Закон про захист інформації: що вимагає і кого стосується

Коли шукають «закон про захист інформації», майже завжди мають на увазі один документ — № 80/94-ВР, ухвалений 5 липня 1994 року. Він чинний і сьогодні, а поточна його назва — «Про захист інформації в інформаційно-комунікаційних системах».

У квітні 2025 року цей акт пережив найбільшу перебудову за два десятиліття. Закон № 4336-IX переписав ключові визначення, уточнив, хто відповідає за захищеність, і замінив стару модель підтвердження на авторизацію з безпеки. Через це більшість матеріалів у мережі описує вже неіснуючий порядок. Розберемо документ так, як його читає практик: що всередині, кого зобов'язує і де починаються реальні наслідки.

Як його шукають і чому назв так багато

Той самий акт називають щонайменше п'ятьма способами:

• «закон України про захист інформації» — найточніший розмовний варіант;
• «ЗУ про захист інформації» — скорочення, звичне для юристів;
• «закони про захист інформації» — множина, ніби йдеться про збірку;
• «закони інформаційної безпеки» — узагальнення, під яким розуміють усю галузь;
• «закон про захист інформації в АС / ІТС / ІКС» — за трьома назвами, які документ мав у різні роки.

Множина тут закономірна: галузь справді тримається одразу на кількох актах. Поруч працюють норми щодо основних засад кібербезпеки, щодо критичної інфраструктури, постанови Кабінету Міністрів, накази Держспецзв'язку та нормативні документи з ТЗІ. Але фундамент — саме № 80/94-ВР: решта добудовується на його термінах.

Що всередині: 13 статей

Документ компактний — прочитати можна за півгодини. Ось карта:

Якщо треба швидко з'ясувати власний обов'язок — читайте статті 8 і 9. Решта або пояснює терміни, або адресована державі.

Як переконатися, що ви читаєте чинну редакцію

Найпоширеніша причина хибних висновків — застарілий текст. Три кроки, які знімають ризик:

1. Відкривайте документ за номером 80/94-ВР на офіційному порталі, а не за назвою в пошуковику: назву міняли тричі, тож пошук за словами дає то архівні редакції, то чужі акти, а номер незмінний із 1994 року.
2. Перевірте позначку «поточна редакція» та дату. Якщо дата раніша за 20 квітня 2025 року — ви дивитеся минуле.
3. Звіряйте статті 8, 9 і 10: саме вони змінилися найсильніше, і саме на них найчастіше посилаються старі технічні завдання.

Окремо застерігаємо щодо чужих переказів. Стаття в блозі юридичної фірми може бути бездоганною — і водночас дворічної давнини, бо дати оновлення там просто немає. Тезу, від якої залежать гроші, звіряють із першоджерелом, а не з переказом переказу.

Чотири ролі, які плутають найчастіше

Акт розводить учасників, і від ролі залежить обсяг обов'язків:

• володілець інформації — той, кому належать права на відомості; він визначає порядок доступу та перелік користувачів;
• власник системи — той, кому належить право власності на середовище обробки;
• розпорядник системи — особа, якій власник передав право розпоряджатися середовищем за договором чи дорученням;
• користувач — той, хто в установленому порядку отримав право доступу.

Володілець і власник — часто різні особи. Компанія орендує хмару: права на масив належать їй, а середовище належить провайдеру. Ролі можуть і збігатися — тоді все простіше. Але щойно з'являється підрядник, схема розгалужується, і саме тут народжується більшість спорів. Класична пастка: хмарний провайдер вважає, що відповідає лише за роботу платформи, замовник — що купив «усе разом», а в контракті не написано ані слова про журнали доступу. Виявляється це, як правило, у найгіршу мить — коли треба довести, хто й коли відкривав теку.

Договір як головний інструмент

Три статті поспіль присвячені відносинам — і всі три ведуть до одного висновку: основним регулятором є договір.

