Медицина не «стала» КИИ в 2026 году. Изменилось другое и это переписывает смету медтех-проекта

Разбираем два ограничения, которые сошлись в одной смете, и три развилки: для стартапа, сети клиник и федерального центра. С контр-взглядом: где облако не ответ.

Медицинская информационная система была объектом критической инфраструктуры и в 2025 году, и в 2019-м: здравоохранение входит в перечень сфер по 187-ФЗ с момента принятия закона. В феврале 2026 года Правительство утвердило перечень типовых отраслевых объектов КИИ: 397 позиций, сгруппированных по 14 отраслям, среди которых здравоохранение.

Формально нового правового статуса у медицины не появилось. Практически изменилось главное: категорирование теперь ведётся от типовых описаний, и организация сверяет свои системы не с абстракцией из закона, а со списком функций. Те, кто раньше считал себя вне периметра, впервые находят себя в перечне.

Одновременно выросла цена памяти. Серверная DDR5 за три квартала подорожала в контрактных ценах примерно в 3,7 раза от базы третьего квартала 2025 года, по данным TrendForce.

Два ограничения сошлись в одной смете. Между ними оказались все, кто делает продукт для медицины: медтех-стартапы, лаборатории, сети клиник и телемед-платформы.

Сколько позиций перечня относится к здравоохранению, по первоисточнику мы не сверяли: полный текст распространяется платно. Косвенные отраслевые обзоры называют около двенадцати, и это оценка, а не норма.

Процедура категорирования состоит из пяти шагов. Инвентаризация информационных систем, сетей и АСУ ТП. Сверка с перечнем. Оценка ущерба по критериям постановления № 127. Присвоение категории. Направление сведений во ФСТЭК: на это закон даёт 10 дней после утверждения акта. Пересматривать категорию нужно не реже раза в пять лет.

Категории значимости обозначаются римскими цифрами: I (федеральный масштаб последствий), II (региональный), III (локальный). Запись «К1–К3», которая часто встречается в отраслевых материалах, относится к классам защищённости государственных информационных систем, а не к категориям КИИ. Это разные шкалы, и в документах категорирования они не взаимозаменяемы.

Привязки вида «лаборатория получает третью категорию, федеральный центр — первую» в нормативе нет. Категория считается от ущерба, а не от типа организации.

Ответственность не делегируется. Субъект КИИ отвечает перед регулятором сам. Провайдер не становится субъектом КИИ автоматически, отношения с ним регулируются договором. Аттестованная инфраструктура провайдера упрощает аттестацию системы клиента, но категорирование, акт, срок и отчётность остаются внутри организации.

Рынок к требованиям не готов. По оценке ФСТЭК, прозвучавшей на «Инфофоруме 2026», минимальному базовому уровню защищённости соответствует 35% проверенных объектов КИИ3. Регулятор называет результат скромным и собирается сделать методику оценки обязательной вместо рекомендательной.

Для продуктовой команды защита переезжает из фонового пункта дорожной карты в бюджет ближайшего года.

Причина ценового шока лежит вне медицины. Samsung, SK Hynix и Micron перевели производственные линии под HBM, то есть под память для ИИ-ускорителей с более высокой маржинальностью. Часть мощностей ушла под серверную DDR5 для гиперскейлеров, которые фиксируют поставки долгосрочными контрактами. Корпоративный покупатель остался без приоритетного доступа.

Что это дало по цифрам:

Отдельная история — стройка. За три года в России остановлено строительство 38 дата-центров на 168,6 млрд рублей, по данным The Moscow Times. На июнь 2026 года в работе оставалось 128 проектов на 1 трлн рублей. Причины называют разные: дорогое заёмное финансирование, исчерпание энергомощностей в Москве, сроки поставок и те же цены на оборудование. По той же публикации, возобновления активной стройки раньше 2027 года не ждут.

Нормализацию цен на память TrendForce, Omdia и Counterpoint ставят не раньше третьего квартала 2026 года. Консервативные оценки UBS и SK Hynix уходят в 2027–2028 годы.

Построить собственный защищённый контур медицинскому проекту сегодня заметно дороже, чем по смете годичной давности, а сроки поставки сдвигают запуск.

