Оксана Шатунова
Если после 11 октября у вас на столе лежит план технического директора «вторая площадка в Алма-Ате или во Франкфурте», юрист на него уже написал «152-ФЗ», а бухгалтер — «плюс 22%», вы не одиноки. 15 октября Ассоциация компаний интернет-торговли попросила правительство временно разрешить держать резервные копии данных россиян за рубежом. Пока это письмо, а не закон: официального ответа нет, срок режима предложен до 1 марта 2028 года, и включаться он будет только «при официальном подтверждении инцидента». Ниже — что можно сделать уже сейчас, не дожидаясь, сколько это стоит в налогах и почему отсрочек по налогам для вас в этой истории нет.
Что попросила АКИТ и почему это не решает вашу задачу
По данным Forbes и ComNews от 16 октября, ассоциация предлагает временное исключение из закона о персональных данных для компаний, у которых официально подтверждён инцидент, критически важные системы невозможно поднять в России, а требования информационной безопасности соблюдены. Страны определит уполномоченный орган, порядок разрешений предлагается написать вместе с Минцифры и Роскомнадзором, и отдельно — не вводить плату за международный трафик. После стабилизации компании должны вернуться к обычному порядку.
Эксперт по персональным данным Алексей Мунтян тут же отметил слабое место: режим «фактически закрепит, что заранее держать резерв за рубежом нельзя». Разрешение по факту аварии — это разрешение восстанавливаться, а не готовиться. Ассоциация больших данных (в ней Яндекс, VK и Сбер) назвала идею логичной антикризисной мерой и признала: «сегодня быстро восстановить критически важные системы внутри страны не всегда возможно».
Фон понятен. По данным Коммерсанта от 11 октября, Yandex Cloud договорился с Selectel, K2Cloud и VK Cloud об ускоренном размещении клиентов, но сроки поставки замещающего оборудования — до шести месяцев, и рынок ждёт роста цен на облака в четвёртом квартале. Про то, что Яндекс одновременно переписал оферту и добавил атаки БПЛА в форс-мажор, мы разбирали отдельно. Кремль 13 октября о финансовых потерях сказал только, что говорить о них «пока преждевременно», и речь шла о гражданах, не о бизнесе.
Вывод из этого простой: ждать разрешения на резерв за рубежом нет смысла. Нужно понять, что из вашего плана законно уже сегодня.
Три корзины: что можно держать за границей сейчас
Закон о персональных данных не запрещает зарубежную инфраструктуру как таковую. Он регулирует две вещи: где находится первичная база с данными граждан России и как вы передаёте данные через границу. Поэтому план резерва удобно разложить на три корзины.
Корзина 1: код, конфигурации, образы, CI, обезличенные и тестовые данные. Здесь 152-ФЗ не работает вовсе. Репозиторий, инфраструктурные манифесты, артефакты сборки, база с синтетическими пользователями — размещайте где удобно хоть сегодня. Единственное условие — обезличивание настоящее: таблица «клиенты» с заменёнными именами, но настоящими телефонами обезличенной не является.
Корзина 2: резервная копия боевой базы с персональными данными. Это трансграничная передача, и у неё свой порядок. До начала передачи оператор «обязан уведомить уполномоченный орган… о своем намерении» (ч. 3 ст. 12 152-ФЗ). Если страна входит в перечень государств с адекватной защитой (приказ Роскомнадзора от 05.08.2022 № 128, действует с 1 марта 2023 года, 89 государств, среди них Казахстан, Беларусь, Китай, Индия, Сингапур, Япония, Корея), передавать можно сразу после подачи уведомления, не дожидаясь ответа (ч. 10 ст. 12). Если страны в перечне нет — а ОАЭ, популярные в чатах технических директоров, туда не входят, — передачу нельзя начинать до решения Роскомнадзора (ч. 11 ст. 12). При этом ч. 5 ст. 18 никуда не делась: запись, систематизация, накопление, хранение и извлечение данных граждан РФ при сборе должны идти «с использованием баз данных, находящихся на территории Российской Федерации». Резерв не отменяет первичную базу в России, он её дублирует.
Шифрование здесь — про снижение ущерба, не про право. Закон не делает исключения для зашифрованных копий, поэтому совет Мунтяна хранить копии зашифрованными с ключами в России разумен как мера безопасности, но уведомление он не заменяет.
