Про внесення змін до деяких постанов Кабінету Міністрів України щодо об’єктів критичної інфраструктури

Кабінет Міністрів України постановляє:

Внести до постанов Кабінету Міністрів України щодо об’єктів критичної інфраструктури зміни, що додаються.

---

ЗМІНИ,

що вносяться до постанов Кабінету Міністрів України щодо об’єктів критичної інфраструктури

1. У постанові Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 “Деякі питання об’єктів критичної інфраструктури” (Офіційний вісник України, 2020 р., № 93, ст. 2994; 2022 р., № 101, ст. 6303; 2024 р., № 15, ст. 962):

1) у Порядку віднесення об’єктів до критичної інфраструктури, затвердженому зазначеною постановою:

абзац другий пункту 1 викласти в такій редакції:

“Дія цього Порядку, крім абзаців першого - третього пункту 7, не поширюється на:”;

пункт 5 викласти в такій редакції:

“5. Секторальні органи у сфері захисту критичної інфраструктури разом із оператором критичної інфраструктури здійснюють категоризацію об’єктів критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури відповідно до Методики категоризації об’єктів критичної інфраструктури, затвердженої постановою Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 “Деякі питання об’єктів критичної інфраструктури” (Офіційний вісник України, 2020 р., № 93, ст. 2994) (далі - Методика).

Уповноважений орган у сфері захисту критичної інфраструктури може ініціювати проведення повторної категоризації секторальним органом об’єкта критичної інфраструктури.

Повторна категоризація проводиться секторальним органом у сфері захисту критичної інфраструктури відповідно до Методики.

Секторальний орган у сфері захисту критичної інфраструктури має право ініціювати проведення повторної категоризації об’єкта критичної інфраструктури на підставі письмового звернення оператора критичної інфраструктури, що містить інформацію про зміни відомостей, що обґрунтовують віднесення об’єкта критичної інфраструктури до однієї з категорій критичності, але не частіше ніж два рази на рік.

У разі отримання письмового звернення оператора критичної інфраструктури секторальний орган у сфері захисту критичної інфраструктури протягом 10 робочих днів повідомляє оператору критичної інфраструктури про можливість проведення повторної категоризації.”;

пункт 6 і 7 викласти в такій редакції:

“6.

Відомості про об’єкти критичної інфраструктури, що віднесені до I, II, III і IV категорії критичності, вносяться секторальними органами у сфері захисту критичної інфраструктури до секторальних переліків об’єктів критичної інфраструктури, які ними складаються та ведуться за формою згідно з додатком.

Виключення об’єкта критичної інфраструктури з секторального переліку об’єктів критичної інфраструктури здійснюється секторальним органом у сфері захисту критичної інфраструктури у разі:

невідповідності об’єкта критичної інфраструктури критеріям віднесення його до критичної інфраструктури за результатами повторної категоризації;

ненадання оператором критичної інфраструктури інформації на запит секторального органу у сфері захисту критичної інфраструктури, необхідної для проведення повторної категоризації об’єкта критичної інфраструктури, протягом 30 календарних днів з дня надсилання такого запиту або відмови оператора критичної інфраструктури від проведення повторної категоризації об’єкта критичної інфраструктури.

7. Секторальні органи у сфері захисту критичної інфраструктури подають уповноваженому органу у сфері захисту критичної інфраструктури секторальні переліки об’єктів критичної інфраструктури протягом 10 робочих днів з дня затвердження таких переліків.

