Положення і накази про захист інформації: навігація нормативкою

Законодавство із захисту інформації виглядає як лабіринт: закони, укази, постанови, накази, «НД ТЗІ» з номерами, які нічого не пояснюють. Проблема навіть не кількість документів. Проблема — відсутність пояснення логіки.

Покажемо. Далі ви орієнтуватиметеся самі.

Одразу домовимося щодо термінів. Коли кажуть «законодавство у сфері захисту інформації», мають на увазі не один акт, а шість щаблів документів різної юридичної сили. Плутанина між ними — джерело більшості дорогих помилок.

Піраміда: хто кому підпорядкований

Головне, що варто засвоїти: документи нерівні між собою. Вони утворюють піраміду, де кожен наступний щабель деталізує попередній.

Щабель 1 — закони. Базові чотири:

• базовий акт № 80/94-ВР — захищеність середовищ обробки;
• щодо основних засад кібербезпеки — національна система кіберзахисту;
• щодо критичної інфраструктури;
• суміжні: щодо інформації, доступу до публічних даних, персональних даних, державної таємниці.

Щабель 2 — укази. Тут живуть Стратегія кібербезпеки і положення про технічний захист інформації — документ, на якому тримається вся галузь ТЗІ.

Щабель 3 — постанови. Правила захищеності середовищ, порядки авторизації, реагування на кіберінциденти, оцінювання стану кіберзахисту, питання об'єктів критичної інформаційної інфраструктури. Докладніше — постанови КМУ та служба ЗІ.

Щабель 4 — накази регулятора. Профілі, порядок робіт, вимоги до виконавців, офіційні переліки.

Щабель 5 — НД ТЗІ. Класи, критерії захищеності, порядок створення КСЗІ, моделі загроз.

Щабель 6 — ваші власні документи. Їм присвячено окремий розділ нижче, бо саме тут найбільше хаосу.

Правило колізій. Документ нижчого щабля суперечить вищому — діє вищий. Але деталізацію шукайте внизу піраміди: закон каже «захищеність обов'язкова», а як саме — розкажуть НД ТЗІ й накази.

Чому старі карти нормативки брешуть

Ось де більшість статей на цю тему стають шкідливими. Галузь пережила перебудову, і кілька опор, на які всі звикли спиратися, зникли.

• Базовий акт переписано навесні 2025 року. Змінилися визначення, розподіл відповідальності й сама модель підтвердження захищеності.
• Модель «КСЗІ → державна експертиза → атестат» більше не єдина. Для нових середовищ працюють профілі й авторизація з безпеки, порядки яких уряд затвердив улітку 2025-го.
• Експеримент із декларуванням відповідності завершився. Постанова, що його запроваджувала, втратила чинність із початку 2026 року.
• Порядок аудиту інформаційної безпеки на об'єктах критичної інфраструктури замінено. Стара постанова відпала, натомість діє порядок оцінювання стану кіберзахисту — з іншою логікою і без колишнього інституту атестованих аудиторів.

Практичний висновок. Будь-яка стаття, методичка або комерційна пропозиція, написана до 2025 року, описує іншу галузь. Не тому що автор поганий, а тому що ландшафт змінився.

Хто за що відповідає серед регуляторів

Ще одна карта, без якої легко заблукати: відомств кілька, і кожне має власну ділянку.

• Держспецзв'язку — головний регулятор технічної захищеності. Накази, НД ТЗІ, профілі, авторизація, ліцензування робіт, офіційні переліки.
• CERT-UA — команда реагування. Норм не пише, зате приймає повідомлення щодо інцидентів і публікує попередження.
• Національний координаційний центр кібербезпеки при РНБО — координація й стратегічний рівень.
• СБУ — контррозвідувальне убезпечення держави, кіберзлочини проти основ національної безпеки.
• НКЕК — регулятор електронних комунікацій; його вимоги стосуються операторів, а не всіх поспіль.
• Національний банк — окремий світ. Для фінансового сектору вимоги встановлює саме він, і загальні правила там не діють.

Практичний висновок: перш ніж шукати норму, з'ясуйте, чия це ділянка. Половина безрезультатних пошуків — це пошук документа не в того відомства.

Найпоширеніше непорозуміння тут — вимагати від команди реагування нормативних роз'яснень, а від регулятора — допомоги з розслідуванням інциденту. Кожен робить свою роботу, і кожен робить її добре рівно доти, доки до нього приходять зі своїм питанням.

