Жовтень традиційно стає місяцем кібербезпеки, коли ми згадуємо вже ухвалені закони та вчимося реагувати на зміни цифрового простору.
Тож сьогодні пропонуємо згадати, який шлях за 11 років пройшла Україна: від базових вимог до безпеки банків і визначення повноважень державних органів до окремих правил для критичної інфраструктури, фінансових установ і команд реагування на кіберінциденти.
Зібрали 10 рішень, які показують, як формувалася ця система.
2017: Запровадження базових вимог
1. Постанова НБУ № 95. Захист інформації став повноцінною відповідальністю банку: його зобов’язали призначити відповідального за інформаційну безпеку на рівні не нижче заступника голови правління та створити окремий підрозділ щонайменше з двох працівників.
2. Закон № 2163-VIII «Про основні засади забезпечення кібербезпеки України». Визначив учасників національної системи кібербезпеки та розподілив відповідальність між ними: Держспецзв’язку відповідає за захист державних інформаційних ресурсів і координує кіберзахист, СБУ протидіє кібертероризму, диверсіям і шпигунству, Нацполіція розслідує кіберзлочини, а Міноборони та Генштаб готують державу до відбиття атак у кіберпросторі.
2021: Контроль виконання
3. Постанова НБУ № 4. Запровадила перевірки кіберзахисту банків і щорічну самооцінку кіберризиків із поданням звітів НБУ.
2022: Активна протидія атакам
4. Закон № 2137-IX. Уточнив правила вилучення й арешту комп’ютерної техніки та пошуку цифрових доказів під час розслідувань.
5. Закон № 2470-IX. Уповноважив Держспецзв’язку не лише захищати українські системи від кібератак, а й активно протидіяти російським атакам, зокрема нейтралізувати джерела кіберзагроз і створити для цього окрему систему та центр.
2025: Відповідальні, ризики й координація
6. Закон № 4336-IX. Передбачив штатні посади фахівців із кібербезпеки в держорганах і на об’єктах критичної інфраструктури, а також механізми обміну інформацією про загрози.
7. Постанова КМУ № 1470. Зобов’язала об’єкти критичної інфраструктури оцінювати свої кіберзагрози, визначати слабкі місця та планувати, як їх усунути. Усі базові заходи захисту залишилися обов’язковими.
8. Постанова КМУ № 1533. Встановила спільні правила реагування на кібератаки: як визначати їхню серйозність, хто має координувати дії та як обмінюватися інформацією. Про значні кіберінциденти на державних ресурсах і критичній інфраструктурі потрібно повідомляти протягом години.
9. Постанова НБУ № 143. Установила вимоги до кіберзахисту страховиків, кредитних спілок, фінансових компаній і ломбардів, зокрема щодо контролю доступу й реагування на інциденти.
2026: Єдині стандарти реагування
10. Наказ Держспецзв’язку № 360. Визначив вимоги до сервісів реагування на кіберінциденти: процедур роботи, кваліфікації фахівців і технічного оснащення.
За ці одинадцять років Україна пройшла шлях від базових вимог і вразливості в кіберпросторі до регульованої системи кіберзахисту з визначеними відповідальними, регулярним оцінюванням ризиків, правилами координації та стандартизованим реагуванням на атаки.
Водночас важливо стежити за тим, як ці правила втілюються в реальний захист і які нові регуляції з’являтимуться для посилення нашого кіберзахисту.
Джерело та оцінка: Індекс реформ VoxUkraine.