У разі внесення змін до секторальних переліків об’єктів критичної інфраструктури секторальні органи у сфері захисту критичної інфраструктури подають уповноваженому органу у сфері захисту критичної інфраструктури оновлені секторальні переліки об’єктів критичної інфраструктури протягом 10 робочих днів з дня внесення змін до них.”;

пункт 8 доповнити абзацом такого змісту:

“Обмін відомостями про об’єкти критичної інфраструктури, що містяться у секторальних переліках об’єктів критичної інфраструктури, здійснюється з використанням засобів електронних комунікацій та/або в паперовій формі з дотримання законодавства у сфері захисту інформації та з дотриманням встановлених правил роботи з документами, що містять інформацію з обмеженим доступом.”;

2) у переліку секторів критичної інфраструктури, затвердженому зазначеною постановою:

графу “Тип основної послуги” підпункту 7 пункту 1 доповнити абзацом такого змісту:

“виробництво обмотувальних проводів для трансформаторів та реакторів”;

пункт 2 доповнити підпунктом 4 такого змісту:

пункт 3 викласти в такій редакції:

у пункті 6:

у графі “Тип основної послуги” підпункту 1 слова “забезпечення надання первинної медичної допомоги” виключити;

підпункт 3 викласти в такій редакції:

у графі “Тип основної послуги” підпункту 2 пункту 9 слова “міські перевезення (автобуси, трамваї, тролейбуси)” замінити словами “автомобільний, міський електричний транспорт”;

пункт 11 викласти в такій редакції:

пункт 12 доповнити підпунктом 3 такого змісту:

пункт 13 викласти в такій редакції:

доповнити перелік пунктом 15-1 такого змісту:

у графі “Сектор” пункту 20 слова “Фінансовий сектор” замінити словами “Фінансова та банківська діяльність”;

3) у Методиці категоризації об’єктів критичної інфраструктури, затвердженій зазначеною постановою:

пункт 3 доповнити абзацами такого змісту:

“Для віднесення об’єкта критичної інфраструктури до однієї з категорій критичності оператор критичної інфраструктури подає до секторального органу у сфері захисту критичної інфраструктури визначені секторальним органом пояснювальні, довідкові та інші інформаційно-аналітичні матеріали, необхідні для аналізу рівня негативного впливу відповідно до абзацу першого цього пункту та обґрунтування розрахунку віднесення об’єкта критичної інфраструктури до однієї з категорій критичності.

Інформацію про такі документи секторальний орган у сфері захисту критичної інфраструктури доводить до відома уповноваженого органу у сфері захисту критичної інфраструктури, який вивчає їх на предмет достатності для обґрунтування розрахунку віднесення об’єкта критичної інфраструктури до однієї з категорій критичності та у разі потреби може надавати конкретні рекомендації, спрямовані на забезпечення достатності відомостей для зазначеного обґрунтування.

Зазначені документи подаються в електронній формі з дотриманням вимог Законів України “Про електронні документи та електронний документообіг”, “Про електронну ідентифікацію та електронні довірчі послуги”, “Про захист інформації в інформаційно-комунікаційних системах” або у паперовій формі за підписом керівника оператора критичної інфраструктури або особи, яка його заміщає.

Факсимільне відтворення підпису керівника оператора критичної інфраструктури або особи, яка його заміщає, за допомогою засобів механічного або іншого копіювання на зазначених документах не допускається.

Для проведення категоризації об’єктів критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури та з метою забезпечення виконання інших завдань, передбачених секторальному органу Законом України “Про критичну інфраструктуру”, у секторальному органі може утворюватися робоча група, до складу якої також можуть входити представники уповноваженого органу у сфері захисту критичної інфраструктури, функціональних органів у сфері захисту критичної інфраструктури та інших державних органів.”;

абзац п’ятий підпункту 7 пункту 4 викласти в такій редакції:

“Залежно від сектору застосовуються 17 або 18 критеріїв. Для об’єктів критичної інфраструктури, що належать до секторів критичної інфраструктури згідно з пунктами 1 і 3, 5 і 6, 8-10, 22, 25 і 26, 29-30 додатка 1, максимальна можлива сума балів буде дорівнювати ΣРКmax = 18 x 4 = 72 бали. Для об’єктів критичної інфраструктури, що належать до секторів згідно з пунктами 2 і 4, 7, 11-21, 23 і 24, 27 і 28, 31-36 додатка 1, максимальна можлива сума балів буде дорівнювати ΣРКmax = 17 x 4 = 68 балів.”;

