценки эффективности провайдера до УЗ-1, поручение без доплаты, DDoS L3–L4
- Когда не подходит: ГИС, госзаказ, требование аттестата или сертифицированных СЗИ

## Что нужно понять за минуту

152-ФЗ касается всех, кто собирает данные о людях. Форма «оставьте телефон» на сайте, личный кабинет онлайн-школы, карточки пациентов в клинике — всё это персональные данные, а система, где они лежат, — [ИСПДн](/glossarij/ispdn/).

Хостинг решает только часть задачи. Провайдер отвечает за то, что от вас не зависит: дата-центр в России, физический доступ, железо, виртуализацию, служебные сети. Вы как оператор данных по-прежнему отвечаете за ОС, приложение, доступы сотрудников и бумаги. Selectel прямо пишет, что одного размещения систем в России мало: оператору нужно ещё оценить угрозы, определить уровень защищённости, внедрить меры защиты, подготовить документы и уведомить Роскомнадзор.

Что даёт провайдер:

- **Подтверждение своей части.** У облачной платформы Selectel есть акт оценки эффективности мер защиты; у аттестованного облака — аттестат ФСТЭК на сегмент.
- **Поручение на обработку персональных данных.** Его требует закон, когда данные обрабатывает подрядчик. Запрашивается тикетом, готовится за 2–3 рабочих дня, подписывается на бумаге или через ЭДО. Сведения из поручения пригодятся для реестра операторов на сайте Роскомнадзора.
- **Без доплаты.** За соответствие 152-ФЗ и оформление поручения Selectel отдельно не берёт: облачный сервер на странице «Облако 152-ФЗ» стоит столько же, сколько в обычном калькуляторе.

## Сколько стоит

Ниже — строительные блоки, из которых собирается площадка под персональные данные. Все позиции обычного облака входят в акт оценки эффективности провайдера, аттестованное облако — отдельный контур.

| Позиция | Контур | Цена |
|---|---|---|
| Облачный сервер Shared Line, 1 vCPU (доля 10 %) / 0,5 ГБ | обычное облако | 280,45 ₽/мес |
| Облачный сервер Shared Line, 2 vCPU / 2 ГБ | обычное облако | 828,23 ₽/мес |
| Облачный сервер Standard, 2 vCPU / 4 ГБ | обычное облако | 2 539,74 ₽/мес |
| => Облачный сервер Standard, 4 vCPU / 8 ГБ | обычное облако | 5 079,48 ₽/мес |
| Сетевой диск, базовый SSD | обычное облако | 10,09 ₽ за ГБ/мес |
| Публичный IP-адрес | обычное облако | 189,57 ₽/мес |
| Managed PostgreSQL, 2 vCPU / 4 ГБ / 32 ГБ | обычное облако | 4 125,22 ₽/мес |
| S3, стандартное хранение | обычное облако | 2,56 ₽ за ГБ/мес |
| Аттестованное облако, 1 vCPU / 1 ГБ | gis-1, Москва | 1 691,54 ₽/мес |
| Аттестованное облако, 4 vCPU / 8 ГБ | gis-1, Москва | 8 399,37 ₽/мес |
| Публичная сеть в аттестованном облаке | gis-1, Москва | от 1 592,32 ₽/мес |

проверено 08.11.2026 · [источник](https://selectel.ru/prices/calculator/)
{: .stamp}

Цены серверов — за процессор и память, диск считается отдельно. Три типовых комплекта (наш расчёт по таблице):

- **Лендинг с формой заявок** (УЗ-4): Shared Line 2 vCPU / 2 ГБ + 20 ГБ диска + IP = 828,23 + 20 × 10,09 + 189,57 ≈ 1 220 ₽ в месяц.
- **Сайт с личным кабинетом, CRM или онлайн-школа** (УЗ-3 или УЗ-4): сервер 4 vCPU / 8 ГБ + 50 ГБ диска + IP + PostgreSQL + 200 ГБ в S3 = 5 079,48 + 50 × 10,09 + 189,57 + 4 125,22 + 200 × 2,56 ≈ 10 411 ₽ в месяц. Запросы и исходящий трафик S3 — сверху, ставки в калькуляторе провайдера.
- **Тот же сервер в аттестованном облаке**: 8 399,37 + 1 592,32 ≈ 9 992 ₽ в месяц только за сервер и сеть, диски — по калькулятору. В обычном облаке сервер с одним IP обошёлся бы в 5 079,48 + 189,57 ≈ 5 269 ₽. Сам сервер в аттестованном контуре дороже в 1,65 раза (8 399,37 / 5 079,48), а вместе с публичной сетью — почти в 1,9 раза (9 992 / 5 269).

Сравнить другие конфигурации можно в [калькуляторе аренды серверов](/instrumenty/skolko-stoit-arenda-servera/), а все цены с датами проверки — в [справочнике](/ceny/).

