Закон про основні засади забезпечення кібербезпеки: розбір ключових статей

Одразу знімемо поширену плутанину. Запит «наказ про кібербезпеку» зустрічається часто, але такого документа не існує. Галузь регулює закон — «Про основні засади забезпечення кібербезпеки України» (№ 2163-VIII). Накази ж — це підзаконний щабель, вони деталізують окремі процедури й змінюються значно частіше (див. навігацію нормативкою).

Розберемо сам акт — статтю за статтею, без переказу очевидного. Практичний погляд на компанію винесено окремо: що саме вимагає від бізнесу.

Як його шукають

Пошукові варіанти множаться, хоча документ один:

• «закон про кібербезпеку України» — найкоротший розмовний варіант;
• «закон України про основні засади забезпечення кібербезпеки України» — повна офіційна назва, у якій країна згадується двічі;
• «ЗУ про основні засади забезпечення кібербезпеки України» — юридичне скорочення;
• «наказ про кібербезпеку» — те, чого не існує.

Останній варіант народжується з простої логіки: людина шукає документ, який їй наказує щось робити. Насправді ж приписи розкидані по десятках підзаконних актів, а сам закон задає лише каркас.

Карта акта: 15 статей

Документ невеликий. Прочитати можна за вечір — і це варто зробити хоча б раз, аби перестати переказувати чужі перекази.

Одразу порада щодо порядку читання: не йдіть підряд. Стаття 1 містить найбільше визначень, і з неї легко втомитися вже на п'ятому терміні. Розумніше почати з тієї статті, яка стосується особисто вас, а до термінів повертатися за потреби — так само, як ви користуєтеся словником, а не читаєте його від першої сторінки.

Статті 2–3: у що вписано цей акт

Розділ, який усі прогортають, а він пояснює головне: документ не самотній.

Правову основу галузі становлять Конституція, закони щодо основ національної безпеки, електронних комунікацій, захисту державних ресурсів, Конвенція щодо кіберзлочинності (та сама Будапештська), інші міжнародні договори, укази Президента, акти уряду.

Звідси два практичні наслідки.

Перший. Міжнародні договори — не декорація. Ратифікована конвенція діє, і саме вона задає рамку співпраці правоохоронців із закордонними колегами. Якщо ваш інцидент має слід за кордоном, розслідування піде цією колією.

Другий. Акт свідомо побудований як рамковий. Він визначає цілі, напрями, повноваження й засади координації — а не конкретні дії конкретної компанії. Шукати в ньому інструкцію так само марно, як шукати рецепт у кулінарній енциклопедії: жанр інший.

Стаття 1: терміни, де плутають найчастіше

Понятійний апарат — фундамент, на який спираються всі інші акти галузі. Тут же ховається найпоширеніша помилка.

Кібератака — це спрямовані, навмисні дії в кіберпросторі. Ключове слово — навмисні.

Кіберінцидент — подія або низка подій ненавмисного характеру (природних, технічних, технологічних, помилкових, зокрема через людський фактор) та/або таких, що мають ознаки можливої кібератаки.

Бачите вісь? Вона проходить не між «спробою» й «реалізованою подією», як пишуть у половині статей. Вона проходить між навмисністю й ненавмисністю. Адміністратор, який зніс бойову базу власною командою, спричинив кіберінцидент, хоча жодного нападника поруч не стояло.

Практичний наслідок відчутний: обов'язок повідомляти стосується кіберінцидентів, а не лише атак. Тобто про власну помилку, яка поклала критичний сервіс, теж треба сповіщати.

Кіберзахист визначено ширше, ніж зазвичай цитують: це не тільки запобігання й виявлення, а й ліквідація наслідків і відновлення сталості та надійності роботи систем. Тобто здатність підвестися після удару — теж частина кіберзахисту, а не окрема добра воля. Розмежування цих двох понять розібрано в матеріалі кіберзахист простими словами.

Термінологічна карта: п'ять понять, які плутають

Половина суперечок у цій галузі — суперечки навколо слів. Розкладемо по полицях.

Головне з цієї таблиці: кібербезпека — це стан, а кіберзахист — діяльність. Стан не купують і не впроваджують; його досягають діяльністю. Тому фраза «ми впровадили кібербезпеку» звучить для фахівця приблизно так само, як «ми впровадили здоров'я».

