Держспецзв'язку, ДЦКЗ і CERT-UA: хто є хто в державному кіберзахисті

У новинах про кібератаки згадують то Держспецзв'язку, то CERT-UA, то якийсь ДЦКЗ. Виникає резонне запитання: це різні відомства чи одне й те саме під різними вивісками? А головне — куди йти компанії, яку щойно зламали, і хто взагалі має право вимагати від неї звітів.

Розберемо ланцюжок без канцеляриту: хто пише правила, хто вмикає їх у розетку, хто приїжджає на пожежу.

Коротка відповідь: це «матрьошка», а не конкуренти

Держспецзв'язку — відомство, яке пише правила └── ДЦКЗ — установа в його структурі, яка реалізує ці правила технічно ⠀⠀⠀└── CERT-UA — команда реагування, яка гасить пожежі

Три назви — одна вертикаль. Плутанина виникає тому, що в новинах їх згадують як рівнозначні, хоча рівні відповідальності в них різні.

Держспецзв'язку: хто пише правила

Повна назва звучить так: Державна служба спеціального зв'язку та захисту інформації України. Це центральний орган виконавчої влади; у побуті — просто Держспецзв'язку.

Коло повноважень:

• формує й реалізує політику кіберзахисту та кібербезпеки;
• відповідає за безпеку державних електронних ресурсів і об'єктів критичної інфраструктури;
• здійснює контроль у цих сферах — зокрема перевірки;
• веде напрям технічного захисту інформації (ТЗІ): нормативні документи, експертиза, ліцензування, перелік дозволених засобів;
• запроваджує аудит кібербезпеки на об'єктах критичної інфраструктури й атестує аудиторів.

Простими словами: відомство встановлює правила й перевіряє, як їх виконують. Воно не приїде відновлювати ваш зашифрований сервер — це не його функція.

Що змінила реформа 2025–2026 років

Більшість матеріалів у мережі описує стан «до». Насправді за останній рік вимоги до операторів переписали, і саме Держспецзв'язку стоїть за цими змінами:

• Загальні вимоги з кіберзахисту для об'єктів критичної інфраструктури діють у новій редакції (постанова Кабміну № 1470 від 13.11.2025). Базові заходи стали обов'язковими для всіх операторів, а план переглядають щороку — «зробили один раз і забули» більше не працює.
• З'явився Каталог заходів (наказ Адміністрації Держспецзв'язку № 75 від 30.01.2026), побудований за функціями NIST CSF 2.0. Це вже не абстрактні побажання, а перелік, за яким вас перевірятимуть.
• Запроваджено роль керівника з кіберзахисту: для органів влади, а також для власників критичних об'єктів І та ІІ категорій.
• Уряд затвердив Національний план реагування на кіберінциденти (постанова Кабміну № 1533 від 26.11.2025): він описує, як держава діє під час масштабних атак і кого залучає.
• Фінансові установи, які регулює Національний банк, під ці вимоги не підпадають — у банківському секторі власний набір правил.

Практичний висновок: відомство перестало бути «десь там». Якщо ваша компанія потрапляє до критичної інфраструктури, документи Держспецзв'язку — це ваш перелік завдань на найближчий рік.

Як цю службу шукають: народні назви й що за ними стоїть

Офіційні назви довгі, тому в пошук вводять що завгодно. Ось найчастіші варіанти й те, що за ними насправді стоїть:

Це не педантизм. Застарілі назви досі трапляються в договорах, технічних завданнях і внутрішніх положеннях компаній — а той, хто шукає за ними, ризикує вийти на документи десятирічної давнини й побудувати роботу на скасованих вимогах.

Як перевірити, чи не застарів документ у вашому ТЗ

Нормативні вимоги оновлюються щороку, тому посилання в договорах і технічних завданнях швидко застарівають. Перевірка займає п'ять хвилин:

1. Знайдіть акт за номером і датою в офіційній базі законодавства — а не в перекладі на сайті першого-ліпшого підрядника.
2. Подивіться на позначку редакції. Якщо документ чинний, там буде дата останніх змін; якщо втратив чинність — це видно одразу.
3. Звірте з переліками на офіційних сайтах відомства. Скасовані додатки й старі вимоги — найчастіша причина того, що компанія рік готувалася «не до того».