• Стаття 5. Власник середовища забезпечує захищеність відомостей на умовах, визначених у договорі з володільцем. На вимогу володільця він зобов'язаний надати дані щодо вжитих заходів.
• Стаття 6. Власник знайомить користувача з правилами й режимом роботи середовища та надає доступ згідно з визначеним порядком.
• Стаття 7. Якщо одне середовище обробляє відомості з іншого, власник першого не лише забезпечує їхню захищеність, а й сповіщає власника другого, якщо виявив факти несанкціонованих дій.

Остання норма — найнедооціненіша. Вона означає, що інтегратор, який тримає ваші дані у своєму контурі, юридично зобов'язаний вас сповістити. Але доки в договорі немає строку такого сповіщення, обов'язок залишається деклараційним. Формулювання «сторони вживають необхідних заходів» закриває рівно нічого. Робочий пункт звучить інакше: строк сповіщення в годинах, канал, контактна особа, глибина журналів, порядок передавання справ.

Що змінив 2025 рік у самих визначеннях

Дві правки виглядають косметично, а насправді переставляють акценти.

Перша. Захист інформації в системі тепер визначено як діяльність, спрямовану на запобігання порушенню цілісності, конфіденційності і доступності. Попередня редакція говорила про запобігання несанкціонованим діям. Фокус змістився з дій зловмисника на результат: якщо реєстр недоступний користувачам через помилку власного адміністратора, властивість зруйновано — і байдуже, чи був там нападник узагалі.

Друга. Витік — це результат дій або бездіяльності. Відкрите сховище без пароля, забутий тестовий сервер, надто широкі права доступу — усе це витік, навіть за відсутності будь-якого зламу.

Додалися й нові терміни: комплекс технічного захисту інформації, пристрої обробки інформації (техніка, у якій неможливо реалізувати розмежування доступу користувачів) і авторизована система з безпеки.

Об'єкт вужчий, ніж здається

Стаття 2 називає лише два об'єкти: відомості, що обробляються, і програмне забезпечення для їх обробки. Сервер, канал зв'язку та приміщення залишаються поза цим переліком.

Чому це важливо. Інженерний периметр завжди ширший за юридичний: щоб уберегти масив даних, доводиться убезпечувати й техніку, і мережу, і кімнату. Але мета робіт — саме відомості та програми. Виконавець, який продає «убезпечення серверної» без відповіді на питання «які саме масиви та які їхні властивості ми бережемо», підміняє мету засобом.

Зворотний бік варто тримати в голові так само: якщо масив зник разом зі згорілим сервером, юридичною втратою буде саме масив, а залізо — лише його носієм. Тому кошторис починають з переліку масивів, а вже потім переходять до обладнання.

Хто відповідає (стаття 9)

Тут три норми, і кожна б'є по конкретній ілюзії.

1. Обов'язок забезпечити захищеність покладається на власника або розпорядника середовища. Слова «або розпорядника» з'явилися 2025 року й закрили стару лазівку: віддали інфраструктуру на зовнішній підряд — обов'язок нікуди не подівся, він просто отримав другого адресата. Підрядник не є щитом.
2. Власник середовища, де обробляються державні ресурси або відомості з обмеженим доступом (ІзОД), утворює підрозділ із кіберзахисту або призначає осіб, відповідальних за захищеність і контроль за нею. Зверніть увагу: норма не звужена до державного сектору за формою власності.
3. Виявивши спроби або факти несанкціонованих дій щодо таких відомостей, власник сповіщає Держспецзв'язку чи її регіональний орган. Це саме обов'язок, а добра воля тут ні до чого.

Стаття 8: де вимоги стають жорсткими

Найдовша стаття задає умови обробки. Найкоротший переказ:

• звичайний випадок — умови визначає власник (розпорядник) з урахуванням вимог законодавства;
• державні ресурси та ІзОД у середовищах органів влади, держпідприємств і місцевого самоврядування мають оброблятися в авторизованих системах з безпеки або через сертифікат відповідності стандарту інформаційної безпеки, виданий органом з оцінки відповідності;
• державна таємниця — найсуворіший режим: комплекс ТЗІ з підтвердженою відповідністю та ліцензовані криптографічні засоби; шлях через сертифікат тут закритий;
• географія має значення: жодному елементу середовища заборонено розташовуватися на тимчасово окупованій території чи на території держави-агресора, а власником елемента заборонено бути резиденту такої держави або підсанкційній особі;
• фінансовий сектор під наглядом НБУ живе за вимогами свого регулятора, а не за загальними.

