Держспецзв’язку затвердила Методику оцінювання ризиків кібербезпеки

27.07 17:58    

Держспецзв’язку затвердила Методику оцінювання ризиків кібербезпеки, яка встановлює єдиний підхід до ідентифікації та оцінювання ризиків кібербезпеки для органів державної влади, операторів критичної інфраструктури та власників (розпорядників) об’єктів критичної інформаційної інфраструктури.

Відповідний наказ Адміністрації Держспецзв’язку від 2 червня 2026 року № 402 зареєстровано в Міністерстві юстиції України 18 червня 2026 року за № 880/46274.

Методику розроблено на виконання Загальних вимог з кіберзахисту об’єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року № 518, та Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року № 373.

Документ визначає єдині підходи до:

▪️ідентифікації критичних активів та їх класифікації;

▪️виявлення актуальних кіберзагроз і вразливостей;

▪️проведення якісного та кількісного оцінювання ризиків кібербезпеки;

▪️визначення рівня ризику із застосуванням матриці ризиків;

▪️планування заходів з обробки ризиків та підготовки відповідної звітності.

Особливістю Методики є поєднання якісного та кількісного підходів до оцінювання ризиків. Документ передбачає використання сучасних математичних методів аналізу, зокрема Баєсівського методу, який дозволяє уточнювати оцінку ризиків на основі нової інформації про кіберінциденти, кіберзагрози та зміни стану захищеності систем.

Методика також визначає порядок формування переліку ризиків кібербезпеки, підготовки планів їх обробки та проведення регулярного перегляду результатів оцінювання. Оцінювання ризиків має здійснюватися не рідше одного разу на рік, а також у разі суттєвих змін у системах або процесах обробки інформації.

Запровадження Методики сприятиме впровадженню ризик-орієнтованого підходу до забезпечення кіберзахисту, підвищенню рівня стійкості інформаційних систем державних органів та операторів критичної інфраструктури, а також гармонізації національних практик управління ризиками кібербезпеки з міжнародними стандартами та рекомендаціями