Договір із хмарним провайдером: вимоги НБУ № 99

Постанова НБУ № 99 детально визначає, що має бути в договорі між установою та хмарним провайдером. Без цих умов договір із провайдером-нерезидентом укладати заборонено, а чинні договори установи мали привести у відповідність протягом шести місяців із 1 листопада 2025 року. Загальний огляд постанови — у статті «Постанова НБУ № 99: хмара для банків і фінтеху».

Нижче — договір у вигляді чек-листа: обов’язкові умови, розподіл відповідальності, дані з обмеженим доступом і дії після підписання.

Ця стаття — огляд за офіційним текстом постанови, а не юридична консультація. Договір має перевірити юрист.

Форма договору

Договір укладається в паперовій формі з власноручними підписами сторін або в електронній — з кваліфікованими електронними підписами чи удосконаленими підписами з кваліфікованими сертифікатами. Установа, що входить до фінансової групи, може укласти договір приєднання в межах договору групи або договір із провайдером — членом групи, але вимоги постанови мають бути в ньому, якщо їх немає в договорі групи.

18 обов’язкових умов

Пункт 26 положення перелічує умови, які має містити договір. Згрупуємо їх для зручності перевірки.

Послуги та інформаційна безпека

• Перелік і опис послуг.
• Порядок і умови забезпечення інформаційної безпеки установою та провайдером.
• Порядок і строки звітування провайдера про дотримання договору, зокрема з питань інформаційної безпеки.
• Зобов’язання провайдера щонайменше раз на рік надавати установі або оприлюднювати (із зазначенням ресурсу) сертифікати відповідності міжнародним стандартам ІБ, що охоплюють саме ті послуги, які отримує установа.
• Відповідальність провайдера за управління вразливостями й спеціалізовану підтримку в разі інциденту ІБ у його інфраструктурі.
• Зобов’язання провайдера дати установі змогу відстежувати доступ провайдера до інформації з обмеженим доступом, власником якої є установа.

Дані й доступ

• Нерозголошення провайдером інформації про дані установи, якщо інше не визначає законодавство країни реєстрації провайдера або договір.
• Заборона обробки й зберігання даних установи в хмарі чи ЦОД на території держави-агресора, на тимчасово окупованих територіях або в ЦОД, що належать особам під санкціями.
• Умови надання й скасування доступу установи до хмарних ресурсів.
• Умови надання, повернення й видалення даних — під час надання послуги, після закінчення строку договору чи його розірвання — з повним і безпечним видаленням, що унеможливлює відновлення.

Безперервність і вихід

• Право установи розірвати договір в односторонньому порядку й вносити зміни на передбачених договором підставах.
• Заходи безперервності надання послуг, які виконує провайдер.

Партнери провайдера

• Відповідальність провайдера за виконання договору, коли він залучає партнерів.
• Обов’язок повідомляти про заплановані зміни партнерів або їхніх послуг, що можуть вплинути на виконання договору.
• Період такого повідомлення. Установа обирає його так, щоб встигнути оцінити ризики до фактичної зміни; провайдер залишається відповідальним і не може перекласти свої зобов’язання на партнерів.
• Право установи розірвати договір в односторонньому порядку, якщо зміна партнерів негативно впливає на послуги, не відповідає вимогам положення або підвищує ризики.

Відповідальність і право

• Відповідальність сторін.
• Право якої країни застосовується до договору — якщо провайдер є нерезидентом України.

Розподіл відповідальності за ІБ

Пункт 28 вимагає, щоб договір визначав зони відповідальності сторін за дев’ятьма напрямами. Положення не каже, хто саме що робить, — це домовленість сторін. Розподіл залежить від моделі послуги: в IaaS установа відповідає за більше, ніж у SaaS (про модель спільної відповідальності — у статті «Міграція в хмару: покроковий план для бізнесу»).

Нагадаємо, що план безперервності за постановою має передбачати відновлення системи резервування й на боці самої установи, тож резервне копіювання не варто повністю віддавати провайдеру. Детальніше — у статті «Резервне копіювання даних за правилом 3-2-1».