І звідси ж — розуміння, до кого йти. Зламали й вкрали гроші — поліція. Підозра на державного нападника — СБУ. Треба вибудувати захист — це вже ваша робота, а не чиясь.

Ще одна межа, яку варто провести. Кіберзлочин — категорія кримінального права: там є склад, потерпілий, слідство. Кіберінцидент — категорія технічна й управлінська: він існує навіть тоді, коли жодного злочину не сталося. Одна подія цілком може бути і тим, і тим одночасно — але порядок дій різний, і саме тому в плані реагування мають бути обидві гілки. Плутанина тут коштує дорого: організації або тягнуть із заявою до поліції, або, навпаки, чекають на слідство замість того, щоб відновлювати роботу.

Стаття 4: що саме захищають

Акт називає об'єкти, а не абстрактну «безпеку країни»:

• комунікаційні й технологічні системи, у яких обробляються національні інформаційні ресурси або які працюють в інтересах органів влади, місцевого самоврядування, правоохоронців, військових формувань;
• системи у сферах електронного урядування, електронних послуг, електронної комерції, електронного документообігу;
• об'єкти критичної інформаційної інфраструктури.

Зверніть увагу на другий пункт: електронна комерція згадана прямо. Тобто приватний бізнес присутній у переліку об'єктів із самого початку — питання лише в тому, чи потрапляє конкретна компанія під критичний статус.

Ще одна деталь, яку зазвичай проминають: технологічні системи згадані нарівні з комунікаційними. Це прямий уклін у бік промисловості — керування виробничими процесами, енергетика, водопостачання. Світ, де «безпека» довго означала каску й огорожу, а комп'ютери вважалися допоміжними. Сьогодні саме там найбільший розрив між реальним станом і очікуваннями: обладнання працює десятиліттями, оновлення страшне, а зупинка коштує дорожче за будь-який ризик. Розв'язання цього конфлікту — окрема інженерна дисципліна, і починається вона з визнання, що конфлікт узагалі є.

Стаття 5: хто відповідає

Координація. Її здійснює Президент через Раду національної безпеки й оборони. Робочим органом РНБО є Національний координаційний центр кібербезпеки — саме він зводить докупи дії різних відомств і координує реагування на кіберінциденти.

Основні суб'єкти:

• Держспецзв'язку — політика кіберзахисту державних ресурсів і об'єктів критичної інформаційної інфраструктури, державний контроль, координація інших суб'єктів щодо кіберзахисту;
• Національна поліція — протидія кіберзлочинності;
• СБУ — контррозвідка в кіберпросторі, протидія кібертероризму й кібершпигунству;
• Міноборони й Генштаб ЗСУ — кібероборона;
• розвідувальні органи — розвідувальна діяльність у кіберпросторі;
• Національний банк — банківська система.

Хто чим займається насправді й куди звертатися — розкладено в матеріалі Хто є хто в державному кіберзахисті.

Інші суб'єкти. Ось де починається бізнес. Заходи в межах компетенції здійснюють міністерства, місцеві органи влади, ЗСУ, оператори критичної інфраструктури, а також суб'єкти господарювання, громадяни й об'єднання, які надають послуги, пов'язані з національними ресурсами, електронними комунікаціями, захистом інформації та кіберзахистом.

Читайте уважно. Приватна компанія цілком може бути суб'єктом забезпечення кібербезпеки — насамперед як оператор критичної інфраструктури або як постачальник відповідних послуг. Статус виникає з того, що ви робите, а не з того, як себе називаєте.

Стаття 6: відповідальність власників і керівників

Найпрактичніша стаття для бізнесу. Вона покладає відповідальність за кіберзахист систем на власників та/або керівників підприємств, установ і організацій — разом з обов'язком невідкладно інформувати CERT-UA про кіберінциденти.

Тут же історично згадувалася організація незалежного аудиту інформаційної безпеки. Саме цю процедуру уряд і переписав: обов'язковий аудит із фіксованою періодичністю та інститут атестованих аудиторів згорнуто, натомість діє оцінювання стану кіберзахисту — з кількома видами та можливістю самооцінювання. Докладніше — у матеріалі аудит і оцінювання кіберзахисту.

Висновок для керівника. Слово «керівник» стоїть у тексті недарма. Це не фігура мови й не ввічливість — це адресат обов'язку.