у додатках до Методики:

у додатку 1:

у графі “Рівень негативного впливу: значні наслідки (2 бали)”:

в абзаці другому пункту 9 слова “від доби до трьох діб” замінити словами “від трьох діб”;

в абзаці другому пункту 10 слова “доби до” виключити;

пункт 13 викласти в такій редакції:

у графі “Сектор/підсектор” пункту 21 слова “сектором цивільного захисту населення та територій” замінити словами “сектором цивільного захисту населення і територій”;

у графах “Рівень негативного впливу: значні наслідки (2 бали)” і “Рівень негативного впливу: незначні наслідки (1 бал)” пункту 23 слово “абонентів” замінити словом “жителів”;

пункт 24 виключити;

доповнити додаток пунктом 29-1 такого змісту:

у графі “Сектор/підсектор” пункту 32 слова “сектором державної влади та місцевого самоврядування” замінити словами “сектором державної влади та сектором місцевого самоврядування”;

пункт 33 викласти в такій редакції:

доповнити додаток пунктами 34-36 такого змісту:

у додатку 2:

графу “Рівень негативного впливу: критичні наслідки (3 бали)” пункту 3 після слів “центральних органів виконавчої влади” доповнити словами “, інших органів виконавчої влади із спеціальним статусом”;

пункт 5 викласти в такій редакції:

2. У Порядку проведення моніторингу рівня безпеки об’єктів критичної інфраструктури, затвердженому постановою Кабінету Міністрів України від 22 липня 2022 р. № 821 (Офіційний вісник України, 2022 р., № 60, ст. 3599):

1) пункт 4 викласти в такій редакції:

“4. Моніторинг проводиться один раз на три роки шляхом проведення оцінки стану захищеності об’єктів критичної інфраструктури (далі - оцінка стану захищеності) секторальними та функціональними органами у сфері захисту критичної інфраструктури відповідно до їх повноважень, визначених Законом України “Про критичну інфраструктуру”.

Оцінка стану захищеності проводиться комісією з оцінки стану захищеності об’єктів критичної інфраструктури (далі - комісія), що утворюється секторальним органом у сфері захисту критичної інфраструктури, до складу якої входять представники секторального, функціональних органів у сфері захисту критичної інфраструктури та можуть входити представники уповноваженого органу у сфері захисту критичної інфраструктури.

Оцінка стану захищеності для банків, інших осіб, що провадять діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк, платіжних організацій, учасників платіжних систем, операторів послуг платіжної інфраструктури проводиться у порядку, визначеному Національним банком.

Обмін інформацією між суб’єктами національної системи захисту критичної інфраструктури під час проведення моніторингу рівня безпеки об’єктів критичної інфраструктури здійснюється відповідно до Регламенту обміну інформацією між суб’єктами національної системи захисту критичної інфраструктури, затвердженого постановою Кабінету Міністрів України від 14 жовтня 2022 р. № 1174 (Офіційний вісник України, 2022 р., № 84, ст. 5184).”;

2) у пункті 5:

в абзаці першому слова “що складається суб’єктами моніторингу” замінити словами “який складається секторальним органом у сфері захисту критичної інфраструктури”;

абзац другий викласти в такій редакції:

“Річний план, погоджений з функціональними органами у сфері захисту критичної інфраструктури, надсилається до 30 грудня року, що передує плановому періоду, уповноваженому органу у сфері захисту критичної інфраструктури, а до 1 лютого року, що настає за плановим періодом, секторальний орган у сфері захисту критичної інфраструктури інформує уповноважений орган у сфері захисту критичної інфраструктури про результати його виконання.”;

абзац третій після слів “початку проведення оцінки” доповнити словами “стану захищеності”;

3) пункти 6-8 викласти в такій редакції:

“6. Оцінка стану захищеності проводиться комісією з урахуванням специфіки функціонування об’єкта критичної інфраструктури та відповідно до розробленого секторальним органом у сфері захисту критичної інфраструктури разом з функціональними органами у сфері захисту критичної інфраструктури плану роботи комісії, в якому визначаються критерії, за якими буде проводиться оцінка стану захищеності, та який доводиться до оператора критичної інфраструктури не пізніше ніж за 15 робочих днів до початку проведення такої оцінки.

