АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ’ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ
НАКАЗ
14.05.2026 № 353
Зареєстровано в Міністерстві
юстиції України
26 травня 2026 року
за № 757/46151
Про затвердження Порядку здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)
Відповідно до пункту 112 частини першої статті 14 Закону України «Про Державну службу спеціального зв’язку та захисту інформації України», підпункту 95 - 41 пункту 4, пункту 10 Положення про Адміністрацію Державної служби спеціального зв’язку та захисту інформації України, затвердженого постановою Кабінету Міністрів України від 03 вересня 2014 року № 411,
НАКАЗУЮ:
1. Затвердити Порядок здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), що додається.
2. Департаменту кіберзахисту Адміністрації Державної служби спеціального зв’язку та захисту інформації України забезпечити в установленому порядку подання цього наказу на державну реєстрацію до Міністерства юстиції України.
3. Цей наказ набирає чинності з дня його офіційного опублікування.
Голова Служби
Олександр ПОТІЙ
ПОГОДЖЕНО:
Голова Державної регуляторної служби України
Т.в.о. Голови Служби безпеки України
генерал-майор
Голова Національного банку України
Голова Національної поліції України
Перший заступник Міністра оборони України
Олексій КУЧЕР
Євгеній ХМАРА
Андрій ПИШНИЙ
Іван ВИГІВСЬКИЙ
Олексій ВИСКУБ
ЗАТВЕРДЖЕНО
Наказ Адміністрації
Державної служби
спеціального зв’язку
та захисту інформації України
14 травня 2026 року № 353
Зареєстровано в Міністерстві
юстиції України
26 травня 2026 року
за № 757/46151
Порядок
здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)
I. Загальні положення
1. Цей Порядок визначає механізм і періодичність проведення моніторингу діяльності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA) (далі - національна команда реагування), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT).
2. У цьому Порядку термін «моніторинг за діяльністю національної команди реагування, галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT) (далі - команди реагування)» означає проведення оцінки (або самооцінки) з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UА), галузевих та регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), затверджених наказом Адміністрації Держспецзв’язку від 03 лютого 2026 року № 87, зареєстрованих у Міністерстві юстиції України 09 березня 2026 року за № 316/45710.
Інші терміни вживаються у значенні, наведеному в Законах України «Про захист інформації в інформаційно-комунікаційних системах», «Про електронні комунікації», «Про основні засади забезпечення кібербезпеки України», Національному плані реагування на кіберінциденти, кібератаки та кіберзагрози, затвердженому постановою Кабінету Міністрів України від 26 листопада 2025 року № 1533, Вимогах до організаційно-технічної спроможності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UА), галузевих та регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), затверджених наказом Адміністрації Держспецзв’язку від 03 лютого 2026 року № 87, зареєстрованих у Міністерстві юстиції України 09 березня 2026 року за № 316/45710 (далі - Вимоги до організаційно-технічної спроможності).
3. Моніторинг проводиться шляхом:
проведення самооцінки з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності;
проведення взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності;
проведення Адміністрацією Держспецзв’язку спільно з національною командою реагування оцінки інших команд реагування, яким делеговані завдання національної команди реагування, з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності;
проведення Адміністрацією Держспецзв’язку оцінки національної команди реагування з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.
II. Проведення самооцінки
1. Самооцінка з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, проводиться командою реагування самостійно не менше ніж один раз на рік.
2. Самооцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів і характеристики значень, визначених Вимогами до організаційно-технічної спроможності (далі - опис параметрів).
3. Самооцінка проводиться співробітником або групою співробітників команди реагування не більше трьох осіб.
4. За результатами самооцінки співробітник або група співробітників команди реагування, які проводили самооцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.
Звіт підписується співробітником або групою співробітників команди реагування, які проводили самооцінку, та керівником команди реагування.
Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.
5. Один примірник звіту залишається для зберігання протягом трьох років у команди реагування та один примірник звіту не пізніше 45 днів від дня закінчення проведення самооцінки надсилається до Адміністрації Держспецзв’язку.
6. Для виконання вимоги про проведення самооцінки команда реагування може організовувати проведення зовнішнього аудиту з урахуванням вимог цього розділу.
