Закон України «Про захист інформації в інформаційно-телекомунікаційних системах»: повний розбір

Закон України про захист інформації в інформаційно-телекомунікаційних системах — базовий нормативний акт, який уже понад три десятиліття визначає, як держава та бізнес мають захищати дані, що обробляються в комп'ютерних, телекомунікаційних та інформаційно-телекомунікаційних системах. Його офіційна назва — Закон України «Про захист інформації в інформаційно-телекомунікаційних системах» № 80/94-ВР, ухвалений 5 липня 1994 року та опублікований у «Відомостях Верховної Ради України» (1994, № 31, ст. 286).

За три десятиліття документ пережив кілька великих редакцій. У 2005 році його виклали в новій редакції (Закон № 2594-IV від 31 травня 2005 року), і саме ця версія набрала чинності 1 січня 2006 року. Після реформи електронних комунікацій 2020 року назву уточнили — тепер офіційно документ називається «Про захист інформації в інформаційно-комунікаційних системах». А у 2025 році закон знову суттєво оновили: з'явився механізм «авторизації з безпеки» та профілі безпеки, які поступово замінюють класичну атестацію комплексної системи захисту інформації.

У цій статті розбираємо, що саме регулює закон, кому він адресований, що таке КСЗІ, як працює нова авторизація з безпеки та які практичні кроки потрібні, щоб відповідати вимогам.

Що регулює закон про захист інформації в інформаційно-телекомунікаційних системах

Закон України про захист інформації в інформаційно-телекомунікаційних системах регулює відносини у сфері захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах. Після редакції 2020 року ці поняття уточнені: йдеться про інформаційні, електронні комунікаційні та інформаційно-комунікаційні системи.

Ключовий принцип закону простий: будь-яка інформація, яка обробляється в системі, має бути захищена від несанкціонованого доступу, витоку, знищення, блокування та порушення цілісності. Закон не обмежується державними системами — він поширюється на всі системи, де обробляється інформація, включно з приватними компаніями, банками, операторами зв'язку та іншими суб'єктами господарювання.

Важливо розуміти: цей закон — фундамент, на якому побудована вся система захисту інформації в Україні. Він працює у зв'язці з іншими актами: Законом «Про інформацію», Законом «Про захист персональних даних», Законом «Про основні засади забезпечення кібербезпеки України» (2017), Законом «Про електронні комунікації» (2020) та Законом «Про державну таємницю». Разом вони утворюють правове поле, в якому діють і державні органи, і комерційний сектор.

Ключові терміни: захист, КСЗІ, технічний і криптографічний захист

Стаття 1 закону дає визначення базовим термінам, і їх варто знати, щоб орієнтуватися в вимогах регулятора.

Захист інформації в системі — це діяльність, спрямована на запобігання несанкціонованим діям щодо інформації в системі. Тобто це не разова дія, а постійний процес.

Комплексна система захисту інформації (КСЗІ) — взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації. Це головний практичний механізм, який власники систем мають створювати для виконання закону.

Технічний захист інформації — вид захисту, спрямований на те, щоб за допомогою інженерно-технічних заходів і програмно-технічних засобів унеможливити виток, знищення та блокування інформації, а також порушення цілісності та режиму доступу.

Криптографічний захист інформації — вид захисту, що реалізується шляхом перетворення інформації з використанням спеціальних (ключових) даних з метою приховування чи відновлення змісту інформації, підтвердження її справжності, цілісності та авторства.

Також закон визначає такі поняття, як виток інформації (результат дій, внаслідок яких інформація стає відомою особам без права доступу), блокування інформації, знищення інформації, порушення цілісності та несанкціоновані дії щодо інформації. Розуміння цих термінів критично важливе, адже саме на них спираються вимоги регулятора та судові рішення.

Об'єкти захисту та суб'єкти відносин

Згідно зі статтею 2 закону, об'єктами захисту в системі є два елементи: сама інформація, що обробляється в системі, та програмне забезпечення, яке призначене для її обробки. Тобто захищати треба не лише дані, а й засоби, якими ці дані обробляються.

