Постанова НБУ № 143: кіберзахист фінустанов

9 грудня 2025 року Правління Національного банку затвердило Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг (постанова № 143). Постанова офіційно опублікована 12 грудня 2025 року і набрала чинності наступного дня. На приведення діяльності у відповідність надавачам фінансових послуг дано 12 місяців — тобто до середини грудня 2026 року.

Розбираємо, кого стосується постанова, які вимоги в ній найконкретніші й як розпланувати роботу на час, що залишився.

Ця стаття — огляд за офіційним текстом постанови, а не юридична консультація. Застосування вимог до вашої установи погоджуйте з юристом і перевіряйте за чинною редакцією.

Кого стосується

Положення встановлює вимоги для небанківських фінансових установ:

страховиків;
кредитних спілок;
фінансових компаній;
ломбардів.

Воно не поширюється на надавачів платіжних і супровідних послуг, а також на операторів поштового зв’язку з правом торгівлі валютними цінностями. Для страховиків, кредитних спілок і фінансових компаній вимоги застосовуються з урахуванням положень про їхню систему управління — постанов НБУ № 194, № 204, № 15 і № 185.

Об’єкти захисту — інформація, що становить таємницю страхування або таємницю фінансової послуги, та інформаційно-комунікаційні системи, які підтримують основні бізнес-процеси або взаємодіють із системами Національного банку.

Положення розроблене з урахуванням європейського регламенту про цифрову операційну стійкість фінансового сектору (DORA, Регламент (ЄС) 2022/2554) і стандартів ДСТУ ISO/IEC 27001:2023 та 27002:2023.

Основа: управління ризиками

Установа зобов’язана запровадити процес управління кіберризиками й ризиками інформаційної безпеки та вживати заходів захисту на всіх стадіях життєвого циклу своїх систем. Заходи з положення впроваджуються за ризик-орієнтованим підходом. Процес можна вбудувати в наявну систему управління ризиками, а методику оцінювання — обрати самостійно.

Хто відповідає

Керівник організовує роботу, затверджує внутрішні документи та механізми контролю і окремим рішенням призначає відповідальну особу — або виконує її функції особисто.
Відповідальна особа розробляє внутрішні документи, щонайменше раз на рік актуалізує реєстр програмних і апаратних засобів, здійснює моніторинг і розслідування інцидентів, контролює роботу засобів захисту, не допускає встановлення непередбаченого ПЗ й обладнання та погоджує зміни в системах.
Користувачі ознайомлюються з внутрішніми документами з ІБ під підпис або в інший підтверджуваний спосіб. Документи переглядаються щороку.

Доступи та автентифікація

У цьому розділі положення найбільше конкретних цифр:

Вимога	Що встановлює положення
Багатофакторна автентифікація	обов’язкова для користувачів і привілейованих користувачів під час віддаленого доступу; біометрія — лише як один із факторів
Довжина паролів	не менше 12 символів для користувачів і 15 — для привілейованих; цифри, літери різних регістрів, спецсимволи
Зміна паролів	у разі компрометації, але не рідше ніж раз на 90 днів або якщо пароль знайдено в базах скомпрометованих; повтор — не раніше восьмої зміни
Блокування облікових записів	після кількох (до п’яти) невдалих спроб входу; після 90 днів без входу; у разі звільнення чи зміни обов’язків; після завершення договору з клієнтом (крім страховиків)
Адміністратори	посилені вимоги до паролів або багатофакторна автентифікація; окремі облікові записи для адміністрування й повсякденної роботи
Права доступу	принцип мінімальних повноважень; перегляд прав не рідше ніж раз на рік
Робочі місця	блокування екрана після 15 хвилин неактивності; облікові записи за замовчуванням заблоковані чи перейменовані, гостьові — вимкнені
Пристрої	ідентифікація обладнання, що підключається до систем; без ідентифікації працювати в системах не можна

Журнали подій

Системи мають реєструвати й захищати від змін, зокрема: вхід і вихід, невдалі спроби автентифікації, створення й блокування облікових записів, зміну паролів і прав доступу, зміну конфігурацій, доступ до налаштувань і самих журналів. Журнали архівуються щонайменше раз на рік і зберігаються не менше одного року з моменту архівації, якщо закон не вимагає іншого. Доступ до них має лише відповідальна особа.

