Ризик-орієнтована модель кіберзахисту: що постанова № 1470 змінює для оператора критичної інфраструктури (2026)

Оператор критичної інфраструктури — так постанова Кабінету Міністрів № 1470 називає суб'єкта, для якого 20 листопада 2025 року змінилися правила кіберзахисту. Без гучних анонсів у медіа, але з цілком конкретними наслідками для щоденної роботи служби безпеки: Загальні вимоги до кіберзахисту об'єктів критичної інфраструктури переписали, і головна зміна — перехід від статичного переліку «зробіть це, зробіть те» до моделі, побудованої на управлінні ризиками кібербезпеки.

Раніше оператор критичної інфраструктури здебільшого закривав фіксований список вимог і жив спокійно до наступної перевірки. Тепер доведеться постійно оцінювати власні ризики, документувати цільовий стан кіберзахисту і щороку переглядати план дій — практично так само, як цього вимагає система управління інформаційною безпекою за стандартом ISO/IEC 27001, який ми детально розбирали в повному посібнику з сертифікації ISO/IEC 27001. Збіг не випадковий, і саме про це ця стаття.

Переказу постанови пункт за пунктом тут не буде — повний текст доступний на сайті Верховної Ради. Натомість розберемо, що ризик-орієнтована модель означає на практиці для оператора критичної інфраструктури, де вона фактично повторює логіку ISO/IEC 27001, і чому закон № 4336-IX не варто називати «законом про NIS2» — це спрощення, яке краще одразу виправити.

Постанова Кабінету Міністрів № 1470 від 13 листопада 2025 року не створює новий нормативний акт з нуля — вона вносить зміни до постанови № 518 від 19 червня 2019 року і викладає Загальні вимоги до кіберзахисту об'єктів критичної інфраструктури в новій редакції. Навіть у назві є показова деталь: слова «вимоги ДО кіберзахисту» замінили на «вимоги З кіберзахисту» — дрібниця для юриста, але сигнал того, що документ описує тепер не разовий бар'єр для проходження, а безперервний процес. Змінена постанова набула чинності 20 листопада 2025 року. Хронологію самої події та її наслідки для бізнесу ми зібрали окремо в новині про перехід кіберзахисту критичної інфраструктури на ризик-орієнтовану модель.

Суть нової моделі Держспецзв'язку сформулювала гранично конкретно в офіційному роз'ясненні: оператори забезпечують кіберзахист об'єктів шляхом заходів, що враховують результати управління ризиками кібербезпеки, а не фіксований чекліст. Алгоритм складається із трьох послідовних кроків.

Перший крок — оцінка поточного стану: оператор фіксує, у якому стані перебуває його система кіберзахисту прямо зараз, без прикрас. Другий — визначення цілей: на основі управління ризиками та єдиного каталогу заходів з кіберзахисту, який готує Адміністрація Держспецзв'язку, оператор визначає цільовий, бажаний стан захисту. Третій — впровадження: оператор розробляє поетапний план заходів і фіксує його в плані кіберзахисту, який зобов'язаний щороку переглядати, а за потреби, зокрема якщо змінився рівень ризику, оновлювати позапланово.

Один нюанс тут легко зрозуміти неправильно, тож проговорімо його окремо: перехід на ризик-орієнтовану модель не скасовує обов'язкові базові заходи з кіберзахисту. Вони лишаються обов'язковими для всіх операторів без винятку — ризик-орієнтований підхід визначає, що робити понад цей мінімум, а не замінює його.

Оператор критичної інфраструктури за оновленими Загальними вимогами — це суб'єкт, який експлуатує об'єкт критичної інфраструктури (ОКІ), а поряд з ним у документі згадані ще власники та розпорядники об'єктів критичної інформаційної інфраструктури. Разом постанова називає їх просто «суб'єктами», і саме на них лягає весь тягар нової моделі: оцінка поточного стану, визначення цілей, план кіберзахисту, щорічний перегляд.

Але є категорія бізнесу, на яку ці Загальні вимоги не поширюються, і плутанина тут коштує часу та нервів служби безпеки. Постанова прямо виключає зі своєї дії Національний банк, банки, інших учасників ринків фінансових послуг, які регулює НБУ, а також операторів платіжних систем та технологічних операторів платіжних послуг. Для цієї категорії діє окремий документ — постанова Правління НБУ № 69 від 27 червня 2025 року «Про критичну інфраструктуру фінансового сектору», яка набула чинності 8 липня 2025-го і встановлює власну методику визначення об'єктів критичної інфраструктури, категорій критичності та паспортів безпеки — паралельно, а не додатково до постанови № 1470.

