Требования к лицензированию центров обработки данных в Саудовской Аравии

Лицензирование центров обработки данных (ЦОД) в Саудовской Аравии не сводится к одному разрешению. Объект, оказывающий услуги клиентам, как правило, требует регистрации в CST, при этом инвестору необходимо также правильно оформить корпоративную структуру, получить разрешения на участок и строительство и до запуска оценить отдельные обязательства в сфере облачных услуг, связи, кибербезопасности и защиты персональных данных.

Саудовская Аравия ввела специальную систему регулирования услуг ЦОД в рамках более широкого развития облачных вычислений, искусственного интеллекта и цифровой инфраструктуры.

Однако для инвестора центр обработки данных — это не просто ИТ-бизнес. Это ещё и физический объект, зависящий от земельного участка, электроснабжения, охлаждения, подключения к сетям связи, систем безопасности и экологического контроля.

Поэтому путь к получению разрешений должен охватывать три взаимосвязанных вопроса:

• Кто будет владеть саудовской компанией и управлять ею?
• Где и как будет построен объект?
• Какие услуги оператор будет продавать клиентам?

Ответы на эти вопросы, полученные на раннем этапе, помогают инвестору определить нужные государственные органы и не проектировать объект исходя из неверных регуляторных предположений.

Что на самом деле означает «лицензия на центр обработки данных» в Саудовской Аравии?

Лицензирование ЦОД в Саудовской Аравии — это совокупность процедур: регистрация объекта в CST, учреждение операционной компании, получение разрешений на участок и муниципальных согласований, а также соблюдение отдельных требований в сфере облачных услуг, связи, кибербезопасности и Закона о защите персональных данных (PDPL). Конкретный порядок зависит от того, что будет размещено на объекте и что будет продаваться.

Термин «лицензия на ЦОД» может ввести в заблуждение, поскольку в Саудовской Аравии не выдаётся единого разрешения, охватывающего весь проект.

Комиссия по связи, космосу и технологиям (CST) применяет отраслевую систему регистрации для компаний, оказывающих клиентам услуги ЦОД. Другие ведомства отвечают за регистрацию инвестиций, создание компании, строительство, безопасность, экологические требования и защиту персональных данных.

Таким образом, регистрация в CST не заменяет разрешение на строительство, коммерческую регистрацию или регистрацию облачных услуг.

Каждый ли ЦОД подлежит регистрации в CST?

Регламент CST об услугах центров обработки данных вступил в силу 1 января 2024 года и распространяется на поставщиков таких услуг, работающих в Саудовской Аравии. CST определяет соответствующих участников как оптовых или розничных поставщиков, оказывающих услуги ЦОД другим лицам в королевстве.

Это разграничение имеет значение.

Компания, продающая клиентам услуги колокации, хостинга или иные услуги ЦОД, как правило, подпадает под режим CST. Колокация означает, что клиенты размещают собственные серверы или иное оборудование на объекте оператора и оплачивают место, электроэнергию, охлаждение, подключение к сетям и сопутствующую поддержку.

Объект, используемый исключительно для внутренних систем самого владельца, может находиться в ином положении. Тем не менее компании следует проверить свой статус исходя из фактического использования объекта, поскольку внутригрупповые договорённости, управляемые услуги или услуги, оказываемые аффилированным лицам, могут повлиять на оценку.

Как устроены категории регистрации CST?

CST выделяет следующие категории регистрации центров обработки данных:

Категория	Практическое значение
Квалификационная (Qualifying)	Применяется к ЦОД, находящемуся на стадии строительства
Ограниченная (Limited)	Операционная категория, оцениваемая по применимым требованиям CST
Стандартная (Standard)	Операционная категория, требующая соответствующих технических и операционных подтверждений
Расширенная (Advanced)	Более высокая операционная категория в системе CST

CST прямо указывает, что квалификационная категория применяется к строящимся ЦОД. Регламент также требует отдельной регистрации для каждого объекта в соответствии с его классификацией и стадией готовности.

