Чому hosting.in.ua не увійде до переліку надавачів хмарних послуг для держсектору
З 1 січня 2027 року в Україні набуває повної сили норма Закону «Про хмарні послуги»: державні органи, комунальні підприємства та інші публічні користувачі зможуть закуповувати хостинг і послуги ЦОД виключно у компаній, внесених до офіційного переліку Держспецзв'язку. Постановою КМУ № 154 від 11.02.2025 (зі змінами від 17.12.2025) встановлено вимоги до надавачів та процедуру включення до переліку.
Ми ухвалили рішення: hosting.in.ua не подаватиме заявку на включення до переліку. Хочемо пояснити це рішення відкрито — бо вважаємо, що тут є про що говорити не лише нам.
Що ми думаємо про саму ідею регулювання
Захист державних інформаційних ресурсів — нормальна, потрібна задача. Дані громадян, державні реєстри, інфраструктура — все це має бути захищено, і встановлення вимог до тих, хто обробляє ці дані, — логічний крок. У цьому сенсі сам факт регулювання ми не критикуємо.
Питання — як саме воно зроблено.
Чому ми не йдемо в перелік
Витрати непропорційні масштабу. Для включення в перелік потрібен сертифікат відповідності міжнародним стандартам ISO/IEC 27001, 27017 і 27018 (або еквівалентним національним ДСТУ). Впровадження СУІБ з нуля, аудит акредитованого органу, щорічний нагляд — це сукупно десятки тисяч євро на старті плюс постійні річні витрати. Для великих провайдерів з оборотами в мільйони доларів це нормальна стаття бюджету. Для невеликої української компанії — це сума, порівнянна з річною виручкою від держсектору в кілька разів. Економічна логіка тут одна: або підвищити ціни для всіх клієнтів, щоб субсидувати сертифікацію заради кількох десятків держконтрактів, або не йти. Ми обираємо друге — бо це чесно перед нашими комерційними клієнтами.
ISO 27001 — корисний стандарт, але не магічна метрика безпеки. Сертифікат ISO 27001 підтверджує, що в компанії впроваджена система управління інформаційною безпекою з документообігом, політиками, регулярними переглядами. Це добре. Але він не гарантує, що конкретна послуга безпечніша, ніж послуга в компанії без сертифікату. Можна мати ідеально документовану СУІБ і слабкі технічні практики, і навпаки — мати міцну архітектуру без папірця, який це засвідчує. Регулятор використовує сертифікацію як просту фільтруючу метрику, що зрозуміло з адміністративного погляду, але це не те саме, що гарантія безпеки.
Концентрація ринку — це системний ризик. Висока вартість входу в перелік закономірно означає, що в ньому будуть переважно великі гравці. Це означає, що весь український держсектор з часом сконцентрує дані у вузькому колі провайдерів. З погляду інформаційної безпеки концентрація — це не сила, а вразливість: один великий інцидент, одна успішна атака чи одна корпоративна проблема в одного провайдера зачіпає одразу сотні установ. Розмаїття інфраструктурних рішень історично було перевагою українського IT-сектору, не його слабкістю.
Малому бізнесу системно складніше відповідати таким вимогам — і це впливає на ринок ширше. Невеликі провайдери часто конкурують саме якістю індивідуального сервісу, швидкістю реакції, можливістю нестандартних рішень. Регулювання, побудоване переважно на формальній сертифікації, об'єктивно вигідніше великим організаціям з відділами compliance. Це не теорія: те, що уряд уже двічі переносив дедлайн закупівель у "непереліковців" (з 31.12.2025 на 31.12.2026), — це ознака, що ринок не встигає за процедурами.
Що це означає для наших клієнтів
Для комерційних клієнтів — нічого не змінюється. Закон стосується тільки публічних користувачів (державні органи, комунальні підприємства, державні установи). Бізнес, фізичні особи, ФОП, приватні організації — продовжують працювати без змін.
Для державних та комунальних клієнтів ми надсилаємо індивідуальні листи з варіантами: продовжити обслуговування через переоформлення на фізичну особу (для невеликих сайтів-візиток), або перейти до провайдера з офіційного переліку (з нашою безкоштовною технічною підтримкою при міграції). До 31.12.2026 все працює як зараз — часу спокійно визначитися достатньо.
Що далі
Ми продовжуємо інвестувати в безпеку нашої інфраструктури, тому що це правильно з технічного погляду, а не тому, що цього вимагає папір. Наш стек — Plesk, CloudLinux, LiteSpeed, Європейські та сучасні Українські ЦОДи — будувався під реальні потреби клієнтів, і ми продовжимо його розвивати.
Регуляторна політика — це не назавжди. Підхід до сертифікації цілком може еволюціонувати — наприклад, через визнання спрощених профілів безпеки для малих провайдерів, як це поступово відбувається в ЄС. Ми сподіваємось, що з часом український ринок хмарних послуг рухатиметься в бік більшої різноманітності, а не концентрації.
А поки що — продовжуємо робити те, що добре вміємо: надійний хостинг для тих, для кого якість сервісу важливіша за номер у державному реєстрі.