Є ще один шар, про який часто забувають: секторальні органи у сфері захисту критичної інфраструктури можуть на основі цих Загальних вимог і каталогу заходів розробляти власні галузеві вимоги з кіберзахисту, що враховують специфіку конкретної галузі — енергетики, транспорту, зв'язку. Такі галузеві доповнення погоджують з Адміністрацією Держспецзв'язку, і оператору критичної інфраструктури варто перевірити, чи його сектор уже має подібний документ, а не орієнтуватися лише на загальний текст постанови.

Практичний висновок простий: перш ніж будувати план кіберзахисту за новою моделлю, оператор критичної інфраструктури має перевірити, під чий саме регуляторний контур він підпадає — Держспецзв'язку чи НБУ. Компанії, що помилково намагаються виконати вимоги обох регуляторів одночасно, найчастіше просто дублюють роботу.

Якщо ви колись впроваджували сертифікацію ISO/IEC 27001, три кроки нової моделі — оцінка поточного стану, визначення цілей, план заходів — прозвучать до болю знайомо. Це не збіг термінології — це той самий цикл управління ризиками, який стандарт вимагає ще з розділу про оцінювання ризиків. Пряма відповідність виглядає так:

Різниця — не в логіці, а в юридичному статусі результату. Постанова № 1470 вимагає від оператора критичної інфраструктури побудувати процес управління ризиками кібербезпеки і задокументувати його. Сертифікат ISO/IEC 27001 — це вже незалежне підтвердження акредитованого органу, наприклад Bureau Veritas, партнером якого Ekontrol є в Україні з 2014 року, що цей процес не просто існує на папері, а реально працює. Оператор енергетичного чи телекомунікаційного об'єкта, що вже пройшов сертифікаційний аудит ISO/IEC 27001, здебільшого просто перекладає наявний реєстр ризиків мовою постанови, замість того щоб будувати його заново. Для оператора, що вже впровадив систему управління інформаційною безпекою за стандартом, виконання постанови № 1470 здебільшого зводиться до перепакування вже готових артефактів — реєстру ризиків, Statement of Applicability, планів обробки ризиків — під термінологію постанови, а не до побудови процесу з нуля.

Це не означає, що сертифікат ISO/IEC 27001 автоматично закриває постанову № 1470 — юридично це два різні документи з різними цілями, і жоден з них формально не скасовує інший. Але оператор, який починає з нуля, отримує вагомий аргумент: будувати систему одразу під ISO/IEC 27001 означає закрити вимоги постанови як побічний ефект, а не як окремий проєкт.

Другий документ, який у побуті часто називають просто «закон про кіберзахист», — Закон України № 4336-IX від 27 березня 2025 року «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об'єктів критичної інформаційної інфраструктури». Верховна Рада ухвалила його в другому читанні 27 березня, Президент підписав 17 квітня, а чинності закон набув 20 квітня 2025 року.

Закон вносить зміни одразу до п'яти базових законів — «Про кібербезпеку», «Про захист інформації в інформаційно-комунікаційних системах», «Про Державну службу спеціального зв'язку», «Про стандартизацію» і «Про публічні електронні реєстри». З практичного боку найпомітніше: відмова від застарілої Комплексної системи захисту інформації (КСЗІ) на користь заходів з управління ризиками, які підтримуються протягом усього життєвого циклу системи на основі профілів безпеки, — та сама логіка, що й у постанові № 1470. Додатково закон запроваджує національну систему реагування на кіберінциденти, обов'язкові посади фахівців з кібербезпеки в держорганах і на об'єктах критичної інфраструктури, а також систему оцінювання стану кіберзахисту з елементами аудиту.

І ось тут варто розставити крапки над «і»: закон № 4336-IX регулярно називають «законом про NIS2» у популярних матеріалах, і це перебільшення. Держспецзв'язку офіційно формулює обережніше: закон містить положення, які забезпечують імплементацію окремих норм європейських директив з кібербезпеки щодо функцій команд реагування, практики повідомлень про кіберінциденти й управління ризиками. Це часткова гармонізація конкретних практик, а не повна транспозиція Директиви NIS2 в українське законодавство. Повне приведення українського регулювання критичної інфраструктури у відповідність до NIS2 — окремий, ще не завершений напрям роботи в межах євроінтеграції, і оператору критичної інфраструктури варто відрізняти одне від іншого, коли партнер із ЄС запитує саме про відповідність NIS2.

Постанова не дає покрокової інструкції — вона дає рамку. На практиці оператор критичної інфраструктури, який починає або оновлює відповідність, проходить приблизно такий шлях.

