Новий порядок повідомлення про кіберінциденти

Набув чинності наказ Адміністрації Держспецзв’язку від 14 травня 2026 року №351. Документ затвердив Порядок обміну інформацією про кіберінциденти, кібератаки та кіберзагрози, а також Критерії визначення значного кіберінциденту.

Фактично держава запровадила єдиний механізм, за яким учасники національної системи кібербезпеки мають передавати інформацію про виявлені атаки, загрози та їхні наслідки.

Кого стосуються нові правила

Порядок охоплює інформаційні та електронні комунікаційні системи, в яких обробляються державні інформаційні ресурси або інформація з обмеженим доступом, вимоги щодо захисту якої встановлені законом. Також документ поширюється на об’єкти критичної інформаційної інфраструктури.

Серед учасників обміну інформацією:

органи державної влади та місцевого самоврядування;
оператори критичної інфраструктури;
власники та розпорядники об’єктів критичної інформаційної інфраструктури;
суб’єкти забезпечення кібербезпеки;
національні, галузеві, регіональні та приватні команди реагування на кіберінциденти.

Це не означає, що наказ автоматично встановлює однакові обов’язки для всього українського бізнесу. Однак компанії, які обслуговують державні установи, працюють із критичною інфраструктурою або отримують доступ до захищених інформаційних систем, також мають перевірити свої договірні та регуляторні зобов’язання.

Про які інциденти необхідно повідомляти

Власники та розпорядники систем, у яких обробляються державні інформаційні ресурси, службова інформація або державна таємниця, повинні повідомляти відповідну команду реагування CSIRT про всі кіберінциденти.

Власники та розпорядники об’єктів критичної інформаційної інфраструктури зобов’язані повідомляти про всі значні кіберінциденти.

До значних віднесено інциденти трьох рівнів:

високого — помаранчевого;
критичного — червоного;
надзвичайного — чорного.

Класифікація відповідає Національному плану реагування на кіберінциденти, кібератаки та кіберзагрози.

Рівень інциденту залежить не лише від самого факту проникнення до системи. Значення мають масштаб атаки, вплив на роботу критичних послуг, кількість уражених систем, можливий витік даних, тривалість порушення роботи та наслідки для держави, економіки або громадян.

Якою інформацією обмінюватимуться

Новий порядок передбачає передачу не лише початкового повідомлення про атаку. Учасники системи зможуть обмінюватися інформацією про події кібербезпеки, виявлені вразливості, ризики, індикатори компрометації, методи дій зловмисників, результати реагування та практичні рекомендації.

Такий підхід допомагає іншим організаціям швидше виявляти аналогічні атаки. Наприклад, IP-адреса, шкідливий файл або спосіб проникнення, виявлений в одній установі, може стати основою для перевірки та посилення захисту в інших учасників системи.

Основним каналом взаємодії стане спеціалізована платформа обміну інформацією про кіберінциденти. Також передбачено використання електронної пошти з обов’язковим шифруванням за стандартом OpenPGP та адаптованих програмних рішень MISP для обміну даними про загрози.

За наявності технічної сумісності інформація може передаватися автоматизовано у форматі, придатному для обробки інформаційними системами. Телефонний зв’язок і месенджери дозволено використовувати як резервні канали, коли основні засоби тимчасово недоступні.

Що організаціям потрібно зробити на практиці

Наявність документа про реагування ще не означає готовності до реального інциденту. Під час атаки часу на пошук контактів, погодження відповідальних і налаштування захищеної пошти вже не буде.

Організаціям, на які поширюються нові правила, варто:

визначити відповідальних за виявлення, класифікацію та повідомлення про кіберінциденти;
встановити, до якої команди реагування необхідно звертатися;
затвердити внутрішню послідовність дій та строки передавання інформації;
підготувати захищені канали зв’язку;
забезпечити збереження журналів подій, технічних доказів та індикаторів компрометації;
провести навчальне моделювання кібератаки;
перевірити, чи знають працівники, як розпізнати загрозу та кому про неї повідомити.

За невиконання або несвоєчасне виконання обов’язку щодо повідомлення законодавство передбачає адміністративну відповідальність посадових осіб. Тому реагування на кіберінцидент має бути оформлене як робочий процес із визначеними ролями, контактами та резервними каналами зв’язку.

Що це означає для звичайного бізнесу

Навіть якщо компанія формально не належить до критичної інфраструктури, новий порядок задає корисну модель реагування: швидко виявити інцидент, оцінити його масштаб, зберегти технічні дані, призначити відповідальних і передати інформацію тим, хто координує реагування.

Найслабшим місцем часто залишається не обладнання, а затримка між першими ознаками атаки та рішенням діяти. Працівник бачить підозрілий лист, бухгалтерія помічає незвичну операцію, адміністратор фіксує сторонній вхід, але інформація не доходить до відповідальної людини. Саме цей проміжок дає зловмисникам час закріпитися в системі.

SHERIFF допомагає організаціям оцінити готовність до кіберінцидентів, розробити порядок реагування, організувати цілодобовий моніторинг, провести навчання працівників і підготувати команду до дій у критичній ситуації.

Перевірити базову обізнаність працівників можна за допомогою безкоштовного тесту з кібербезпеки від SHERIFF. Після проходження учасники отримають доступ до навчального модуля «Соціальні мережі».

Джерела: повідомлення Держспецзв’язку, наказ №351, Закон України №4336-IX.

‍