Резерв за рубежом после атак на ЦОД: что законно и что с НДС

Если сервис вашей компании лёг вместе с дата-центром в октябре, вопрос «а не держать ли резерв за границей» вы себе уже задали. Короткий ответ: код, сборки и всё, где нет персональных данных, можно держать за рубежом хоть сегодня. Персональные данные россиян — только копией при основной базе в России и с уведомлением Роскомнадзора. А за зарубежный хостинг вы заплатите сверху агентский НДС 22%, даже если вы на УСН. Разрешения переносить основную обработку за рубеж пока нет — его только попросили.

Попросила Ассоциация компаний интернет-торговли (АКИТ): письмо премьер-министру ушло 15 октября, 16-го о нём написали Forbes и ComNews. Ниже — что из этого следует для небольшой IT-компании, у которой нет своего юриста по персональным данным.

Что просит АКИТ

Ассоциация предлагает временное исключение из требования о локализации персональных данных, чтобы критически важные системы можно было переносить в зарубежные ЦОДы, если работа в России невозможна. Условия, которые она сама предлагает:

• режим включается только после официального подтверждения инцидента;
• действует на время восстановления инфраструктуры, но не позднее 1 марта 2028 года;
• соблюдены стандарты информационной безопасности;
• порядок разрешений и перечень допустимых стран разрабатывают вместе с Минцифры и Роскомнадзором;
• дополнительных платежей за международный трафик для резервирования не вводят.

Идею поддержала Ассоциация больших данных. Специалист по защите данных Алексей Мунтян заметил главное: раз режим срабатывает только после инцидента, он фактически закрепит, что заранее держать резерв за рубежом нельзя. А резерв, который поднимают после пожара, плохо называется резервом.

Три корзины: что можно уже сейчас

Первая корзина — данные без персональных. Исходный код, сборки, образы контейнеров, конфигурации, технические логи без персональных данных. Требование о локализации на них не распространяется. Резерв в зарубежном облаке законен уже сейчас; вопросы только к налогам и платежам, о них ниже.

Вторая корзина — копия персональных данных. Закон требует, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России шли в базах на территории России (ч. 5 ст. 18 закона № 152-ФЗ). Практика с 2015 года такая: основная база — в России, копия за рубежом допустима. Но передача туда — трансграничная (ст. 12 того же закона). До её начала нужно подать уведомление в Роскомнадзор. Если страна не входит в перечень государств с адекватной защитой, ведомство может передачу ограничить или запретить, и начинать её до решения нельзя.

Третья корзина — основная обработка за рубежом. Это и есть то, что просит АКИТ. Сейчас так нельзя. Нарушение локализации — отдельный состав ст. 13.11 КоАП с крупными штрафами для компаний, плюс риск блокировки ресурса.

Типовая ситуация из IT, с которой к нам приходят: студия ведёт для клиник облачную запись к врачу. Имена, телефоны, иногда диагнозы — персональные данные, часть из них особой категории. Перенести такую систему целиком за рубеж — третья корзина. Держать там зашифрованную копию при основной базе в Москве — вторая, при условии уведомления Роскомнадзора и договора с клиниками, который это допускает.

Агентский НДС: резерв дороже, чем в прайсе

Хостинг, облачные ресурсы и SaaS — электронные услуги. Если их покупает российская организация или ИП, местом реализации считается Россия, и НДС за иностранного продавца удерживает покупатель как налоговый агент (п. 2 ст. 161 НК). Ваш режим значения не имеет: на УСН, на АУСН с освобождением, в IT-льготе — удерживать всё равно нужно. Подробно механика разобрана в статье «Агентский НДС при покупке зарубежного софта и SaaS».

Расчёт. Компания на УСН «Доходы минус расходы» арендует резервный кластер у иностранного провайдера за эквивалент 150 000 ₽ в месяц, цена в договоре без НДС.

На УСН вычета нет: 396 000 ₽ просто удорожают резерв и уходят в расходы. На общем режиме агентский НДС принимают к вычету, и резерв стоит 150 000 ₽. Если цена в договоре указана «включая налоги», НДС считают по ставке 22/122 из суммы платежа, и провайдер получит меньше, чем ждёт, — об этом лучше договориться заранее.

Налог удерживается в день оплаты и перечисляется в бюджет. Декларацию по НДС налоговый агент сдаёт по итогам квартала, даже если сам НДС не платит.

