Кіберфахівець у державній установі: кого стосується Закон №4336-IX і як виконати нові вимоги

Кіберзахист державної установи більше не може залишатися додатковим завданням системного адміністратора або ІТ-відділу.

У квітні 2025 року набрав чинності Закон України №4336-IX, який змінив підхід до організації кібербезпеки в державному секторі. Закон визначив, хто має створювати підрозділ кіберзахисту, призначати керівника з кіберзахисту або окрему відповідальну особу.

Водночас вимоги залежать від статусу організації, інформаційних систем, якими вона управляє, та даних, що в них обробляються. Тому формулювання «кожна державна установа повинна мати сертифікованого кіберфахівця» не повністю відображає зміст закону.

Розбираємося, кого стосуються нові правила, які вимоги встановлені до фахівців, як підтвердити їхню компетентність і що робити установі, якщо відповідної команди ще немає.

Чому це питання вже не можна відкладати

За даними CERT-UA, кількість зареєстрованих кіберінцидентів зросла з 2,2 тисячі у 2022 році до майже 6 тисяч у 2025 році. Водночас кількість значних інцидентів найвищих рівнів зменшилася на 75%.

Ці дані показують, що загроз стає більше, а своєчасне виявлення та реагування допомагають зменшувати їхні наслідки. Статистику оприлюднила Держспецзв’язку на Урядовому порталі.

Окремо Система виявлення вразливостей і реагування на кіберінциденти та кібератаки у 2025 році опрацювала близько 17,3 тисячі подій інформаційної безпеки. Після аналізу було виявлено 730 кіберінцидентів, 339 із яких пов’язали з діяльністю відомих угруповань.

Система забезпечувала моніторинг і захист понад 46,5 тисячі серверів та робочих станцій державних установ і об’єктів критичної інформаційної інфраструктури. Дані наведені у річному звіті Державного центру кіберзахисту.

Статистика CERT-UA та Системи виявлення вразливостей охоплює різні контури обліку, тому ці показники не потрібно додавати між собою.

За спостереженнями Державного центру кіберзахисту, значна частина початкових тактик зловмисників втрачає ефективність, якщо організація використовує непривілейовані облікові записи та впроваджує базові налаштування безпеки на робочих станціях.

На практиці атака часто починається з фішингового листа, викраденого пароля, надмірних прав користувача, незахищеного пристрою або невстановленого оновлення. Технічні засоби можуть зафіксувати загрозу, але установа також потребує людини, яка організує захист, визначить порядок дій і забезпечить реагування.

Кого стосуються вимоги Закону №4336-IX

Закон доповнив Закон України «Про основні засади забезпечення кібербезпеки України» новою статтею 5-1.

Органи державної влади

Орган державної влади має створити підрозділ з кіберзахисту та призначити керівника з кіберзахисту, якщо він володіє або розпоряджається інформаційними, електронними комунікаційними чи інформаційно-комунікаційними системами, у яких обробляються державні інформаційні ресурси або інформація, вимоги щодо захисту якої встановлені законом.

Органи місцевого самоврядування

Органи місцевого самоврядування повинні призначити особу, яка виконуватиме функції та завдання керівника з кіберзахисту.

Формат організації такої роботи може відрізнятися від моделі, передбаченої для органу державної влади. Водночас відповідальність, завдання та повноваження мають бути офіційно закріплені у внутрішніх документах.

Об’єкти критичної інформаційної інфраструктури

Власники або розпорядники об’єктів критичної інформаційної інфраструктури мають визначити відповідальну особу, яка виконуватиме функції керівника з кіберзахисту. За потреби в організації створюється відповідний підрозділ.

Державні та комунальні підприємства, заклади й установи

Для таких організацій потрібен окремий аналіз. Необхідно встановити:

• якими інформаційними системами управляє організація;
• чи обробляються в них державні інформаційні ресурси;
• чи містять вони інформацію, захист якої передбачений законом;
• чи належить організація або її система до критичної інформаційної інфраструктури;
• чи встановлені для неї додаткові галузеві вимоги.

