Наближається кінцевий термін 3 жовтня 2026 року, який знаменує собою завершальний етап реєстрації у переліку ключових та важливих суб’єктів, але він не завершує процес адаптації до зміни до Закону про національну систему кібербезпеки. Найважливішим зобов’язанням є впровадження системи управління інформаційною безпекою (СУІБ). Суб’єкти, які відповідали законодавчим критеріям станом на 3 квітня 2026 року, повинні зробити це до 3 квітня 2027 року.
Що таке СУІБ у розумінні Закону KSC?
СУІБ – це національна система для впровадження вимог Директиви NIS2 щодо управління ризиками кібербезпеки. Вона не є набором політик, розроблених для цілей аудиту. Відповідно до статті 8, розділу 1 Закону, система охоплює інформаційні системи, що використовуються в процесах, що впливають на надання послуг суб’єктом господарювання. Вона повинна забезпечувати, зокрема:
- Систематична оцінка ризиків: регулярне виявлення, аналіз, оцінювання та управління ризиком виникнення інциденту.
- Пропорційні технічні та організаційні заходи: заходи безпеки, адаптовані до оціненого ризику, з урахуванням останніх знань, витрат на впровадження та розміру суб'єкта господарювання. Закон визначає, серед іншого, політику безпеки, безпеку ланцюга поставок, плани забезпечення безперервності бізнесу, постійний моніторинг системи, управління активами та контроль доступу.
- Управління інцидентами та вразливостями: збір інформації про кіберзагрози, обробка інцидентів та заходи щодо їх пом'якшення, включаючи регулярні оновлення програмного забезпечення.
Оцінка ризиків
Оцінка ризиків є відправною точкою для вибору всіх заходів безпеки. Відсутність задокументованого аналізу ризиків підриває валідність будь-якого впровадженого заходу. На цьому етапі вам слід:
- Прийняти методологію: Розробити та затвердити єдиний метод оцінки ризиків разом із критеріями прийнятності ризику.
- Інвентаризація активів: Створення реєстру систем, даних, процесів та постачальників, охоплених СУІБ.
- Розробіть план управління ризиками: призначте контрзаходи, відповідальних за ризики та терміни впровадження. Рішення з цього питання приймає керівник організації.
- Проведення навчання керівництва: Керівник суб'єкта господарювання та особа, на яку покладено обов'язки з кібербезпеки, повинні проходити навчання один раз на календарний рік, а участь у ньому має бути задокументована. Рекомендується організувати перше навчання у 2026 році, до того, як рада директорів почне приймати ключові рішення щодо впровадження.
Документування та впровадження заходів безпеки
Після завершення аналізу ризиків організація переходить до впровадження конкретних рішень:
- Документація безпеки: Закон поділяє її на нормативну та операційну. Нормативна документація включає, серед іншого, документацію СУІБ, тематичні політики, документацію системи управління безперервністю бізнесу та технічну документацію. Оперативна документація складається з записів, що підтверджують виконання діяльності, включаючи системні журнали. Вся документація потребує нагляду, версіювання та зберігання протягом щонайменше двох років після виведення з експлуатації.
- Процедура обробки інцидентів: Шляхи ескалації та шаблони звітності для дотримання встановлених законом термінів з відповідною галузевою CSIRT: раннє попередження протягом 24 годин, звітування про серйозні інциденти протягом 72 годин та остаточний звіт протягом одного місяця.
- Безперервність бізнесу: впровадження, документування та тестування планів забезпечення безперервності бізнесу, планів дій у надзвичайних ситуаціях та планів відновлення бізнесу.
- Технічні заходи: постійний моніторинг системи, управління доступом, регулярні оновлення та, де це доречно, шифрування та багатофакторна автентифікація. Кожен захід безпеки має базуватися на плані управління ризиками.
- Ланцюг поставок: Перевірка контрактів постачальників ІКТ та впровадження процедур оцінювання. Ми детально розглядали це в попередній статті серії.
Запуск та перевірка
Останні тижні перед дедлайном слід використати для перевірки того, чи працює система на практиці:
- Використання системи S46: До 3 квітня 2027 року суб’єкти господарювання повинні почати використовувати ІТ-систему S46, яка використовується, серед іншого, для звітності про інциденти.
- Навчання персоналу: Навчання співробітників новим процедурам та основним принципам кібергігієни з документуванням участі.
- Тестування процедур: Штабні навчання, що охоплюють сценарій серйозного інциденту, включаючи процес звітування до галузевої CSIRT та комунікацію з керівництвом.
- Оцінка ефективності: Внутрішня або управлінська перевірка для підтвердження повноти документації та ефективності впроваджених заходів.
Короткий зміст
Кінцевий термін 3 квітня 2027 року знаменує собою завершення розробки системи, а не кінець обов'язків. З цієї дати СУІБ повинна працювати безперервно. Ризики повинні періодично оцінюватися, інциденти реєструватися, а ефективність заходів безпеки оцінюватися. Ключові організації повинні провести свій перший аудит безпеки до 3 квітня 2028 року, а потім повторювати його принаймні кожні три роки. Аудит не може проводитися особою, яка виконувала завдання, пов'язані з СУІБ, у межах організації протягом останнього року. Для ключових організацій орган влади може замовити зовнішній аудит, наприклад, після серйозного інциденту. З 3 квітня 2028 року наглядові органи, як правило, можуть накладати штрафи як на організацію, так і особисто на керівника.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 17 вересня 2026 року.
