Постанова НБУ № 143 вимагає від страховиків, кредитних спілок, фінансових компаній і ломбардів упровадити процес управління кіберінцидентами та інцидентами інформаційної безпеки, а також розробити й затвердити план реагування на них. Привести діяльність у відповідність потрібно до середини грудня 2026 року. Загальний огляд постанови — у статті «Постанова НБУ № 143: кіберзахист фінустанов».
Тут — докладно про план реагування: що в ньому має бути за текстом постанови і як зробити його робочим інструментом, а не документом для шухляди.
Ця стаття — огляд за офіційним текстом постанови, а не юридична консультація. Застосування вимог до вашої установи погоджуйте з юристом.
Що вимагає постанова
Розділ III положення, затвердженого постановою № 143, встановлює:
- Процес і план. Установа впроваджує процес управління кіберінцидентами та інцидентами інформаційної безпеки, розробляє й затверджує план реагування.
- Зв’язок із безперервністю. Реагування на кіберінциденти — частина планування на випадок надзвичайних ситуацій і розглядається разом з іншими інцидентами безпеки. План розробляється з урахуванням документів про безперервність діяльності або є частиною плану безперервної діяльності.
- Обов’язковий зміст плану: оцінка негативного впливу (збитку); порядок дій відповідальної особи; дії користувачів і привілейованих користувачів; взаємодія відповідальної особи з працівниками основних бізнес-процесів; порядок інформування керівника; збереження інформації про інциденти, їх аналіз і результати реагування.
- Підрядники. Для оперативного реагування й безперервності установа взаємодіє із залученими особами — розробниками ПЗ, системними інтеграторами, компаніями технічної підтримки. У договорах із ними мають бути умови взаємодії під час інцидентів, а під час дії договору установа відстежує події, що впливають або можуть вплинути на надання послуг.
- Запити НБУ. Національний банк може письмово вимагати інформацію про реагування на інциденти; керівник забезпечує подання достовірної інформації у строк, обсязі й форматі, визначених у вимозі.
Інцидент інформаційної безпеки положення визначає як подію або низку подій, які можуть призвести до збитків установи або поставити під загрозу конфіденційність, цілісність і доступність її інформації. Моніторинг і розслідування інцидентів — обов’язок відповідальної особи з ІБ.
Структура плану: робочий шаблон
| Розділ плану | Що в ньому | Підстава в положенні |
|---|---|---|
| Терміни й рівні критичності | що вважаємо інцидентом, як визначаємо критичність | визначення положення |
| Оцінка впливу | критерії збитку: фінансові втрати, вплив на клієнтів, розкриття таємниці фінансової послуги чи страхування, простій основних бізнес-процесів | оцінка негативного впливу |
| Дії відповідальної особи | виявлення, оцінка, локалізація, усунення, відновлення, аналіз | порядок дій відповідальної особи |
| Дії користувачів | як і кому повідомити про підозру, чого не робити | дії користувачів |
| Взаємодія з бізнесом | хто ухвалює рішення про зупинку сервісу, як інформувати клієнтів | взаємодія з основними бізнес-процесами |
| Інформування керівника | коли й у якій формі, хто заміщує | порядок інформування керівника |
| Реєстр і аналіз | що записуємо, де зберігаємо докази, як фіксуємо висновки | збереження й аналіз інформації |
| Підрядники | контакти, ролі, строки реакції за договором | взаємодія із залученими особами |
| Запити НБУ | хто готує відповідь і з яких даних | право НБУ вимагати інформацію |
| Безперервність | як план пов’язаний із планом безперервної діяльності | зв’язок із безперервністю |
Етапи реагування
Оновлені рекомендації NIST з реагування на інциденти (SP 800-61 Rev. 3, 2025) вбудовують реагування в рамку управління кіберризиками NIST CSF 2.0: підготовка спирається на функції управління, ідентифікації й захисту, а саме реагування — на виявлення, реагування й відновлення. На практиці план має покривати такі кроки:
- Підготовка. Актуальні контакти, доступи для команди реагування, налаштовані журнали подій (положення окремо вимагає їх реєстрації, захисту й зберігання не менше року — це основа будь-якого розслідування), перевірені резервні копії, навчені користувачі.
