Закон про кіберзахист критичної інфраструктури: обов'язки суб'єктів

Найнеприємніший сценарій для компанії — дізнатися про свій статус уже з припису. Розберемо, які обов'язки покладає держава на операторів і що з цим робити.

Що таке ОКІ, КІІ й категорії критичності — у базовому матеріалі Критична інфраструктура: ОКІ і КІІ. Тут — саме обов'язки.

Як його шукають

Документ один, а запитів багато:

• «закон про критичну інфраструктуру» — найкоротший варіант;
• «закон України про критичну інфраструктуру» — з уточненням країни;
• «ЗУ про критичну інфраструктуру» — юридичне скорочення;
• «закон України про критичну інфраструктуру та її захист» — так звучав законопроєкт, і назва прижилася в пошуку;
• «закон про кіберзахист» — те, чого як окремого документа немає;
• «положення про кібербезпеку» — так само неіснуючий документ, за яким шукають внутрішні правила організації.

Два останні варіанти показові. Люди шукають один акт, який скаже, що робити. Реальність інша: обов'язки живуть одразу у двох законах і в десятку урядових постанов.

Два закони, що працюють у парі

• «Про критичну інфраструктуру» (№ 1882-IX) відповідає на питання «чи ви критичні»: що вважати критичним об'єктом, як його категоризують, хто цим опікується, які загальні обов'язки має оператор.
• «Про основні засади забезпечення кібербезпеки України» (№ 2163-VIII) відповідає на питання «як захищати цифрову частину» — див. розбір статей.

Перший визначає статус. Другий — цифрові обов'язки. Плутати їх — типова помилка, після якої компанія читає не той документ і робить не ту роботу.

Де шукати себе: сектори

Питання «чи ми критичні» починається не з юриста, а з галузі. Найчастіше об'єкти з таким статусом трапляються тут:

• енергетика — генерація, передавання, розподіл;
• електронні комунікації й зв'язок;
• транспорт — залізниця, авіація, порти, логістика;
• фінанси й банківська система;
• охорона здоров'я — від великих лікарень до лабораторій;
• водопостачання й водовідведення;
• харчова промисловість і продовольче забезпечення;
• державні реєстри й сервіси.

Перелік лишається відкритим і час від часу уточнюється. Але логіка стала: якщо зупинка вашої роботи болісно відгукнеться поза межами компанії — придивіться уважніше.

Хто такий оператор

Оператор — юридична особа будь-якої форми власності або фізична особа-підприємець, яка на правах власності, оренди чи інших законних підставах управляє об'єктом.

Ключове слово — будь-якої. Приватна компанія потрапляє під норми так само, як державне підприємство. Значення має не форма власності, а функція, яку ви виконуєте для економіки й безпеки країни.

Чотири категорії критичності

Обсяг усіх подальших обов'язків залежить від категорії. Логіка проста: масштаб наслідків від зупинки об'єкта.

Категорію визначає аж ніяк не розмір компанії й не її обіг. Невелика організація, від якої залежить водопостачання міста, цілком може отримати вищу категорію, ніж великий холдинг із мільярдним оборотом.

Звідси практичний висновок, який часто звучить неприємно: категорія — не нагорода й не покарання. Це оцінка наслідків, а не оцінка вас. Спроби «домовитися про нижчу категорію» — марна витрата часу й репутації: аргументом тут може бути лише зміна фактичної ролі об'єкта, а не переконливість презентації.

Що робити з невизначеністю

Найчастіше компанія опиняється в сірій зоні: наче й підпадає, наче й ні. Три робочі поради.

Перша: чекати листа марно. Мовчання відомства — то радше відстрочка, ніж індульгенція. Реєстри поповнюються, і колись ваш об'єкт до них потрапить. Питання лише в тому, чи будете ви до цього готові.

Друга: письмовий запит вартий години роботи. Усна консультація «нам сказали по телефону, що ми поза переліком» під час перевірки нічого не важить. Папір із відповіддю профільного органу — важить.

Третя: готуйтеся так, ніби відповідь буде «так». Більшість заходів корисні самі собою: перелік систем, відповідальна особа, план дій під час інциденту. Навіть якщо статус вас омине, ці речі зроблять компанію стійкішою.

