1. Відповідно до статті 2 Закону України “Про хмарні послуги” (далі – Закон) хмарна послуга – послуга з надання хмарних ресурсів за допомогою технології хмарних обчислень, водночас як технологія хмарних обчислень – технологія забезпечення дистанційного доступу на вимогу користувача до хмарної інфраструктури через електронні комунікаційні мережі. Разом з цим хмарна інфраструктура – сукупність динамічно розподілюваних та налаштовуваних хмарних ресурсів, що можуть бути оперативно надані користувачу хмарних послуг і вивільнені через глобальну та локальні мережі передачі даних. Натомість, інформаційні системи та бази даних державних органів і регуляторів (КІС НБУ, КІС НКЦПФР тощо), сервіси електронного документообігу та подання звітності такі як M.E.Doc, Вчасно тощо, а також подання звітності через веб-портали Національного банку та інших контролюючих органів не мають динамічно розподілюваних та налаштовуваних хмарних ресурсів, а є прикладними онлайнсервісами, які забезпечують фіксований набір функцій. Одними з ознак динамічно розподілюваних та налаштовуваних хмарних ресурсів є здатність масштабування (автоматично або за запитом клієнта) хмарних ресурсів, можливість перерозподілення хмарних ресурсів між ізольованими клієнтами надавача хмарних послуг залежно від їхнього поточного запиту тощо.

2. Відповідно до статті 2 Закону хмарна послуга – послуга з надання хмарних ресурсів за допомогою технології хмарних обчислень, а хмарні ресурси – будь-які технічні та програмні засоби або інші компоненти інформаційної (автоматизованої) системи, доступ до яких забезпечують технології хмарних обчислень, зокрема процесорний час (обчислювальна потужність), місце у сховищах даних, обчислювальні мережі, бази даних і комп’ютерні програми. Натомість платформи онлайн-дистрибуції та агрегатори для співпраці з маркетплейсами, вебсайти та портали агентів або брокерів, відповідно до отриманої у Листі інформації, не мають ознак хмарних ресурсів, а є прикладними онлайн-сервісами. Отже, такі сервіси не мають ознак хмарної послуги, тому вимоги Положення не поширюються на використання таких послуг.

3. Використання платіжних систем та сервісів з використанням платформ для еквайрингу та приймання страхових платежів від клієнтів (Portmone, EasyPay, LiqPay тощо) є фінансовою послугою (яку надає технологічний оператор платіжних послуг страховику), а не хмарною послугою. У випадку, якщо технологічний оператор платіжних послуг використовує для реалізації своєї діяльності хмарні послуги, то технологічний оператор платіжних послуг є установою – користувачем хмарних послуг (а не страховик, що використовує платіжні послуги від технологічного оператора платіжних послуг).

Відповідно до Закону України “Про Національний банк України” Національний банк України (далі – Національний банк) у межах своїх повноважень здійснює державне регулювання та нагляд за діяльністю небанківських фінансових установ, реалізує державну політику у сфері захисту критичної інфраструктури у відповідній частині, а також визначає порядок, вимоги та заходи із забезпечення кіберзахисту та інформаційної безпеки в небанківських фінансових установах.

Стратегією розвитку фінансового сектору, прийнятою Національним банком, передбачено запровадження принципу нульової толерантності до використання програмного забезпечення російського та білоруського походження на фінансовому ринку України.

Запровадження цього принципу зумовлене необхідністю комплексного управління системними ризиками на фінансовому ринку України. Такий підхід спрямований не лише на зниження операційних, безпекових та ІТ-ризиків, а й на мінімізацію правових, економічних, репутаційних і стратегічних наслідків, пов’язаних із залежністю від програмних продуктів, розроблених або контрольованих у юрисдикціях держави-агресора та держави, що її підтримує.

В умовах збройної агресії проти України використання такого програмного забезпечення створює додаткові фактори вразливості для стабільності фінансового ринку та не узгоджується з державними підходами до захисту інформаційної інфраструктури. У зв’язку з цим принцип нульової толерантності розглядається Національним банком як превентивний інструмент підвищення стійкості фінансового сектору та забезпечення його довгострокової операційної надійності.