ДЦКЗ: технічне серце системи

Державний центр кіберзахисту (скорочено ДЦКЗ) — установа в структурі Держспецзв'язку, яка від 2010 року діє як окрема юридична особа.

Якщо відомство пише правила, то ДЦКЗ вмикає їх у розетку. На ньому тримається організаційно-технічна модель:

• захищений доступ органів влади до інтернету;
• антивірусний захист національних ресурсів і фільтрація пошти;
• система виявлення вразливостей і реагування на кіберінциденти;
• взаємодія команд реагування (CERT/CSIRT);
• резервування електронних ресурсів держави;
• очищення трафіку під час DDoS-атак, безпечний DNS;
• кіберрозвідка й оцінювання рівня захищеності.

Простими словами: ДЦКЗ — це інженери, а не законотворці. Бізнесу він майже не видимий: більшість сервісів установа надає органам влади й операторам критичної інфраструктури, а не приватним компаніям.

CERT-UA: коли інцидент уже стався

CERT-UA — урядова команда реагування на комп'ютерні надзвичайні події України. Вона працює у складі Держспецзв'язку, а історично виросла саме в ДЦКЗ. Це той учасник системи, з яким приватна компанія стикається найчастіше.

Що робить команда:

• приймає повідомлення про кіберінциденти — від органів влади й від приватних організацій;
• допомагає локалізувати інцидент і усунути наслідки;
• аналізує атаки й веде реєстр кіберінцидентів;
• публікує попередження про активні кампанії та індикатори компрометації — ними може скористатися будь-яка компанія (див. платформу MISP);
• співпрацює з міжнародними командами: CERT-UA акредитована у форумі FIRST.

Що змінилося у 2026 році. Затверджено вимоги до організаційно-технічної спроможності CERT-UA, а також галузевих і регіональних команд реагування — CSIRT (наказ Адміністрації Держспецзв'язку № 87 від 03.02.2026, чинний з 24 березня 2026 року). Логіка зрозуміла: одна команда на всю країну — вузьке горло, тому будують мережу команд із вимірюваними рівнями зрілості. Для бізнесу це означає, що з часом у вашій галузі може з'явитися «своя» команда — ближча, швидша й краще обізнана з вашою специфікою (див. як влаштований CSIRT).

Хто ще є в цій екосистемі

• НКЦК — Національний координаційний центр кібербезпеки, робочий орган РНБО. Координує гравців на стратегічному рівні; його керівником за посадою є Секретар РНБО.
• Кіберполіція Національної поліції — розслідує кіберзлочини. Саме туди подають заяву про злочин (див. відповідальність за DDoS).
• СБУ — контррозвідка в кіберпросторі, протидія кібертероризму й кібершпигунству.
• Національний банк — регулює безпеку в банківському секторі.
• ІСЗЗІ — Інститут спеціального зв'язку та захисту інформації НТУУ «КПІ ім. Ігоря Сікорського». Освітня, а не наглядова структура: звідти на ринок приходить помітна частка фахівців галузі.

Ширшу картину — з ролями, стандартами й тим, як усе це пов'язано, — розібрано в матеріалі система кібербезпеки.

Куди звертатися бізнесу: шпаргалка

Держава чи підрядник: хто що робить

Найдорожча помилка керівника звучить так: «Ми написали в CERT-UA — далі не наша турбота». Ось у чому різниця:

Тобто держава підсилює вашу оборону, але не заміняє її. Саме тому план реагування потрібен вам самим, а не «для галочки»: у ньому мають бути і контакти команди реагування, і контакти того, хто фактично рятуватиме ваші сервіси.