Обов'язки оператора

1. Участь у категоризації. Її проводять секторальні органи разом з операторами — за методикою уряду (у банківській і фінансовій системах — за правилами Національного банку). Ваша частина: надати дані й обґрунтування.

2. Паспортизація. Після включення до реєстру оператора повідомляють, і він забезпечує складання паспорта безпеки об'єкта. Паспорт погоджує секторальний орган.

3. Виконання вимог за категорією. Що вища категорія, то суворіші правила. Стосується і фізичної охорони, і цифрового контуру.

4. План кіберзахисту. Уряд переписав загальні вимоги наприкінці 2025 року, і конструкція тепер така: оцінюємо поточний стан → визначаємо цільовий → складаємо план переходу. План переглядають щороку. Самі заходи описано окремим каталогом, побудованим за функціями міжнародного фреймворку, — тобто мовою, зрозумілою й закордонному партнерові.

Ключове слово тут — щороку. План, складений один раз і покладений на полицю, шкідливий. Він фіксує стан, якого вже немає, і створює розрив між документом і реальністю. Саме цей розрив під час перевірки виглядає найгірше — гірше, ніж чесна відсутність плану.

5. Відповідальна особа. Запроваджено інститут керівника з кіберзахисту. Для юридичних осіб — власників об'єктів критичної інформаційної інфраструктури першої та другої категорій — потрібна відповідальна особа з тими самими функціями. Для органів влади порядок призначення затверджено окремо, і там діє правило несумісності: цю роль не можна поєднувати з посадою, відповідальною за цифрову трансформацію.

6. Вимоги до самих систем. Окрема лінія обов'язків тягнеться від акта щодо захисту інформації: для нових середовищ це профілі безпеки й авторизація, а раніше створена КСЗІ з підтвердженою відповідністю працює далі, за умовами свого створення. Гроші, вкладені вчасно, лишилися при ділі.

7. Оцінювання стану кіберзахисту. Тут відбулася найбільша зміна — їй присвячено окремий розділ нижче.

8. Реагування й звітування. Взаємодія з CERT-UA, повідомлення про кіберінциденти. Внутрішній план реагування має стикуватися з національним.

9. Стійкість. Безперервність роботи й дії в кризових ситуаціях. Практичну рамку дає ISO 22301 — стандарт, який відповідає на питання «як працювати далі, коли вже сталося».

Паспорт безпеки: що це насправді

Слово лякає, зміст прозаїчний. Паспорт — це структурований опис об'єкта з погляду захищеності: що це за об'єкт, які процеси він забезпечує, від чого залежить, які загрози актуальні, які заходи вжито, хто відповідає.

Дві поради тим, хто робить це вперше.

• Ніколи не беріть чужий зразок. Паспорт із чужими загрозами й чужими процесами видно з першого погляду — і він одразу псує враження від усього іншого.
• Робіть його не першим і не останнім. Паспорт спирається на інвентаризацію й оцінку розриву: спроба скласти його на старті означає, що заповнювати доведеться навмання.

Погоджує паспорт секторальний орган. Це не формальність: саме там ставлять незручні запитання, на які всередині компанії ніхто не наважувався поставити.

Найкорисніша частина цієї роботи — не сам документ, а те, що з'ясовується під час його складання. Регулярно виявляється, що ніхто не знає повного переліку систем; що резервне живлення востаннє перевіряли три роки тому; що ключовий процес тримається на одній людині, яка от-от піде у відпустку. Паспорт просто змушує ці факти проговорити вголос.

Обов'язкового незалежного аудиту більше немає

Якщо ви читали, що оператор зобов'язаний раз на два роки замовляти незалежний аудит інформаційної безпеки в атестованого аудитора, — ця конструкція померла.

Постанова, що її запроваджувала, втратила чинність на початку 2026 року. Разом із нею зникли:

• обов'язковий аудит із фіксованою періодичністю за категоріями;
• інститут атестованих аудиторів (перелік так і не запрацював);
• заборона брати того самого аудитора двічі поспіль;
• обов'язок надсилати копію звіту державним органам у визначений строк.

Що натомість. Діє порядок оцінювання стану кіберзахисту. Логіка інша: кілька видів оцінювання замість одного жанру, планові й позапланові процедури, а виконавцем може бути як зовнішня сторона, так і сама організація — самооцінювання тепер повноцінний інструмент. Результат — звіт, який є однією з форм державного контролю. Докладніше — у матеріалі аудит і оцінювання кіберзахисту.