Починати варто з визначення правового статусу організації та її інформаційних систем. Уже після цього можна формувати структуру кіберзахисту, визначати посади й вимоги до кандидатів.

Керівник з кіберзахисту і системний адміністратор мають різні функції

Системний адміністратор забезпечує роботу обладнання, мережі, програмного забезпечення та облікових записів користувачів.

Керівник з кіберзахисту відповідає за організацію всієї системи безпеки: управління ризиками, внутрішні політики, контроль захищеності, реагування на інциденти, відновлення систем і взаємодію з державними командами кіберзахисту.

Згідно з методичними рекомендаціями Держспецзв’язку, затвердженими наказом №798, до основних напрямів такої роботи належать:

• розроблення внутрішніх політик і процедур;
• визначення та оцінювання кіберризиків;
• організація управління інформаційною безпекою;
• облік інформаційних активів;
• моніторинг подій безпеки;
• управління вразливостями;
• організація реагування на інциденти;
• взаємодія з відповідною командою CSIRT або CERT-UA;
• резервне копіювання та відновлення;
• проведення навчань і тренувань;
• інформування керівництва про ризики та стан захищеності.

Для виконання цих завдань фахівцеві потрібні визначені повноваження, доступ до необхідної інформації та можливість оперативно повідомляти керівництво про критичні ризики й інциденти.

Які вимоги встановлені до керівника з кіберзахисту

Порядок призначення керівника з кіберзахисту в органі державної влади визначає постанова Кабінету Міністрів України №1516 від 26 листопада 2025 року.

Кандидат має відповідати загальним вимогам законодавства про державну службу та спеціальним професійним критеріям.

Освіта

Постанова передбачає вищу освіту за визначеними галузями та спеціальностями. Серед них:

• інформаційні технології, насамперед кібербезпека та захист інформації;
• електроніка та електронні комунікації;
• автоматизація і робототехніка;
• інформаційно-вимірювальні технології;
• управління інформаційною безпекою;
• публічне управління та адміністрування;
• інші технічні напрями, зазначені в постанові.

Під час перевірки кандидата необхідно враховувати точну назву спеціальності в дипломі та актуальну редакцію нормативного акта.

Професійний досвід

Кандидат повинен мати щонайменше три роки досвіду роботи або діяльності у сфері кібербезпеки, інформаційної безпеки, захисту інформації чи інформаційних технологій.

Наявність профільної освіти без відповідного досвіду не закриває цю вимогу.

Професійні компетентності

Установа має оцінити, чи здатен кандидат організувати управління ризиками, захист систем, моніторинг подій, реагування та відновлення.

Підтвердженням можуть бути:

• документи про освіту;
• відомості про попередній досвід;
• посадові інструкції та характеристики;
• результати співбесіди;
• сертифікати про навчання;
• підтверджена професійна кваліфікація;
• результати практичного оцінювання.

Погодження призначення

Призначення керівника з кіберзахисту в органі державної влади погоджується з Держспецзв’язку після проведення перевірки Службою безпеки України.

Держспецзв’язку може провести з кандидатом співбесіду, зокрема дистанційно, щоб оцінити його професійний рівень і досвід.

Якщо протягом одного календарного місяця не надано вмотивованої відмови, погодження вважається отриманим. Після призначення копію відповідного наказу потрібно надіслати Держспецзв’язку в установлений строк.

Окремо варто врахувати, що функції керівника з кіберзахисту не слід механічно поєднувати з функціями керівника з цифрової трансформації. Розвиток цифрових сервісів і контроль їхньої захищеності потребують розмежування повноважень.

Чи обов’язково мати професійну кваліфікацію

Закон №4336-IX не встановлює універсальної вимоги, за якою кожен керівник або працівник з кіберзахисту повинен обов’язково мати сертифікат професійної кваліфікації.