Корзина 3: перенос основной базы за рубеж, «пока в России не восстановят». Именно это сейчас запрещено, и именно на это просит исключение АКИТ. Цена ошибки — ч. 8 ст. 13.11 КоАП РФ: для юрлиц от 1 до 6 млн ₽, при повторном нарушении (ч. 9) от 6 до 18 млн ₽. Индивидуальные предприниматели по этим частям отвечают как юрлица.
Сколько стоит резерв: агентский НДС и валютный контроль
Технический директор смотрит на прайс и видит 200 000 ₽ в месяц в рублёвом эквиваленте. Бухгалтер видит другое число.
Хостинг — электронная услуга. В п. 1 ст. 174.2 НК РФ прямо перечислены «оказание услуг хостинга» и «предоставление в режиме реального времени вычислительной мощности для размещения информации в информационной системе». Когда российская организация покупает такую услугу у иностранной компании, она сама исчисляет и платит НДС как налоговый агент (п. 10.1 ст. 174.2). Минфин подтверждал это именно для хостинга в письме от 26.07.2024 № 03-07-08/69996. Упрощёнка не спасает: п. 5 ст. 346.11 НК РФ не освобождает упрощенцев от обязанностей налоговых агентов. Ставка с 2026 года — 22%; если в договоре российский НДС не выделен, налог начисляется сверх цены. Механику — когда удерживать, как заявлять в декларации — мы разобрали в статье про агентский НДС при покупке зарубежного софта.
Разница между режимами — в судьбе этих 22%.
| Режим | Счёт хостера в месяц | Агентский НДС 22% | Реальная цена в месяц | Что уменьшает налог |
|---|---|---|---|---|
| УСН «Доходы» 6% | 200 000 ₽ | 44 000 ₽, в бюджет | 244 000 ₽ | Ничего |
| УСН «Доходы минус расходы» 15% | 200 000 ₽ | 44 000 ₽, в бюджет | 244 000 ₽ | Вся сумма в расходах, налог меньше на 36 600 ₽ |
| ОСНО с освобождением от НДС по реестру ПО | 200 000 ₽ | 44 000 ₽, в бюджет | 244 000 ₽ | В расходах по прибыли, вычета нет |
| ОСНО с облагаемыми операциями | 200 000 ₽ | 44 000 ₽, затем к вычету | 200 000 ₽ | Расход 200 000 ₽, НДС возвращается вычетом |
За год компания на УСН 6% заплатит за резерв 2 928 000 ₽ при прайсе 2 400 000 ₽. Это не штраф и не ошибка, это цена иностранной инфраструктуры для российского покупателя, и её нужно закладывать в бюджет до подписания контракта, а не обнаруживать в первой декларации по НДС.
Расходы на УСН 15% списываются по пп. 18 п. 1 ст. 346.16 НК РФ («расходы на почтовые, телефонные, телеграфные и другие подобные услуги, расходы на оплату услуг связи») либо через открытый с 2026 года пп. 45 («иные расходы, определяемые в порядке, установленном главой 25»). На ОСНО — прочие расходы, связанные с производством и реализацией. Документы: инвойс, акт или отчёт об оказанных услугах за месяц, платёжка на агентский НДС.
Валютный контроль добавляет формальности, не налоги. Импортный контракт с суммой обязательств от 3 млн ₽ ставится на учёт в уполномоченном банке; с 4 июля 2026 года правила обновили, но пороги остались прежними. Оплата иностранному хостеру картой или через платёжного агента агентский НДС не отменяет: посредником по п. 10 ст. 174.2 НК РФ признаётся только тот, кто ведёт расчёты по договору с иностранным поставщиком, а банки и платёжные системы, просто переводящие деньги, посредниками не считаются. Комиссия платёжного агента — ваш расход, как и при оплате нейросетей и зарубежных подписок.
Отсрочки и компенсации: что вам не положено
Здесь нужно сразу расставить ожидания, потому что запросов «а нам отсрочку дадут?» после 11 октября много.