Як цим користуватися. Пропозиція «проведемо обов'язковий незалежний аудит згідно з постановою» у 2026 році — найдешевший спосіб відсіяти неохайного підрядника. Просто спитайте, за яким саме документом він працює.

Скільки це триває й де витрати

Чесна відповідь: конкретна сума залежить від масштабу, а структура витрат майже стала.

• Люди. Відповідальна особа з реальними повноваженнями — або нова позиція, або суттєве перевантаження наявної. Найдорожча стаття, яку регулярно забувають закласти.
• Час своїх фахівців. Інвентаризація, оцінка розриву, узгодження. Місяці, витрачені не на розвиток.
• Технічні заходи. Обладнання, ліцензії, впровадження. Помітна, але рідко найбільша частина.
• Оцінювання. Зовнішнє коштує грошей, внутрішнє — часу. Безкоштовних варіантів немає.
• Підтримка. Щорічний перегляд, навчання, оновлення документів. Це вже не проєкт, а постійний рядок бюджету.

Типова помилка планування — рахувати лише технічні заходи. Саме тому кошторис, погоджений у січні, до літа виявляється вдвічі меншим за реальність.

Щодо строків. Перший цикл майже завжди довший за розрахунковий: погодження всередині, черга до оцінювача, доукомплектування пакета після зауважень. Ці проміжки нікому не видно, доки вони не з'їдять квартал.

Хто ще у грі

• Кабінет Міністрів — перелік секторів, методики, порядки.
• Секторальні органи (профільні міністерства й агентства) — ведуть секторальні переліки, категоризують об'єкти, розробляють вимоги за категоріями, погоджують паспорти безпеки. Саме до них треба йти з питанням «чи ми критичні».
• Держспецзв'язку — кіберзахист інформаційної складової, державний контроль.
• Національний банк — фінансовий сектор живе за його правилами, а не за загальними.
• Реєстри. Ведуться два: реєстр об'єктів критичної інфраструктури й державний реєстр об'єктів КІІ. Відомості до другого подає сам оператор.

Практична підказка: половина безрезультатних звернень — це звернення не до того відомства. Спочатку з'ясуйте, чия це ділянка.

Ще одна деталь, яку варто знати заздалегідь. Відомості реєстру відкриті — крім тих, що мають обмежений доступ. Тобто перевірити статус контрагента можна й без його згоди. Працює це й у зворотний бік: ваш статус теж видно тим, кого він цікавить.

Практичний наслідок для тендерів: великий замовник дедалі частіше дивиться на статус підрядника перш ніж пускати його у власний контур. Тож бути оператором — це вже не лише тягар, а подекуди й аргумент.

Той самий механізм працює й усередині галузі. Оператори одного сектору поступово починають дивитися одне на одного: хто вже пройшов оцінювання, у кого є чинний план, хто мовчить. Репутація тут формується повільно, зате тримається довго — і в момент, коли доведеться просити допомоги під час інциденту, вона важитиме більше за будь-який документ.

Що робити, якщо ви (можливо) оператор

1. З'ясуйте статус. Подивіться свій сектор і зверніться до профільного органу. Чекати, «поки знайдуть», — найгірша стратегія: знайдуть у найгірший момент.
2. Уточніть категорію. Від неї залежить обсяг усього іншого.
3. Оцініть розрив між тим, що є, і тим, що вимагається.
4. Призначте відповідальну особу — наказом, із прізвищем, повноваженнями й доступом до першої особи.
5. Складіть план і поставте в календар його щорічний перегляд.
6. Заплануйте оцінювання. Саме в такому порядку — після плану, а не замість нього.
7. Будуйте систему, а не стос паперів. ISO 27001 добре лягає в основу: він дає ту саму логіку «ризики → заходи → контроль», якої очікує й регулятор.

Порядок тут не випадковий. Найпоширеніша помилка — почати з сьомого кроку, бо він найзрозуміліший і найлегше продається всередині компанії. Виходить система, збудована навколо неіснуючих загроз, і бюджет, витрачений на хибні заходи. Спершу статус, потім категорія, потім розрив — і лише тоді рішення.

