Критична інфраструктура: ОКІ, КІІ та вимоги закону простими словами

Абревіатури ОКІ та КІІ звучать схоже — і тому їх постійно плутають: у тендерах, наказах, листуванні з підрядниками. Плутанина коштує дорого, адже за кожним скороченням стоїть окремий закон, окремий реєстр і окремий перелік обов'язків. Розберемо поняття, категорії та вимоги — простими словами й з опорою на чинні норми.

Критична інфраструктура: як її визначає закон

Базовий документ — Закон «Про критичну інфраструктуру» (№ 1882-IX), чинний із грудня 2021 року.

Об'єкт критичної інфраструктури (ОКІ) — актив, система або їх частина, важлива для економіки, національної безпеки та оборони: збій у роботі здатен зашкодити життєво важливим інтересам держави. Сукупність таких активів і утворює критичну інфраструктуру країни.

Якщо коротко: зупинка вашого підприємства спричинить кризову ситуацію для громади, регіону чи країни — воно може набути відповідного статусу. Типові сектори: енергетика, електронні комунікації, транспорт, фінанси, охорона здоров'я, водопостачання, продовольство.

Оператор — юридична особа будь-якої форми власності або фізична особа-підприємець, яка управляє таким активом на законних підставах. Тобто оператором цілком може виявитися приватна компанія, а не лише державне підприємство.

«Об'єкти ОКІ» — чому так писати не варто

У пошукових запитах і навіть у службових листах трапляється сполука «об'єкти ОКІ». Це тавтологія: перша літера скорочення вже означає «об'єкт», тож у фразі він з'являється двічі. Коректно — або абревіатура, або повна форма.

Дрібниця? Не зовсім. У технічному завданні чи договорі така неточність розмиває предмет: одна сторона має на увазі виробничий майданчик, друга — сервери, і кожна вважає, ніби домовилися. Класичний фінал — підрядник рахує паркан і камери, а замовникові потрібен був план кіберзахисту.

КІІ, інформаційна безпека і кіберзахист: де проходить межа

Критична інформаційна інфраструктура (КІІ) — цифрова складова: сервери, мережі, застосунки, системи керування технологічними процесами. Окремий елемент у ній називають ОКІІ. Регулює його вже інший закон — «Про основні засади забезпечення кібербезпеки України» (№ 2163-VIII).

Простіше кажучи: КІІ — це «цифрова нервова система» підприємства. Гідроелектростанція — актив у цілому; система керування її турбінами — його цифрова частина. Перше можна обгородити парканом і поставити охорону, друге — ні. Огорожа ніяк не завадить зловмиснику дистанційно змінити режим роботи насоса з іншої країни.

Трапляється в документах і третій термін — критична технологічна інформація: відомості, які обробляються в системах керування технологічними процесами.

Чотири категорії критичності

Закон установлює чотири категорії — залежно від масштабу наслідків:

• I категорія — особливо важливі. Мають загальнодержавне значення; збій призведе до кризової ситуації державного рівня.
• II категорія — життєво важливі. Наслідки — криза регіонального рівня.
• III категорія — важливі. Наслідки — криза місцевого рівня.
• IV категорія — необхідні. Наслідки — криза локального рівня.

Категоризацію виконують секторальні органи за Методикою, затвердженою Кабінетом Міністрів (постанова № 1109); у банківській та фінансовій системах свою роль відіграє Національний банк. Категорія — не формальність: від неї залежить обсяг вимог, аж до кадрових.

Кризова ситуація: слово, від якого все залежить

У законі є термін, повз який зазвичай проходять, — кризова ситуація. Це порушення або загроза порушення штатного режиму роботи, реагування на яке потребує залучення додаткових сил і ресурсів.

Саме масштаб такої ситуації задає категорію: локальна — четверта, державна — перша. Тому питання «якої ми категорії» насправді звучить інакше: наскільки далеко піде хвиля, якщо ми зупинимося. Оцінюють не збитки підприємства, а наслідки для тих, хто залишиться без послуги.

Два реєстри, які плутають

Реєстрів справді два, і кожен — про своє:

1. Реєстр ОКІ — про активи в цілому. Порядок ведення затверджено постановою № 415. Держателем є уповноважений орган, однак на час воєнного стану й дванадцять місяців після нього ці повноваження виконує Держспецзв'язку.
2. Державний реєстр ОКІІ — про цифрову складову. Відомості до нього подає сам оператор за формою, визначеною постановою № 943.

Розділення не випадкове: різні закони обліковують різні речі — перший реєстр веде облік активів та їх стійкості, другий — цифрових систем і їх кіберзахисту.

Після включення до реєстру оператора повідомляють — і тоді починаються обов'язки: паспортизація (порядок розроблення й погодження паспорта безпеки затверджено постановою № 818) та виконання вимог відповідно до категорії.

Зворотний шлях теж передбачено: відомості можна змінити або виключити — через секторальний орган, якщо обставини змінилися (підприємство припинило надавати відповідну послугу чи передало актив іншому власнику).

Реформа 2025–2026: правила змінилися

Більшість матеріалів в інтернеті описує стан до реформи — і тому вводить в оману. Ось як усе виглядає зараз.