Хмара, копії та воєнний стан

Окремий пласт норм з'явився у 2022 році й далі уточнювався. Він вирішує завдання, якого в 1994-му ніхто й не уявляв: як зберегти державні реєстри, коли будівлі більше немає.

• Володільці державних ресурсів можуть укладати договори щодо технічного адміністрування реєстрів з іноземними надавачами хмарних послуг — на час воєнного стану та шість місяців після нього.
• Резервні копії створюють на окремих носіях у зашифрованому вигляді, з можливістю переміщення й зберігання поза межами країни, зокрема в закордонних дипломатичних установах.
• Розміщувати середовища чи копії на окупованій території або в державі-агресорі заборонено — без винятків.

Приватного бізнесу ці норми прямо не стосуються, та логіка тут універсальна. Копія, що лежить у тій самій серверній, рятує від збою диска — і геть безсила проти пожежі, вилучення техніки чи шифрувальника, який дійшов до мережевої теки. Друга думка, яку варто взяти собі: контракт із хмарним провайдером обов'язку з вас не знімає, він лише описує, чим саме провайдер вам допомагає.

І головне спостереження з практики. Найдорожчі втрати трапляються тоді, коли копія ніби є — але розгорнути її жодного разу навіть не пробували. Перевірка відновлення забирає півдня раз на квартал і залишається найдешевшою страховкою з усіх наявних.

Авторизація з безпеки замість атестата

Головна новація 2025 року. Замість одного великого проєкту й статичного документа про відповідність — рухома конструкція з трьох рівнів:

• базовий профіль безпеки — мінімальний набір заходів, який затверджує держава;
• галузевий профіль — уточнення для сфери чи галузі, погоджене з Держспецзв'язку;
• цільовий профіль — розробляє й затверджує сам власник (розпорядник) середовища, спираючись на базовий рівень, призначення системи, її характеристики та результати аналізу ризиків.

Далі — рішення щодо можливості експлуатації та внесення до переліку авторизованих систем. Він відкритий, загальнодоступний і безоплатний — крім позицій, доступ до яких обмежено. Тобто перевірити статус чужого середовища можна, не питаючи дозволу в його власника.

Важливо для тих, хто вже вклав гроші: КСЗІ та системи управління з підтвердженою відповідністю, створені до набрання чинності змінами 2025 року, застосовуються за умовами свого створення й не потребують повторного підтвердження. Отже, проєкт КСЗІ, завершений вчасно, на макулатуру не перетворився. Покроковий розбір чинного порядку — у матеріалі Закон про захист інформації в ІКС: розбір вимог.

Відповідальність: стаття 11 нікого не карає

Найчастіша хиба — очікувати від акта санкцій. Стаття 11 бланкетна: винні особи несуть відповідальність «згідно із законом». А отже, санкції треба шукати в інших документах.

Кримінальний кодекс, стаття 363. Порушення правил експлуатації систем або порядку чи правил захисту інформації, яка в них обробляється, якщо це заподіяло значну шкоду. Суб'єкт спеціальний — особа, яка відповідає за експлуатацію. Перед судом опиняється не абстрактна установа, а конкретний адміністратор чи керівник підрозділу. Покарання — штраф від двох до чотирьох тисяч неоподатковуваних мінімумів доходів громадян, пробаційний нагляд або обмеження волі до трьох років, і в кожному варіанті — позбавлення права обіймати посади.

Кримінальний кодекс, стаття 361. Вона стосується вже не адміністратора, а зовнішнього втручання в роботу середовища — це відповідальність нападника.

Наслідки для установи. Приписи контролюючих органів, зупинення обробки до усунення порушень, у державному секторі — питання до керівника. А ще наслідки, яких у кодексах немає: зірваний тендер, розірваний контракт, репутація.

Кого це стосується — і кого справді ні

Обов'язки виникають насамперед у таких випадках:

• органи влади та місцевого самоврядування, державні підприємства й установи;
• власники (розпорядники) державних ресурсів;
• будь-хто, хто обробляє ІзОД, вимога щодо захисту якої встановлена законом;
• об'єкти критичної інформаційної інфраструктури;
• підрядники, які обслуговують такі середовища.