7. Для узагальнення результатів оцінки стану захищеності об’єкта критичної інфраструктури функціональні органи у сфері захисту критичної інфраструктури надають секторальному органу у сфері захисту критичної інфраструктури інформацію у межах компетенції щодо фактичного стану захищеності об’єкта критичної інфраструктури, встановленого під час проведення такої оцінки.

За результатами оцінки стану захищеності секторальним органом у сфері захисту критичної інфраструктури не пізніше 14 робочих днів після закінчення такої оцінки складається акт оцінки стану захищеності (далі - акт) за формою згідно з додатком, в якому зазначаються:

критерії оцінки стану захищеності та результати оцінки за кожним критерієм;

дані про стан захищеності об’єкта критичної інфраструктури, який визначається відповідно до критеріїв оцінки стану захищеності та оцінюється як “забезпечує”, “обмежено забезпечує”, “не забезпечує”;

дані про невідповідність (у разі їх наявності) вимогам законодавства у сфері захисту критичної інфраструктури, а також інші недоліки, що впливають на захищеність об’єкта критичної інфраструктури;

результати оцінки стану безпеки об’єкта критичної інфраструктури функціональними органами у сфері захисту критичної інфраструктури;

пропозиції щодо удосконалення системи захисту об’єктів критичної інфраструктури, усунення невідповідностей вимогам законодавства у сфері захисту критичної інфраструктури, що не суперечать одна одній та не містять взаємовиключних положень, із зазначенням строків вжиття відповідних заходів;

інформація щодо здійснення заходів, рекомендованих оператору критичної інфраструктури за результатами проведення попереднього моніторингу рівня безпеки об’єкта критичної інфраструктури (у разі їх наявності).

Критерії оцінки стану захищеності, їх показники та методику оцінки стану захищеності визначає уповноважений орган у сфері захисту критичної інфраструктури.

8. Акт складається в трьох примірниках, які підписуються членами комісії.

Перший примірник акта залишається для зберігання у секторальному органі у сфері захисту критичної інфраструктури.

Другий примірник надсилається оператору критичної інфраструктури не пізніше 30 календарних днів з дня складення акта з метою проведення аналізу та оцінки загального стану захищеності об’єкта критичної інфраструктури, а також вжиття заходів, необхідних для забезпечення захисту, безпеки та стійкості такого об’єкта з урахуванням зауважень та пропозицій, викладених в акті.

Третій примірник надсилається уповноваженому органу у сфері захисту критичної інфраструктури не пізніше 30 календарних з дня складення акта з метою включення інформації до Реєстру об’єктів критичної інфраструктури, а також проведення аналізу та оцінки загального стану захищеності критичної інфраструктури.

Секторальний орган у сфері захисту критичної інфраструктури надсилає копію акта функціональним органам у сфері захисту критичної інфраструктури, представники яких були залучені до проведення оцінки стану захищеності об’єкта критичної інфраструктури.

Про результати виконання пропозицій щодо удосконалення системи захисту об’єкта критичної інфраструктури, а також про вжиття заходів до усунення виявлених невідповідностей вимогам законодавства у сфері захисту критичної інфраструктури (у разі їх наявності) оператор критичної інфраструктури інформує секторальний орган у сфері захисту критичної інфраструктури, функціональні органи у сфері захисту критичної інфраструктури та уповноважений орган у сфері захисту критичної інфраструктури у визначені в акті строки.”;

4) додаток до Порядку викласти в такій редакції:

АКТ

оцінки стану захищеності об’єкта критичної інфраструктури”.