Эти категории не следует воспринимать как маркетинговые обозначения. Они являются частью процедуры регуляторной регистрации. Инвестору следует изучить действующие технические критерии до окончательного утверждения проекта, стратегии сертификации или обязательств перед клиентами.

Объект может начать работу в квалификационной категории на этапе строительства, а затем перейти в соответствующую операционную категорию. Оператору следует планировать этот переход заранее, а не откладывать его до момента готовности объекта к открытию.

Какие органы регулируют проект ЦОД в Саудовской Аравии?

Типовой проект может затрагивать сразу несколько ведомств. Их функции различны, и согласование одного органа не заменяет согласования другого.

Уровень регулирования	Основной орган	Ключевой вопрос
Иностранные инвестиции	Министерство инвестиций (MISA)	Может ли иностранный инвестор зарегистрироваться для заявленных видов деятельности?
Учреждение компании	Министерство торговли и Саудовский деловой центр	Создана ли операционная компания с правильными видами деятельности?
Услуги ЦОД	CST	Подлежит ли каждый объект регистрации и по какой категории?
Строительные и муниципальные согласования	Муниципалитет через платформу Balady	Можно ли построить объект, ввести его в эксплуатацию и использовать по назначению?
Согласования по безопасности	Главное управление гражданской обороны	Соответствует ли объект требованиям пожарной безопасности?
Защита данных	SDAIA	Как оператор будет обрабатывать и защищать персональные данные?
Кибербезопасность	CST и, при необходимости, NCA	Какие меры кибербезопасности применяются к оператору и его клиентам?
Экологические требования	Национальный центр экологического контроля	Требуется ли проекту экологическое разрешение или оценка воздействия?

Набор необходимых согласований может измениться, если проект расположен в особой экономической зоне, обслуживает государственные организации, обеспечивает работу критической национальной инфраструктуры или включает регулируемые облачные, финансовые, медицинские или телекоммуникационные услуги.

Какие корпоративные разрешения нужны иностранному инвестору?

Иностранному инвестору следует начать с Закона об инвестициях, изданного Королевским указом № M/19 от 1446 г. по хиджре, опубликованного в августе 2024 года и вступившего в силу в феврале 2025 года. Исполнительные положения к нему утверждены Решением министра № 1086 от 7 февраля 2025 года.

Закон об инвестициях заменил прежний Закон об иностранных инвестициях и перевёл Саудовскую Аравию от модели лицензирования иностранных инвестиций к единой системе регистрации в MISA. Он также предусматривает равное отношение к местным и иностранным инвесторам в сопоставимых обстоятельствах — с учётом ограниченных и запрещённых видов деятельности и иных применимых норм.

После прохождения процедур MISA инвестор должен учредить саудовскую операционную компанию и получить её коммерческую регистрацию в соответствии с Законом о компаниях, изданным Королевским указом № M/132 от 1443 г. по хиджре и действующим с 19 января 2023 года.

Зарегистрированные виды деятельности компании должны соответствовать её реальной бизнес-модели. Проект ЦОД может включать несколько самостоятельных видов деятельности, в том числе:

• владение физическим объектом и его эксплуатацию;
• сдачу в аренду стоек или технических площадей;
• оказание услуг хостинга;
• управление серверами или инфраструктурой;
• предоставление облачных вычислений;
• продажу услуг связи;
• сдачу оборудования в аренду;
• системную интеграцию и техническую поддержку.

Общая формулировка «информационные технологии» может не охватывать все услуги, которые компания намерена выставлять к оплате.

Корпоративная структура также имеет значение. Одна компания может владеть зданием, а другая — управлять центром обработки данных или продавать облачные услуги. В этом случае каждая организация должна располагать регистрациями и договорными правами, соответствующими её фактической роли.

Какие разрешения на участок и строительство необходимо получить?

До начала строительства проекту обычно требуется подтверждение целевого назначения земли и разрешение на строительство.

Процедура через платформу Balady позволяет собственнику или его представителю привлечь аккредитованное проектное бюро, подать необходимую документацию и обратиться за разрешением на строительство. После завершения работ собственник получает акт ввода в эксплуатацию через ту же муниципальную систему.