А приватна компанія без державних ресурсів і без ІзОД прямих обов'язків за цим актом не має. Її дисциплінує ринок: анкети замовників, умови тендерів, пункти контрактів і добровільні рамки на кшталт ISO 27001. Парадокс у тому, що вимога однаково прийде — просто не від держави, а від клієнта.

Чого документ не регулює

Межі так само важливі, як зміст. Поза його рамками залишаються:

• персональні дані як такі — їхній режим задає окремий акт, і вимоги там свої;
• режим секретності — державна таємниця живе за власним законом, а № 80/94-ВР лише додає технічні умови обробки;
• зміст відомостей — документ байдужий до того, що саме ви обробляєте; його цікавлять властивості й порядок доступу;
• комерційна таємниця без режиму — напис «конфіденційно» на теці жодних правових наслідків сам собою не створює: потрібні наказ, перелік відомостей і ознайомлення працівників під підпис;
• паперовий документообіг — акт написаний для середовищ електронної обробки, а шафа з теками живе за іншими правилами.

П'ять питань для самоперевірки

Найшвидший спосіб зрозуміти власний статус — відповісти письмово. Порожня клітинка тут не бюрократична дрібниця, а саме те місце, де перевірка ставить перше питання.

1. Які масиви ми обробляємо — і чи є серед них ІзОД або державні ресурси? Якщо перелік масивів ніде не зафіксований, решта питань втрачає сенс.
2. Хто володілець кожного масиву, а хто власник середовища — це одні й ті самі особи? Різні відповіді означають, що потрібен договір.
3. Чи є в договорі з підрядником строк сповіщення про інцидент і глибина журналів? Без цих цифр домовленість лишається порожньою.
4. Хто в нас прізвищем відповідає за захищеність — і чи закріплено це наказом? Роль без наказу існує тільки в розмові.
5. Коли ми востаннє звіряли документи виконавця — чинну ліцензію, склад команди, дату останніх робіт? Контракт, підписаний три роки тому, нічого не каже про сьогоднішню спроможність підрядника.

Що спитати у виконавця

Ринок іще перебудовується, тож питання-маркери економлять і гроші, і нерви:

• ви ведете нас до атестата чи до авторизації;
• який профіль ви берете за основу і хто його затверджує;
• як ви оцінюєте ризики й де це буде задокументовано;
• що саме отримає замовник на виході — перелік документів, а не гасло «повна відповідність».

Якщо на перше питання виконавець відповідає ухильно, розмову можна завершувати. Ринок консультантів досі рясніє пропозиціями, зліпленими з методичок п'ятирічної давнини, і відрізнити їх найлегше саме за словником: там, де мали б звучати «профіль», «оцінка ризиків» та «авторизаційний лист», лунає «атестат», «експертиза» й «повний пакет документів».

Чотири помилки в читанні документа

1. «Акт вимагає КСЗІ». Уже ні. Для нових середовищ чинна модель — профілі та авторизація з безпеки; обов'язку створювати комплексну систему в тому вигляді, як її описують старі методички, у тексті більше немає.
2. «ІТ віддали підряднику — з нього й попит». Стаття 9 адресує обов'язок власникові або розпоряднику. Договір перерозподіляє роботу, але відповідальності з вас не знімає. Практичний наслідок простий: якщо підрядник зник, а середовище лежить, пояснювати доведеться вам — і саме вашому прізвищу буде адресоване питання під час перевірки.
3. «У нас немає державної таємниці — усе це нас не обходить». Обмежений доступ — ширше поняття. Персональні дані, службові відомості, комерційна таємниця з уведеним режимом здатні втягнути компанію в орбіту вимог.
4. «Ми зробили КСЗІ у 2019-му — питання закрите назавжди». Раніше підтверджена відповідність справді працює далі, за умовами свого створення. Але щойно середовище суттєво модернізують, воно виходить за межі того, що колись оцінювали, — і повертається в чергу вже за новими правилами.