Використання програмного забезпечення російського та/або білоруського походження може призводити до реалізації суттєвих ризиків, зокрема порушення безперервності надання фінансових послуг, втрати або модифікації інформації, несанкціонованого доступу до даних, а також формування технологічної залежності від обмеженого кола постачальників. Крім того, використання програмного забезпечення російського походження має фінансово-економічний вимір ризику, оскільки опосередковано сприяє формуванню доходів суб’єктів господарювання, пов’язаних з державою-агресором, зокрема через сплату ліцензійних платежів, вартості супроводу, оновлень та інших платежів. Зазначене, зі свого боку, може призводити до непрямого фінансування державиагресора та не узгоджується із загальнодержавною політикою із заборони економічної взаємодії з такими суб’єктами.

З метою мінімізації зазначених вище ризиків Національний банк раніше надавав учасникам ринку небанківських фінансових послуг відповідні рекомендації в листах від 22.01.2024 № 21-0006/5283 та від 30.04.2025 № 210007/33157, зокрема щодо аналізу використовуваного програмного забезпечення, оцінки наявності альтернативних рішень та планування заходів із заміни таких продуктів.

Крім того, Національний банк інформував про заходи, що вживаються на державному рівні, зокрема про застосування санкцій до окремих розробників програмного забезпечення та оновлення законодавства у відповідних сферах. Такі заходи є складовою реалізації послідовної державної політики у сферах, що підлягають державному регулюванню та пов’язані з функціонуванням критичної інформаційної інфраструктури.

Відповідно до Закону України “Про основні засади забезпечення кібербезпеки України” у зазначених сферах використання програмного забезпечення та комунікаційного (мережевого) обладнання допускається, якщо немає відповідних продуктів у відкритому переліку забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання, який формується і ведеться Державною службою спеціального зв’язку та захисту інформації України (далі – Держспецзв’язок України)

Зокрема, до програмного забезпечення, використання якого заборонено відповідно до цього відкритого переліку, належать, серед іншого, програмні продукти сімейств “1С” та “BAS”. Незважаючи на формальні зміни у структурі прав інтелектуальної власності, найменуванні правовласників або використання інших механізмів корпоративного та договірного відокремлення, вбачається, що програмні продукти сімейства “1С” та “BAS” зберігають зв’язок із юрисдикцією держави-агресора з огляду на походження програмного коду, історію розроблення, модель розвитку та супроводження, а також наявні організаційні, технологічні або економічні залежності.

З огляду на практичне застосування зазначених вище підходів державних органів у регульованих секторах інформаційної інфраструктури та державних інформаційних ресурсів дотримання аналогічних принципів під час вибору програмного забезпечення є обґрунтованим також для діяльності суб’єктів на ринку небанківських фінансових послуг і розглядається як важлива складова забезпечення операційної стійкості, фінансової надійності, управління системними ризиками та інформаційної безпеки.

У зв’язку з цим очікується, що небанківські фінансові установи розглянуть як пріоритетне питання проведення інвентаризації програмного забезпечення, що використовується в їхній діяльності, оцінки наявності програмних продуктів, включених до опублікованого Держспецзв’язку України переліку забороненого до використання програмного забезпечення, аналізу можливості застосування альтернативних рішень, а також визначення заходів і орієнтовних строків переходу на програмне забезпечення інших виробників з урахуванням безперервності діяльності та пропорційності витрат.

Зі свого боку Національний банк у межах визначених законодавством повноважень враховуватиме рівень дотримання зазначених вище підходів під час здійснення регуляторної діяльності і наглядових процедур та під час формування подальших регуляторних ініціатив щодо використання програмного забезпечення на фінансовому ринку.

Вимоги підпункту 4 пункту 25 Положення № 143 спрямовані на забезпечення контрольованого підключення обладнання користувачів та привілейованих користувачів (персональні комп’ютери, мобільні пристрої) до інформаційно-комунікаційних систем надавача фінансових послуг. При цьому, терміни “користувач”, “привілейований користувач” уживаються у значеннях, наведених у підпунктах 6, 8 пункту 2 Положення № 143.

У разі якщо WEB платформи, уключаючи ті, що наведені в листі, є інформаційно-комунікаційними системами надавача фінансових послуг або їх складовими та через які здійснюється доступ до внутрішніх ресурсів або даних клієнтів надавача фінансових послуг, вимоги підпункту 4 пункту 25 Положення № 143 розповсюджуються на них.

