Закон про кібербезпеку: що вимагає від бізнесу і кого стосується

Коли шукають «закон про кібербезпеку», майже завжди мають на увазі один документ — Закон України «Про основні засади забезпечення кібербезпеки України» (№ 2163-VIII). Питання, яке цікавить керівника, звучить прямо: чи стосується він мене і що доведеться робити.

Кібербезпека тут не гасло, а набір цілком приземлених обов'язків, і кожен із них має ціну. Відповідаємо чесно, без страшилок і без заспокійливого. Постатейний розбір самого документа — окремо, у матеріалі Розбір ключових статей. Тут — практичний погляд на компанію.

Одразу про назви

Ви могли зустріти найрізноманітніші варіанти: «закон України про кібербезпеку», «ЗУ про кібербезпеку», «законодавство про кібербезпеку» або просто запит «закон кібербезпека». Усі вони ведуть до одного акта — № 2163-VIII.

Утім, множина не безпідставна. Сам № 2163-VIII задає лише каркас: хто учасник національної системи, що є об'єктом кіберзахисту, які принципи діють. Конкретні обов'язки живуть у підзаконних актах — постановах уряду й наказах Держспецзв'язку. Тому «прочитати закон» і «зрозуміти свої обов'язки» — різні задачі. Друга складніша.

Кого це стосується: три категорії

Категорія 1. Прямі обов'язки є. Ви — оператор критичної інфраструктури або власник (розпорядник) об'єкта критичної інформаційної інфраструктури. Це цілком може бути приватна компанія: енергетика, зв'язок, транспорт, фінанси, охорона здоров'я. Обов'язки реальні, і їх перевіряють.

Категорія 2. Обов'язки приходять через договір. Ви — підрядник або постачальник послуг для держави чи оператора критичної інфраструктури. Формально акт вас не зобов'язує, але замовник перекладе обов'язки на вас контрактом. Джерело інше, наслідки ті самі.

Категорія 3. Прямих обов'язків немає. Звичайний бізнес без критичного статусу. Акт вас не зобов'язує, проте задає рамку, до якої рухається ринок.

Як перевірити, чи ви під нормами

Інтуїція тут поганий порадник. Практичний алгоритм:

1. Подивіться свою галузь. Енергетика, зв'язок, транспорт, фінанси, охорона здоров'я, водопостачання, харчова промисловість — сектори, де критичні об'єкти трапляються найчастіше.
2. Знайдіть свій секторальний орган. Категоризацію проводить не абстрактна держава, а конкретне профільне міністерство чи агентство. Воно й відповість на питання про ваш статус.
3. Перевірте реєстри. Ведуться реєстр об'єктів критичної інфраструктури та державний реєстр об'єктів критичної інформаційної інфраструктури. Відомості до другого подає сам оператор — тож, якщо ви впевнені, що вас там немає, варто перевірити двічі.
4. Подивіться на масштаб наслідків. Категорія критичності визначається не розміром компанії, а тим, що станеться, коли ваш об'єкт зупиниться: криза державного, регіонального, місцевого чи локального рівня.

Найгірша відповідь на питання «чи ми під нормами» — «здається, ні». Здається — це не статус.

Що доведеться робити тим, хто підпадає

Тут і криється головна пастка більшості статей на цю тему: вони переказують сам закон і мовчать про підзаконку. А обов'язки — саме там.

1. Мати план кіберзахисту й виконувати його. Загальні вимоги з кіберзахисту об'єктів критичної інфраструктури уряд переписав наприкінці 2025 року. Логіка тепер така: оцінюємо поточний стан → визначаємо цільовий → складаємо план переходу. План переглядають щороку. Заходи описано окремим каталогом, структурованим за функціями міжнародного фреймворку кіберзахисту, — тобто мовою, зрозумілою й за кордоном.

2. Призначити відповідального. З'явився інститут керівника з кіберзахисту. Для органів влади порядок призначення затверджено окремою постановою — і там є неочевидне правило: цю посаду не можна суміщати з посадою, відповідальною за цифрову трансформацію. Для юридичних осіб — власників об'єктів критичної інформаційної інфраструктури першої та другої категорій — потрібна відповідальна особа з тими самими функціями. Про те, як розводити ролі всередині компанії, — у матеріалі ІТ та ІБ: розподіл ролей.

3. Повідомляти про кіберінциденти. Взаємодія з CERT-UA й іншими учасниками національної системи. Діє Національний план реагування на кіберінциденти, і ваш внутрішній план реагування має з ним стикуватися. Окремо розібрано, куди звертатися після витоку даних.

4. Проходити оцінювання стану кіберзахисту. Ось де більшість матеріалів у мережі відверто дезінформує. Про це — окремий розділ нижче.

5. Навчати людей. Інструктажі та систематичні тренінги з кібергігієни — це вже не добра воля, а окрема вимога уряду. Персонал перестав бути «людським фактором» у виправдальному сенсі й став об'єктом керування.

6. Виконувати правила щодо систем. Зокрема ті, що випливають із акта про захист інформації в ІКС — аж до авторизації з безпеки або КСЗІ для раніше створених систем.

Найважливіше: обов'язкового «незалежного аудиту» більше немає

Якщо ви читали, що оператор критичної інфраструктури зобов'язаний раз на два роки замовляти незалежний аудит інформаційної безпеки в атестованого аудитора, — забудьте. Ця конструкція померла.

Постанова, що її запроваджувала, втратила чинність на початку 2026 року. Разом із нею зникли:

• обов'язковий аудит із фіксованою періодичністю;
• сам інститут атестованих аудиторів (перелік так і не запрацював);
• заборона брати того самого аудитора двічі поспіль;
• обов'язок передавати копію звіту державним органам у визначений строк.

