Кіберзахист критичної інфраструктури переходить на ризик-орієнтовану модель

Кіберзахист критичної інфраструктури в Україні офіційно перейшов на ризик-орієнтовану модель. Кабінет Міністрів постановою № 1470 від 13 листопада 2025 року вніс зміни до постанови № 518 від 19 червня 2019 року і виклав Загальні вимоги до кіберзахисту об'єктів критичної інфраструктури в новій редакції. Документ набув чинності 20 листопада 2025 року.

Головна зміна проста за формулюванням і велика за наслідками: оператори більше не закривають статичний перелік «зробіть це, зробіть те», а будують захист на основі управління ризиками кібербезпеки. Замість разового бар'єра для перевірки тепер безперервний процес оцінки, планування і перегляду. Ми розібрали механізм детально в окремому гіді про нову ризик-орієнтовану модель кіберзахисту; ця новина фіксує суть події і те, що з нею вже сталося далі.

Для служби безпеки промислового чи енергетичного об'єкта це не косметична правка. Вимоги переписані так, що майже дослівно повторюють логіку системи управління інформаційною безпекою за ISO/IEC 27001, і саме цей збіг визначає, як операторам діяти далі.

Держспецзв'язку сформулювала нову модель у офіційному роз'ясненні через простий алгоритм із трьох послідовних кроків. Він і є суттю того, що змінилося для оператора критичної інфраструктури.

• Оцінка поточного стану. Оператор проводить оцінювання власної системи кіберзахисту і чесно фіксує, у якому стані вона перебуває зараз.
• Визначення цілей. На основі управління ризиками кібербезпеки та єдиного каталогу заходів оператор визначає цільовий, бажаний стан захисту.
• Упровадження заходів. Оператор розробляє поетапний план і фіксує його в плані кіберзахисту, який зобов'язаний переглядати щороку, а за зміни рівня ризику оновлювати позапланово.

Звучить знайомо? Так виглядає цикл управління ризиками, якого ISO/IEC 27001 вимагає від будь-якої системи управління інформаційною безпекою. Різниця поки що в одному: постанова робить цей цикл обов'язковим для операторів критичної інфраструктури на рівні держави.

Обов'язки нової моделі лягають на оператора критичної інфраструктури, тобто суб'єкта, що експлуатує об'єкт критичної інфраструктури (ОКІ), а також на власників і розпорядників об'єктів критичної інформаційної інфраструктури. Постанова називає їх разом просто «суб'єктами», і саме на них лягає вся вага змін: оцінка стану, план кіберзахисту, щорічний перегляд.

Але є категорія бізнесу, на яку Загальні вимоги не поширюються, і плутанина тут коштує часу. Постанова прямо виключає Національний банк, банки, інших учасників ринків фінансових послуг під наглядом НБУ та операторів платіжних систем. Для фінансового сектору діє окремий документ: постанова Правління НБУ № 69 від 27 червня 2025 року «Про критичну інфраструктуру фінансового сектору». Тож перший крок для компанії проста звірка: під чий регуляторний контур вона підпадає, Держспецзв'язку чи НБУ.

Поряд із постановою № 1470 часто згадують Закон № 4336-IX від 27 березня 2025 року про захист інформації та кіберзахист державних інформаційних ресурсів і об'єктів критичної інформаційної інфраструктури. Він відмовляється від застарілої Комплексної системи захисту інформації (КСЗІ) на користь заходів з управління ризиками впродовж усього життєвого циклу системи, запроваджує національну систему реагування на кіберінциденти та обов'язкові посади фахівців з кібербезпеки.

Одне уточнення варто зробити одразу. Цей закон регулярно називають «законом про NIS2», і це перебільшення. Держспецзв'язку формулює обережніше: закон забезпечує імплементацію окремих норм європейських директив з кібербезпеки щодо реагування на інциденти, звітності та управління ризиками. Це часткова гармонізація конкретних практик, а не повна транспозиція Директиви NIS2. Повне приведення українського регулювання у відповідність до NIS2 залишається окремим напрямом роботи, який ще не завершено.

Постанова № 1470 задала рамку, а за місяці після ухвалення держава наповнила її робочими інструментами. Для оператора це означає, що відкладати оцінку стану вже немає підстав: усе потрібне для старту опубліковано.

Адміністрація Держспецзв'язку оновила наказ від 30 січня 2025 року № 54 і затвердила Каталог заходів з кіберзахисту, Базові заходи та Методичні рекомендації щодо їх проведення. Це той самий каталог, з якого оператор обирає заходи під конкретні ризики, визначаючи цільовий стан захисту.

Окремо Кабінет Міністрів постановою № 1799 від 31 грудня 2025 року затвердив Порядок оцінювання стану кіберзахисту (чинний з 3 січня 2026 року). Саме за цим порядком держава перевірятиме, наскільки реально працює побудований оператором захист. Тобто ризик-орієнтована модель зараз це не декларація на майбутнє, а діючий механізм із готовим каталогом заходів і затвердженою процедурою оцінювання.

Якщо звести постанову № 1470 до одного практичного висновку, він такий: оператор критичної інфраструктури тепер зобов'язаний мати працюючу систему управління ризиками інформаційної безпеки. А це і є визначення системи управління інформаційною безпекою (СУІБ) за ISO/IEC 27001. Три кроки моделі напряму лягають на структуру стандарту.

Різниця між постановою і сертифікатом не в змісті, а в статусі результату. Постанова вимагає побудувати процес і задокументувати його. Сертифікат ISO/IEC 27001 — це незалежне підтвердження акредитованого органу, що процес справді працює, а не існує лише на папері. Тому оператор, який будує систему одразу під стандарт, закриває вимоги постанови як побічний ефект. Як влаштована сертифікація, від оцінки готовності до аудиту, ми зібрали в повному посібнику з ISO/IEC 27001, а профільний контекст для розробників і SaaS зібрано на сторінці для IT-компаній.

Для оператора, що вже має чинний сертифікат, виконання постанови здебільшого зводиться до перепакування готових артефактів (реєстру ризиків, Statement of Applicability, плану обробки ризиків) у термінологію постанови. Для того, хто починає з нуля, розумніше одразу проєктувати СУІБ так, щоб вона закривала і Annex A стандарту, і каталог заходів Держспецзв'язку. Побачити розрив між поточним станом і вимогами постанови допомагає попередня оцінка готовності до сертифікації.