Ідентифікація обладнання користувачів та привілейованих користувачів може здійснюватися, зокрема, з використанням:

– апаратного ідентифікатора управління доступом до обладнання (наприклад, MAC-адреса мережевої карти, що використовується для ідентифікації обладнання в комп’ютерних мережах, смарт карта, банківська картка, апаратний ключ безпеки, тощо);

– сертифікату пристрою, який встановлюється на довірений пристрій та WEB-платформа перевіряє наявність цього сертифіката під час встановлення з’єднання;

– спеціалізованого програмного забезпечення, що забезпечує, наприклад, виконання функцій системи контролю доступу до мереж, систем та обладнання надавача фінансових послуг.

Вибір конкретного способу та інструменту ідентифікації обладнання користувачів та привілейованих користувачів має здійснюватися надавачем фінансових послуг виходячи з особливостей інформаційної інфраструктури фінансової установи та з урахуванням визначення ролей та розподілу прав доступу користувачів та привілейованих користувачів інформаційнокомунікаційних систем надавача фінансових послуг.

Положення № 143 набрало чинності з 13.12.2025. З урахуванням цього та відповідно до вимог пункту 35 Положення № 143 надавач фінансових послуг зобов’язаний реалізувати заходи, визначені планом переходу на офіційні версії прикладного програмного забезпечення, для яких діє підтримка з надання оновлень безпеки від виробника / розробника або постачальника в строк, що не перевищує двох років, якщо інше не передбачено законом, тобто в строк, що не перевищує 2 роки починаючи з 13.12.2025, якщо інше не передбачено законом.

Надавач фінансових послуг відповідно до вимог пункту 28 Положення № 143 зобов’язаний забезпечувати зберігання журналів реєстрації подій (логів) не менше одного року з моменту архівації незалежно від способу та місця їх зберігання, щоб інформація про зареєстровану подію зберігалась і була доступна не менше одного року з моменту реєстрації події.

Положення № 143 не вимагає від надавачів фінансових послуг перезатвердження внутрішніх документів у випадку відсутності суттєвих змін умов функціонування інформаційно-комунікаційних систем, в яких надавач фінансових послуг під час надання послуг здійснює обробку інформації, яка віднесена до таємниці фінансової послуги.

Положення № 143 не встановлює вимог до змісту, структури та форми ведення переліку/реєстру програмних та апаратних засобів інформаційно-комунікаційних систем надавача фінансових послуг. Зміст, структура та форма ведення переліку/реєстру програмних та апаратних засобів інформаційно-комунікаційних систем надавачем фінансових послуг визначаються самостійно.

Вимога пункту 6 Положення № 143 передбачає необхідність вживати заходів із забезпечення інформаційної безпеки та кіберзахисту на стадіях проєктування, розробки, дослідної експлуатації, дослідно-промислової експлуатації, промислової експлуатації та виведення з експлуатації інформаційно-комунікаційних систем надавача фінансових послуг, що підтримують основні бізнес-процеси надавача фінансових послуг та/або взаємодіють з інформаційними системами Національного банку.

“Інформаційно-комунікаційна система надавача фінансових послуг”, – це скорочення, що застосовано для узагальнення термінів “інформаційні, електронні комунікаційні та інформаційно-комунікаційні системи” надавача фінансових послуг. Ці терміни вживаються у значеннях, наведених у Законі України “Про захист інформації в інформаційно-комунікаційних системах”.

Таким чином, вимога підпункту 3 пункту 5 Положення № 143 стосується не лише “програмних бізнес-рішень”, а всіх інформаційно-комунікаційних систем надавача фінансових послуг, що підтримують основні бізнес-процеси надавача фінансових послуг та/або взаємодіють з інформаційними системами Національного банку. При цьому перелік таких систем надавач фінансових послуг визначає самостійно з урахуванням бізнес-моделі та особливостей інформаційної інфраструктури фінансової установи.

Національний банк України (далі – Національний банк) у межах здійснення державного регулювання та нагляду на ринках небанківських фінансових послуг вживає заходів щодо досягнення цілей, визначених Стратегією розвитку фінансового сектору^[1], яка, зокрема, передбачає запровадження нульової толерантності до російського та білоруського програмного забезпечення на фінансовому ринку України.