Зовнішній аудит здійснюється органом з оцінки відповідності, який акредитовано національним органом України з акредитації чи національним органом з акредитації іноземної держави, якщо національний орган України з акредитації та національний орган з акредитації відповідної держави є членами міжнародної або регіональної організації з акредитації та/або уклали з такою організацією угоду про взаємне визнання щодо оцінки відповідності.
Результати проведення зовнішнього аудиту оформлюються відповідно до вимог цього розділу.
III. Проведення взаємної оцінки
1. Взаємна оцінка з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, проводиться один раз на три роки щодо діяльності команд реагування, яким делеговані завдання національної команди реагування.
2. Взаємна оцінка повинна бути завершена за 60 днів до дати відповідного року, яка визначена як дата початку виконання делегованих завдань національної команди реагування, відповідно до Порядку делегування завдань національної команди реагування на кіберінциденти, кібератаки, кіберзагрози галузевим та регіональним командам реагування на кіберінциденти, кібератаки, кіберзагрози, затвердженого наказом Адміністрації Держспецзв’язку від 06 лютого 2026 року № 104, зареєстрованого у Міністерстві юстиції України 16 березня 2026 року за № 342/45736 (далі - Порядок делегування).
3. Взаємна оцінка з відповідності організаційно-технічної спроможності рівню зрілості проводиться співробітником або групою співробітників (не більше ніж три особи) однієї команди реагування щодо діяльності іншої команди реагування не довше 15 робочих днів.
4. Команда реагування, в якої буде проведено взаємну оцінку, самостійно обирає команду реагування, співробітник або група співробітників якої буде проводити взаємну оцінку, та звертається до такої команди реагування з відповідним запитом не раніше ніж за 60 днів до дати, до якої має бути проведено взаємну оцінку.
Команда реагування, в якої буде проведено взаємну оцінку, обирає команду реагування з переліку галузевих і регіональних команд реагування, яким делеговані завдання національної команди реагування (далі - Перелік), що ведеться Адміністрацією Держспецзв’язку відповідно до Порядку делегування.
Дату початку проведення взаємної оцінки, термін проведення взаємної оцінки та інші деталі команди реагування узгоджують самостійно.
Команда реагування, яку обрано для проведення взаємної оцінку, може відмовити у разі проведення взаємної оцінки щодо діяльності іншої команди реагування в запропонований термін та/або у разі, якщо команда реагування проводила взаємну оцінку щодо діяльності іншої команди реагування протягом останніх 6 місяців до дати, до якої має бути проведено взаємну оцінку.
5. Для проведення взаємної оцінки команда реагування не може залучати одну і ту саму команду реагування двічі підряд.
Команда реагування, співробітник або група співробітників, якої проводили взаємну оцінку певної команди реагування, не може залучати співробітника або групу співробітників такої команди реагування до проведення чергової взаємної оцінки власної команди реагування.
6. Взаємна оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.
7. Співробітник або група співробітників команди реагування, яка проводить взаємну оцінку, під час проведення взаємної оцінки має(ють) право:
ознайомлюватися з документами та матеріалами в частині, що стосується діяльності команди реагування, необхідними для проведення взаємної оцінки;
здійснювати опитування співробітників команди реагування в частині, що стосується діяльності команди реагування.
8. За результатами взаємної оцінки співробітник або група співробітників команди реагування, які проводили взаємну оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.
Звіт підписується співробітником або групою співробітників команди реагування, яка проводила взаємну оцінку, та керівником команди реагування, щодо якої проводилася взаємна оцінка.
Якщо керівник команди реагування, щодо якої проводилася взаємна оцінка, не погоджується зі звітом, він підписує його із зауваженнями, які є невід’ємною частиною такого звіту.
Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.
9. Один примірник звіту залишається для зберігання протягом трьох років у команди реагування, щодо якої проводилася взаємна оцінка, та один примірник звіту не пізніше 45 днів від дня закінчення проведення взаємної оцінки надсилається до Адміністрації Держспецзв’язку.
10. Для виконання вимоги про проведення взаємної оцінки команда реагування може організовувати проведення зовнішнього аудиту з урахуванням вимог цього розділу.
