Постанова НБУ № 99: хмара для банків і фінтеху

25 серпня 2025 року Правління Національного банку затвердило Положення про порядок застосування технології хмарних обчислень (постанова № 99). Постанова набрала чинності 1 листопада 2025 року. Установи, які вже користувалися хмарою, мали шість місяців, щоб привести чинні договори у відповідність і подати про них інформацію до НБУ, — цей строк уже минув. Для кожного нового договору діє місячний строк повідомлення.

Розбираємо, кого стосується постанова, що вона дозволяє й забороняє, які ризики треба оцінити до вибору провайдера і як повідомляти Національний банк.

Ця стаття — огляд за офіційним текстом постанови, а не юридична консультація. Застосування вимог до вашої установи погоджуйте з юристом і перевіряйте за чинною редакцією.

Кого стосується

Положення поширюється на банки, надавачів фінансових послуг, операторів і учасників платіжних систем, технологічних операторів платіжних послуг, які використовують хмарні послуги для своїх основних бізнес-процесів. Воно розроблене відповідно до Закону України «Про хмарні послуги».

Що дозволено

Моделі послуг: інфраструктура як послуга (IaaS), платформа як послуга (PaaS), програмне забезпечення як послуга (SaaS), безпека як послуга (SECaaS) та інші послуги, що відповідають визначенню хмарних.
Моделі розгортання: приватна, колективна, публічна й гібридна хмара.
Вибір провайдера — самостійний.
Договір — у паперовій формі з власноручними підписами або електронний із кваліфікованими чи удосконаленими (з кваліфікованими сертифікатами) електронними підписами сторін.

Користуватися хмарою потрібно з дотриманням законодавства про захист персональних даних, захист інформації та кібербезпеку. Як обрати модель і платформу загалом — у статті «Міграція в хмару: покроковий план для бізнесу».

Кого залучати заборонено

Не можна працювати з провайдером, який є резидентом держави-агресора чи має кінцевих бенефіціарів-резидентів такої держави, або обробляє чи зберігає дані в хмарі чи ЦОД на території держави-агресора, на тимчасово окупованих територіях або в ЦОД, що належать особам під санкціями. Ті самі обмеження діють для партнерів провайдера, яких він залучає для надання послуг («ланцюгові хмарні послуги»).

Обов’язки установи

Відповідати за неправомірне розкриття інформації з обмеженим доступом під час користування хмарою.
Відстежувати доступ провайдера до інформації з обмеженим доступом, власником якої є установа.
Відстежувати події щодо даних у хмарі: кіберінциденти, інциденти інформаційної безпеки, порушення безперервності, що впливають на надання послуг.
Визначити у внутрішньому документі відповідальних за впровадження й використання хмарних послуг.
Користуватися ланцюговими послугами лише тоді, коли провайдер у визначеному договором порядку підтвердив, що його партнер повністю виконуватиме зобов’язання перед установою.

Ризики: що оцінити до вибору провайдера

Установа запроваджує процес управління ризиками використання хмарних послуг — у межах наявної системи управління ризиками або окремо, з власною методикою. Внутрішній документ про ці ризики переглядається не рідше ніж раз на рік або в разі змін.

Перед вибором провайдера аналіз має охопити щонайменше:

Ризик порушення безперервності через збої хмарних послуг.
Ризик для безперервності, цілісності й доступності даних під час переходу до іншого провайдера.
Ризик концентрації — коли кілька різних послуг надає один провайдер.
Розбіжності в порядку обробки інформації з обмеженим доступом між законодавством України й країни реєстрації провайдера.
Операційні ризики, зокрема ризики інформаційної безпеки та кіберризики.
Ризики ланцюгових хмарних послуг.
Комплаєнс-ризики.

Окремо оцінюється вплив провайдера на безперервність роботи й виконання зобов’язань перед клієнтами, а також на конфіденційність, цілісність і доступність даних. Рішення про використання хмари ухвалюється за результатами цього аналізу.

