В праве нет понятия "аутсорс". То что вы описываете - это аренда. Субъект КИИ арендует вычислительные мощности и инфраструктуру. Арендодатель в части КИИ ничего ему не должен, он даже не обязан знать, что в его инфраструктуре развернут объект КИИ

ЦОД будет нести ответственность только по 274.1 УК РФ, если из-за действия его сотрудников вред будет нанесен

Не будет.

а где это прописано?

если работник ЦОД нарушит правила эксплуатации оборудования ЦОД, на котором функционирует ОКИИ?

Но ведь если владельцы ЦОД знают и выполняют требования законодательства по ИБ и при этом происходит нарушение со стороны арендодателя ЦОД то последние должны нести ответственность? Или я ошибаюсь? Пример яндекса на скрине, что они не хотят нести ответственности.

Что значит "где прописано"? Вы описали характер взаимоотношений. Эти взаимоотношения соответствуют взаимоотношениям, возникающим при аренде, глава 34 ГК РФ. В рамках этих взаимоотношений арендодателю объект КИИ не принадлежит и никаких обязанностей по отношению к нему (кроме установленных договором аренды) у него нет

С фига ли? Я сдал вам в аренду квартиру. Вы устроили в ней наркопритон. С фига ли я буду за это отвечать?

Это плохая метафора, здесь применительней будет: Вы мне сдали комнату в квартире и сами в квартире устроили поджог умышленный, а я в комнате сгорел. Кто виноват?

Коллеги, в итоге,  в любом случае всю ответственность несёт владелец КИИ? А аутсорсер, который предоставляет мощности и проводит обслуживание оборудования, несёт ответственность только за доступность, непрерывность и тд

Все это определяется при разработке моделей угроз и нарушителя.
Безусловно владелец ЦОД будет нести ответственность как и субъект КИИ и должен обеспечивать информационную безопасность с учетом актуальных угроз безопасности.

Это очень точная метафора, в отличие от вашей.

В вашей метафоре я обязан не нарушать ваше право на жизнь. Эта обязанность установлена Конституцией РФ, ее нарушение - уголовное преступление. Я отвечу за нарушение моих обязанностей, которые для меня  установил закон.

В случае КИИ закон никаких обязанностей в отношении вашего объекта КИИ для меня не установил. Если в результате поджога будет причинен ущерб КИИ, я отвечу только за факт поджога (ответственность за него установлена УК РФ независимо от КИИ) и  буду обязан возместить причиненный им имущественный вред (ответственность установлена в ГК РФ). В плане безопасности КИИ я никому ничего не обязан и поэтому ни за что отвечать не буду.

Мы же про метафоры говорили, а не про буквоедство...
В любом случае оба не правы т.к. и вопрос изначально кривой. Я судил с точки зрения размещения в ЦОД ЗОКИИ, Вы про ОКИИ.

Требования обеспечения безопасности на различных этапах жизненного цикла значимых объектов КИИ устанавливает Владелец и ЦОД обязан его соблюдать в случае нарушения  Ответственность несет владелец КИИ а ответственность ЦОДа наступает в рамках их договора с Владельцем КИИ.

Это фантазии.

ЦОД, как владелец имущества, имеет право делать со своим имуществом все, что ему заблагорассудится - отключить, продать, разбить кувалдой, выкинуть в окошко.

Арендодатор может предложить арендодателю взять на себя определенные обязанности (не выключать, не выбрасывать, обеспечивать постоянную связь) - и если арендатор согласится, он будет нести за нарушение этих обязанностей гражданскую ответственность (возмещение вреда, неустойка), и только. Это - обычная практика

Арендатор может попытаться установить для объекта КИИ определенные правила эксплуатации, содержащие обязанности арендодателя, и включить их в договор аренды. Вот в этом случае, только в этом и только за нарушение этих правил, арендатор может понести уголовную ответственность.

Только ни один арендатор (если только он не ваша дочерняя компания) такой договор с вами на заключит

ЦОД -это часть инфраструктуры Организации, непосредственно задействованная в обеспечении взаимодействия объектов КИИ, должна рассматриваться в качестве объекта КИИ

Это отвлеченные рассуждения, не имеющие ничего общего с законом

Разве именно ЦОД а не информационная система или иткс? По моему вы ошибаетесь

Тут дело даже не в этом. Вопрос, кто несёт ответственность, владелец ИТКС или арендатор.

Уголовная ответственность может наступить только за нарушение определенным человеком определенных правил эксплуатации. В общем случае для арендатора ЦОД такие правила законами не установлены, поэтому он уголовную ответственность нести никак не может.

Вот если их установить в договоре аренды, возможны варианты

Юридический аспект ( тут я не селён )