Мережевий захист

Сегментація мережі й обмеження доступу між сегментами міжмережевими екранами або аналогічними засобами.
Взаємодія із зовнішніми мережами — лише через контрольовані точки доступу, кількість яких мінімально необхідна.
Заборона передавати інформацію, що є об’єктом захисту, у разі збою засобів захисту.
Вимкнення невикористовуваних портів мережевого обладнання.
Захист від атак «відмова в обслуговуванні» та інших відомих мережевих атак.
Сервіси, відкриті для клієнтів із зовнішніх мереж, — у зоні мережі з підвищеним рівнем безпеки.
Засоби захисту від шкідливого коду з актуальними базами сигнатур.

Програмне забезпечення

Операційні системи й прикладне ПЗ мають бути офіційними версіями з підтримкою оновлень безпеки. Для ПЗ, підтримку якого припинено, потрібні аналіз ризиків і компенсуючі заходи: додатковий захист, регулярний моніторинг і аудит, резервне копіювання, план реагування на інциденти. План переходу на підтримувані версії затверджує наглядова рада або інший орган нагляду; виконати його потрібно не більше ніж за два роки, якщо закон не встановлює іншого. Окремо положення вимагає внутрішніх правил для змінних носіїв інформації та їхньої ідентифікації.

Інциденти й підрядники

Процес управління інцидентами та затверджений план реагування, пов’язаний із планом безперервної діяльності. План має містити оцінку впливу, дії відповідальної особи й користувачів, взаємодію з бізнес-підрозділами, порядок інформування керівника, збереження й аналіз даних про інциденти. Національний банк може письмово вимагати інформацію про реагування на інциденти.
Підрядників для заходів з ІБ і реагування на інциденти залучати можна, але в договорі мають бути умови про нерозголошення та про взаємодію під час інцидентів. Підрядник не може бути резидентом держави-агресора чи мати таких кінцевих бенефіціарів, а також обробляти чи зберігати дані в хмарі або ЦОД, розміщених на території держави-агресора чи на тимчасово окупованих територіях або таких, що належать особам під санкціями.

Детальніше про план реагування за постановою № 143 розповімо в окремій статті.

Як розпланувати роботу до грудня 2026 року

Аналіз розривів. Пройдіться по кожному пункту положення й зафіксуйте, що вже виконано, а що ні.
Відповідальна особа. Окреме рішення керівника, повноваження й план навчання.
Реєстр систем і ПЗ. Інвентаризація програмних і апаратних засобів; окремо — ПЗ без підтримки виробника.
Швидкі технічні заходи. Багатофакторна автентифікація для віддаленого доступу, політика паролів, блокування облікових записів і екранів, облікові записи за замовчуванням.
Журнали. Налаштування реєстрації подій, централізований збір, захист від змін, зберігання не менше року.
Мережа. Сегментація, зона для публічних сервісів, захист від DoS, закриті невикористовувані порти.
Внутрішні документи. Політика ІБ, управління доступом, мережевий захист, змінні носії, план реагування.
Договори з підрядниками. Умови про нерозголошення, взаємодію під час інцидентів, перевірка резидентства, бенефіціарів і місця обробки даних.
Люди. Ознайомлення з документами під підпис і навчання.
Перевірка. Тестовий інцидент за планом реагування й повторна оцінка відповідності.

Чек-лист

Як допоможе Bereg-IT

Почнемо з консультації або аудиту: перевіримо відповідність вимогам постанови й складемо дорожню карту з пріоритетами до дедлайну. Допоможемо впровадити технічні заходи — від мережевої безпеки та NGFW і захисту кінцевих точок до управління вразливостями. А SOC as a Service візьме на себе збір і аналіз журналів подій, розслідування, сповіщення та регулярні звіти — для установ із регуляторними вимогами до журналювання та реагування на інциденти.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться фахівець з інформаційної безпеки.

Джерела

Постанова Правління Національного банку України від 09.12.2025 № 143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг» (офіційно опубліковано 12.12.2025): https://bank.gov.ua/admin_uploads/law/09122025_143.pdf
Регламент (ЄС) 2022/2554 про цифрову операційну стійкість фінансового сектору (DORA): https://eur-lex.europa.eu/eli/reg/2022/2554/oj