Постанова №1516 передусім вимагає належної освіти, щонайменше трьох років досвіду, професійних знань і проходження процедури погодження.

Водночас методичні рекомендації Держспецзв’язку передбачають можливість встановлення рівня компетентності через підтверджену професійну кваліфікацію за відповідним професійним стандартом.

Таке оцінювання проводять кваліфікаційні центри, акредитовані Національним агентством кваліфікацій.

Професійна кваліфікація може бути корисною, якщо працівник має практичний досвід, але його компетентність раніше не оцінювалася за професійним стандартом. Вона також допомагає під час комплектування підрозділу, підготовки кадрових документів, проходження аудиту або внутрішньої перевірки.

Якщо працівник фактично реагує на інциденти, але його функції та професійний рівень не формалізовані, кваліфікаційне оцінювання дозволяє перевірити вже набуті знання і навички.

При цьому професійна кваліфікація не замінює встановлених вимог до освіти, досвіду, державної служби або процедури погодження конкретної посади.

Які документи потрібно розрізняти

Диплом про вищу освіту підтверджує рівень освіти та здобуту спеціальність. Він не показує, чи здатна людина виконувати всі практичні функції з кіберзахисту.

Сертифікат про проходження курсу підтверджує навчання за певною програмою. Самостійно він не означає, що працівникові присвоєно професійну кваліфікацію за державним професійним стандартом.

Сертифікат про присвоєння або підтвердження професійної кваліфікації засвідчує, що людина успішно пройшла оцінювання визначених трудових функцій у кваліфікаційному центрі.

Наказ про призначення або покладення функцій офіційно закріплює відповідальність працівника в установі. Водночас наказ сам по собі не підтверджує наявність необхідних знань і практичних навичок.

Посадова інструкція визначає завдання, повноваження та межі відповідальності працівника. Її зміст має відповідати реальним процесам усередині установи.

Ключове значення має юридичний статус кожного документа, ким він виданий і що саме підтверджує. Відомості про видані документи щодо професійних кваліфікацій можна перевірити у відкритому реєстрі Національного агентства кваліфікацій.

Окреме завдання — організація реагування на кіберінциденти

Наявність фахівця має бути підкріплена зрозумілим порядком дій.

У 2026 році Держспецзв’язку затвердила єдиний порядок обміну інформацією про кіберінциденти, кібератаки та кіберзагрози, а також критерії визначення значного кіберінциденту.

Організації повинні розуміти:

• які події потрібно фіксувати;
• хто приймає рішення про їхню класифікацію;
• кому і в які строки повідомляти про інцидент;
• якими каналами передавати інформацію;
• хто відповідає за локалізацію наслідків;
• як документуються проведені дії;
• як відновлюються системи та послуги.

Офіційне роз’яснення щодо нового порядку оприлюднене на Урядовому порталі.

Якщо ці процеси існують лише в усних домовленостях між працівниками, у критичний момент установа може втратити час і важливі докази атаки.

Ще один рівень захисту — кібергігієна працівників

Навіть досвідчений кіберфахівець не зможе компенсувати небезпечну поведінку сотень користувачів.

Постанова Кабінету Міністрів України №1281 від 8 жовтня 2025 року передбачає проведення інструктажів і тренінгів з кібергігієни для широкого кола працівників державного сектору.

Після призначення або початку роботи таке навчання проводиться протягом одного календарного місяця. Надалі — не рідше одного разу на рік.

Додатковий інструктаж потрібен після значного кіберінциденту або кібератаки, а також за результатами аналізу ризиків.

До базових тем належать:

• фішинг і соціальна інженерія;
• безпечна робота з електронною поштою;
• паролі та багатофакторна автентифікація;
• захист службових пристроїв;
• робота із соціальними мережами;
• повідомлення про підозрілі події;
• дії працівника у разі інциденту.