- Виявлення й оцінка. Звідки приходять сигнали: моніторинг безпеки, користувачі, підрядники. Первинна класифікація й оцінка впливу за критеріями плану.
- Локалізація. Ізоляція уражених систем, блокування облікових записів, зміна паролів. Рішення про зупинку клієнтського сервісу — разом із власником бізнес-процесу.
- Усунення й відновлення. Відновлення з перевірених копій — лише після того, як закрито шлях проникнення. Про побудову резервного копіювання — у статті «Резервне копіювання даних за правилом 3-2-1».
- Аналіз після інциденту. Запис у реєстр, висновки, оновлення плану й заходів захисту.
Підрядники: що прописати в договорі
- Нерозголошення. Положення прямо вимагає умов про нерозголошення в договорах з особами, яких залучають до заходів з ІБ і реагування на інциденти.
- Обмеження. Такий підрядник не може бути резидентом держави-агресора чи мати таких кінцевих бенефіціарів, а також обробляти чи зберігати дані в хмарі або ЦОД, розміщених на території держави-агресора чи на тимчасово окупованих територіях або таких, що належать особам під санкціями.
- Взаємодія під час інцидентів. Контакти, погоджені строки реакції, хто що робить, доступ до журналів, участь у розслідуванні.
- Інциденти на боці підрядника. Обов’язок повідомляти про події, що впливають або можуть вплинути на ваші послуги, — постанова вимагає відстежувати такі події протягом усього строку договору.
Як бути готовими до запиту НБУ
Відповідати на письмову вимогу Національного банку легше, якщо дані вже зібрані. Ведіть реєстр інцидентів: дата й час виявлення, опис, оцінка впливу, ухвалені рішення, дії, залучені підрядники, результат і висновки. Зберігайте журнали подій і звіти підрядників так, щоб їх можна було швидко знайти й передати.
Як перевірити, що план працює
План, який ніхто не відпрацьовував, у реальному інциденті зазвичай не спрацьовує так, як написано. Проводьте настільні навчання — розбір сценарію за столом з усіма учасниками:
- шифрувальник на файловому сервері;
- лист «від керівника» або «від контрагента» із запитом на термінову оплату;
- витік даних клієнтів;
- атака «відмова в обслуговуванні» на клієнтський сервіс;
- інцидент у підрядника, який має доступ до ваших систем.
Після кожного навчання оновлюйте план і знайомте з ним працівників — положення вимагає, щоб користувачі ознайомлювалися з внутрішніми документами з ІБ під підпис або в інший підтверджуваний спосіб.
Чек-лист
- Процес управління інцидентами впроваджено, план реагування затверджено
- План пов’язаний із планом безперервної діяльності
- Визначено рівні критичності й критерії оцінки впливу
- Описано дії відповідальної особи на кожному етапі
- Користувачі знають, як і кому повідомляти, ознайомлені з планом під підпис
- Визначено взаємодію з власниками бізнес-процесів і порядок інформування керівника
- Ведеться реєстр інцидентів, журнали подій зберігаються не менше року
- Договори з підрядниками містять нерозголошення й умови взаємодії під час інцидентів
- Визначено, хто готує відповідь на запит НБУ
- Настільні навчання проводяться регулярно, план оновлюється за їх результатами
Як допоможе Bereg-IT
На консультації чи аудиті оцінимо поточний процес реагування й допоможемо підготувати план відповідно до вимог постанови. SOC as a Service бере на себе збір і аналіз подій безпеки, тріаж і розслідування, сповіщення з оцінкою критичності, реагування за погодженим сценарієм і регулярні звіти — а розподіл відповідальності між нами й вашою командою фіксуємо до запуску. Якщо інцидент відбувається просто зараз — перші кроки на сторінці «Інцидент безпеки».
Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться фахівець з інформаційної безпеки.
Джерела
- Постанова Правління Національного банку України від 09.12.2025 № 143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг», розділ III: https://bank.gov.ua/admin_uploads/law/09122025_143.pdf
- NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (квітень 2025): https://csrc.nist.gov/pubs/sp/800/61/r3/final
- NIST, The NIST Cybersecurity Framework (CSF) 2.0, CSWP 29 (2024): https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf