Зміст

  1. Захід 1: Політики аналізу ризиків і безпеки інформації
  2. Захід 2: Управління інцидентами
  3. Захід 3: Безперервність – backup, DRP, BCP
  4. Захід 4: Безпека ланцюга постачання
  5. Захід 5: Безпека під час розробки та підтримки систем
  6. Захід 6: Оцінка ефективності заходів
  7. Захід 7: Кібергігієна та навчання
  8. Захід 8: Криптографія
  9. Захід 9: Безпека людських ресурсів і контроль доступу
  10. Захід 10: Багатофакторна автентифікація (БФА)
  11. Захід 11: Управління змінами (Change Management)
  12. Захід 12: Звітування
  13. Перехідний період і строки
  14. Що робити зараз?

13 лютого 2026 р. набрав чинності оновлений Закон про кібербезпеку (ЗКС; ДВ № 17/13.02.2026 (Державний вісник)), який транспонує європейську директиву NIS2. Ст. 22 перелічує 12 конкретних заходів, які кожен зобов'язаний суб'єкт – громада (община), порт, лікарня, оператор водопостачання та водовідведення – повинен застосовувати.

Проблема: текст написали юристи для юристів. Якщо ви мер, директор чи менеджер без ІТ-освіти, ця стаття для вас. Ми пояснюємо кожен захід простими словами та на конкретних прикладах.

Захід 1: Політики аналізу ризиків і безпеки інформації

Що каже закон (ст. 22, п. 1): Організація повинна мати письмову політику управління ризиками.

Що це означає на практиці: Документ, у якому сказано: «ось наші системи, ось які ризики ми бачимо, ось що ми з цим робимо». Він не мусить мати 100 сторінок – але має існувати, бути затвердженим керівництвом і переглядатися щонайменше раз на рік.

Що хоче побачити МЕУ (Міністерство електронного врядування): Підписаний документ із датою, перелік критичних систем, оцінку ризиків, відповідальних осіб.

Захід 2: Управління інцидентами

Що каже закон (ст. 22, п. 2): Процедури виявлення, аналізу та реагування на інциденти у сфері кібербезпеки.

Що це означає на практиці: Якщо завтра зламають ваш сайт або зашифрують сервер – чи знаєте ви, кому телефонувати? Чи маєте план? Процедура описує: хто виявляє інцидент, хто вирішує, що робити, хто повідомляє СЕРІКС (CERT-BG) протягом 24 годин (ст. 23 ЗКС).

Що хоче побачити МЕУ: Письмову процедуру, список контактів, підтвердження проведення принаймні одного тренувального навчання (настільних навчань, tabletop).

Захід 3: Безперервність – backup, DRP, BCP

Що каже закон (ст. 22, п. 3): Безперервність діяльності, управління резервними копіями, відновлення після аварій.

Що це означає на практиці: Три запитання: Чи робите ви backup? Чи перевіряли ви, що backup справді працює? Якщо завтра серверна згорить – чи зможете ви продовжити роботу?

Що хоче побачити МЕУ: Підтвердження регулярних backup-ів (журнали), принаймні одну перевірку відновлення, письмовий план BCP/DRP.

Захід 4: Безпека ланцюга постачання

Що каже закон (ст. 22, п. 4): Управління ризиками, пов'язаними з постачальниками та субпідрядниками.

Що це означає на практиці: Ваш ІТ-постачальник має доступ до ваших систем. Хостинг-компанія зберігає ваші дані. Якщо їх зламають – постраждаєте ви. Потрібні: перелік усіх ІТ-постачальників, договори із застереженнями щодо безпеки, перевірка їхніх заходів.

Що хоче побачити МЕУ: Реєстр постачальників, договори з SLA та застереженнями щодо кібербезпеки. Gmail/ABV для службової пошти = автоматичне порушення за цим пунктом.

Захід 5: Безпека під час розробки та підтримки систем

Що каже закон (ст. 22, п. 5): Безпека під час придбання, розробки та підтримки мережевих та інформаційних систем, включно з вразливостями.

Що це означає на практиці: Коли ви замовляєте новий сайт чи програмне забезпечення – технічне завдання має містити вимоги до безпеки. Коли постачальник випускає оновлення – його треба встановити вчасно, а не через 2 роки.

Що хоче побачити МЕУ: Процедуру управління вразливостями, підтвердження оновлень (patch management), вимоги до безпеки в договорах на розробку.

Захід 6: Оцінка ефективності заходів

Що каже закон (ст. 22, п. 6): Політики та процедури оцінки того, чи працюють заходи.

Що це означає на практиці: Недостатньо написати політику – потрібно перевіряти, чи ви її дотримуєтеся. Це може бути внутрішній аудит, зовнішній аудит або принаймні щорічний перегляд: «Ми написали, що робимо backup щодня – чи справді ми його робимо?»