Суб'єктами відносин (стаття 3) виступають:

• володільці інформації — фізичні або юридичні особи, яким належать права на інформацію;
• власники системи — особи, яким належить право власності на систему;
• користувачі — особи, які в установленому порядку отримали право доступу до інформації в системі;
• спеціально уповноважений центральний орган з питань організації спеціального зв'язку та захисту інформації — це Державна служба спеціального зв'язку та захисту інформації України (Держспецзв'язку) та її регіональні органи.

Закон окремо регулює відносини між цими суб'єктами: між володільцем інформації та власником системи (стаття 5), між власником системи та користувачем (стаття 6), між власниками систем (стаття 7). Власник системи зобов'язаний забезпечувати захист інформації на умовах, визначених договором із володільцем інформації, та надавати користувачам відомості про правила й режим роботи системи.

Комплексна система захисту інформації (КСЗІ): як це працює

Практичне виконання закону традиційно реалізується через створення комплексної системи захисту інформації (КСЗІ). Порядок її побудови довгий час визначали Правила забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджені постановою Кабінету Міністрів України від 29 березня 2006 року № 373.

КСЗІ охоплює і організаційні заходи (політики безпеки, регламенти, призначення відповідальних осіб), і інженерно-технічні рішення (засоби розмежування доступу, антивірусний захист, засоби криптографічного захисту, системи виявлення вторгнень тощо). Після створення система підлягала державній експертизі та атестації відповідності, яку проводили органи Держспецзв'язку або акредитовані ними структури.

Для систем, у яких обробляється державна таємниця чи службова інформація, вимоги були найсуворішими. А для бізнесу, що працює з відкритою інформацією, закон передбачав гнучкіший підхід: умови, за яких можна не застосовувати КСЗІ, визначені в самому законі.

Окремий пласт вимог стосується об'єктів критичної інформаційної інфраструктури. Для них діють Загальні вимоги до кіберзахисту об'єктів критичної інфраструктури (постанова КМУ від 19 червня 2019 року № 518), а також модель кіберзахисту, затверджена постановою КМУ від 29 грудня 2021 року № 1426.

Реформа 2025 року: авторизація з безпеки та профілі безпеки

Найбільші зміни за останні роки принесла реформа 2025 року. Закон № 4336-ІХ від 27 березня 2025 року «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об'єктів критичної інформаційної інфраструктури» запровадив нову модель, яка поступово замінює класичну атестацію КСЗІ.

Ключові новації:

1. Профілі безпеки трьох рівнів. Базовий профіль розробляється залежно від виду інформації з обмеженим доступом і функціонального призначення системи та затверджується Адміністрацією Держспецзв'язку. Галузевий профіль враховує базовий для відповідної категорії систем. Цільовий профіль розробляється для конкретної системи, що підлягає авторизації з безпеки.

1. Авторизація з безпеки — нова процедура, яка дає право експлуатувати систему. Вона проводиться для систем, де обробляються державні інформаційні ресурси або інформація з обмеженим доступом об'єктів критичної інформаційної інфраструктури, власниками чи розпорядниками яких є органи державної влади, державні підприємства, установи, організації та органи місцевого самоврядування.

1. Сертифікат відповідності стандарту інформаційної безпеки — альтернативний шлях: система може бути захищена шляхом отримання сертифіката відповідності, виданого органом з оцінки відповідності.

Ці механізми конкретизовані постановою КМУ від 18 червня 2025 року № 712 «Деякі питання захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем», якою затверджено Порядок розробки та затвердження профілів безпеки і Порядок авторизації з безпеки.

Для приватного сектору реформа означає поступовий перехід від жорсткої атестації до ризик-орієнтованого підходу з профілями безпеки, що наближає українську практику до міжнародних стандартів і полегшує гармонізацію з вимогами ЄС.