Три джерела, яким можна вірити

1. Офіційний портал законодавства. Закони, укази, постанови. Головна цінність — позначка «чинний» і дата поточної редакції. Це єдине місце, де текст оновлюється разом зі змінами.
2. Сайт Держспецзв'язку. Накази, нормативні документи ТЗІ, офіційні переліки: ліцензіати, дозволені засоби, авторизовані середовища.
3. Сайт CERT-UA. Не нормативка, а практика: попередження, індикатори компрометації, рекомендації після реальних інцидентів.

Усе інше — переказ. Ним зручно зорієнтуватися, проте посилатися варто лише на першоджерело.

Коли документа немає у відкритому доступі

Окрема ситуація, яка заганяє новачків на манівці. Частина документів галузі не публікується — наприклад, базові профілі для середовищ з обмеженим доступом надають власникам за окремим запитом, бо самі профілі можуть мати обмежений режим.

Що робити:

• не шукайте те, чого немає у відкритих джерелах. Витрачений тиждень нікому не потрібен;
• надішліть запит регуляторові. Це нормальна процедура, а не прохання про послугу;
• закладіть час на відповідь. Планування «отримаємо завтра» тут марне.

І пам'ятайте зворотний бік: якщо підрядник обіцяє «зробимо все за закритим документом, який ми вам не покажемо», — це привід поставити кілька незручних запитань.

Як перевірити, чи документ чинний

Найдорожча помилка — працювати за застарілою редакцією. Чек-лист на дві хвилини:

• Позначка на картці. «Чинний» чи «втратив чинність» — це перше, що варто побачити.
• Дата поточної редакції. Текст «станом на 2019 рік» міг відтоді змінитися двічі.
• Примітки в дужках. Просто в тексті закону вказано, яким актом і коли внесено кожну правку. Це безцінно: видно не лише що написано, а й коли це з'явилося.
• Зміна найменування. Класична пастка: базовий акт тричі змінював назву — АС, потім ІТС, тепер ІКС. Шукаючи за старим найменуванням, легко натрапити на архівний текст.
• Копії на сторонніх сайтах. Вони часто «заморожені» на редакції п'ятирічної давнини — і виглядають при цьому цілком солідно.

Скорочення, без яких не прочитати жодного документа

Мова галузі щільно набита абревіатурами. Мінімальний набір:

• ТЗІ — технічний захист інформації: інженерні заходи проти витоку технічними каналами.
• КЗІ — криптографічний захист.
• КСЗІ — комплексна система захисту інформації. Модель, яка для нових середовищ поступилася профілям.
• НД ТЗІ — нормативні документи системи ТЗІ. Технічний щабель піраміди.
• ІзОД — відомості з обмеженим доступом. Ключове поняття: саме воно вмикає обов'язки.
• ОКІ / ОКІІ — об'єкт критичної інфраструктури й об'єкт критичної інформаційної інфраструктури.
• АС, ІТС, ІКС — три послідовні назви одного поняття. Ви можете зустріти навіть запит «ЗУ про захист інформації в інформаційно-телекомунікаційних системах» — це той самий № 80/94-ВР під попереднім найменуванням.

Абревіатури тут працюють на економію часу: без них жоден документ галузі просто не читається.

Чотири пастки, на яких спотикаються

Пастка перша: дата ухвалення проти дати редакції. Це різні речі. Акт ухвалено 1994 року, а редакція — 2025-го. Плутанина тут виглядає як неохайність і одразу помітна юристові.

Пастка друга: стара термінологія рідко буває помилкою. НД ТЗІ досі оперують класами АС, і це нормально: терміни живуть за нормою, на яку спираються, а не за модою.

Пастка третя: «знайшов на форумі — значить чинне». Форумна відповідь трирічної давнини цілком може бути правильною на момент написання й геть хибною зараз.

Пастка четверта: пошук за словами замість номера. Найменування міняються, номер — ні. Шукайте за номером.

Пастка п'ята: «нам сказали в телефонній розмові». Усна консультація регулятора нічого не важить, коли доходить до перевірки. Потрібна відповідь — надсилайте письмовий запит. Так, це довше. Зате папір лишається, а слова — ні.

Пастка шоста: чужий шаблон замість власного тексту. Найдешевший спосіб отримати мертвий комплект документів — узяти чийсь зразок і замінити назву організації. Формально все на місці. Фактично ви щойно взяли на себе зобов'язання, яких не збираєтеся виконувати, і зафіксували їх письмово.

Три питання і щабель, де шукати відповідь

Найшвидший спосіб перевірити, чи зрозуміли ви піраміду.