Що хоче побачити МЕУ: Протокол внутрішнього перегляду чи аудиту, перелік висновків і коригувальних дій.

Захід 7: Кібергігієна та навчання

Що каже закон (ст. 22, п. 7): Базові практики кібергігієни та навчання персоналу.

Що це означає на практиці: Працівники мають знати: не натискати на підозрілі посилання, не передавати паролі іншим, блокувати комп'ютер. Навчання має бути задокументоване – а не усне «ми їм сказали».

Що хоче побачити МЕУ: Протокол навчання з датою, присутніми та темами. Щонайменше раз на рік. Керівник (мер/директор) також має пройти навчання – особиста відповідальність за ст. 21 ЗКС.

Захід 8: Криптографія

Що каже закон (ст. 22, п. 8): Політики та процедури використання криптографії, включно з шифруванням.

Що це означає на практиці: Сайт має працювати на HTTPS. Електронні листи з персональними даними треба шифрувати. Бази даних із чутливою інформацією мають бути зашифровані. Мережа WiFi має використовувати WPA3/WPA2, а не бути відкритою.

Що хоче побачити МЕУ: HTTPS на всіх публічних системах, зашифровані бази даних, політику шифрування.

Захід 9: Безпека людських ресурсів і контроль доступу

Що каже закон (ст. 22, п. 9): Безпека людських ресурсів (HR), політики контролю доступу та управління активами.

Що це означає на практиці: Коли працівник звільняється – його обліковий запис деактивується того ж дня, а не через 6 місяців. Кожен працівник має доступ лише до того, що йому потрібно для роботи. Є перелік, хто до чого має доступ.

Що хоче побачити МЕУ: Процедуру onboarding/offboarding, матрицю доступу, підтвердження деактивації облікових записів звільнених працівників.

Захід 10: Багатофакторна автентифікація (БФА)

Що каже закон (ст. 22, п. 10): Використання БФА або безперервної автентифікації, коли це доцільно.

Що це означає на практиці: Адміністраторські облікові записи обов'язково мають бути захищені БФА (пароль + SMS-код або застосунок). Для звичайних користувачів – на розсуд після оцінки ризиків. Закон не вимагає БФА всюди – але вимагає, щоб ви обґрунтували своє рішення.

Що хоче побачити МЕУ: БФА, увімкнену принаймні для адміністраторського доступу. Якщо ні – письмове обґрунтування, чому це недоцільно (з аналізом ризиків).

Захід 11: Управління змінами (Change Management)

Що каже закон (ст. 22, п. 11): Управління змінами в мережевих та інформаційних системах.

Що це означає на практиці: Перш ніж щось змінити в системі – ви записуєте, що, навіщо, коли і хто це затверджує. А не «Іван оновив сервер у п'ятницю ввечері, нікому не сказавши».

Що хоче побачити МЕУ: Реєстр змін (change log), процедуру затвердження, підтвердження тестування перед впровадженням.

Захід 12: Звітування

Що каже закон (ст. 22, п. 12 у зв'язку зі ст. 23): Повідомлення про значні інциденти.

Що це означає на практиці: У разі серйозного інциденту – ви повідомляєте СЕРІКС (cert@government.bg):

  • 24 години – раннє попередження: «У нас інцидент».
  • 72 години – повідомлення: «Ось що сталося і що ми робимо».
  • На запит – проміжний звіт.
  • 1 місяць – остаточний звіт з аналізом і заходами.

Що хоче побачити МЕУ: Процедуру звітування, контакт СЕРІКС у списку для екстрених випадків, шаблон повідомлення.

Перехідний період і строки

До 1 червня 2026 р. санкції зменшено на 50% – законодавець дає час для приведення у відповідність. Після цієї дати – повні штрафи.

Постанову за ст. 3, ч. 2 ЗКС (детальні технічні вимоги) очікують до жовтня 2026 р. До того часу діють чинна постанова 2019 року та прямі вимоги ст. 22.

Що робити зараз?

Не чекайте перевірки від МЕУ. Почніть із трьох кроків:

  1. Безкоштовне AI-сканування вашого публічного сайту – виявляє основні порушення за лічені секунди → avigentis.eu/app
  2. Завантажте чекліст із 48 пунктів – охоплює всі 12 заходів у 8 нормативних блоках → Завантажити PDF
  3. Замовте аудит – ви отримуєте звіт, який слугує доказом сумлінності перед МЕУ → avigentis.eu/kontakt

«Авігентіс» ЕООД – консультант із кібербезпеки, а не гарант. Відповідальність за виконання ЗКС несе суб'єкт (ст. 21 ЗКС).