Суб'єкт інформаційного захисту зобов'язаний невідкладно повідомити Національний банк, якщо виявлено:
1) події, що містять ознаки злочинів, передбачених у розділі XVI Кримінального кодексу України;
2) події, які класифікуються згідно із Законом України "Про основні засади забезпечення кібербезпеки України" як кіберінциденти;
2) події, що класифікуються згідно з Положенням про вимоги до системи управління надавача фінансових платіжних послуг, затвердженим постановою Правління Національного банку України від 10 жовтня 2024 року № 123 (зі змінами) (далі - Положення № 123), як кіберінциденти та інциденти безпеки, пов’язані з наданням платіжних послуг (виконанням платіжних операцій) та які відповідають рівням критичності високий (помаранчевий), критичний (червоний) та надзвичайний (чорний);
3) події, що призвели до витоку чи незаконного розголошення інформації з обмеженим доступом, яка обробляється в IC.
{Підпункт 2 пункту 45 розділу XIII в редакції Постанови Національного банку № 66 від 12.06.2026 }
3) події, що призвели до витоку чи незаконного розголошення інформації з обмеженим доступом, яка обробляється в IC;
4) події, що класифікуються згідно з Положенням № 123 як кіберінциденти та інциденти безпеки, пов’язані з наданням платіжних послуг (виконанням платіжних операцій) та які відповідають рівню критичності середній (жовтий).
{Пункт 45 розділу XIII доповнено новим підпунктом згідно з Постановою Національного банку № 66 від 12.06.2026 }