## Как выбрать

### 1. Посчитайте уровень защищённости

Уровень защищённости (УЗ) задаёт постановление Правительства № 1119 от 1 ноября 2012 года. Чаще всего коммерческие компании признают актуальными угрозы 3-го типа — те, что не связаны с недокументированными возможностями в системном и прикладном ПО. Для этого случая таблица такая:

| Какие данные | Чьи и сколько | УЗ |
|---|---|---|
| Специальные (например, о здоровье) | больше 100 000 человек, не сотрудники | УЗ-2 |
| Специальные | только сотрудники или меньше 100 000 человек | УЗ-3 |
| Биометрические | любые | УЗ-3 |
| Иные (ФИО, телефон, почта, адрес) | больше 100 000 человек, не сотрудники | УЗ-3 |
| Иные | только сотрудники или меньше 100 000 человек | УЗ-4 |
| Общедоступные | любые | УЗ-4 |

Пример с витрины Selectel: медицинские данные более 100 000 пациентов — УЗ-2, общедоступные данные менее 100 000 человек — УЗ-4. УЗ-1 при угрозах 3-го типа не возникает: он появляется, только если вы признали актуальными угрозы 1-го или 2-го типа.

### 2. Решите, нужен ли аттестат

Оценка эффективности мер защиты обязательна для любого оператора. Форм две:

- **Акт оценки эффективности** — достаточно большинству компаний. Провести можно самим или с подрядчиком-лицензиатом ФСТЭК, сертифицированные средства защиты не обязательны.
- **Аттестация** — обязательна для государственных систем и систем, которые работают с данными по госзаказу. Коммерческой компании она понадобится для подключения к некоторым ГИС (СМЭВ, ЕГИСЗ, ЕСИА) или по требованию договора. Аттестацию проводит лицензиат ФСТЭК, это занимает 1–3 месяца, аттестат обычно выдают на 3 года. Подробно этот путь разобран в гайде [про аттестованное облако ФСТЭК](/attestovannoe-oblako-fstek/).

### 3. Подберите площадку

1. **УЗ-3 или УЗ-4, аттестат не нужен** — обычные облачные серверы. Тот же акт до УЗ-1 покрывает диски, сети, бэкапы по расписанию, балансировщики, [управляемые базы данных](/managed-bazy-dannyh/), Managed Kubernetes, Container Registry и S3. Регион выбирайте ближе к пользователям — карта площадок в гайде [про VPS в России](/vps-v-rossii/).
2. **Нужен физический сервер** — выделенные серверы Selectel всех конфигураций по умолчанию соответствуют 152-ФЗ.
3. **УЗ-1 или УЗ-2** — уточните в тикете. Лендинг облака 152-ФЗ заявляет акт до УЗ-1, но документация облачных и выделенных серверов для данных 1-го и 2-го уровня советует аттестованное облако или аттестованный сегмент ЦОД. Пусть провайдер письменно ответит, какой контур он подтверждает для вашей системы.
4. **Нужен аттестат или сертифицированные средства защиты** — аттестованное облако (пулы gis-1 в Москве и gis-2 в Петербурге) или выделенные серверы в аттестованном сегменте ЦОД. Провайдер выдаёт аттестат на свой сегмент и выписку из модели угроз для аттестации вашей системы.

### 4. Закройте свою часть

- Запросите поручение на обработку персональных данных через тикет в панели.
- Подготовьте модель угроз и документы по своей системе — сами или с лицензиатом ФСТЭК/ФСБ. Selectel даёт подтверждение мер в своей зоне, но документы для Роскомнадзора за вас не делает.
- Подайте или обновите уведомление в реестре операторов, используя сведения из поручения.
- Держите копии в том же контуре: бэкапы облака и S3 входят в акт провайдера.
- Не реже раза в 3 года проверяйте, что меры защиты выполняются, — этого требует постановление № 1119.

## Что не подойдёт и ограничения

- **Хостинг не делает вас соответствующим закону.** Провайдер отвечает за физический доступ и инфраструктуру. За ОС, приложения, учётные записи и права доступа к бакетам отвечаете вы.
- **Упрощённые VDS не подходят.** Для VDS Selectel соответствие 152-ФЗ не заявлено, поручение на них не выдают, да и создание VDS сейчас временно недоступно. Нужна виртуальная машина — берите облачный сервер.
- **Аттестат провайдера — не ваш аттестат.** Он покрывает сегмент Selectel, а вашу систему аттестует лицензиат. Настройка и администрирование серверов в аттестованном облаке — тоже ваша зона.
- **Сертифицированные средства защиты — только в аттестованном контуре.** По ответам Selectel, их можно использовать в аттестованном сегменте ЦОД и аттестованном облаке, а не в обычном облаке.
- **Аттестованное облако заметно дороже** — примерно в 1,7 раза к той же конфигурации. Тестового периода нет ни у него, ни у облака 152-ФЗ.
- **Зарубежный сервер для базы с данными россиян не годится**: размещение в России — обязательное требование, хотя и не единственное. Если часть сервисов живёт за рубежом, начните с [плана переезда в облако](/pereezd-v-oblako/).