Дані з обмеженим доступом

Установа має визначити, чи належать дані, які вона передає провайдеру, до інформації з обмеженим доступом, і описати в договорі заходи, які провайдер виконує для їх захисту. Провайдер зобов’язується зберігати конфіденційність щонайменше на рівні, визначеному установою, а договір встановлює його відповідальність за порушення.

Особливі випадки

• Об’єкт критичної інформаційної інфраструктури. Договір додатково містить істотні умови, визначені частиною третьою статті 10 Закону України «Про хмарні послуги».
• Провайдер-нерезидент. Договір, що не відповідає пунктам 26–30 положення, укладати заборонено.
• Фінансова група. Договір приєднання має містити вимоги пунктів 26–30, якщо їх немає в договорі групи.

Як працювати з типовими умовами провайдера

Великі провайдери зазвичай працюють за стандартними умовами, угодою про обробку даних і додатками до них. Практичний підхід:

1. Складіть таблицю відповідності: 18 умов пункту 26, дев’ять напрямів пункту 28, вимоги пункту 29 щодо даних з обмеженим доступом.
2. Для кожного рядка знайдіть відповідне положення в умовах, угоді про обробку даних чи додатках провайдера і зафіксуйте посилання.
3. Те, чого бракує, погоджуйте окремим додатком або обирайте іншого провайдера чи модель — наприклад, приватну хмару.
4. Збережіть таблицю: вона знадобиться для щорічного перегляду внутрішнього документа про ризики й на запит НБУ.

Після підписання

• Повідомлення НБУ — протягом місяця з дати укладення договору, за формою додатка 1, на nbu@bank.gov.ua або іншими засобами електронного документообігу НБУ; підписує керівник або інша уповноважена особа кваліфікованим чи удосконаленим (з кваліфікованим сертифікатом) електронним підписом. Про зміни — протягом місяця за додатком 2, про розірвання — протягом місяця за додатком 3.
• Моніторинг. Установа відстежує доступ провайдера до даних з обмеженим доступом і події, що впливають на послуги: кіберінциденти, інциденти ІБ, порушення безперервності.
• Перегляд. Внутрішній документ про ризики хмарних послуг — щонайменше раз на рік або в разі змін.

Чек-лист перед підписанням

• Провайдер і його партнери не мають зв’язку з державою-агресором, тимчасово окупованими територіями чи санкціями
• Проведено аналіз ризиків і оцінку впливу провайдера
• Усі 18 умов пункту 26 знайдено в договорі чи додатках
• Розподіл відповідальності за дев’ятьма напрямами зафіксовано
• Дані з обмеженим доступом визначено, заходи їх захисту описано
• Умови повернення й безпечного видалення даних погоджено
• Період повідомлення про зміну партнерів дає час на оцінку ризиків
• Застосовне право визначено (для провайдера-нерезидента)
• Резервні копії є й на боці установи
• Відповідальний за повідомлення НБУ знає строки й форми

Як допоможе Bereg-IT

Порівняємо провайдерів і платформи за вашими вимогами, бюджетом і ризиками та пояснимо вибір (хмарні рішення). Допоможемо скласти таблицю відповідності й розподілити технічну відповідальність — ключі, журнали, доступи, резервне копіювання, реагування на інциденти. Якщо публічна хмара не підходить, побудуємо приватну хмару. Оцінку відповідності та дорожню карту можна почати з консультації чи аудиту; юридичні формулювання договору радимо погоджувати з юристом.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться ІТ-інженер або фахівець з ІБ.

Джерела

1. Постанова Правління Національного банку України від 25.08.2025 № 99 «Про затвердження Положення про порядок застосування технології хмарних обчислень…», розділи IV і V: https://bank.gov.ua/admin_uploads/law/25082025_99.pdf
2. Закон України «Про хмарні послуги» від 17.02.2022 № 2075-IX, стаття 10: https://zakon.rada.gov.ua/laws/show/2075-20