Що вказати в повідомленні про інцидент

Звернення опрацьовують швидше, коли конкретика є одразу. Мінімальний набір:

• коли помітили аномалію — дата й час, обов'язково з часовою зоною;
• що саме сталося: зашифровані файли, підозріла активність, недоступність сервісу, лист із вкладенням;
• які системи зачеплені й чи доступні вони з інтернету;
• сліди: підозрілі адреси, домени, хеші файлів, назви облікових записів;
• що вже зроблено: ізолювали, вимкнули, змінили паролі;
• контактна особа, яка справді відповідає на дзвінки й має доступ до систем.

Найчастіша помилка — «прибрати за собою» ще до звернення: перевстановити систему, витерти журнали, зняти сервер із мережі назавжди. Зберігайте журнали доти, доки фахівці не скажуть, що вони більше не потрібні.

Три сигнали, що вам справді варто звернутися

Дрібний вірус на одному ноутбуці — не привід писати листи. А от ці ознаки означають, що ваш випадок більший за вас:

• Схоже на цільову кампанію. Лист від імені відомої установи, підроблений домен, персоналізоване звертання до конкретного бухгалтера — це вже не масова розсилка навмання.
• Уражено підрядника або партнера. Атака через ланцюг постачання майже ніколи не буває поодинокою: якщо зламали вашого постачальника, поруч є ще десяток його клієнтів.
• Ваші журнали збігаються з чужим попередженням. Адреса чи хеш файлу з опублікованих індикаторів знайшлися у вашій мережі — отже, ви частина кампанії, яку вже відстежують.

Що відбувається після звернення

Магії тут немає: команда не «влітає» до вашої серверної з ноутбуками навперевіс. Типова послідовність виглядає так:

• тріаж — оцінюють, наскільки випадок масовий і чи схожий він на відому кампанію;
• уточнення — просять артефакти: журнали, зразки шкідливого файлу, перелік уражених машин;
• рекомендації — що ізолювати, що перевірити, де шукати сліди;
• індикатори — якщо кампанія нова, відомості про неї потрапляють у попередження для решти ринку.

Останній крок для вас найменш помітний, а для країни — найцінніший: ваш інцидент стає чиїмось завчасним попередженням.

Один інцидент — три адресати: як це виглядає на практиці

Уявімо логістичну компанію: у п'ятницю ввечері шифрувальник зупиняє облікову систему й половину складських терміналів. Хто отримує звернення:

1. CERT-UA — повідомлення про інцидент: що сталося, коли, які машини уражені, які сліди знайдено. У відповідь — рекомендації й перевірка, чи це вже відома кампанія.
2. Кіберполіція — заява про злочин: злам і вимагання викупу є кримінальним правопорушенням, і без заяви розслідування просто не почнеться.
3. Ваш підрядник або власний адміністратор — головна для бізнесу робота: підняти системи з резервних копій і повернути склад до роботи.

Якщо ж компанія є оператором критичного об'єкта, додається четвертий пункт — повідомити про кіберінцидент у порядку й строки, установлені для операторів.

Ці три (а іноді чотири) звернення не конкурують між собою. Вони закривають різні завдання: технічне, правове й відновлювальне.

Три речі, які варто знати заздалегідь

1. Звернення по допомогу — не запрошення на перевірку. Допомога під час інциденту й наглядові заходи — це різні процедури, різні підрозділи й різні підстави. Через страх «прийдуть і оштрафують» компанія мовчить — і залишається наодинці з атакою, про яку решта ринку вже попереджена.

2. Приватна компанія має таке саме право звернутися. Обов'язок повідомляти про кіберінциденти нормативно закріплений за операторами критичної інфраструктури. Для решти бізнесу це добровільний крок — але доступний і безоплатний.

3. Публікаціями можна користуватися, нічого не питаючи. Рекомендації й індикатори компрометації CERT-UA відкриті: не потрібні ні договір, ні звернення, ні реєстрація. Це найдешевший спосіб отримати користь від усієї цієї системи — і компанії, які роблять це регулярно, ловлять чужу атаку до того, як вона стає їхньою.