Закон про кібербезпеку: що змінюється для бізнесу

У 2025 році законодавство про кібербезпеку в Україні суттєво змінилося: Верховна Рада ухвалила Закон № 4336-IX, а Кабінет Міністрів — низку постанов на його виконання. Розбираємо, кого стосуються вимоги, що саме змінилося і що робити компанії, навіть якщо прямих обов’язків за цим законом у неї немає.

Ця стаття — огляд для керівників, а не юридична консультація. Чи поширюються вимоги на вашу компанію, визначайте разом із юристом за чинними редакціями документів.

Яке законодавство діє

Закон України «Про основні засади забезпечення кібербезпеки України» від 05.10.2017 № 2163-VIII — базовий закон. Він визначає національну систему кібербезпеки та її основних суб’єктів: Держспецзв’язку, Національну поліцію, СБУ, Міноборони та Генштаб ЗСУ, розвідувальні органи, Національний банк і МЗС.
Закон України «Про критичну інфраструктуру» від 16.11.2021 № 1882-IX — визначає, що таке об’єкти критичної інфраструктури (ОКІ), як їх категоризують і вносять до реєстру.
Закон № 4336-IX від 27.03.2025 — зміни до законів про захист інформації та кіберзахист державних інформаційних ресурсів і об’єктів критичної інформаційної інфраструктури (ОКІІ). За оглядом Національного координаційного центру кібербезпеки, закон ухвалили з метою імплементації норм європейських директив з кібербезпеки.
Постанови Кабміну 2025 року на виконання закону — серед них Національний план реагування на кіберінциденти (№ 1533), зміни до Загальних вимог до кіберзахисту об’єктів критичної інфраструктури (№ 1470) і Порядок оцінювання стану кіберзахисту (№ 1799).

Кого стосуються обов’язки

Основні вимоги стосуються трьох груп:

органів державної влади та місцевого самоврядування;
власників і операторів об’єктів критичної та критичної інформаційної інфраструктури — значна частина таких об’єктів належить бізнесу;
власників систем, у яких обробляються державні інформаційні ресурси або інформація з обмеженим доступом.

Масштаб чималий. За даними огляду, на кінець 2025 року до Реєстру об’єктів критичної інфраструктури внесено понад 4600 об’єктів у 24 секторах, і кожен має одну з чотирьох категорій критичності. Від категорії залежить рівень вимог.

Окремо працює фінансовий сектор. Національний банк — галузевий регулятор кібербезпеки для банків, небанківських фінансових установ, операторів платіжних систем і технологічних операторів платіжних послуг. Він встановлює для них власні вимоги до кіберзахисту й до аудиту інформаційної безпеки.

Якщо ваша компанія не має об’єктів у реєстрі, не працює з державними інформаційними ресурсами і не підпадає під регулювання НБУ, описані нижче обов’язки на неї прямо не поширюються. Але це не означає, що зміни вас не зачіпають, — про це далі.

Що змінилося у 2025 році

Відповідальні за кіберзахист. У державних органах утворюють підрозділи з кіберзахисту й вводять посади керівників з кіберзахисту (CISO). На об’єктах критичної інформаційної інфраструктури призначають відповідальних осіб, а за потреби — утворюють підрозділ.

Повідомлення про інциденти. Закон унормував національну систему реагування на кіберінциденти: національна команда CERT-UA, галузеві й регіональні команди реагування. До системи можуть долучатися й приватні команди. Власники й розпорядники систем, на які поширюється закон, мають повідомляти відповідну команду реагування про кіберінциденти в порядку, визначеному уповноваженим органом.

Управління ризиками замість КСЗІ. Закон відмовився від комплексних систем захисту інформації (КСЗІ) на користь управління ризиками протягом усього життєвого циклу систем: профілі безпеки, авторизація з безпеки, для частини систем — сертифікація на відповідність стандарту інформаційної безпеки. Стан кіберзахисту оцінюють, зокрема, методом аудиту.

Навчання. Передбачено систематичні навчання й тренінги з кіберзахисту та інструктажі з кібергігієни.

Сучасні рамки. Серед здобутків 2025 року огляд називає впровадження стандарту NIST Cybersecurity Framework 2.0 — відкритої рамки управління кіберризиками.

