Мы тоже задавались подобным вопросом. Слишком много нюансов оказалось, сейчас если буду здесь расписывать всё - выйдет целый талмуд на десять страниц. Начали мы с аттестации объектов информатизации, за помощью обращались в центр лицензирования:
https://arm.infobezopasnost.ru/
Но это был только первый шаг очень долгого пути.