Роз’яснення щодо нормативно-правового регулювання діяльності та взаємодії команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)

  Відповідно до статті 9 Закону України «Про основні засади забезпечення кібербезпеки України» (https://zakon.rada.gov.ua/laws/show/2163-19#Text), створено та забезпечується функціонування національної системи реагування на кіберінциденти, кібератаки, кіберзагрози. Уповноваженим органом, що забезпечує функціонування такої системи є Державна служба спеціального зв’язку та захисту інформації України (Держспецзв’язку). 

1. Вимоги до організаційно-технічної спроможності команд реагування на кіберінциденти – наказ Адміністрації Держспецзв’язку від 03 лютого 2026 року № 87, зареєстрований в Мін'юсті 09.03.2026 за № 316/45710 (https://zakon.rada.gov.ua/laws/show/z0316-26#Text) Документ визначає оцінку спроможності для національного CSIRT (CERT-UA), а також галузевих та регіональних CSIRT. ВАЖЛИВО: Для функціонування в національній системі кібербезпеки регіональні та галузеві CSIRT зобов’язані відповідати щонайменше початковому рівню зрілості. 

На основі балів параметрів командам присвоюється один із чотирьох рівнів зрілості: Початковий: початок виконання завдань, більшість інструментів та процесів можуть мати значення «0», але базові організаційні параметри (O-1 – O-5, O-10) вже мають бути чітко визначені (значення «3»). Базовий: прогрес за всіма показниками, наявність сформованих внутрішніх правил (значення «2»). Проміжний: процеси врегульовані керівництвом, або команда має статус «ACCREDITED» у міжнародній спільноті TF-CSIRT. Розвинутий: максимальний досвід, постійний аудит та оптимізація процесів, або наявність статусу «CERTIFICATED» у TF-CSIRT. 2. Вимоги до сервісу з реагування на кіберінциденти – наказ Адміністрації Держспецзв’язку від 19 травня 2026 року № 360, зареєстрований в Мін'юсті 04.06.2026 за № 817/46211 (https://zakon.rada.gov.ua/laws/show/z0817-26#Text) Документ деталізує перелік, зміст та функції сервісів, які надають CERT-UA, галузеві/регіональні CSIRT, а також залучені приватні команди реагування. 

ВАЖЛИВО: За відсутності галузевих або регіональних CSIRT органи влади, місцеве самоврядування та оператори критичної інфраструктури мають право залучати приватні команди реагування для власних потреб або потреб галузі/регіону. 

Встановлено чітку вертикаль та правила взаємодії між державними, регіональними та приватними командами реагування: 1. Галузеві та регіональні CSIRT надають сервіси виключно користувачам у межах своєї визначеної галузі, сфери чи регіону. 2. Якщо в певній галузі або регіоні державну команду ще не створено, надання сервісів може тимчасово здійснювати національна команда – CERT-UA. 3 3. Органи державної влади, місцевого   самоврядування та оператори критичної інфраструктури мають право залучати приватні команди реагування (на договірних засадах) як для захисту всієї галузі/регіону (за відсутності державної команди), так і суто для власних потреб. 4. Сервіси можуть надаватися як за договором, так і без нього. При цьому сервіси з категорії «Управління кіберінцидентами» (прийняття повідомлень, аналіз, стримування, відновлення) надаються CERT-UA та CSIRT без укладання жодних договорів та оплати. НАГОЛОШУЄМО: Кожна команда реагування зобов’язана чітко визначити перелік своїх сервісів відповідно до власної організаційнотехнічної спроможності. Цей перелік затверджується органом, який створив команду, та обов’язково публікується на офіційному вебсайті. Надання інших сервісів (не передбачених цим переліком) дозволяється лише за наявності додаткових спроможностей. 

Адміністрація Держспецзв’язку систематично здійснює аналіз результатів моніторингу. У разі виявлення балів, нижчих за затверджений мінімум, Адміністрація Держспецзв’язку протягом 45 днів надсилає команді офіційну вимогу про усунення недоліків. CSIRT надається 3 місяці для повного усунення порушень та письмового звітування. Не усунення недоліків або не надіслання повідомлення про результати у встановлений 3-місячний строк є прямою підставою для анулювання акредитації та ліквідації статусу делегованої команди