3. У Порядку ведення Реєстру об’єктів критичної інфраструктури, включення таких об’єктів до Реєстру, доступу та надання інформації з нього, затвердженому постановою Кабінету Міністрів України від 28 квітня 2023 р. № 415 (Офіційний вісник України, 2023 р., № 47, ст. 2567):

1) в абзаці другому пункту 2 слова “Про електронні довірчі послуги” замінити словами “Про електронну ідентифікацію та електронні довірчі послуги”;

2) пункт 5 доповнити абзацом такого змісту:

“Створювачами реєстрової інформації є секторальні органи.”;

3) в абзаці другому пункту 6 слова “Закону України “Про електронні довірчі послуги” замінити словами “Закону України “Про електронну ідентифікацію та електронні довірчі послуги”;

4) абзац дванадцятий пункту 13 після слів “критичної інфраструктури” доповнити словами “, яка визначається на рівні не нижче керівника оператора критичної інфраструктури (заступника керівника оператора критичної інфраструктури) або з числа посадових осіб оператора критичної інфраструктури, які відповідають професійним стандартам, затвердженим Адміністрацією Держспецзв’язку, або кваліфікаційним характеристикам професій працівників у сфері захисту та стійкості критичної інфраструктури, затвердженим Адміністрацією Держспецзв’язку, у разі відсутності відповідних професійних стандартів”;

5) у пункті 17:

абзац перший викласти в такій редакції:

“17. Секторальні органи на підставі матеріалів, поданих оператором критичної інфраструктури для категоризації об’єктів критичної інфраструктури, подають окремо про кожен об’єкт критичної інфраструктури повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру за формою згідно з додатком 1 та додатки до нього в електронній формі з дотриманням вимог Законів України “Про електронну ідентифікацію та електронні довірчі послуги”, “Про захист інформації в інформаційно-комунікаційних системах” або у паперовій формі.”;

абзац четвертий викласти в такій редакції:

“До повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру додаються документи, що обґрунтовують віднесення об’єкта критичної інфраструктури до однієї з категорій критичності відповідно до Методики категоризації об’єктів критичної інфраструктури, затвердженої постановою Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 “Деякі питання об’єктів критичної інфраструктури” (Офіційний вісник України, 2020 р., № 93, ст. 2994) (далі - Методика)”;

після абзацу четвертого доповнити пункт новим абзацом такого змісту:

“Для банків, інших об’єктів, що провадять діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк, платіжних організацій, учасників платіжних систем, операторів послуг платіжної інфраструктури, віднесення яких до критичної інфраструктури здійснюється в порядку, встановленому Національним банком, повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру подаються без додатків, передбачених абзацом четвертим цього пункту Порядку.”.

У зв’язку з цим абзац п’ятий вважати абзацом шостим;

6) у пункті 18:

абзац другий викласти в такій редакції:

“Інформація до Реєстру вноситься відповідальною особою уповноваженого органу у сфері захисту критичної інфраструктури України (публічним реєстратором) за результатами перевірки повноти інформації, зазначеної в повідомленні про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру, обґрунтованості віднесення об’єкта критичної інфраструктури до однієї з категорій критичності відповідно до Методики, про що повідомляється секторальному органу, який подав таке повідомлення.”;

абзац п’ятий після слів “секторальний орган” доповнити словами і цифрами “протягом 10 робочих днів з дня отримання повідомлень, повернутих відповідно до цього абзацу,”;

доповнити пункт абзацами такого змісту:

“Уповноважений орган у сфері захисту критичної інфраструктури України повідомляє секторальному органу про внесення відомостей до Реєстру протягом п’яти робочих днів з дня їх внесення до Реєстру.

Секторальний орган протягом п’яти робочих днів з дня отримання від уповноваженого органу у сфері захисту критичної інфраструктури України інформації про внесення відомостей до Реєстру повідомляє про це оператора критичної інфраструктури.”;

7) пункт 19 викласти в такій редакції:

“19. Зміни і додаткові відомості про об’єкт критичної інфраструктури до Реєстру вносяться уповноваженим органом у сфері захисту критичної інфраструктури України та фіксуються програмними засобами Реєстру на підставі повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури за формою згідно з додатком 2 та/або повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури за формою згідно з додатком 3, а також рішення уповноваженого органу у сфері захисту критичної інфраструктури України.