Валютный контроль

Если сумма контракта на импорт услуг — 3 млн ₽ и больше, его нужно поставить на учёт в уполномоченном банке до первого платежа. В примере выше годовой контракт на 1,8 млн ₽ учёта не требует, а резерв за 300 000 ₽ в месяц — уже да. Нарушение порядка учёта — штраф по ст. 15.25 КоАП.

Отдельная практическая проблема — как вообще заплатить. Банки по платежам за рубеж просят договор, счёт, иногда акт, а часть направлений работает только через платёжных агентов. Комиссия агента — ещё один расход, который стоит заложить.

Почему отсрочек по налогам в этой истории нет

Ни АКИТ, ни Минцифры не предлагали специальных налоговых мер для IT-компаний, пострадавших от атак на ЦОДы. АКИТ отдельно просила правительство поддержать пострадавших, решений не было.

Что есть: общая отсрочка или рассрочка по ст. 64 НК. Одно из оснований — ущерб в результате обстоятельств непреодолимой силы. Заявление подают в налоговую с документами: акт о простое, переписка с провайдером, расчёт потерь. Срок, сумма и проценты зависят от решения инспекции. Это не автоматическая мера, а просьба, которую надо обосновать.

Что изменилось с тех пор (на 5 ноября 2026)

Статья вышла 17 октября. За три недели правительство и Минцифры публично на письмо АКИТ не ответили, проекта поправок в закон № 152-ФЗ нет. Тем временем Yandex Cloud с 22 октября применяет новую оферту, где атаки БПЛА прямо названы форс-мажором, — это ещё один довод держать резерв у другого провайдера. Подробно — в статье «Yandex Cloud переписал форс-мажор и закрыл квоты: уходить или нет».

Обновление 7 ноября. Указ президента от 02.11.2026 № 802 временно разрешил размещать российские информационные ресурсы на зарубежных мощностях, но только по решению новой правительственной подкомиссии, согласованному с ФСБ. Сама компания такое решение принять не может, и требование о локализации персональных данных указ не отменяет. Тем же указом все негосударственные ЦОДы обязаны до 12 ноября зарезервировать 10% мощностей. Что это значит для цены хостинга и учёта, разобрали в статье «Указ № 802: 10% ЦОДов в резерв — что с хостингом и учётом IT».

Что грозит, если сделать резерв «как получится»

• Перенесли базу с клиентами за рубеж целиком. Нарушение локализации: штраф по ст. 13.11 КоАП и риск блокировки сервиса — то есть вы получите тот самый простой, от которого страховались.
• Не подали уведомление о трансграничной передаче. Тоже нарушение 152-ФЗ, и клиенты-юрлица вправе спросить, на каком основании их данные уехали.
• Не удержали агентский НДС. Штраф 20% от неудержанной суммы (ст. 123 НК), пени и сам налог — уже из своих денег.
• Не поставили контракт на учёт. Штраф по валютному законодательству.

Что сделать до конца года

1. Разделите, что вы хотите резервировать: код и инфраструктура отдельно, персональные данные отдельно.
2. Для первой корзины выберите провайдера и сразу посчитайте цену с агентским НДС.
3. Для второй проверьте страну по перечню Роскомнадзора, подайте уведомление о трансграничной передаче и проверьте договоры с клиентами.
4. Если контракт от 3 млн ₽ — поставьте его на учёт в банке до первого платежа.
5. Соберите документы о простое в октябре: они понадобятся и для претензий к провайдеру, и для отсрочки по ст. 64, если она нужна.

Как настроить учёт агентского НДС, валютных платежей и расходов на резерв без лишних вопросов от инспекции — это часть нашего бухгалтерского обслуживания IT-компаний, а расчёт вариантов резерва с налогами — задача для налогового консалтинга.

Ставки и нормы в статье проверены по состоянию на 7 ноября 2026 года: указ Президента РФ от 02.11.2026 № 802; ч. 5 ст. 18 и ст. 12 закона № 152-ФЗ, ст. 13.11 и 15.25 КоАП РФ, п. 2 ст. 161, ст. 164 и 174.2, ст. 64 и 123 НК РФ; порог учёта импортного контракта в банке — 3 млн ₽; предложение АКИТ — по публикациям Forbes и ComNews от 16.10.2026.