• Закон № 4336-IX (березень 2025). Наблизив національні правила до європейських директив: запровадив ризик-орієнтований підхід і посаду керівника з кіберзахисту.
• Оновлені Загальні вимоги з кіберзахисту (постанова № 1470, чинна з 20 листопада 2025 року). Обов'язкові і для операторів, і для власників та розпорядників ОКІІ.
• Каталог заходів з кіберзахисту (наказ Держспецзв'язку № 75 від 30 січня 2026 року). Структурований за функціями NIST CSF 2.0 — управління, ідентифікація, захист, виявлення, реагування, відновлення. Базові заходи каталогу обов'язкові для всіх суб'єктів.
• Керівник з кіберзахисту. Порядок призначення затверджено постановою № 1516. Власник або розпорядник ОКІІ I чи II категорії критичності призначає відповідальну особу з тими самими функціями. У державних органах цю роль заборонено суміщати з посадою, відповідальною за цифрову трансформацію, — щоб той, хто впроваджує сервіси, не оцінював сам себе.
• Кібергігієна персоналу. Порядок проведення інструктажів і систематичних тренінгів затверджено окремою постановою: навчання людей стало вимогою, а не доброю звичкою.
• Фінансові установи, регульовані Національним банком, підпадають під окремі галузеві вимоги.

Головний зсув — у логіці. Раніше достатньо було «мати систему». Тепер вимога триетапна: оцінити поточний стан → визначити цільовий → скласти план кіберзахисту і рухатися до мети. Переглядають план щороку, а за зміни рівня ризику — одразу.

Практичний наслідок, про який рідко згадують: застаріли й документи підрядників. Технічні завдання та договори з інтеграторами, підписані раніше, нерідко посилаються на попередню редакцію вимог і на скасований додаток до неї. Перед новим тендером ці посилання варто перечитати — інакше ви купуєте роботи за правилами, яких уже немає.

Що просять показати під час перевірки

Ризик-орієнтований підхід має неприємну для формалістів властивість: він потребує доказів, а не папірців. Зазвичай питають:

• наказ про призначення відповідальної особи — з посадою й повноваженнями;
• реєстр ризиків із датами оцінювання та власниками ризиків;
• план кіберзахисту з відміткою про щорічний перегляд;
• підтвердження виконання базових заходів каталогу;
• журнали подій та докази їх регулярного перегляду;
• записи про інструктажі та тренінги з кібергігієни;
• перелік підрядників, які мають доступ до ваших систем: ланцюг постачання розглядають як окремий ризик.

Найчастіша прогалина — план існує, але слідів перегляду немає: документ датований роком створення й відтоді лишається без змін. Формулювання «ми плануємо» тут марне: перевіряють не наміри, а сліди виконання.

Як зрозуміти, чи стосується це вас

Чотири питання, на які варто відповісти чесно:

1. Яку послугу ви надаєте — і чи є вона життєво важливою для громади, регіону, держави?
2. Чи згадано ваш вид діяльності в секторальному переліку профільного міністерства?
3. Хто зупиниться разом із вами, якщо виробництво стане на тиждень?
4. Чи керує ваша ІТ-система фізичним процесом — теплом, водою, енергією, транспортом?

Дві відповіді «так» — привід звернутися до секторального органу по роз'яснення, не чекаючи листа. Секторальний орган — це профільне міністерство чи інший державний орган, який відповідає за політику у вашій галузі; саме він веде галузевий перелік і проводить категоризацію.

Відповідь «ми надто малі» не рятує: значення має не розмір компанії, а незамінність послуги. Невелика котельня, яка опалює лікарню, важить більше за великий склад із запчастинами.

Статус з'являється незалежно від вашого бажання — і від вашої необізнаності теж.

Обов'язки оператора: короткий перелік

Захист критичної інфраструктури тримається на двох опорах — фізичній та цифровій. Мінімум для другої:

1. Оцінити ризики й зафіксувати поточний та цільовий стан кіберзахисту.
2. Скласти план кіберзахисту й тримати його живим: з датами перегляду та прізвищами відповідальних.
3. Призначити відповідальну особу — конкретну людину, а не «весь ІТ-відділ».
4. Пройти незалежний аудит, якщо цього вимагає закон або секторальний орган.
5. Налагодити реагування — від плану дій до повідомлення CERT-UA.
6. Навчати персонал — і зберігати сліди навчання: відомості, дати, теми.
7. Подбати про стійкість — тут у пригоді стане ISO 22301.

Глибина цього переліку залежить від категорії: для четвертої вона скромніша, для першої — суттєво суворіша. Проте кожен пункт лишається на місці: різниця в деталізації, а не у складі переліку.

Чотири помилки, які дорого коштують

«Нас ніхто не повідомляв — отже, ми поза сферою». Статус виникає не з листа, а з рішення секторального органу й запису в реєстрі. Перевірити перелік — робота на кілька годин; дізнатися про обов'язки під час перевірки — набагато дорожче.

«Ми приватна компанія, нас це не стосується». Форма власності значення не має. Має значення послуга, яку ви надаєте, і наслідки її зникнення.

«У нас є КСЗІ — отже, усе закрито». Комплексна система захисту інформації підтверджує відповідність конкретної системи. Вона не заміняє ані управління ризиками, ані щорічний план, ані призначену відповідальну особу.

«ІТ у нас віддано на підряд — із підрядника й попит». Виконавець робить роботу, проте відповідальність лишається на операторі. Її не можна передати договором — можна лише розподілити обов'язки всередині нього.

Спільний знаменник усіх чотирьох — спроба перекласти відповідальність на когось іншого: на державу, на форму власності, на папір, на підрядника. Регулятор дивиться в інший бік — на людину, яка ухвалює рішення й підписує план.