Що натомість. Діє порядок оцінювання стану кіберзахисту. Логіка інша: замість одного жанру «аудит» — кілька видів оцінювання, замість зовнішнього виконавця з реєстру — і самооцінювання, і зовнішнє. Результат — звіт, який є однією з форм державного контролю. Докладніше — у матеріалі аудит і оцінювання кіберзахисту.

Практичний висновок. Комерційна пропозиція «проведемо обов'язковий незалежний аудит ІБ за законом про кібербезпеку» у 2026 році означає лише одне: виконавець не читав нормативку понад рік. Це найдешевший спосіб відсіяти неохайного підрядника — просто спитайте, за яким саме документом він працює.

Що змінилося у 2025–2026: стисло

Якщо ви орієнтувалися на матеріали дворічної давнини, ось короткий перелік того, що встигло застаріти.

Жодна з цих змін не зробила життя простішим. Але всі вони зробили його зрозумілішим: тепер видно, що саме перевірятимуть.

Куди рухається законодавство про кібербезпеку

Навіть якщо сьогодні вас це не обходить, тренд варто знати.

• Наближення до європейських підходів. Це прямо закладено в зміни останніх років. Наслідок — коло зобов'язаних компаній ширшатиме.
• Персональна відповідальність керівництва. Безпека перестає бути «проблемою ІТ-відділу»: за неї відповідає конкретна посадова особа, і це вже закріплено нормативно.
• Жорсткіше звітування про інциденти. Строки скорочуються, а мовчання дорожчає.
• Ланцюг постачання під прицілом. Великі замовники перевіряють підрядників дедалі прискіпливіше — і роблять це раніше, ніж держава ухвалить відповідну норму.

Практичний висновок. Якщо ви працюєте з великими клієнтами, держсектором чи європейськими партнерами — обов'язки прийдуть до вас раніше, ніж їх запровадить держава. Через тендер або контракт.

Три сценарії: що робити конкретно вам

Якщо ви оператор критичної інфраструктури або власник ОКІІ. Не імпровізуйте. Уточніть свою категорію критичності, призначте відповідальну особу наказом, оцініть розрив між поточним і цільовим станом, складіть план і поставте в календар його щорічний перегляд. Далі — оцінювання. Саме в такому порядку, а не навпаки.

Якщо ви підрядник. Читайте контракти до підписання. Обов'язки кіберзахисту коштують реальних грошей — інколи більше, ніж маржа проєкту. І окремо перевіряйте, чи не обіцяли ви замовникові процедуру, якої більше не існує.

Якщо прямих обов'язків немає. Не розслаблятися, але й не панікувати. Найрозумніше — вибудувати керовану систему за ISO 27001: вона дає ту саму логіку (ризики → заходи → контроль), якої очікують і регулятори, і партнери. Тоді будь-яка нова норма стане не катастрофою, а формальністю.

Що зробити наступного тижня

Мінімум, який не потребує ані бюджету, ані підрядника:

1. З'ясуйте свій статус. Ви в реєстрі об'єктів критичної інфраструктури? Якщо не знаєте — це вже відповідь, і починати треба звідси.
2. Знайдіть прізвище. Хто у вас відповідає за кіберзахист? Якщо відповідь «айтішники» — відповідального немає.
3. Перевірте контракти з підрядниками. Чи є там строк сповіщення про інцидент і глибина журналів?
4. Складіть перелік систем. Що обробляємо, де, який статус даних.
5. Спитайте виконавця, за яким документом він працює. Відповідь скаже вам більше, ніж уся презентація.

Порожньо в трьох пунктах із п'яти — ви ще навіть не на старті. Але це нормально: майже всі починають саме звідси.

Скільки це коштує насправді

Чесна відповідь: конкретна сума залежить від масштабу, а от структура витрат майже завжди однакова.

• Люди. Найдорожча стаття, яку регулярно забувають закласти. Відповідальна особа з реальними повноваженнями — це або нова позиція, або суттєве перевантаження наявної.
• Час своїх фахівців. Інвентаризація, оцінка розриву, узгодження плану. Місяці, витрачені не на розвиток.
• Технічні заходи. Обладнання, ліцензії, впровадження. Помітна, але зазвичай не найбільша частина.
• Оцінювання. Зовнішнє коштує грошей, самооцінювання — часу. Безкоштовних варіантів немає.
• Підтримка. Щорічний перегляд плану, навчання, оновлення документів. Це вже не проєкт, а постійна стаття бюджету.

Найпоширеніша помилка планування — рахувати лише третій пункт. Саме тому кошторис, погоджений у січні, до літа виявляється вдвічі меншим за реальність.

Три помилки, що коштують найдорожче

1. «Ми не критична інфраструктура, отже нас це не стосується». Перевірте статус, а не інтуїцію. Приватна енергокомпанія, обласний оператор зв'язку, велика клініка — усі вони цілком можуть виявитися під нормами.
2. «Купимо аудит і закриємо питання». Немає більше такого аудиту. А головне — звіт нічого не закриває: він лише показує розрив, який доведеться усувати.
3. «Призначили відповідального в наказі — і досить». Роль без повноважень, бюджету й доступу до керівництва існує лише на папері. Перевірка це бачить одразу.
4. «Прочитали закон — знаємо обов'язки». Ні. Закон задає каркас, а обов'язки живуть у постановах і наказах, які змінюються значно частіше. Читати треба обидва шари, і другий — уважніше.