Для досягнення зазначеної цілі Національний банк у минулому році надсилав учасникам ринку небанківських фінансових послуг (далі – НФП) лист від 22.01.2024 № 21-0006/5283 (далі – Лист), який містив рекомендації щодо першочергових кроків, які пропонувалося вжити для забезпечення інформаційної безпеки, а саме:проаналізувати усі програмні продукти, їх складові, які використовуються в діяльності учасників ринку НФП щодо причетності до їх розроблення, супроводження та розповсюдження осіб, пов’язаних із російською федерацією та/або республікою білорусь; здійснити розподіл програмного забезпечення, яке має зв’язки з російською федерацією та/або республікою білорусь, на критичне та некритичне; здійснити аналіз наявності аналогів вищезазначеного програмного забезпечення та оцінку можливих строків і витрат для його заміни тощо.

Крім того, Національний банк за результатами аналізу інформації, отриманої від учасників ринку НФП (опитувальник щодо використання програмного забезпечення), встановив, що НФП використовують у своїй діяльності програмне забезпечення, розробником / власником якого є суб’єкти, що є резидентами російської федерації та/або республіки білорусь, та/або щодо яких застосовані санкції Україною або її міжнародними партнерами.

Як зазначалось у Листі, використання НФП у своїй діяльності програмного забезпечення, яке має російське / білоруське походження, може мати суттєві ризики, зокрема:

отримання спецслужбами російської федерації / республіки білорусь несанкціонованого доступу до персональних даних клієнтів та інформації щодо їх фінансової поведінки;

несанкціонованої модифікації або знищення даних; порушення безперервності надання фінансових послуг;

неотримання належної технічної підтримки програмного забезпечення або

критичних оновлень;

подальшої прив’язки до виключно російських / білоруських програмних продуктів та неможливості чи суттєвого ускладнення міграції на програмні продукти інших виробників.

На сьогодні з метою мінімізації ризиків, пов’язаних із використанням програмного забезпечення, яке має російське / білоруське походження, та забезпечення інформаційної безпеки НФП Національний банк розробив проєкт постанови Правління Національного банку України “Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг”^[2] (далі – Проєкт), в якому передбачено, що:

• надавач фінансових послуг зобов’язаний вживати заходів із забезпечення інформаційної безпеки та кіберзахисту на всіх стадіях життєвого циклу інформаційно-комунікаційних систем надавача фінансових послуг (пункт 6);
• надавач фінансових послуг зобов’язаний запровадити, використовуючи ризик-орієнтовний підхід, заходи із забезпечення інформаційної безпеки та кіберзахисту з урахуванням особливостей функціонування інформаційнокомунікаційних систем надавача фінансових послуг (пункт 10).

Наразі здійснюється доопрацювання Проєкту за результатами публічного обговорення.

Водночас на рівні держави вживаються заходи, спрямовані на посилення захисту державних інформаційних ресурсів та убезпечення інформаційнокомунікаційних систем країни від кіберзагроз. Так, Указом Президента України від 02.09.2024 № 601/2024 уведено в дію рішення Ради національної безпеки і оборони України від 02.09.2024 “Про застосування, скасування та внесення змін до персональних спеціальних економічних та інших обмежувальних заходів (санкцій)”, зокрема:

до Товариства з обмеженою відповідальністю “1С” (Общество с ограниченной ответственностью “1С”, Limited Liability Company “1C”) застосовано, у тому числі, вид обмежувального заходу як інші санкції, що відповідають принципам їх застосування, встановлених Законом України “Про санкції” (заборона здійснення державних закупівель товарів, послуг, робіт та використання державними підприємствами, установами і організаціями України програмних продуктів “1C: Бухгалтерія 8 для України”, “1C: Бухгалтерія 8 для України Базова”, “1C: Бухгалтерія 8 для України. Учбова версія”, “1C: Підприємство 8. Торгівля для приватних підприємців України”, “1C: Підприємство 8. Комплексний облік для бюджетних установ України”, “1C: Підприємство 8. Комплексний облік для бюджетних установ України Базова”, “1C: Підприємство 8. Управління торгівлею для України”, “1C: Підприємство 8. Управління невеликою фірмою для України”, “1C: Підприємство 8. Зарплата і