І ще одна річ, яку варто зробити на самому початку: запишіть, хто ухвалює рішення зупинити процес. Не «ІТ-директор погоджує з керівництвом», а конкретне прізвище й конкретне право. Під час реального інциденту саме це питання підвішує все — доки шукають, хто має повноваження вимкнути, атака встигає розповзтися.

Що спитати у виконавця

Ринок ще перебудовується, тож питання-маркери економлять і гроші, і нерви:

• за яким документом ви працюєте? Якщо у відповідь лунає назва скасованої постанови — розмову можна завершувати;
• як ви оцінюєте розрив і де це буде задокументовано?
• хто саме оцінюватиме результат — ви чи незалежна сторона?
• що ми отримаємо на виході? Потрібен перелік документів і зрозумілий результат, а не гасло «повна відповідність».

Відповідь на перше питання зазвичай вирішує все інше.

І симетрична порада для тих, хто виконує роботи. Замовник рідко читає нормативку — він читає ваш документ і робить із нього висновки щодо вашої кваліфікації. Тому посилайтеся за номером акта, вказуйте чинну редакцію, явно називайте модель, за якою працюєте, і додавайте рядок «нормативна база актуальна станом на…». Одне речення — і питання «а ви взагалі стежите за змінами?» знімається ще до того, як прозвучить.

Головна помилка операторів

Сприймати статус як «ще одну паперову вимогу».

Це насамперед реальний ризик. Критичні об'єкти — пріоритетна мішень APT-груп, і мотивація в нападника тут зовсім не фінансова. Йому не потрібні ваші гроші. Йому потрібно, щоб ви зупинилися — узимку, у найгірший день, разом із половиною області.

Папери від цього не рятують. Рятує план, який хтось хоч раз перевірив на практиці.

Три сигнали, що ви вже в полі зору.

• Розвідка. Незвичні звернення до вашої зовнішньої периметрової адреси, спроби перебору, сканування портів, які раніше нікого не цікавили.
• Соціальна інженерія на конкретних людей. Не масова розсилка, а лист, який знає ім'я вашого головного інженера й назву вашого проєкту.
• Тиша в незвичному місці. Зниклі журнали, «випадково» вимкнений моніторинг на одному сегменті, обліковий запис підрядника, який чомусь активний уночі.

Жоден із цих сигналів сам собою нічого ще не доводить. Разом вони означають, що хтось витрачає на вас час. А час витрачають лише на ті цілі, які вважають вартими.

Звідси й головна відмінність від звичайної злочинності. Зловмисник, якому потрібні гроші, піде туди, де легше. Зловмисник, якому потрібен ваш зупинений об'єкт, залишиться на місці — він просто шукатиме довше. Захист від першого будується як огорожа: зробити себе незручною ціллю. Захист від другого будується як оборона: припустити, що всередину вже потрапили, і подбати про те, щоб це не означало кінець.

Три помилки, які коштують найдорожче

1. «Ми приватна компанія — нас це не обходить». Форма власності не має значення. Значення має функція.
2. «Купимо аудит і закриємо питання». Такого аудиту більше немає, а звіт нічого не закриває: він лише показує розрив, який доведеться усувати вам.
3. «План склали — можна забути». Не можна. Перегляд щороку, а після кожного серйозного інциденту — позачергово.
4. «Це відповідальність ІТ-відділу». Ні. Обов'язок адресовано власникам і керівникам. ІТ виконує, керівник відповідає — і саме до керівника прийдуть із питаннями.

Що зробити цього тижня

Мінімум, який обходиться без бюджету й без підрядника:

1. Напишіть, у якому секторі ви працюєте, і знайдіть профільний орган. П'ятнадцять хвилин.
2. Складіть перелік систем. Що обробляємо, де стоїть, хто адміністрував востаннє.
3. Знайдіть прізвище. Хто відповідає за цифрову захищеність? Якщо відповідь «айтішники» — відповідального у вас немає.
4. Перевірте контракти з підрядниками. Чи є там строк сповіщення щодо інциденту й глибина журналів?
5. Запишіть, хто має право зупинити процес. Одне речення, яке рятує години під час реальної події.

П'ять пунктів, жоден із яких нічого не коштує. Порожньо в трьох із п'яти — ви ще навіть не на старті, і це нормально: більшість організацій починають саме звідси.