Чому це важливо, навіть якщо ви не ОКІ

Ланцюги постачання. За оглядом, у 2025 році найчастішим початковим вектором деструктивних атак були вразливості в ланцюгах постачання та скомпрометовані облікові записи VPN без багатофакторної автентифікації. Огляд окремо наголошує, що безпека постачальників потребує перебудови закупівель і договірної роботи. Тож варто очікувати, що замовники з числа ОКІ й держорганів висуватимуть вимоги до постачальників ПЗ, хмарних та ІТ-послуг і закріплюватимуть їх у договорах.
Клієнти в ЄС. Європейська директива NIS2 вимагає від компаній, на які вона поширюється, дбати про безпеку ланцюга постачання, зокрема у відносинах із прямими постачальниками й надавачами послуг (стаття 21). Якщо ви працюєте з європейськими клієнтами, очікуйте анкет і договірних вимог щодо кіберзахисту.
Статус може змінитися. Реєстр активно поповнюється: за 2025 рік до нього додали 2046 нових об’єктів. Об’єкти визначають секторальні органи, тож компанія може отримати статус ОКІ і відповідні обов’язки.
Атакують не лише державу. Серед цілей деструктивних атак 2025 року огляд називає й приватні компанії агропромислового сектору та логістики.

З чого почати: практичний план

Визначте свій статус. Чи є у вас об’єкти в реєстрі ОКІ, чи регулює вас НБУ, чи обробляєте ви державні інформаційні ресурси, які вимоги до кіберзахисту вже є в договорах із клієнтами.
Призначте відповідального. Навіть якщо закон цього не вимагає, у кіберзахисту має бути власник із повноваженнями й бюджетом.
Оцініть поточний стан за NIST CSF 2.0. Рамка має шість функцій: управління (Govern), ідентифікація (Identify), захист (Protect), виявлення (Detect), реагування (Respond) і відновлення (Recover). Пройдіться по кожній і зафіксуйте прогалини.
Налагодьте виявлення інцидентів. Збирайте журнали подій з мережевого обладнання, серверів, кінцевих точок і хмарних сервісів та аналізуйте їх — без цього неможливо ні помітити інцидент, ні задокументувати його.
Підготуйте план реагування. Хто приймає рішення, як ізолювати уражені системи, кого й у які строки повідомляти — зокрема CERT-UA і кіберполіцію.
Закрийте базові ризики. Багатофакторна автентифікація для VPN і пошти, своєчасні оновлення, резервні копії, які неможливо зашифрувати чи видалити з основної мережі.
Навчайте людей. Регулярні інструктажі з кібергігієни для всіх співробітників.
Перевіряйте підрядників. Визначте вимоги до кіберзахисту для своїх постачальників і закріпіть їх у договорах.

Чек-лист

Як допоможе Bereg-IT

Почнемо з консультації або аудиту: оцінимо ризики, захищеність даних і відповідність вимогам, що стосуються саме вашої компанії, і підготуємо дорожню карту з пріоритетами. Допоможемо впровадити засоби захисту — від мережевої безпеки та NGFW до управління вразливостями. А SOC as a Service візьме на себе збір і аналіз подій безпеки, розслідування, сповіщення та регулярну звітність — це важливо для компаній із регуляторними вимогами до журналювання та реагування на інциденти.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться фахівець з інформаційної безпеки.

Джерела

Закон України «Про основні засади забезпечення кібербезпеки України» від 05.10.2017 № 2163-VIII: https://zakon.rada.gov.ua/laws/show/2163-19
Закон України «Про критичну інфраструктуру» від 16.11.2021 № 1882-IX: https://zakon.rada.gov.ua/laws/show/1882-20
Закон України від 27.03.2025 № 4336-IX «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури»: https://zakon.rada.gov.ua/laws/show/4336-20
Верховна Рада України, повідомлення про ухвалення законопроєкту № 11290 (27.03.2025): https://www.rada.gov.ua/news/razom/260570.html
Національний координаційний центр кібербезпеки при РНБО України, Огляд національної системи кібербезпеки України 2025 — перелік постанов 2025 року, обов’язки власників ОКІІ, дані реєстру ОКІ, вектори атак: https://www.rnbo.gov.ua/files/2026/NATIONAL_CYBER_SCC/kiber_2025.pdf
NIST, The NIST Cybersecurity Framework (CSF) 2.0, CSWP 29 (26.02.2024): https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
Директива (ЄС) 2022/2555 (NIS2), стаття 21 — заходи з управління кіберризиками, зокрема безпека ланцюга постачання: https://eur-lex.europa.eu/eli/dir/2022/2555/oj