Одна з найважливіших змін, запроваджених поправкою до Закону про національну систему кібербезпеки (НСК), – це суворий триетапний режим звітності про серйозні інциденти. Директива ЄС NIS2 наголошує на системі точних термінів. Для ключових і важливих організацій це вимагає впровадження та застосування суворих процедур реагування.
Коли інцидент стає серйозним?
Підприємства не зобов'язані повідомляти про кожен незначний ІТ-інцидент. Обов'язкова звітність застосовується до серйозних інцидентів, тобто подій, які спричиняють або можуть спричинити значні перебої в наданні послуг, призводять до значних фінансових втрат для організації або завдають значної матеріальної чи нематеріальної шкоди іншим суб'єктам господарювання.
Найважливіше те, що 24-годинний термін для початкового реагування починається з моменту виявлення організацією інциденту, а не з моменту завершення аналізу після вторгнення. Важливо, що ці терміни також поширюються на суботу, неділю та інші державні свята.
Три етапи звітності: 24 години, 72 години та 1 місяць
Нові правила KSC поділяють процес інформування органів влади на три чітко визначені кроки:
- До 24 годин – Раннє попередження: Протягом 24 годин після виявлення інциденту організація подає попередню інформацію до відповідної CSIRT. Це повідомлення має на меті визначити, чи був інцидент спричинений незаконною або зловмисною діяльністю, і чи може він мати транскордонні наслідки.
- До 72 годин – повний звіт про інцидент: оновлення необхідно подати протягом цього терміну. Звіт містить попередню оцінку серйозності інциденту, потенційного впливу, індикаторів компрометації (IoC) та вжитих на сьогодні заходів щодо усунення наслідків.
- Протягом 1 місяця – Заключний звіт: Після вирішення інциденту (або протягом одного місяця після повного звітування) організація подає детальний звіт. Він включає аналіз першопричин, остаточну оцінку збитків, вжиті довгострокові запобіжні заходи та винесені уроки. Якщо вирішення інциденту тривало більше місяця, подається звіт про хід виконання.
Паралельні шляхи: KSC, GDPR та DORA
Кібератака рідко обмежується одним правовим режимом. Якщо інцидент пов’язаний з порушенням захисту персональних даних (наприклад, витік бази даних клієнтів внаслідок атаки програми-вимагача), організація повинна виконати два незалежних зобов’язання: повідомити відповідну CSIRT згідно з KSC та повідомити Управління захисту персональних даних (UODO) протягом 72 годин згідно з GDPR. Для суб’єктів фінансового сектору ці вимоги додатково виконуються регламентом DORA.
Як підготувати організацію до тиску часу?
Щоб дотримуватися вимог законодавства, організації повинні виконати такі кроки:
- Розробіть та протестуйте посібник з реагування на інциденти: Створіть чіткий сценарій реагування на інциденти, що визначає ролі ІТ-команди, керівництва, юридичного та комунікаційного відділів.
- Встановлення контактних пунктів та каналів повідомлення: Перевірте доступ до системи S46 та відповідних форм CSIRT до виникнення реальної загрози.
- Критерії класифікації подій: Впроваджуйте внутрішні індикатори, які дозволяють ІТ-адміністраторам негайно відрізнити звичайний інцидент від серйозного.
- Інформування одержувачів послуг: пам’ятайте про необхідність негайно повідомляти клієнтів, якщо кіберзагроза може вплинути на послуги, що їм надаються.
Підсумовуючи, новий режим звітності про інциденти в KSC змушує перейти від декларативної безпеки до справжньої операційної готовності. Регулятор карає компанію не за сам факт атаки на організацію, а за невиявлення загроз, перебої у зв'язку та перевищення встановлених законом термінів. Добре функціонуюча процедура звітності про інциденти зараз є найважливішим щитом, що захищає керівництво від звинувачень у відсутності належної перевірки в управлінні ризиками. Після підготовки звіту за 2026 рік варто перевірити повноваження представників, підготувати технічні дані та призначити відповідальних контактних осіб.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 27 серпня 2026 року.
