Банк, который выбирает колокацию в Казахстане, ищет не бейдж Tier. Место размещения и физические средства задают два документа. Ни один из них не говорит «размещайте системы только в сертифицированном Tier-объекте».

Какой документ действует

Действующие требования к информационной безопасности банков, филиалов банков-нерезидентов и организаций, осуществляющих отдельные виды банковских операций, — это постановление Правления АРРФР от 3 апреля 2026 года № 53. В Министерстве юстиции оно зарегистрировано 6 апреля 2026 года за № 38336.

Этим постановлением отменено постановление Правления Национального Банка от 27 марта 2018 года № 48. Чеклисты, которые всё ещё ссылаются на «постановление НБ РК № 48», указывают на документ, который больше не действует. Перечень средств физической безопасности перешёл в параграф 12 требований 2026 года.

Второй документ действует и правился ещё в декабре 2025 года: постановление Правления Национального Банка от 28 января 2016 года № 34 о безопасности и беспрерывности работы информационных систем банков. Пункт 18-1 требует как минимум один резервный центр в другом населённом пункте, не там, где основной. И основной, и резервный центры размещаются на территории Республики Казахстан.

Локализация персональных данных — отдельный закон. Если системы хранят данные граждан РК, см. гид о локализации данных в Казахстане.

Чем должен быть оснащён ЦОД

Постановление № 53 определяет центр обработки данных банка как специально выделенное помещение, в котором размещены серверы информационных систем банка. Пункт 127 требует оснастить это помещение:

  1. системой контроля и управления доступом;
  2. охранной сигнализацией;
  3. пожарной сигнализацией;
  4. системой автоматического пожаротушения, которая тушит возгорание по всему объёму помещения и имеет резервный запас;
  5. системой поддержания заданных температуры и влажности;
  6. видеонаблюдением без зон, не покрытых камерами, внутри помещения и перед входом.

Серверное и коммуникационное оборудование подключается к электропитанию через источники бесперебойного питания.

Доступ — только по перечню, который утверждает руководитель подразделения информационных технологий по согласованию с подразделением информационной безопасности. Журнал системы контроля доступа хранится не менее одного года. Запись видео ведётся непрерывно или по детектору движения, архив хранится не менее трёх месяцев.

Эти обязанности остаются у банка. Договор колокации их не переносит. Банк сам утверждает перечень допущенных, хранит журнал и должен показать проверяющему, что помещение соответствует пункту 127.

Чем это не является

Это не требование Tier. В постановлении нет Uptime Institute, Tier III и Tier IV. Объект может закрыть перечень физической безопасности без сертификата Tier, а сертификат Tier сам по себе перечень не закрывает.

Это не PCI DSS. PCI DSS относится к организации, которая хранит, обрабатывает или передаёт данные держателей карт. Requirement 9 этого стандарта — про ограниченный физический доступ, журналы посетителей и камеры. Колокация может быть местом, где банк реализует эти меры. Akashi не публикует Attestation of Compliance по PCI DSS, и проектный документ такой аттестацией не является.

TCDD — это не TCCF. У Akashi есть проектная сертификация Uptime Institute Tier IV (TCDD). Аудит построенного объекта (TCCF) запланирован на апрель 2027 года, запуск первой очереди — в 2027 году. TCDD подтверждает проектную документацию. Он не подтверждает, что построенный зал уже прошёл операционную проверку. Разница разобрана в материале Tier III или Tier IV: что меняется в договоре колокации.

Что банк может проверить сейчас

Кампус строится. Разговор о брони может сопоставить пункт 127 с проектом. Это ещё не обход действующего зала. В линейке — выделенное серверное помещение, изолированная клетка и аренда шкафа.

Вопросы, которые стоит поставить в запрос:

  • Где физически будет основное помещение и входит ли вторая площадка в другом городе Казахстана в проект или это отдельный договор?
  • Какие из шести систем пункта 127 есть в проекте, а какие остаются оборудованием или процедурой самого банка?
  • Кто утверждает перечень доступа и кто хранит годовой журнал доступа и трёхмесячный видеоархив?
  • Какой документ предлагают как доказательство надёжности: TCDD, целевой показатель доступности или будущий TCCF?

Частые вопросы

Обязан ли банк в Казахстане размещаться в ЦОД с сертификатом Tier?

Нет. Постановление АРРФР от 3 апреля 2026 года № 53 требует набор систем физической безопасности и собственные процедуры доступа банка. Сертификат Uptime Institute оно не требует.

Действует ли постановление Нацбанка № 48?

Нет. Постановление АРРФР от 3 апреля 2026 года № 53 его отменило. Перечень средств физической безопасности теперь в параграфе 12 требований 2026 года.

Есть ли у Akashi сертификат PCI DSS?

Нет. PCI DSS — обязанность организации, которая хранит, обрабатывает или передаёт данные держателей карт. Akashi не публикует аттестацию PCI DSS.

Какая сертификация есть у Akashi сейчас?

Проектная сертификация Uptime Institute Tier IV (TCDD). Аудит построенного объекта (TCCF) запланирован на апрель 2027 года. Первая очередь запускается в 2027 году.