• Зафіксуйте поточний стан. Проведіть інвентаризацію інформаційних, електронних комунікаційних і технологічних систем, які належать до ОКІ, і чесно опишіть, які заходи з кіберзахисту вже працюють, а які існують лише на папері.
• Проведіть оцінку ризиків кібербезпеки. Постанова прямо вимагає організувати управління ризиками на постійній основі: організацію процесу, оцінювання ризиків, їх мінімізацію, моніторинг і контроль з переглядом актуальності, а також обмін інформацією про ризики з іншими суб'єктами. Методику оцінювання ризиків затверджує Адміністрація Держспецзв'язку.
• Звіртеся з каталогом заходів з кіберзахисту. На основі каталогу й результатів оцінки ризиків визначте цільовий стан — які заходи потрібні саме вашому об'єкту, а не абстрактному «типовому» підприємству.
• Задокументуйте план кіберзахисту. План має узгоджуватися з планом захисту об'єкта за проєктною загрозою «кібератака/кіберінцидент», який погоджують у межах паспорта безпеки об'єкта критичної інфраструктури.
• Призначте відповідального. Постанова вимагає керівника з кіберзахисту або підрозділ, який відповідає за заходи, управління ризиками та реагування на інциденти, — посаду не можна залишити формально вакантною.
• Заплануйте навчання команди. Постанова вимагає регулярного навчання співробітників з питань кіберзахисту, диференційованого залежно від посадових обов'язків: інструктаж «для галочки» раз на рік цій вимозі не відповідає.
• Закладіть бюджет під результати оцінки ризиків. Планування витрат і фінансування заходів з кіберзахисту постанова прямо прив'язує до результатів управління ризиками, а не до довільної суми з минулорічного кошторису.
• Плануйте щорічний перегляд. План кіберзахисту не разовий документ: його переглядають щороку і оновлюють позапланово, якщо змінюється рівень ризику.

Кожен із цих пунктів окремо звучить як звичайна адміністративна робота. Разом вони складаються в те, що ISO/IEC 27001 називає системою управління інформаційною безпекою, і саме тому оператору, який іде цим шляхом системно, а не для галочки, зрештою варто розглянути формальну сертифікацію: вона перетворює внутрішню відповідність на документ, який можна показати замовнику, інвестору чи регулятору без довгих пояснень.

На консультаціях ми вже зустрічаємо однакові прорахунки в операторів, які тільки почали адаптуватися до нової моделі.

Найпоширеніша й найнебезпечніша помилка. Постанова прямо називає базові заходи обов'язковими для всіх операторів без винятку, незалежно від результату оцінки ризиків. Ризик-орієнтований підхід визначає, що робити понад цей мінімум, а не замінює його.

Банки, оператори платіжних систем та інші учасники ринків, які регулює Нацбанк, керуються постановою Правління НБУ № 69, а не Загальними вимогами Держспецзв'язку. Час, витрачений на невідповідний документ, доводиться списувати повністю.

Постанова прямо вимагає щорічного перегляду плану, а за потреби — і позапланового оновлення при зміні рівня ризику. Компанія, що підготувала план під аудит і більше до нього не поверталася, формально порушує вимогу вже на другий рік.

«Тепер усе на власний розсуд» — поширене й хибне тлумачення. Оператор і надалі зобов'язаний документувати рішення, погоджувати план кіберзахисту з паспортом безпеки об'єкта і проходити оцінювання стану кіберзахисту. Гнучкість стосується вибору заходів під конкретні ризики, а не факту звітності.

Жодна з цих помилок не про брак ресурсів — здебільшого йдеться про те, що документ читають вибірково, а не цілком.

Ekontrol супроводжує підготовку до сертифікації ISO/IEC 27001 як партнер Bureau Veritas в Україні з 2014 року, і серед клієнтів дедалі частіше — оператори критичної інфраструктури, яким потрібно виконати вимоги постанови № 1470, а не просто отримати сертифікат заради тендерної документації.

Діагностика починається з порівняння: наскільки поточний стан кіберзахисту компанії відповідає одразу двом рамкам — Annex A стандарту ISO/IEC 27001 і каталогу заходів з кіберзахисту, який готує Адміністрація Держспецзв'язку. Це дає оператору критичної інфраструктури один процес замість двох паралельних, що дублюють одне одного: реєстр ризиків, Statement of Applicability і план обробки ризиків одночасно закривають вимоги постанови й ведуть до незалежного сертифіката.

Якщо ваша компанія — оператор критичної інфраструктури і потребує допомоги з переходом на ризик-орієнтовану модель, деталі про сертифікацію ISO/IEC 27001 та форма для першої консультації доступні на сайті.