Безперервність діяльності

План безперервної діяльності під час використання хмари має передбачати:

відновлення роботи після зупинки провайдера;
відновлення системи резервування на боці самої установи — для гарантованого відновлення її систем і збереження інформації з обмеженим доступом;
дії в разі припинення використання хмарних послуг;
дії в разі переходу до іншого провайдера.

Тобто хмара не скасовує власних резервних копій. Як їх побудувати — у статті «Резервне копіювання даних за правилом 3-2-1».

Договір: головне

Розділ IV встановлює обов’язковий зміст договору: перелік послуг, умови інформаційної безпеки, звітування провайдера, право установи на розірвання, заходи безперервності, нерозголошення, щорічне підтвердження сертифікатів відповідності міжнародним стандартам ІБ, заборону обробки даних на території держави-агресора й тимчасово окупованих територіях, відповідальність провайдера за управління вразливостями й підтримку під час інцидентів, повернення й безпечне видалення даних, повідомлення про зміну партнерів тощо. Договір також має розподіляти відповідальність сторін за дев’ятьма напрямами — від управління криптографічними ключами до резервного копіювання. З провайдером-нерезидентом не можна укласти договір, який цим вимогам не відповідає.

Договору як чек-листу присвятимо окрему статтю.

Повідомлення Національного банку

Подія	Строк	Форма
Укладено договір	протягом місяця з дати укладення	повідомлення за додатком 1
Змінено договір або з’явилася нова інформація з додатка 1	протягом місяця	повідомлення за додатком 2
Договір розірвано	протягом місяця	повідомлення за додатком 3

Повідомлення надсилається на офіційну скриньку Національного банку nbu@bank.gov.ua або іншими засобами електронного документообігу НБУ. Його підписує керівник або інша особа, уповноважена діяти від імені установи, кваліфікованим чи удосконаленим (з кваліфікованим сертифікатом) електронним підписом. Національний банк може запитувати інформацію про використання хмари й перевіряти умови надання послуг, а обробка даних у хмарі не може бути підставою для затримки чи відмови в наданні інформації на законні запити уповноважених органів.

Що зробити зараз

Інвентаризація. Перелік усіх хмарних послуг, які підтримують основні бізнес-процеси, — зокрема SaaS (пошта, CRM, облікові системи) і послуги безпеки.
Перевірка провайдерів і їхніх партнерів на резидентство, бенефіціарів, розташування ЦОД і санкції.
Аналіз ризиків і оцінка впливу за сімома категоріями; внутрішній документ з відповідальними особами.
План безперервності з чотирма сценаріями й власним резервуванням.
Договори. Звірка кожного договору з розділом IV.
Повідомлення НБУ. Перевірка, що інформацію про всі чинні договори подано, і процес для нових, змінених і розірваних.
Моніторинг доступу провайдера до даних і подій безпеки в хмарі.
Щорічний перегляд внутрішнього документа.

Чек-лист

Як допоможе Bereg-IT

Інвентаризуємо системи й хмарні послуги, зафіксуємо вимоги до доступності та безпеки, порівняємо платформи й провайдерів за вимогами, бюджетом і ризиками та пояснимо вибір — докладніше на сторінці хмарні рішення. Якщо частина систем має залишитися під повним контролем установи, побудуємо приватну хмару або гібридну схему. На консультації чи аудиті оцінимо відповідність вимогам і підготуємо дорожню карту; юридичну частину договорів радимо погоджувати з юристом.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться ІТ-інженер або фахівець з ІБ.

Джерела

Постанова Правління Національного банку України від 25.08.2025 № 99 «Про затвердження Положення про порядок застосування технології хмарних обчислень та внесення зміни до Положення про організацію бухгалтерського обліку в банках України» (офіційно опубліковано 02.09.2025, набрала чинності 01.11.2025): https://bank.gov.ua/admin_uploads/law/25082025_99.pdf
Закон України «Про хмарні послуги» від 17.02.2022 № 2075-IX: https://zakon.rada.gov.ua/laws/show/2075-20