Навчання всього персоналу та професійне оцінювання кіберфахівця вирішують різні завдання. Обидва напрями мають бути частиною системи кіберзахисту.

Що перевірити державній установі

Спочатку потрібно визначити, які законодавчі вимоги поширюються на організацію та її інформаційні системи.

Після цього варто перевірити:

1. Чи створено необхідний підрозділ або офіційно визначено відповідальну особу.
2. Чи відповідає структура кіберзахисту статусу організації.
3. Чи має відповідальний фахівець необхідні повноваження.
4. Чи відповідає освіта кандидата нормативним вимогам.
5. Чи підтверджено його професійний досвід.
6. Чи оцінено практичні компетентності.
7. Чи пройдено необхідну процедуру погодження.
8. Чи затверджені політики, посадові інструкції та порядок реагування.
9. Чи визначені канали повідомлення про кіберінциденти.
10. Чи налагоджене резервне копіювання та відновлення.
11. Чи проводяться регулярні навчання працівників з кібергігієни.
12. Чи зберігаються документи та докази виконання встановлених вимог.

Якщо на кілька пунктів немає чіткої відповіді, установі варто провести кадрову й організаційну перевірку системи кіберзахисту.

Як SHERIFF може допомогти виконати вимоги

Державні органи та установи перебувають на різних етапах організації кіберзахисту.

Десь уже працює досвідчений фахівець, але його компетентність не підтверджена документально. Десь лише формується підрозділ і бракує підготовлених працівників. Частина установ потребує перевірки процесів, документів і технічних заходів перед аудитом або перевіркою.

SHERIFF може долучитися до роботи на кожному з цих етапів.

Якщо фахівець уже працює в установі

Працівник може мати значний практичний досвід, але не мати документа, який підтверджує його професійну кваліфікацію за державним професійним стандартом.

Кваліфікаційний центр КІБЕРАКАДЕМІЇ SHERIFF проводить оцінювання за кваліфікацією «Фахівець з реагування на інциденти кібербезпеки».

За даними офіційного реєстру Національного агентства кваліфікацій, ТОВ «ШЕРИФ-КІБЕРБЕЗПЕКА», скорочена назва — ТОВ «КІБЕРБЕЗПЕКА ШЕРИФ», акредитоване за цією кваліфікацією до 28 січня 2031 року.

Професійний стандарт охоплює:

• аналіз та оцінювання кіберінцидентів;
• реагування і локалізацію загроз;
• пом’якшення наслідків;
• моніторинг стану кібербезпеки;
• своєчасне повідомлення про інциденти;
• відновлення систем і процесів;
• аналіз даних про кіберзагрози;
• оцінювання ефективності реагування.

Повний перелік трудових функцій оприлюднений на офіційному ресурсі кваліфікаційного центру ДержНДІ технологій кібербезпеки.

Кваліфікаційний центр оцінює вже наявні компетентності працівника за професійним стандартом. У разі успішного оцінювання видається сертифікат про присвоєння або підтвердження професійної кваліфікації відповідно до постанови Кабінету Міністрів України №956.

Важливо: ця кваліфікація підтверджує конкретний напрям професійної діяльності — реагування на кіберінциденти. Вона не є автоматичним підтвердженням відповідності посаді керівника з кіберзахисту.

Для призначення на керівну посаду кандидат також має відповідати вимогам до освіти й досвіду та пройти встановлену процедуру погодження.

Якщо установі потрібні підготовлені фахівці

КІБЕРАКАДЕМІЯ SHERIFF готує фахівців для практичної роботи у сфері кібербезпеки. Серед випускників — ветерани та ветеранки, які після служби опановують нову професію.

Навчальна програма включає понад 750 годин підготовки. Близько 70% навчального часу відведено практиці. Слухачі працюють із навчальними сценаріями, відпрацьовують дії на кіберполігоні та готуються до виконання реальних робочих завдань.