Постановления Правительства от 25.08.2026 № 1074 и от 30.09.2026 № 1277 дают годовую отсрочку по налогам продавцам Wildberries и Ozon, чей ущерб от атак превышает 5% дохода за 2025 год. Круг лиц — договор с ООО «РВБ» или ООО «Интернет Решения». IT-компания, у которой легла зона чужого облака, в этот круг не входит, какими бы ни были потери.
Общая норма — ст. 64 НК РФ. Отсрочка до года или рассрочка до трёх лет, и первое основание в п. 2 — «причинение этому лицу ущерба в результате стихийного бедствия, технологической катастрофы». Слов про обстоятельства непреодолимой силы там нет. Атака на дата-центр — не стихийное бедствие и формально не технологическая катастрофа, а ущерб клиента облака — косвенный. Подать заявление можно, но рассчитывать на него при планировании денег — нет.
Поэтому план такой: налоги по графику, резерв за свой счёт, и считать его цену честно. Если резерв в России на своём железе выглядит дешевле иностранного облака с 22% сверху, мы считали эту альтернативу: сервер как основное средство против ежемесячного счёта.
Что грозит, если…
…перенести основную базу за рубеж «временно, пока не починят». Нарушение ч. 5 ст. 18 152-ФЗ: штраф 1–6 млн ₽ для юрлица, повторно 6–18 млн ₽ (ч. 8 и 9 ст. 13.11 КоАП РФ). Разрешения, о котором просит АКИТ, пока нет.
…скопировать базу с персональными данными на зарубежный сервер без уведомления Роскомнадзора. Трансграничная передача в нарушение ст. 12, ответственность по ст. 13.11 КоАП РФ плюс предписание прекратить передачу. Уведомление подаётся до начала, а не после.
…платить иностранному хостеру и не удерживать НДС. Инспекция видит платежи иностранцам в банковской отчётности. Доначислят сам налог, штраф 20% по ст. 123 НК РФ и пени, и на УСН всё это ляжет в стоимость резерва.
…заплатить по контракту свыше 3 млн ₽ без постановки на учёт в банке. Административная ответственность по ст. 15.25 КоАП РФ и неприятный разговор с валютным контролем банка, который может приостановить платёж.
…заложить в бюджет прайс хостера без 22%. Самая частая ошибка: технический директор согласовал 200 000 ₽, через квартал бухгалтер приносит счёт на 44 000 ₽ агентского НДС в месяц, и резерв внезапно оказывается дороже основной площадки.
Что сделать до конца октября
- Разложите план резерва на три корзины. Код и обезличенные данные — размещайте сразу. Копию базы с персональными данными — только после уведомления в Роскомнадзор и только в страну из перечня № 128 либо после решения регулятора.
- Проверьте, что первичная база остаётся в России, а зарубежный узел описан в документах как резервный. Это и есть граница между корзиной 2 и корзиной 3.
- Пересчитайте бюджет резерва с агентским НДС 22% сверху и решите, на каком режиме вы его несёте: на УСН это чистая переплата, на ОСНО с облагаемыми операциями — транзит.
- Если сумма контракта с хостером за год превысит 3 млн ₽, поставьте контракт на учёт в банке до первого платежа.
- Не планируйте отсрочки по налогам из-за октябрьских аварий: № 1074 и № 1277 не для IT, ст. 64 НК РФ почти наверняка не сработает.
Если нужно понять, во что превращается схема резерва на вашем режиме и что из иностранных счетов можно принять в расходы без спора с инспекцией, это обычная задача налогового консалтинга для IT-компаний: считаем до подписания контракта, а не после первого требования.
Ставки и нормы в статье проверены по состоянию на 17 октября 2026 года: ч. 3, 10, 11 ст. 12 и ч. 5 ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ (в ред. от 26.07.2026); приказ Роскомнадзора от 05.08.2022 № 128; ч. 8 и 9 ст. 13.11, ст. 15.25 КоАП РФ; п. 1, 10 и 10.1 ст. 174.2, п. 3 ст. 164, п. 5 ст. 346.11, пп. 18 и 45 п. 1 ст. 346.16, ст. 64, ст. 123 НК РФ; письмо Минфина России от 26.07.2024 № 03-07-08/69996; постановления Правительства РФ от 25.08.2026 № 1074 и от 30.09.2026 № 1277; Инструкция Банка России № 181-И (порог учёта импортного контракта 3 млн ₽).
