Правильне проведення самооцінки відповідно до нового Закону про національну систему кібербезпеки (НСКБ) вимагає не лише визначення того, чи підпадає компанія під дію цих правил, але й уточнення її статусу. Закон поділяє одержувачів зобов'язань на дві основні категорії: ключові суб'єкти та важливі суб'єкти. Хоча обидві групи зобов'язані впроваджувати заходи управління ризиками кібербезпеки та подати реєстрацію до 3 жовтня 2026 року, обсяг нагляду та потенційні фінансові санкції суттєво відрізняються.
Як відрізнити ключову сутність від важливої?
Належність до певної категорії визначається двома основними факторами: економічним сектором, у якому працює компанія, та її розміром (виміряним показниками зайнятості та фінансовими показниками).
| Критерій | Ключова сутність | Важлива сутність |
| Економічні сектори | Ключові сектори (включаючи енергетику, транспорт, банківську справу, охорону здоров'я, водопостачання, цифрову інфраструктуру, ІКТ). | Важливі сектори (включаючи пошту/кур'єрську службу, відходи, хімікати, харчову промисловість, промислове виробництво, цифрові послуги). |
| Розмір компанії | Великі підприємства у ключових секторах (≥250 співробітників або обіг >50 млн євро / баланс >43 млн євро). | Середні підприємства у ключових секторах та середні й великі підприємства у важливих секторах. |
| Кваліфікація незалежно від розміру | Постачальники довірчих послуг, реєстри доменних імен, органи державного управління або ті, хто індивідуально визначений через системний ризик. | Суб'єкти господарювання, зазначені в Законі як важливі, незалежно від масштабу їхньої діяльності. |
Попередній та попередній нагляд: ключова системна різниця
Найбільш суттєва практична відмінність між цими двома категоріями стосується способу, яким регуляторні органи здійснюють контроль за дотриманням вимог:
- нагляд попередній): Регулятори мають повноваження проводити профілактичні та регулярні перевірки. Вони можуть запитувати документацію в будь-який час — без попередніх інцидентів — замовляти незалежні аудити безпеки за рахунок компанії або перевіряти процедури.
- нагляд ex-post): Режим нагляду є постконкурентним. Органи влади вживають контрольних та правозастосовних заходів лише після отримання доказів, звіту або обґрунтованої підозри щодо порушення правил (наприклад, після серйозного інциденту або скарги).
Організаційні обов'язки
Обидві категорії суб'єктів господарювання повинні впровадити аналогічний набір технічних та організаційних заходів, включаючи:
- регулярний аналіз ризиків та політика безпеки ІКТ-систем,
- процедури реагування на інциденти та планування безперервності бізнесу (BCP) і управління кризовими ситуаціями,
- перевірка безпеки ланцюга поставок (аудит постачальників програмного забезпечення та ІТ-послуг),
- обов'язкове використання криптографії та шифрування, де це виправдано.
Для обох груп кінцевим терміном повного впровадження Системи управління інформаційною безпекою (СУІБ) залишається 3 квітня 2027 року.
Фінансові санкції та управлінська відповідальність
Різниця в критичності сектора також відображається в тарифі штрафів за невиконання зобов'язань:
- Для ключових організацій: штрафи можуть сягати до 10 000 000 євро або до 2% від загального світового річного обороту компанії за попередній фінансовий рік (залежно від того, що більше).
- Для важливих організацій: максимальні санкції до 7 000 000 євро або до 1,4% від загального світового річного обороту (залежно від того, що більше).
Варто наголосити, що поправка до KSC також передбачає персональну відповідальність керівників підрозділів (членів правління). У випадку ключових суб'єктів господарювання, органи нагляду, у крайніх випадках постійного невиконання рекомендацій після аудиту, матимуть право вимагати тимчасового відсторонення особи від виконання керівних функцій.
Підсумовуючи
Хоча важливі суб'єкти господарювання підлягають більш м'якій моделі контролю ex-post, обсяг необхідних процедур безпеки майже ідентичний тому, що застосовується до ключових суб'єктів господарювання. Поверхневе тлумачення нормативних актів та затримка впровадження через відсутність превентивного контролю створює високий бізнес-ризик – перший серйозний інцидент у значному суб'єкті господарювання призведе до процедури аудиту. Щоб захистити організацію від суворих санкцій, доцільно розпочати процес аналізу технологічних та правових прогалин одночасно з підготовкою заявки на реєстрацію.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 13 серпня 2026 року.