«Чи зобов'язані ми взагалі?» — щабель 1. Відповідь дає закон: усе залежить від того, що обробляється, а не від того, як називається організація.

«Що саме треба зробити?» — щаблі 3 і 4. Постанови й накази описують процедуру: профілі, оцінювання, рішення, переліки.

«Як це має виглядати технічно?» — щабель 5. Класи, критерії, моделі загроз — це НД ТЗІ.

І класика: «Хто має право виконувати роботи?» Відповідь теж на щаблі 3–4: роботи з технічної захищеності ліцензовані, тож виконавця без ліцензії можна не слухати з першої хвилини.

Якщо ви ставите питання щабля 5 законодавцеві, а питання щабля 1 — підряднику, ви гарантовано отримаєте безглузді відповіді. І це не їхня провина.

Що робити, коли норми суперечать одна одній

Це трапляється частіше, ніж хотілося б, і паніки не варте.

Різні щаблі. Спрацьовує правило колізій: діє документ вищої сили. Наказ, який суперечить закону, просто не застосовується в цій частині.

Один щабель, різні відомства. Тут вирішує предмет. Норма галузевого регулятора для фінансового сектору сильніша за загальну — бо закон прямо віддав йому цю ділянку.

Стара норма проти нової. Пізніший акт того самого рівня має перевагу. Але дивіться на перехідні положення: вони часто зберігають чинність старих вимог для вже розпочатих робіт.

Норма проти практики. Найважчий випадок: написано одне, а регулятор роками робить інакше. Тут єдина розумна тактика — письмовий запит. Усна консультація нічого не варта, коли справа доходить до перевірки.

Ваші власні документи: що має бути

Щабель 6 піраміди — той, за який відповідаєте особисто ви. І саме тут найчастіше порожньо.

Положення про захист інформації — узагальнена назва для внутрішнього документа, який фіксує правила організації. Формально єдиного обов'язкового шаблону немає: залежно від того, що ви обробляєте, комплект відрізняється. Але каркас майже завжди однаковий.

Як писати таке положення, щоб воно жило. Структура, перевірена практикою:

1. Мета й межі. Що саме документ регулює — і чого він не стосується. Другий пункт важливіший за перший.
2. Ролі. Хто ухвалює рішення, хто виконує, хто контролює. Прізвища — окремим наказом, ролі — тут.
3. Правила. Коротко, зрозуміло, без переказу закону. Переказ нікому не потрібен: закон і так доступний.
4. Що робити, коли щось пішло не так. Порядок дій, канал сповіщення, строки.
5. Перегляд. Хто, коли й на підставі чого оновлює документ.

Три ознаки мертвого документа. Перевірте свій комплект — вони помітні одразу.

• Ніхто не знає, де він лежить. Документ, який шукають пів години, лежить мертвим вантажем.
• Він переказує закон. Половина сторінок — цитати, і жодного рядка про те, як саме працює ваша організація. Такий текст пишуть для комісії, а не для людей.
• Востаннє його чіпали кілька років тому. Змінилися ролі, зникли системи, з'явилися нові підрядники — а папір досі описує позаминулий світ.

Мертвий документ гірший за відсутність документа. Відсутність — це прогалина. Мертвий документ — це доказ, що правило існувало й ви його порушили.

Звідси проста порада щодо обсягу: краще п'ять сторінок, які виконуються, ніж п'ятдесят, які лежать. Комісія читає не кількість аркушів, а відповідність між написаним і побаченим. Розбіжність між цими двома реальностями — найгірше, що можна принести на перевірку, і саме вона перетворює формальний захід на неприємну розмову з наслідками.

Дві поради, які економлять місяці.

• Не пишіть «під комісію». Документ, який ніхто не виконує, гірший за його відсутність: він доводить, що правило було, а ви його порушили.
• Датуйте перегляд. Кожен документ має рядок «переглянуто станом на…». Без цього рядка комплект старіє непомітно.

Європейський вектор: NIS2

Окремо варто знати директиву про безпеку мережевих та інформаційних систем — базовий документ ЄС щодо кібербезпеки, відомий як NIS2.

Чому це стосується українського бізнесу:

• національні норми наближаються до європейських підходів — це прямо закладено до змін останніх років;
• коло зобов'язаних компаній ширшає: воно давно не обмежується класичними «критичними» об'єктами;
• посилюється відповідальність керівництва й вимоги до звітування щодо інцидентів;
• ланцюг постачання під прицілом: великі замовники перевіряють підрядників дедалі жорсткіше.

