Цифровой суверенитет на пепелище: цифровики хотели контролировать всё...

Сначала остановленный дата-центр «Яндекса» в Сасово. Затем сообщения о выведенных из строя модулях в Калуге. На этом фоне пользователи жалуются на сбои банков, РЖД, торговых сетей и других ресурсов. Причины каждого сбоя ещё предстоит установить. Но главный вопрос уже стоит перед нами: что происходит с цифровой экономикой, когда физически повреждена инфраструктура, от которой она зависит? «Фонтанка», The Moscow Times.

И этот вопрос адресован не только инженерам.

Он адресован чиновникам, которые последнее десятилетие учили страну, что безопасность интернета измеряется количеством запретов, реестров, блокировок и возможностей государственного контроля.

Вы хотели знать, где лежат данные. Кто ими распоряжается. Через какое оборудование проходит трафик. Какую программу разрешено купить. Но подконтрольность сервера не делает его неуязвимым.

Для меня именно здесь главный провал вашей модели: стремление маниакально контролировать цифровую жизнь населения выдавалось за заботу о безопасности. Теперь пора предъявить не очередной отчёт о блокировках, а доказательства того, что эта безопасность существует.

Запирать научились. А сохранять работу после потери площадки?

Ловушка С Печатью Это не абстрактная претензия к «цифровикам». Ограничения написаны в конкретных законах.

Первый барьер: персональные данные должны собираться внутри России. С 1 июля 2025 года часть 5 статьи 18 152‑ФЗ прямо запрещает при сборе персональных данных российских граждан использовать зарубежные базы для перечисленных операций, кроме предусмотренных исключений.

То есть для обычной клиентской системы нельзя просто сказать: «Здесь опасно, переключаемся на зарубежную площадку и продолжаем принимать данные».

Когда бизнесу нужен запасной выход, перед ним оказывается не только техническая задача. Перед ним оказывается ваш запрет. 152‑ФЗ, статья 18.

Второй барьер: для госсектора ограничено само место размещения инфраструктуры. Статья 13 149‑ФЗ требует размещать в России технические средства информационных систем, используемых государственными органами, муниципалитетами, государственными и муниципальными предприятиями и учреждениями. Для перечисленных государственных и муниципальных систем предусмотрен хостинг из специального правительственного перечня.

Недостаточно найти работающую площадку. Она должна находиться там, где разрешено, и предоставляться тем, кто допущен.

Вы сделали географию инфраструктуры предметом административного разрешения. Значит, отвечать за последствия суженного выбора тоже должны вы. 149‑ФЗ, статья 13.

Третий барьер: для значимых объектов КИИ важны не только мощности, но и происхождение ПО. Указ № 166 установил ограничения на иностранное ПО и необходимые для его использования услуги для определённых заказчиков. С 1 января 2025 года действует предусмотренный указом запрет его использования на значимых объектах КИИ. Поправки 2025 года в 187‑ФЗ добавили обязанности по российскому реестровому ПО и требованиям к программно-аппаратным средствам, с учётом порядка и сроков перехода.

Не любой зарубежный сервис запрещён любой компании. Но для регулируемой системы резерв должен пройти ещё один фильтр.

Свободные серверы есть? Этого мало. Подходящие программы есть? Этого тоже мало. Сначала докажите, что государство разрешает вам ими воспользоваться. Указ № 166, 187‑ФЗ, статья 9.

К этому добавляются закупочные ограничения постановления № 1875, отдельные требования к платёжной инфраструктуре по 161‑ФЗ, российское хранение бухгалтерских документов и баз по ФСБУ 27/2021.

Это уже не один запрет. Это система ограничений, которая сопровождает инфраструктуру на каждом этапе: выбрать, купить, разместить, защитить, восстановить. Постановление № 1875, 161‑ФЗ, статья 16, разъяснение Минфина.

Копия Есть. Выхода Нет? Да, последующая трансграничная передача персональных данных возможна при соблюдении закона. Минцифры прямо это разъясняло. Поэтому утверждать, что любые зарубежные копии запрещены, было бы неправдой.

Но допустимая копия за границей и законное переключение туда работающего сервиса — разные вещи. Если после переключения начинается новый сбор персональных данных российских граждан, снова возникает вопрос локализации. Отдельно остаются требования статьи 12: уведомление Роскомнадзора, сведения об иностранном получателе, установленный порядок передачи, возможность её ограничения.

Вот чего не видно на презентациях о суверенитете: данные можно сохранить, но прежнюю работу на зарубежной площадке нельзя автоматически продолжить. Письмо Минцифры, 152‑ФЗ, статья 12.

Контроль Не Спасает «Пакет Яровой» обязал операторов связи хранить внутри России сведения о коммуникациях три года, а содержание сообщений — до шести месяцев в предусмотренных порядке и объёмах. Закон о «суверенном Рунете» закрепил механизм централизованного управления связью при установленных угрозах.

Государство последовательно расширяло возможности хранить, учитывать, фильтровать и управлять.

Но способность следить за сетью не равна способности сохранить её работу. 126‑ФЗ, статья 64, статья 65.1.

Российский адрес сервера не тушит пожар. Реестр ПО не восстанавливает оборудование. ТСПУ не создаёт запасную вычислительную площадку. Чиновничья подпись не заменяет независимое питание и проверенное аварийное переключение.

Вы перепутали две разные задачи: сделать инфраструктуру послушной и сделать инфраструктуру устойчивой. За эту подмену расплачиваются пользователи и бизнес.

Ответственность Не Отменяется За удары отвечает атакующая сторона. Но это не освобождает операторов и регуляторов от вопросов об устойчивости.

Закон не требует держать весь Рунет в нескольких зданиях. Резервирование между регионами России возможно. Тем жёстче вопрос: чем вы компенсировали те варианты резервирования, которые ограничили?

Где доказательства независимости площадок? Где результаты испытаний восстановления? Где проверка того, что резерв не зависит от того же питания, связи и управления, что основная система?

Нельзя годами говорить бизнесу «туда нельзя, это нельзя, этого поставщика нельзя», а после аварии разводить руками: «Ну, обстоятельства».

Сужаете выбор — отвечайте за цену суженного выбора. Ограничиваете запасные выходы — предъявляйте работающую замену. Называете это безопасностью — доказывайте безопасность отказом системы, а не послушанием системы.

Вы хотели контролировать каждый клик. Теперь ответьте за архитектуру, в которой этот клик должен продолжать работать.

Стране нужен не интернет, который удобнее контролировать. Стране нужен интернет, который труднее остановить.

И пока между этими задачами выбирают первую, «цифровой суверенитет» остаётся не гарантией безопасности, а громким названием для системы, чьи ограничения обязательны для всех, а ответственность за их последствия постоянно оказывается ничьей.