Медтех-стартапу собственный защищённый контур закрывает вход на рынок: это капитальные затраты на оборудование по ценам 2026 года плюс процедура. Реалистичных вариантов два: арендовать аттестованный сегмент или идти к клиенту через партнёра, у которого контур уже есть. Второй путь дешевле по деньгам и дороже по марже.

Для лаборатории или сети клиник узкое место — процедура: нужны инженеры с компетенциями по приказам ФСТЭК № 17 и № 21, а самостоятельная аттестация медицинской системы растягивается. Здесь аренда аттестованного контура выглядит рабочим сценарием: например, VK Secure Cloud аттестован 20 февраля 2026 года под требования ГИС К1, ИСПДн УЗ-1 и ЗОКИИ первой категории. Это снимает капитальные затраты на собственный защищённый сегмент, но не снимает с клиники ни категорирование, ни отчётность перед регулятором.

Федеральному центру вынести всё в чужой контур не даст ни масштаб, ни интеграционный ландшафт. Реальный разговор идёт про разделение: что остаётся значимым объектом внутри, а что уезжает наружу. Здесь срабатывает встречный фактор: больше 50% субъектов КИИ на конец 2025 года ещё не перешли на отечественное ПО, и причины называют те же — стоимость и сложность миграции7.

У аренды аттестованного контура есть ограничения.

Регуляторное. Аттестованное облако снимает часть работы, а не соответствие целиком. Работает модель разделённой ответственности: провайдер отвечает за свой слой, субъект КИИ — за категорирование, акт, сроки и инциденты. Фраза «облако автоматически соответствует требованиям к медданным» неверна в любой формулировке.

Экономическое. Для предсказуемой стабильной нагрузки собственное оборудование по-прежнему может быть выгоднее аренды. Классический пример репатриации дала компания 37signals: она ушла с AWS на своё железо, окупив переход примерно за год и заявив экономию около 2 млн долларов в год. Важная оговорка: это 2022–2023 годы, дешёвая память и другой рынок. Как исторический контрпример кейс работает, как довод 2026 года — нет.

Методологическое. Числового сравнения «свой контур против аттестованного облака» с раскрытой методологией мы в открытых источниках не нашли. Оценки «в разы дешевле» ходят по презентациям обеих сторон, и ни одна из них не проверяема. Считать придётся на своих числах: нагрузка, горизонт, стоимость денег, зарплаты инженеров.

Рыночное. Российский рынок облачных инфраструктурных услуг вырос в 2025 году до 416,5 млрд рублей и прибавил 29,2% — оценка iKS-Consulting. На 2026-й прогнозируют замедление примерно до 20%. Концентрация высокая: по итогам 2025 года в сегменте IaaS и PaaS у Cloud.ru 32,5%, у РТК-ЦОД 13,7%, у Yandex Cloud 11%. Выбор провайдера под аттестованный контур привязывает к нему на годы вперёд.

Обратная сторона у этих ограничений тоже есть: в смете собственной инфраструктуры регулярно недооценивают операционную часть — администрирование, резервирование, обновления и дежурства. Этот тезис живёт в основном в блогах провайдеров, независимого расчёта по российскому рынку мы не видели.

Отрасль тем временем растёт. Совокупная выручка 70 крупнейших медтех-компаний России за 2025 год составила 60,6 млрд рублей, плюс 21,4% к предыдущему году. Телемедицина даёт 21 млрд рублей и 35% рынка. Зарегистрированных медицинских изделий с искусственным интеллектом в стране 48, из них 43 отечественной разработки. Это системы поддержки принятия врачебных решений, ответственность в которых остаётся за врачом.

Спрос есть, а инфраструктурная развилка встала перед всеми одновременно.

Что мы считаем вероятным на горизонте года:

Чего мы не знаем: сколько медицинских организаций реально затронет перечень и во сколько обойдётся приведение в соответствие. Публичных оценок по отрасли нет, кейсов заказчиков-субъектов КИИ с раскрытыми цифрами миграции — тоже. Рынок пока публикует только сертификаты провайдеров и подписанные соглашения.

Решение по контуру, которое медицинский ИТ-проект принимает в 2026 году, с высокой вероятностью придётся на самое дорогое окно по железу за последние годы. Поэтому считать стоит не разницу в тарифе, а горизонт.

А как считаете вы? Если проходили категорирование или выбирали между своим контуром и арендой в этом году — расскажите в комментариях, на чём сошлась математика и что оказалось дороже, чем в смете.