Роль Держспецзв'язку та відповідальність за порушення

Держспецзв'язку — спеціально уповноважений центральний орган виконавчої влади з питань організації спеціального зв'язку та захисту інформації. Саме на нього закон покладає ключові функції:

• розробку пропозицій щодо державної політики у сфері захисту інформації та її реалізацію;
• визначення вимог і порядку створення КСЗІ для державних інформаційних ресурсів та інформації з обмеженим доступом;
• організацію державної експертизи комплексних систем захисту, експертизи та підтвердження відповідності засобів технічного і криптографічного захисту;
• контроль за забезпеченням захисту державних інформаційних ресурсів;
• заходи щодо виявлення загроз державним інформаційним ресурсам від несанкціонованих дій.

Щодо відповідальності, стаття 11 закону формулює її лаконічно: особи, винні в порушенні законодавства про захист інформації в системах, несуть відповідальність згідно із законом. Конкретні санкції встановлюють інші акти — Кодекс України про адміністративні правопорушення та Кримінальний кодекс України, які передбачають як адміністративну, так і кримінальну відповідальність за незаконний доступ до інформації, її виток чи несанкціоновану модифікацію.

Окремо закон (стаття 12) закріплює пріоритет міжнародних договорів: якщо міжнародним договором, згоду на обов'язковість якого надала Верховна Рада, встановлено інші правила — застосовуються норми міжнародного договору.

Що робити бізнесу: практичні кроки до відповідності

Хоча найсуворіші вимоги стосуються державних систем і критичної інфраструктури, приватним компаніям теж варто системно підходити до захисту інформації. Практичний мінімум виглядає так.

По-перше, проведіть інвентаризацію: з'ясуйте, яка інформація обробляється у ваших системах, чи є серед неї персональні дані, службова інформація або інші дані з обмеженим доступом. Від цього залежить, який рівень захисту потрібен.

По-друге, впровадьте організаційні заходи: призначте відповідальну особу (адміністратора безпеки), затвердіть політики інформаційної безпеки, розмежуйте права доступу та навчіть персонал. Згідно з логікою закону, саме організаційний рівень — основа будь-якої КСЗІ.

По-третє, забезпечте технічний і криптографічний захист: використовуйте сучасні засоби розмежування доступу, антивірусний захист, шифрування та резервне копіювання. Перевагу варто віддавати перевіреним не-російським рішенням — наприклад, від ESET, Cloudflare, CrowdStrike або Microsoft, які відповідають міжнародним стандартам.

По-четверте, регулярно перевіряйте, чи не витекли ваші дані назовні. Виявити скомпрометовані облікові дані допоможе безкоштовний інструмент перевірки витоків Breach Check — швидкий спосіб оцінити, чи потрапили ваші корпоративні адреси у відомі бази зламів.

По-п'яте, стежте за змінами законодавства та галузевими подіями. Реформа авторизації з безпеки ще розгортається, і вимоги уточнюються. Актуальні тренди та заходи української кіберспільноти зручно відстежувати в наших оглядах — наприклад, у матеріалі про NATO Cyber Coalition 2026, де розібрані практики оборони інформаційних систем державного рівня.

Висновок

Закон України про захист інформації в інформаційно-телекомунікаційних системах залишається фундаментом, на якому тримається вся система захисту даних в Україні. Попри солідний вік — документ ухвалено ще 1994 року — він постійно оновлюється й сьогодні переживає масштабну трансформацію: на зміну жорсткій атестації КСЗІ приходить ризик-орієнтована авторизація з безпеки з профілями безпеки.

Для бізнесу головний висновок простий: захист інформації — це не разова сертифікація, а безперервний процес, який поєднує організаційні заходи, технічні засоби та постійний моніторинг. Розуміння базових понять закону — об'єктів захисту, суб'єктів відносин, КСЗІ та нової авторизації з безпеки — дозволяє компанії свідомо будувати систему захисту, а не просто виконувати формальні вимоги.

Слідкуйте за оновленнями на cyberpeople.tech, щоб не пропустити зміни законодавства та практичні розбори нових механізмів захисту інформації.