Управління Персоналом для України”, “1C: Підприємство 8. Зарплата і Управління Персоналом для України Базова”, “1С: Підприємство 8. Управління торговим підприємством для України” (“1С: Управління торговим підприємством 8, 1С: УТП8”), “1С: Підприємство 8. Бухгалтерія для бюджетних установ України” (“1Сбухгалтерія 8 для бюджетних установ”), “1С: Підприємство 8. Зарплата та кадри для бюджетних установ України” (“1С: Зарплата та кадри для бюджетних установ України”), “1С: Підприємство 8. Управління виробничим підприємством для України”, “1С: Підприємство 8. Документообіг КОРП для України”, “1С: Підприємство 7.7. Бухгалтерський облік для України” (1С:Бухгалтерія 7.7.), “1С: Торгівля і Склад 7.7. для України”, “1С: Зарплата і Кадри 7.7. для України”, “1С: Підприємство 7.7. Комплексна поставка для України”, “1С: Підприємство 7.7.

Виробництво + Послуги + Бухгалтерія для України”, “BAS ERP”, “BAS Управління холдингом”, “BAS Документообіг КОРП”, “BAS Управління торгівлею”, “BAS Роздрібна торгівля”, “BAS Бухгалтерія КОРП” та інших програмних продуктів “BAS”, “UA-Бюджет”).

Крім того, Кабінетом Міністрів України внесено до Верховної Ради України проєкт Закону України “Про внесення змін до Закону України “Про санкції” щодо заборони використання програмних продуктів та доступу до електронних інформаційних ресурсів^[3] (реєстр. № 11492), що передбачає розширення виду санкцій забороною поширення та використання на території України юридичними особами програмних продуктів, їх складових походженням з іноземної держави, до якої застосовано санкції згідно з Законом про санкції, або розробником чи суб’єктом авторського права яких є юридична (фізична) особа – резидент такої іноземної держави або юридична особа, частка у статутному капіталі якої перебуває у власності такої іноземної держави, або юридична особа, яка перебуває під контролем іноземної юридичної особи чи фізичної особи – нерезидента, іноземців, осіб без громадянства, а також суб’єктів, які здійснюють терористичну діяльність, або програмних продуктів, їх складових, розробниками чи суб’єктом авторського права яких є іноземні юридичні чи фізичні особи, до яких застосовано санкції згідно з Законом України “Про санкції”, а також програмних продуктів, створених із використанням вихідного або об’єктного коду програмних продуктів, їх складових, на які поширюються зазначені санкції.

Водночас 27.03.2025 Верховною Радою України прийнято в цілому проєкт Закону України “Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури” (реєстр. № 11290) (далі – законопроєкт № 11290), спрямований на посилення захисту державних інформаційних ресурсів та об’єктів критичної інформаційної інфраструктури, гармонізацію українських стандартів кібербезпеки з європейськими та підвищення рівня захисту інформаційних ресурсів держави. Зокрема, законопроєкт № 11290 передбачає доповнення статті 4 Закону України “Про основні засади забезпечення кібербезпеки України” частиною четвертою такого змісту: “4. Обов’язковою умовою використання програмного забезпечення та комунікаційного (мережевого) обладнання в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, в яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, а також на об’єктах критичної інформаційної інфраструктури є відсутність таких продуктів та обладнання у відкритому переліку забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання. Порядок формування та ведення відкритого переліку забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання затверджується Кабінетом Міністрів України. Повноваження щодо забезпечення формування та ведення відкритого переліку забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання покладаються на Державну службу спеціального зв’язку та захисту інформації України.”.

З огляду на вищезазначене, а також із метою мінімізації кіберризиків, пов’язаних із використанням програмних продуктів, які мають / можуть мати російське / білоруське походження, зважаючи на можливу заборону на рівні держави використання програмного забезпечення, яке має / може мати російське / білоруське походження, Національний банк звертає увагу на необхідність вжиття заходів та виконання рекомендацій, наданих Національним банком учасникам ринку небанківських фінансових послуг листом від 22.01.2024 № 21-0006/5283.

[1] https://bank.gov.ua/admin_uploads/article/Strategy_finsector_NBU.pdf?v=5

[2] https://bank.gov.ua/admin_uploads/article/proekt_2025-03-10.pdf

[3] https://itd.rada.gov.ua/billinfo/Bills/Card/44743