Нові вимоги регуляторів: на що звернути увагу бізнесу для підвищення кіберстійкості?

Протягом 2025–2026 років набере чинності низка нових регуляторних вимог, спрямованих на підвищення кіберстійкості критичних систем та даних. Ці зміни охоплюють широкий спектр суб'єктів господарювання, включаючи банки, небанківські фінансові установи, учасників платіжного ринку, компанії, що використовують хмарні технології, а також постачальників послуг та товарів для державних інформаційних систем та об'єктів критичної інфраструктури.

Ключові регуляторні акти включають Постанову НБУ №99, яка зосереджується на використанні хмарних технологій фінансовими установами, вимагаючи оцінки ризиків та чіткого розподілу відповідальності з провайдерами. Постанова НБУ №143 встановлює вимоги до інформаційної безпеки та кіберзахисту для небанківських фінансових установ. У свою чергу, Наказ Держспецзв’язку №836 визначає стандарти безпеки для постачальників, що працюють з державними інформаційними системами, а Наказ Держспецзв’язку №75 затверджує Каталог базових заходів із кіберзахисту, впроваджуючи ризикоорієнтований підхід.

Вимоги передбачають комплексний підхід до кіберзахисту, включаючи аналіз ризиків, впровадження відповідних технічних та організаційних заходів, а також регулярне підтвердження відповідності. Для компаній, які співпрацюють з державним сектором, ступінь необхідних заходів буде залежати від рівня ризику, пов’язаного з їхньою діяльністю та характером послуг.

Недотримання нових стандартів може призвести до значних наслідків. Для фінансових установ це можуть бути регуляторні санкції з боку Національного банку України, які можуть включати штрафи або обмеження на ведення діяльності. Постачальники, що працюють з державним сектором, ризикують втратити можливість брати участь у державних закупівлях або зіткнутися з проблемами при виконанні існуючих контрактів.

Що це означає: Бізнесу необхідно вже зараз провести аудит свого ІТ-середовища та існуючих процесів, щоб виявити прогалини у відповідності новим вимогам. Це дозволить розробити план адаптації та забезпечити відповідність до набрання чинності регуляторних змін, мінімізуючи потенційні ризики та забезпечуючи стабільність функціонування в умовах посиленого кіберзахисту.