Инвестору не следует подписывать долгосрочный договор аренды или приобретать землю до подтверждения того, что участок пригоден для планируемого использования.

Проверка участка должна охватывать:

• разрешённое использование земли;
• электрические мощности и условия подключения;
• доступ к оптоволоконным сетям и наличие резервных маршрутов;
• потребности в охлаждении и водоснабжении;
• размещение генераторов и хранение топлива;
• подъездные пути для строительства и обслуживания;
• права на расширение;
• экологические ограничения;
• требования гражданской обороны;
• порядок получения акта ввода в эксплуатацию и коммерческих лицензий.

Особого внимания требуют энергоснабжение и подключение к сетям. Участок может быть юридически доступен, но коммерчески непригоден, если необходимую электрическую мощность или резервные сетевые подключения невозможно обеспечить в сроки проекта.

Юридической команде следует анализировать договор аренды, соглашения с поставщиками коммунальных услуг и строительные контракты в совокупности. Договор на землю не должен обязывать инвестора продолжать проект, если ключевые регуляторные или инфраструктурные условия остаются невыполнимыми.

Как проходит регистрация ЦОД в CST?

CST предоставляет услугу электронной регистрации через свой бизнес-портал. Заявитель подаёт сведения об объекте и подтверждающие документы, необходимые для соответствующей категории. В настоящее время CST указывает эту услугу как бесплатную.

Регистрация привязана к конкретному объекту. Регистрация ЦОД в Эр-Рияде автоматически не распространяется на отдельный объект в Джедде, Даммаме или в других городах

Сведения, подаваемые в CST, должны соответствовать:

• стадии готовности объекта;
• техническому проекту;
• юридическому лицу оператора;
• услугам, предлагаемым клиентам;
• планируемой операционной категории;
• подтверждающим сертификатам и техническим документам.

Техническая сертификация и регистрация в CST служат разным целям. Признанный сертификат объекта может подкрепить заявку, но не заменяет регуляторную регистрацию.

Инвестору следует определить планируемую категорию ещё на этапе проектирования и строительства. Если отложить это до завершения работ, может выясниться, что построенный объект не соответствует требованиям для желаемой регистрации.

Охватывает ли регистрация ЦОД облачные услуги?

Нет. Эксплуатация центра обработки данных и предоставление облачных вычислений — это разные виды деятельности.

Оператор ЦОД обеспечивает физическую среду для работы оборудования. Обычно сюда входят помещение, электропитание, охлаждение, физическая безопасность и доступ к сетям.

Облачный провайдер предоставляет вычислительные ресурсы или программное обеспечение через интернет. Облачные услуги могут включать:

• инфраструктуру как услугу (IaaS), когда клиенты получают виртуальные вычислительные, накопительные или сетевые ресурсы;
• платформу как услугу (PaaS), когда клиенты используют управляемую среду для разработки или запуска приложений;
• программное обеспечение как услугу (SaaS), когда клиенты получают доступ к готовым приложениям онлайн.

CST рассматривает эти модели услуг отдельно от уровня физической инфраструктуры.

Если саудовская компания продаёт облачные услуги, ей необходимо отдельно оценить Регламент оказания услуг облачных вычислений и пройти соответствующую процедуру регистрации в CST. CST применяет квалификационный этап и классы A, B и C, для которых действуют разные требования к объекту и операционным подтверждениям.

Таким образом, оператору могут потребоваться одновременно:

• регистрация физического центра обработки данных;
• регистрация облачных услуг, оказываемых с этого объекта.

Разграничение зависит от того, что компания фактически обещает и предоставляет клиентам, а не только от формулировок в её коммерческой регистрации.

Когда дополнительно требуется лицензия на услуги связи?

Многие ЦОД приобретают подключение к сетям у операторов связи, уже имеющих необходимые лицензии CST. Само по себе приобретение таких услуг обычно не превращает центр обработки данных в поставщика услуг связи.

Иная ситуация возникает, если оператор сам планирует создавать или эксплуатировать телекоммуникационную инфраструктуру, перепродавать регулируемые услуги подключения, оказывать услуги публичных сетей или поставлять инфраструктуру другим поставщикам услуг на оптовой основе.