Напрями підготовки охоплюють:

• моніторинг подій кібербезпеки;
• роботу в центрі моніторингу та реагування;
• реагування на кіберінциденти;
• захист інформаційної інфраструктури;
• виявлення вразливостей;
• базові напрями тестування захищеності.

Центр кар’єрних рішень КІБЕРАКАДЕМІЇ SHERIFF може надати установі профілі підготовлених кандидатів відповідно до визначених завдань і рівня посади.

Випускники можуть підсилити підрозділи кіберзахисту, команди моніторингу та реагування. Кожен кандидат проходить передбачену установою процедуру відбору.

Для призначення на посаду керівника з кіберзахисту кандидат має окремо відповідати вимогам законодавства, зокрема щодо освіти та професійного досвіду.

Залучення випускників-ветеранів допомагає установі вирішити кадрове питання та підтримує професійне повернення людей із військовим досвідом до цивільної роботи.

Якщо систему кіберзахисту потрібно привести до належного рівня

Призначення відповідальної особи є одним з елементів виконання вимог. Установа також повинна мати зрозумілі процеси, затверджені документи, розподілені повноваження та готовий порядок дій у разі інциденту.

Фахівці SHERIFF можуть провести оцінювання поточного стану кіберзахисту та визначити, які вимоги вже виконуються, а які потребують доопрацювання.

Робота може включати:

• аналіз вимог законодавства та профільних регуляторних актів;
• визначення вимог, які поширюються на конкретну організацію;
• перевірку структури відповідальності за кіберзахист;
• аналіз внутрішніх документів і процедур;
• перевірку розподілу прав доступу;
• оцінювання обліку інформаційних активів;
• аналіз процесів виявлення та реагування на інциденти;
• перевірку резервного копіювання та відновлення;
• оцінювання управління вразливостями;
• визначення технічних і організаційних прогалин;
• формування плану усунення невідповідностей;
• підготовку або доопрацювання політик, положень та інструкцій;
• допомогу у впровадженні необхідних заходів;
• підготовку працівників до виконання визначених функцій.

Результатом такої роботи має стати керована система кіберзахисту, у якій внутрішні документи відповідають реальним процесам і діям працівників.

Підготовка та супровід під час перевірок

Під час аудиту або перевірки установі потрібно показати, як вимоги виконуються на практиці.

Одного комплекту політик і наказів може бути недостатньо. Важливими є докази того, що працівники ознайомлені з документами, доступи регулярно переглядаються, резервні копії перевіряються, інциденти реєструються, а навчання з кібергігієни справді проводиться.

Команда SHERIFF може допомогти:

• провести попередню перевірку готовності;
• систематизувати документи та докази виконання вимог;
• визначити відсутні або застарілі матеріали;
• підготувати відповідальних працівників;
• відпрацювати можливі запитання;
• сформувати план усунення виявлених недоліків;
• супроводжувати комунікацію з контролюючими органами в межах своєї компетенції.

Такий супровід не гарантує відсутності зауважень з боку контролюючого органу. Його завдання — допомогти установі завчасно виявити прогалини, підготувати підтвердження виконання вимог і зменшити ризик критичних невідповідностей.

Три сценарії для державної установи

Якщо фахівець вже є, можна оцінити та підтвердити його професійну кваліфікацію.

Якщо працівників бракує, можна розглянути підготовлених випускників КІБЕРАКАДЕМІЇ SHERIFF із числа ветеранів та ветеранок.

Якщо потрібні системні зміни, SHERIFF може провести оцінювання, допомогти усунути кадрові, документальні й технічні прогалини та супроводжувати підготовку до аудиту або перевірки.

На всі питання відповість керівник напрямку Кібербезпека SHERIFF Євген Єгоров +380 96 391 75 88

Матеріал має інформаційний характер. Обсяг робіт визначається після аналізу статусу організації, її інформаційних систем, чинних нормативних вимог і поточного рівня кіберзахисту.

‍