І тут виникає найнезручніше питання всієї галузі: чи має ця людина повноваження? Відповідальність без бюджету, без доступу до першої особи й без права зупинити ризиковане рішення — це не відповідальність, а роль цапа-відбувайла. Перевірка бачить таку конструкцію одразу: досить спитати, коли відповідальний востаннє доповідав керівництву й чим це завершилося.

Стаття 7: принципи, які варто знати

Розділ, який зазвичай прогортають, а дарма. Один із принципів звучить так: мінімально необхідне регулювання. Рішення органів влади мають бути необхідними й мінімально достатніми для досягнення мети.

Навіщо це вам? Це аргумент. Коли на вас накладають обов'язок, обґрунтування якого зводиться до «так треба», ви маєте право спитати, наскільки цей захід мінімально достатній. Принцип працює й у зворотний бік: він же захищає регулятора від звинувачень у бездіяльності.

Поруч стоять принципи прозорості, правової визначеності та захисту прав користувачів — зокрема щодо невтручання в приватне життя.

Останній варто прочитати уважно тим, хто планує «тотальний контроль» усередині організації. Моніторинг співробітників, читання листування, запис екрана — усе це має межу, і межа ця не технічна, а правова. Захід, який суперечить праву людини на приватність, залишається незаконним навіть тоді, коли його ухвалили з найкращих міркувань безпеки.

Стаття 8: національна система кібербезпеки

Він визначає її як сукупність суб'єктів і взаємопов'язаних заходів — від правових і освітніх до оперативно-розшукових, розвідувальних та інженерно-технічних.

Що ця система має забезпечити:

• обов'язкові правила кіберзахисту об'єктів критичної інформаційної інфраструктури — з урахуванням міжнародних стандартів і галузевої специфіки;
• функціонування системи оцінювання захищеності;
• розвиток мережі команд реагування;
• кібернавчання й підготовку кадрів;
• обмін відомостями про кіберзагрози.

Кібернавчання варте окремої згадки. Це не курси для галочки, а регулярні вправи, під час яких організація перевіряє власний план на живому сценарії. Різниця відчутна: після першого ж навчання зазвичай з'ясовується, що резервний канал зв'язку не працює, контактів немає під рукою, а половина учасників уперше чує, хто ухвалює рішення про зупинку сервісу.

Останній пункт — той, що найчастіше лишається на папері. Обмін працює лише тоді, коли організації готові ділитися власними інцидентами, а не лише споживати чужі попередження.

Причина зрозуміла: розповісти означає зізнатися. Компанії бояться репутаційних наслідків, регуляторної уваги й позовів. Тому реальний обмін тримається на галузевих спільнотах і особистих контактах, а не на нормі. Змінити це можна лише одним способом — зробити так, щоб зізнання коштувало дешевше за мовчання. Поки що баланс зворотний, і саме тому індикатори компрометації часто з'являються за тижні після першого удару.

Статті 9 і 10: CERT-UA й державно-приватна взаємодія

Урядова команда реагування отримала окрему статтю. Це не просто «гаряча лінія»: команда приймає повідомлення, аналізує, попереджає інших і публікує індикатори компрометації.

Державно-приватна взаємодія — стаття, яка формально відкриває шлях до обміну відомостями між державою й бізнесом. На практиці цей канал працює рівно настільки, наскільки компанії довіряють державі, а держава — компаніям. Тут акт зробив те, що міг: створив рамку. Наповнити її мають самі учасники.

Як взаємодіяти з командою реагування на практиці. Найпоширеніша помилка — тягнути до останнього, поки «розберемося самі». Що корисно знати:

• сповіщати варто рано. Неповні дані краще за пізні: команда бачить схожі випадки в інших організацій і може одразу підказати, що саме у вас відбувається;
• мінімальний набір відомостей — час виявлення, що саме постраждало, які ознаки бачите, які дії вже вчинили. Ідеального звіту від вас ніхто не чекає;
• зберігайте журнали. Перше, що зникає під час поспішного «відновлення», — саме сліди. Робіть копію до того, як почнете лікувати;
• не чекайте на диво. Команда допоможе розібратися й попередить інших, але відновлювати системи доведеться вам.

Де шукати санкції

Стаття щодо відповідальності нікого не карає безпосередньо. Вона відсилає до інших актів — тож санкції треба шукати в Кодексі про адміністративні правопорушення та в Кримінальному кодексі, а не в самому законі.

