Уважаемые партнёры!
В последнее время в компанию «1С-Рейтинг» поступают вопросы о том, нужна ли сертификация или испытания на соответствие требованиям информационной безопасности для учетных систем на платформе «1С:Предприятие». Часто такие вопросы возникают в связи с письмом ТОО «Центр информационных технологий «ДАМУ» № ПР-3250 от 06.10.2026 о предоставлении протоколов испытаний систем, интегрированных с Комплексной медицинской цифровой системой Damumed (далее – КМЦС Damumed). Предлагаем ознакомиться с нашей позицией по данному вопросу:
- Законодательство Республики Казахстан о бухгалтерском учете и финансовой отчетности не содержит требования об обязательной сертификации программного обеспечения для ведения учета, в том числе в области информационной безопасности. Наши программные продукты, в том числе «1С-Рейтинг: Бухгалтерия организации здравоохранения», предназначены для ведения бухгалтерского и налогового учета организации. Считаем, что обязательная сертификация к ним не применяется.
- Важно различать сертификацию программного продукта и испытания на соответствие требованиям информационной безопасности. Испытания проводятся в отношении конкретной системы – в обязательном порядке или по инициативе ее собственника. Как правило, обязательные испытания предусмотрены для:
- информационных систем государственных органов и объектов «электронного правительства»;
- негосударственных систем, интегрируемых с государственными системами или формирующих государственные электронные информационные ресурсы;
- систем, отнесенных к критически важным объектам информационно-коммуникационной инфраструктуры.
В этих случаях испытания организует собственник или владелец системы.
- Если учетная система используется для внутреннего учета организации и не относится к указанным объектам, обязательные испытания, как правило, не требуются. Не требуются они и для использования сервисов Национального удостоверяющего центра Республики Казахстан по проверке подлинности электронной цифровой подписи.
- Понимаем, что запрос ТОО «ЦИТ «ДАМУ» вызвал у медицинских организаций вопросы. По нашей оценке:
- Минимальные требования к медицинским цифровым системам, утвержденные приказом № ҚР ДСМ-80 (в редакции приказа от 17 июля 2026 года № 79), относятся к медицинским информационным системам (МИС). Учетная система в этих требованиях рассматривается как самостоятельная система, с которой интегрируется МИС (пункты 14, 15, 22 и 25).
- Требование о протоколах испытаний на соответствие требованиям кибербезопасности (подпункт 2) пункта 28) адресовано МИС, поэтому, по нашему мнению, на учетную систему оно не распространяется.
- Обмен данными идет через сервисы интеграции КМЦС Damumed, защиту которых обеспечивает ее собственник.
- В новой версии обмена с КМЦС Damumed «1С-Рейтинг: Бухгалтерия организации здравоохранения» не планирует получать персональные данные пациентов. Для учета затрат по пролеченному случаю достаточно РПН ID и номера истории болезни (обращения) либо иного идентификатора случая, перенос персональных данных пациентов в учетную систему для целей бухгалтерского учета не требуется.
- При этом за организацией сохраняются обязанности по защите персональных данных сотрудников и контрагентов в соответствии с Законом Республики Казахстан «О персональных данных и их защите». Рекомендуем настроить разграничение прав доступа, резервное копирование и регистрацию действий пользователей – платформа «1С:Предприятие» позволяет это сделать.
- Сертификация программного обеспечения по стандарту СТ РК ISO/IEC 15408 проводится добровольно и не является обязательным условием для работы в учетной системе.
- Несмотря на то, что обязательные испытания для отраслевых программных продуктов ТОО «1С-Рейтинг», законодательством не предусмотрены, мы уделяем большое внимание вопросам информационной безопасности. ТОО «1С-Рейтинг» по собственной инициативе начало подготовку к проведению испытаний «1С-Рейтинг: Бухгалтерия организации здравоохранения» на соответствие требованиям информационной безопасности. О результатах мы проинформируем партнеров и пользователей дополнительно.
Поскольку необходимость испытаний зависит от статуса конкретной системы и ее собственника, организациям государственного и квазигосударственного сектора при необходимости рекомендуем дополнительно уточнить этот вопрос со своей службой информационной безопасности.
Мы всегда готовы помочь: проконсультировать по вопросам интеграции, предоставить описание обмена и состава передаваемых данных, а также подготовить ответ на запрос ТОО «ЦИТ «ДАМУ».