!!! warn "Где мы обожглись"
    Граница «провайдер отвечает за инфраструктуру, вы — за ОС и сеть» на практике проходит прямо по вашим ошибкам. У нас Docker-порты, опубликованные на 0.0.0.0, молча обходили файрвол ufw — порт был доступен снаружи, хотя правила ufw его закрывали. Теперь публикуем порты только на 127.0.0.1 и ходим к ним через туннель. Второй урок — про бэкапы: скрипт ночных копий не писал ничего, когда диск не был смонтирован, а таймер при этом показывал «активен». Добавили файл-маркер монтирования и алерт «метрика бэкапа давно не обновлялась». Для системы с персональными данными обе ошибки — уже не неудобство, а инцидент.


## Частые вопросы

**Хранение персональных данных на сервере: что требует 152-ФЗ от хостинга?**

Сервер с базой персональных данных россиян должен стоять в России, а провайдер должен защищать свою часть — железо, виртуализацию, сеть, физический доступ. Это подтверждают акт оценки эффективности или аттестат провайдера и поручение на обработку данных, которое вы с ним подписываете. Всё, что выше уровня инфраструктуры — ОС, приложение, доступы, документы, — остаётся за вами.

**Какой хостинг подходит по 152-ФЗ?**

Любая площадка в российском дата-центре, провайдер которой подтвердил защиту своей части и подписывает поручение на обработку персональных данных. У Selectel это по умолчанию облачные серверы, выделенные серверы, S3, облачные базы данных и Managed Kubernetes. Отдельный тариф «152-ФЗ» для коммерческих проектов не нужен — доплаты за соответствие нет.

**Как определить уровень защищённости персональных данных?**

По постановлению Правительства № 1119: смотрят на категорию данных (специальные, биометрические, иные, общедоступные), чьи это данные (сотрудники или нет), сколько субъектов (больше или меньше 100 000) и тип актуальных угроз. Большинство коммерческих компаний выбирают угрозы 3-го типа, и тогда интернет-магазин или онлайн-школа обычно получают УЗ-3 или УЗ-4. Калькулятор есть на странице Selectel «Соответствие 152-ФЗ», таблица — в этом гайде.

**Что такое хостинг ИСПДн и нужен ли для него аттестат?**

ИСПДн — информационная система с персональными данными: сайт с формой, CRM, база пациентов. Аттестат обязателен для государственных систем и систем, которые обрабатывают данные по госзаказу; коммерческим компаниям он бывает нужен для подключения к некоторым ГИС или по договору. Остальным достаточно оценки эффективности мер защиты — обычно это дешевле и не требует сертифицированных средств защиты.

**Можно ли арендовать VPS или VDS в России по 152-ФЗ?**

Да, но смотрите, какой именно продукт. У Selectel соответствие 152-ФЗ заявлено для облачных серверов, включая дешёвую линейку Shared Line, а для упрощённых VDS — нет, и поручение на них не выдаётся. Если нужна виртуальная машина под персональные данные, создавайте облачный сервер.

**Облако для ИСПДн УЗ-1: что выбрать?**

Обычное облако Selectel по акту оценки эффективности заявлено до УЗ-1, но документация облачных серверов для данных 1-го и 2-го уровня советует аттестованное облако. Если ваш расчёт дал УЗ-1 или УЗ-2, до заказа спросите провайдера в тикете, какой контур он подтверждает именно для вашей системы.


## Источники

- Облако 152-ФЗ — selectel.ru — https://selectel.ru/services/cloud/servers/152fz/ (проверено 2026-11-08)
- Соответствие 152-ФЗ «О персональных данных» — selectel.ru — https://selectel.ru/solutions/pdps/ (проверено 2026-11-08)
- Хостинг ИСПДн — selectel.ru — https://selectel.ru/solutions/hosting-ispdn/ (проверено 2026-11-08)
- Аттестованная облачная инфраструктура — selectel.ru — https://selectel.ru/services/cloud/servers/gis/ (проверено 2026-11-08)
- Аттестация информационных систем — selectel.ru — https://selectel.ru/services/is/is-attestation/ (проверено 2026-11-08)
- Облачный сервер: описание — docs.selectel.ru — https://docs.selectel.ru/cloud-servers/about/about-cloud-server/ (проверено 2026-11-08)
- Выделенный сервер: описание — docs.selectel.ru — https://docs.selectel.ru/dedicated/about/about-dedicated/ (проверено 2026-11-08)
- Соответствие S3 152-ФЗ — docs.selectel.ru — https://docs.selectel.ru/s3/about/152-fz-s3/ (проверено 2026-11-08)
- VDS серверы: описание — docs.selectel.ru — https://docs.selectel.ru/vds-servers/about/about-vds-server/ (проверено 2026-11-08)
- Постановление Правительства РФ от 01.11.2012 № 1119 (уровни защищённости ПДн) — base.garant.ru — https://base.garant.ru/70252506/ (проверено 2026-11-09)
- Цены облачной платформы — selectel.ru — https://selectel.ru/prices/ (проверено 2026-11-08)
- Облачная база данных PostgreSQL — selectel.ru — https://selectel.ru/services/cloud/managed-databases/postgresql/ (проверено 2026-11-08)
- S3 — selectel.ru — https://selectel.ru/services/cloud/storage/ (проверено 2026-11-08)