Що саме вимагає директива, якщо коротко: облік суб'єктів, керовані заходи безпеки на основі ризиків, швидке звітування щодо інцидентів (попереднє сповіщення — протягом доби, докладніше повідомлення — за кілька діб, підсумковий звіт — пізніше) і персональна відповідальність керівництва. Знайома логіка? Саме так — вона майже дослівно повторює те, до чого рухаються національні норми.

Важливо розуміти механіку. Директива — це не акт прямої дії навіть усередині ЄС: кожна країна ухвалює власний закон, який її впроваджує. Тому «відповідність NIS2» як така нікому не видається — видається відповідність національному закону конкретної країни. Для українського постачальника це означає просту річ: питати треба не «чи відповідаємо ми директиві», а «яких саме вимог від нас чекає цей замовник».

Практичний висновок. Навіть якщо сьогодні жоден національний акт вас не зобов'язує, напрямок руху очевидний. Найдешевший спосіб підготуватися — вибудувати керовану систему за ISO 27001: логіка там та сама (ризики → заходи → контроль), яку очікують і регулятори, і партнери.

Що читати першим, якщо ви новачок

Маршрут на перший тиждень, за зростанням болю:

1. Базовий акт цілком. Він короткий — тринадцять статей. Дві години, і ви розумієте каркас.
2. Постанову з порядками профілів і авторизації. Саме вона описує сьогоднішню процедуру.
3. Один НД ТЗІ — будь-який, для відчуття мови технічного щабля.
4. Закон щодо основних засад кібербезпеки — якщо ваша організація має хоч якийсь стосунок до критичної інфраструктури.
5. Власні документи організації. Так, наприкінці. Спершу зрозумійте, як має бути, і лише потім дивіться, як є, — інакше ви просто законсервуєте чужі помилки.

Як зробити власну карту нормативки

Найкорисніша практика з усіх описаних — і водночас найдешевша.

Заведіть одну таблицю. Рядок — акт, на який ви спираєтеся. Колонки: номер, дата ухвалення, чинна редакція, дата вашої останньої звірки, посилання.

Що це дає:

1. Ви бачите, що застаріло. Дата звірки старша за пів року — час перевіряти.
2. Ви швидко відповідаєте на запит. Перелік готовий, шукати нічого.
3. Ви ловите чужу халтуру. Підрядник приносить пропозицію — звіряєте з таблицею й одразу бачите, чи він у сьогоднішньому дні.

Формат навмисно примітивний. Спокуса зробити «правильно» — з категоріями, тегами, посиланнями одне на одного — губить справу: складну таблицю ніхто не веде. Проста живе роками, бо оновити її можна між двома дзвінками.

Рядок такої таблиці виглядає буденно: «№ 80/94-ВР | ухвалено 05.07.1994 | чинна редакція від 20.04.2025 | звірено 01.07.2026 | посилання». Уся цінність — у передостанній колонці.

Півгодини роботи раз на квартал. Це буквально найвигідніша інвестиція часу з усіх, які тут описано.

І ще одна деталь, яку варто закласти одразу: колонка «хто відповідає». Коли карта є, а прізвища біля неї немає, вона старіє точно так само, як усе інше. Тому останній рядок таблиці найкраще присвятити самій таблиці: хто веде, хто перевіряє, коли наступна звірка.

Як стежити за змінами без юриста

Реалістичний мінімум для організації, яка не тримає власного правника.

1. Календар. Раз на квартал — перегляд карти нормативки. Півдня — і ви знову орієнтуєтеся.
2. Дві-три галузеві розсилки. Регулятор і команда реагування публікують новини самі; читати їх дешевше, ніж дізнаватися про зміни від перевіряльників.
3. Один відповідальний. Людина, а не «відділ». Завдання, розподілене на всіх, залишається без виконавця.
4. Правило перед підписом. Будь-який документ, що йде назовні, звіряється з картою. Це п'ять хвилин, які рятують від сорому.

Цього достатньо. Ніхто не вимагає від вас читати кожну постанову — вимагають не спиратися на скасовані.

І остання думка, яка чомусь звучить рідко. Знання нормативки нікого ще не вберегло від інциденту. Вона потрібна для іншого: щоб ваші рішення були захищені не лише технічно, а й юридично, і щоб під час розбору ви могли показати не наміри, а документи. Це різні задачі, і плутати їх не варто: папка з бездоганними паперами й дірявий периметр — така сама поразка, як міцний периметр і повна відсутність доказів того, що ви бодай щось робили.