CST ведёт отдельные системы лицензирования для услуг связи и инфраструктурных услуг. Например, лицензия на оптовые инфраструктурные услуги может давать право создавать, владеть, эксплуатировать и обслуживать телекоммуникационную инфраструктуру для предоставления другим лицензированным поставщикам.

Договор с клиентом должен точно описывать оказываемую услугу. Название регулируемой сетевой услуги «дополнительной услугой ЦОД» не снимает вопрос о лицензировании.

Какие требования кибербезопасности применяются к оператору ЦОД?

Зарегистрированному оператору ЦОД следует прежде всего изучить Регуляторную рамку CST по кибербезопасности для поставщиков услуг в секторе связи и информационных технологий. CST указывает, что эта рамка касается в первую очередь организаций, лицензированных, зарегистрированных или иным образом регулируемых CST.

Вопросы кибербезопасности должны учитываться в проекте начиная со стадии проектирования. Они могут затрагивать:

• физический и логический доступ;
• сегментацию сетей;
• привилегированные учётные записи;
• управление уязвимостями;
• реагирование на инциденты;
• мониторинг;
• резервное копирование и восстановление;
• работу с субподрядчиками;
• обеспечение непрерывности деятельности.

Могут также применяться Основные требования по кибербезопасности Национального управления кибербезопасности (NCA). Они напрямую распространяются на государственные организации и частные компании, которые владеют, эксплуатируют или размещают у себя объекты критической национальной инфраструктуры. Остальным организациям NCA рекомендует использовать эти требования в качестве ориентира.

Это означает, что не каждому частному ЦОД автоматически требуется сертификация NCA. Оператору следует провести оценку применимости с учётом своих клиентов, размещаемых систем и регуляторного статуса.

В договорах с клиентами также следует чётко разграничить ответственность за безопасность. Оператор может контролировать физический доступ и безопасность объекта, тогда как клиент остаётся ответственным за свои приложения, учётные записи пользователей и настройку данных.

Как PDPL влияет на услуги ЦОД?

Саудовский Закон о защите персональных данных (PDPL) применяется в тех случаях, когда оператор обрабатывает персональные данные.

Оператор ЦОД может выступать обработчиком, когда хранит информацию или управляет ею по указаниям клиента. При этом он может быть контролёром в отношении данных собственных сотрудников, контактов клиентов, журналов доступа, записей о посетителях и материалов видеонаблюдения.

Договор должен отражать фактические отношения сторон. Простое наименование оператора «обработчиком» не решает вопроса, если он самостоятельно определяет цели или способы использования персональных данных.

Сторонам следует урегулировать:

• указания по обработке данных;
• конфиденциальность;
• меры безопасности;
• взаимодействие при утечках;
• привлечение субподрядчиков;
• удаление данных;
• права на проверку;
• содействие в ответах на обращения субъектов данных.

PDPL не устанавливает единого простого правила о том, что все персональные данные должны оставаться в Саудовской Аравии. Передача данных за пределы королевства должна отвечать требованиям PDPL и Регламента о передаче персональных данных за пределы королевства.

Доступные механизмы защиты могут включать стандартные договорные условия, обязательные общие правила или утверждённый механизм аккредитации. Может также требоваться оценка рисков передачи — в том числе при постоянной или масштабной передаче конфиденциальных данных.

Отдельного внимания требует удалённый доступ. Предоставление сотрудникам за пределами Саудовской Аравии доступа к персональным данным, хранящимся на саудовском объекте, может квалифицироваться как трансграничное раскрытие или передача, даже если сам сервер физически не покидает королевство.

Оператору следует составить карту того, где хранятся данные, где размещаются резервные копии и из каких стран администраторы или службы поддержки могут получать к ним доступ.

Требуется ли экологическое разрешение?

Экологические требования зависят от расположения объекта, его проектных решений и возможного воздействия.

