Облачные провайдеры не возмещают упущенную выгоду из-за сбоев

С 08.10.2026 по 11.10.2026 в Сасово, Калуге и Владимире произошло отключение двух зон доступности Yandex Cloud (ru-central1-a и ru-central1-b). Причинами стали пожары и обесточивание после атак дронов. Для пользователей это означало остановку работы баз данных и приложений. Юридически такая ситуация создает цепочку из двух независимых договоров: ответственность компании перед своим клиентом и ответственность облачного провайдера перед компанией.

По пункту 3 статьи 401 ГК РФ бизнес отвечает за нарушение обязательств независимо от вины, если не докажет форс-мажор. Статья 403 ГК РФ распространяет эту ответственность на действия привлеченных третьих лиц, включая хостинг-провайдеров. Сбой у Яндекса автоматически не освобождает вашу компанию от штрафов перед контрагентами. При этом в пользовательских соглашениях Яндекса сервисы предоставляются «как есть» (п. 9.1 ПС, п. 6.1 Общих условий «Яндекс 360 для бизнеса»), без гарантий сохранности файлов.

В договорах провайдеров прописан разделенный подход к ответственности. В «Яндекс 360 для бизнеса» клиент обязан самостоятельно делать резервные копии (п. 5.4.3 Лицензионного соглашения). В Yandex Cloud модель аналогичная: провайдер отвечает за физическую защиту и работу оборудования (п. 7.2.7 Оферты), но создание бэкапов лежит на клиенте. В бесплатном Яндекс.Диске требовать восстановления данных невозможно, так как соответствующая обязанность у платформы отсутствует.

Если данные утеряны, сроки их восстановления типовой договором не регламентированы. В Yandex Cloud действуют SLA с гарантией доступности (например, 99,95% для Compute с 01.08.2026 по SLA от 21.07.2026). Но работоспособность виртуальной машины не гарантирует корректную работу программ внутри. При аварии 11.10.2026, когда к 11:14 МСК панель управления открылась, в управляемых базах оставались сбои с Apache Kafka, а мониторинг Monium не работал.

Взыскание убытков ограничено условиями оферт. Провайдеры полностью исключают возмещение упущенной выгоды (потеря прибыли, срыв контрактов). Максимальный реальный ущерб в «Яндекс 360» ограничен суммой, уплаченной за подписку за 3 месяца (п. 12.5 Оферты). В Yandex Cloud за простой выдают только сервисный кредит: скидку 10%, 15% или 30% от месячной стоимости. Если компания платила 100 000 руб. и простой составил 12 часов (доступность 98,3871%), выплата составит 15 000 руб. При простое 72 часа (доступность 90,3226%) — 30 000 руб.

Пункты 12.8 Оферты Яндекс 360 и 4.1.5 Общего SLA Yandex Cloud полностью освобождают провайдера от выплат, если сбой вызван форс-мажором. Атаки беспилотников на дата-центры, вероятно, будут квалифицированы именно так. Взыскать убытки сверх лимитов можно только при доказанном умысле провайдера. Если клиент не делал бэкапы, суд применит ст. 404 ГК РФ и откажет в иске.

Практика судов показывает разный исход таких споров. В деле №А40-224058/2024 суд взыскал около 13 000 000 руб. реального ущерба с провайдера, прекратившего поддержку Linux-софта. В деле №А40-144372/2023 «Эй Би Си» требовала 89 000 000 руб. от ООО «САП СНГ» за прекращение доступа к облачным сервисам.

В деле №А72-10511/2024 истец требовал взыскать убытки после вирусной атаки с поставщика ПО и системного администратора. Суд удовлетворил иск частично: с ИП взыскал 2 263 999,75 руб. реального ущерба, отказав во взыскании упущенной выгоды с ООО. Суд установил, что подрядчик создал условия для взлома: поставил слабые пароли 123456, выдал всем права администратора, не сделал бэкапы и не закрыл доступ на выходные. Прямая причинно-следственная связь между некачественными услугами и убытками была доказана.

В деле №А56-85885/2024 суд первой инстанции удовлетворил иск, подтвердив наличие расходов на разработку сайта и обоснованность расчета упущенной выгоды через сравнение выручки. Ответчик ссылался на DDoS-атаку, но суд не признал эти обстоятельства форс-мажором по ст. 401 ГК РФ.

В деле №А40-293189/2022 после хакерской атаки 09.04.2022 злоумышленники удалили все виртуальные машины на серверах, арендованных ООО «ДЕФА» у АО «МСТН», включая копии. Суд отказал во взыскании убытков, указав на отсутствие прямой связи с действиями провайдера. Договор 2017 года предусматривал конкретные меры (защита от DDoS, SQL-injection, шифрование), но не обязывал защищать от полного уничтожения инфраструктуры. Суд отметил, что DDoS-атака не тождественна уничтожению серверов.