Нас ФСБ проверяли по защите ПДн, примерно такие же выводы делало. На их вопрос о наличии аттестата, я стал возражать, что для ИСПДн нет обязательной аттестации, на что он сказал, ну вы же госорган, значит по 17 приказу должны... ) отсутствие в реестре ГИС их не смещает...
По опыту коллег из минздрава, те системы, которые в реестре ГИС, проверялись по 17 приказу, остальные, по 21му.
Т.е. есть и правильные проверяющие, но похоже, что не все...