Национальный центр экологического контроля отвечает за выдачу экологических разрешений и контроль за объектами с потенциальным воздействием на окружающую среду. Проект ЦОД должен оценить своё положение, если он предусматривает генераторы, хранение топлива, аккумуляторные системы, крупные системы охлаждения, значительное потребление воды или образование электронных отходов.

Такую оценку следует проводить при выборе площадки и проектировании, а не после завершения строительства. Экологические условия могут повлиять на компоновку объекта, оборудование, порядок эксплуатации и сроки проекта.

Какова рекомендуемая последовательность получения разрешений?

Приведённая ниже последовательность даёт инвесторам практическую отправную точку:

1. Определите физический объект и все услуги, которые компания будет продавать.
2. Подготовьте матрицу органов и согласований под конкретный проект.
3. Проведите проверку земли, энергоснабжения, подключения к сетям и экологических условий.
4. Пройдите регистрацию в MISA, если в проекте участвует иностранный инвестор.
5. Учредите саудовскую компанию с корректными видами коммерческой деятельности.
6. Получите строительные, муниципальные, экологические согласования и разрешения по безопасности.
7. Подайте заявку на соответствующую регистрацию ЦОД в CST по каждому объекту.
8. Оцените необходимость отдельной регистрации облачных или телекоммуникационных услуг.
9. Получите акт ввода в эксплуатацию и разрешения на ведение деятельности.
10. До запуска завершите выстраивание системы кибербезопасности, соответствия PDPL и клиентских договоров.

Некоторые процедуры могут идти параллельно. Однако корпоративная структура, технический проект, клиентские услуги и подаваемые в органы документы должны оставаться взаимно согласованными.

Какие ошибки чаще всего задерживают проекты ЦОД?

Распространённая ошибка — считать регистрацию в CST единственным необходимым разрешением. Она не заменяет учреждение компании, строительные, муниципальные, экологические требования и требования безопасности.

Другая ошибка — не разграничивать колокацию и облачные вычисления. Компания может зарегистрировать физический объект, но не получить отдельную регистрацию, необходимую для облачных услуг, которые она намерена продавать.

Некоторые инвесторы также берут на себя обязательства по участку до подтверждения условий энергоснабжения, подключения к сетям, зонирования или экологических требований. Эти вопросы могут потребовать переработки проекта или сделать площадку непригодной.

Кибербезопасность и трансграничная передача данных создают дополнительные проблемы, если заняться ими слишком поздно. Глобальная модель поддержки может допускать доступ зарубежных администраторов к данным саудовских клиентов, порождая вопросы трансграничной передачи даже при размещении основных серверов в королевстве.

Наконец, договор с клиентом должен соответствовать модели оказания услуг. Типовые условия хостинга могут недостаточно полно регулировать вопросы непрерывности услуг, распределения ответственности за безопасность, персональных данных, прав доступа, субподрядчиков, вывоза оборудования и поддержки при прекращении отношений.

Продумайте порядок лицензирования до утверждения бюджета проекта

Саудовская Аравия предлагает выстроенный путь для инвестиций в центры обработки данных, однако этот путь связан с взаимозависимыми корпоративными, строительными, технологическими требованиями и требованиями к работе с данными.

Практическая ценность раннего юридического анализа не сводится к получению регистраций. Он помогает инвестору определить, могут ли выбранная площадка, операционная структура, технический проект и клиентские услуги работать вместе в рамках применимых норм.

Прежде чем брать обязательства по площадке, графику строительства или запуску услуг для клиентов, инвесторам следует подтвердить, какие разрешения применяются к компании, объекту и продаваемым услугам.

Юридическая фирма «Аль-Хамад» в сотрудничестве с «Юссри Салех и Партнеры» консультирует застройщиков и операторов ЦОД по вопросам регистрации в MISA, учреждения компаний, регистрации в CST, согласований по площадке, требований к облачным и телекоммуникационным услугам, соблюдения PDPL и договоров с клиентами. Наша команда может подготовить дорожную карту лицензирования под конкретный проект и выявить регуляторные пробелы до того, как они повлияют на график строительства или запуска.

Для получения индивидуальной юридической консультации напишите нам: info@ahysp.com.

Часто задаваемые вопросы