Це типова конструкція для рамкових актів, і саме тому пошук фрази «яка відповідальність за порушення закону про кібербезпеку» майже завжди дає розчарування. Відповідь є, просто вона в іншому документі.

Практично ж найдорожче обходяться зовсім не штрафи. Найдорожче обходяться наслідки державного контролю: приписи, зупинені процеси, питання до керівника — і, як завжди, репутаційні втрати, яких у жодному кодексі не описано.

Що змінили останні редакції

Оновлення останніх років рухаються в одному напрямку:

• імплементація європейських підходів — насамперед логіки директиви NIS2;
• розширення повноважень Держспецзв'язку, СБУ, координаційного центру;
• інститут керівника з кіберзахисту в органах влади та на критичних об'єктах — з окремим порядком призначення;
• посилення звітності й моніторингу.

Практичний висновок звучить нудно, але саме він рятує гроші: читати акт треба, проте обов'язки шукати доведеться в постановах уряду й наказах. Саме там живуть строки, форми, переліки й процедури.

Як читати цей акт залежно від ролі

Одна й та сама сотня сторінок дає різну користь різним людям. Маршрути:

Керівнику. Стаття 6 — вона адресована особисто вам. Далі стаття 5, щоб зрозуміти, з ким доведеться взаємодіяти. На все — година.

Юристу. Статті 2–3 (правова основа), 7 (принципи) і 12 (відповідальність). Плюс прикінцеві положення: там ховаються перехідні норми, які часто вирішують справу.

Фахівцю з кіберзахисту. Стаття 1 (терміни — щоб говорити з регулятором однією мовою), 4 (об'єкти), 8 (система). А далі — одразу в підзаконку: саме там технічні вимоги.

Підряднику. Стаття 5, абзац щодо суб'єктів господарювання. Ви цілком можете виявитися суб'єктом забезпечення — і дізнатися це краще до підписання контракту, а не після.

Що зробити після прочитання

П'ять кроків, які не потребують ані бюджету, ані консультанта:

1. Визначте свій статус. Ви оператор критичної інфраструктури? Постачальник послуг зі списку статті 5? Ніхто з них?
2. Знайдіть відповідальну особу. Не відділ — людину, із прізвищем і наказом.
3. Перевірте, чи знаєте ви, куди сповіщати. Контакт команди реагування має бути в плані, а не в пам'яті одного адміністратора.
4. Погляньте на підзаконку. Саме там строки, форми й переліки, за якими вас перевірятимуть.
5. Занотуйте дату звірки. Галузь змінюється швидко, і торішній конспект уже може брехати.

Ці п'ять кроків не роблять організацію захищеною. Вони роблять інше — переводять її зі стану «ми щось чули» у стан «ми знаємо, де стоїмо». Різниця здається косметичною рівно доти, доки не настане перший інцидент: у першому випадку починається паніка й пошук винних, у другому — виконання плану.

Три помилки в читанні акта

1. «Кіберінцидент — це вдала атака». Ні. Вісь проходить по навмисності. Власна помилка адміністратора — теж інцидент, і сповіщати доведеться так само.
2. «Прочитав акт — знаю обов'язки». Не знаєте. Ви знаєте каркас. Обов'язки — на підзаконному щаблі, і саме він змінюється щокварталу.
3. «Це все про державу, нас не стосується». Стаття 5 прямо називає суб'єктами господарювання тих, хто надає відповідні послуги, а стаття 4 згадує електронну комерцію. Питання лише в статусі вашого об'єкта.

Три ознаки, що ви читаєте застарілий переказ

Матеріалів на цю тему в мережі багато, і більшість застаріла. Маркери:

1. Згадка обов'язкового незалежного аудиту з фіксованою періодичністю та атестованих аудиторів. Цю конструкцію згорнуто.
2. Мовчання щодо керівника з кіберзахисту. Якщо тексту невідома ця посада, він написаний до 2025 року.
3. Опис термінів через «спробу й реалізовану подію». Ознака того, що автор не відкривав першоджерела.

Хоча б один маркер — далі можна не читати. Відкривайте офіційний текст: він коротший, ніж здається, і чесніший за будь-який переказ.

І остання порада, яку дають рідко. Читати першоджерело неприємно: мова суха, речення довгі, перехресних посилань безліч. Але саме ця година неприємності відрізняє людину, яка розуміє свої обов'язки, від людини, яка переказує чужий блог. Різниця стає очевидною під час першої ж розмови з регулятором.