У разі виявлення секторальним органом зміни відомостей про об’єкт критичної інфраструктури під час заповнення повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури з таким повідомленням подається повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури.

Уповноважений орган у сфері захисту критичної інфраструктури України повідомляє секторальному органу про внесення змін та додаткових відомостей до Реєстру протягом п’яти робочих днів з дня їх внесення до Реєстру.

Секторальний орган протягом п’яти робочих днів з дня отримання від уповноваженого органу у сфері захисту критичної інфраструктури України інформації про внесення змін і додаткових відомостей до Реєстру повідомляє про це оператора критичної інфраструктури.

У разі неповноти інформації, невідповідності відомостей про об’єкт критичної інфраструктури у повідомленні про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури та/або повідомленні про внесення змін до відомостей щодо об’єкта критичної інфраструктури, зокрема відомостям, що містяться у Реєстрі, уповноважений орган у сфері захисту критичної інфраструктури України повертає такі повідомлення до секторального органу.

Після усунення невідповідностей, доповнення інформації або приведення у відповідність, зокрема із відомостями, що містяться у Реєстрі, секторальний орган протягом 10 робочих днів з дня отримання повідомлень, повернутих відповідно до абзацу п’ятого цього пункту, повторно подає уповноваженому органу у сфері захисту критичної інфраструктури України повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури та/або повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури.

Інформація про оцінку стану захищеності об’єкта критичної інфраструктури та її результати вносяться до Реєстру відповідальною особою уповноваженого органу у сфері захисту критичної інфраструктури України на підставі акта оцінки стану захищеності об’єкта критичної інфраструктури, складеного відповідно до Порядку проведення моніторингу рівня безпеки об’єктів критичної інфраструктури, затвердженого постановою Кабінету Міністрів України від 22 липня 2022 р. № 821 (Офіційний вісник України, 2022 р., № 60, ст. 3599).”;

8) пункт 20 доповнити абзацом такого змісту:

“У повідомленні про внесення змін до відомостей щодо об’єкта критичної інфраструктури до Реєстру заповнюються лише позиції про відомості, що змінилися.”;

9) пункт 23 після слів “функціонування Реєстру” доповнити словами “, а також створення програмно-технічних засобів Реєстру”.

4. У Порядку розроблення та погодження паспорта безпеки на об’єкт критичної інфраструктури, затвердженому постановою Кабінету Міністрів України від 4 серпня 2023 р. № 818 “Деякі питання паспортизації об’єктів критичної інфраструктури” (Офіційний вісник України, 2023 р., № 77, ст. 4366):

1) абзац четвертий пункту 1 викласти в такій редакції:

“Факсимільне відтворення підпису керівника оператора критичної інфраструктури або особи, яка його заміщає, керівника функціонального чи секторального органу або його заступника з використанням засобів механічного або іншого копіювання на зазначених документах не допускається.”;

2) у пункті 8:

абзац другий викласти в такій редакції:

“У разі коли план захисту подано функціональному органу із порушенням вимог до його розроблення відповідно до форм планів захисту, передбачених пунктами 5, 7 цього Порядку, що затверджуються відповідними функціональними органами, функціональний орган не пізніше ніж протягом 10 робочих днів із дня реєстрації повертає його оператору разом із супровідним листом для приведення у відповідність із зазначеними вимогами цього Порядку.”;

абзац третій виключити;

3) третє речення абзацу п’ятого пункту 9 виключити;

4) в абзаці другому пункту 14 слово “двох” замінити словом “п’яти”, а після слів “керівника секторального органу” доповнити словами “або його заступника згідно з розподілом повноважень (обов’язків)”;

5) в абзацах першому та третьому пункту 15 слова “керівник секторального органу” замінити словами “секторальний орган”.