Зовнішній аудит здійснюється органом з оцінки відповідності, який акредитовано національним органом України з акредитації чи національним органом з акредитації іноземної держави, якщо національний орган України з акредитації та національний орган з акредитації відповідної держави є членами міжнародної або регіональної організації з акредитації та/або уклали з такою організацією угоду про взаємне визнання щодо оцінки відповідності.
Результати проведення зовнішнього аудиту оформлюються відповідно до вимог цього розділу.
11. Взаємна оцінка проводиться у разі наявності не менше трьох команд реагування, включених до Переліку.
У разі наявності менше трьох команд реагування, включених до Переліку, виконання вимоги про проведення взаємної оцінки проводиться Адміністрацією Держспецзв’язку спільно з національною командою реагування один раз на три роки.
12. Команди реагування, які отримали статус «акредитована» («ACCREDITED») в спільноті команд реагування TF-CSIRT та/або організаційно-технічна спроможність яких відповідає не менше ніж проміжному рівню, визначеному Вимогами до організаційно-технічної спроможності, що підтверджено результатами проведення взаємної оцінки, проводять взаємну оцінку з відповідності організаційно-технічної спроможності рівню зрілості один раз на п’ять років у порядку, визначеному цим розділом.
Команди реагування, які отримали статус «сертифікована» («CERTІFІCATED») в спільноті команд реагування TF-CSIRT та/або організаційно-технічна спроможність яких відповідає не менше ніж розвинутому рівню, визначеному Вимогами до організаційно-технічної спроможності, що підтверджено результатами проведення взаємної оцінки, не проводять взаємну оцінку з відповідності організаційно-технічної спроможності рівню зрілості у порядку, визначеному цим розділом.
IV. Проведення оцінки Адміністрацією Держспецзв’язку спільно з національною командою реагування
1. Адміністрація Держспецзв’язку спільно з національною командою реагування проводить оцінку з відповідності організаційно-технічної спроможності команд реагування, яким делеговані завдання національної команди реагування, рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.
2. Адміністрація Держспецзв’язку спільно з національною командою реагування проводить оцінку один раз протягом першого календарного року з дати початку делегування завдань національної команди реагування.
Оцінка з відповідності організаційно-технічної спроможності рівню зрілості проводиться уповноваженою посадовою особою або групою уповноважених посадових осіб Адміністрації Держспецзв’язку та національної команди реагування (не більше ніж три особи) щодо діяльності команди реагування, якій делеговані завдання національної команди реагування, не довше 15 робочих днів.
3. Адміністрація Держспецзв’язку не раніше ніж за 30 днів до дати проведення оцінки повідомляє орган державної влади або орган місцевого самоврядування, який створив команду реагування, про заплановану оцінку команди реагування.
4. Оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.
5. Уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку та національної команди реагування, які проводять оцінку мають право:
ознайомлюватися з документами та матеріалами в частині, що стосується діяльності команди реагування, необхідними для проведення оцінки;
здійснювати опитування співробітників команди реагування в частині, що стосується діяльності команди реагування.
6. За результатами оцінки уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку та національної команди реагування, які проводили оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.
Звіт підписують уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку та національної команди реагування, які проводили оцінку, та керівник команди реагування, щодо якої проводилася оцінка.
Якщо керівник команди реагування, щодо якої проводилася оцінка, не погоджується зі звітом, він підписує його із зауваженнями, які є невід’ємною частиною такого звіту.
Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.
7. Один примірник звіту залишається для зберігання протягом трьох років в Адміністрації Держспецзв’язку та один примірник звіту не пізніше 45 днів від дня закінчення проведення оцінки надсилається до команди реагування, щодо якої проводилася оцінка, для зберігання протягом трьох років.
V. Проведення оцінки національної команди реагування
1. Адміністрація Держспецзв’язку проводить оцінку з відповідності організаційно-технічної спроможності національної команди реагування рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.
2. Адміністрація Держспецзв’язку проводить оцінку національної команди реагування один раз на три роки.
3. Адміністрація Держспецзв’язку не раніше ніж за 30 днів до дати проведення оцінки повідомляє національну команду реагування про заплановані заходи.
4. Оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.
5. Уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку, які проводять оцінку, має(ють) право:
ознайомлюватися з документами та матеріалами в частині, що стосується діяльності національної команди реагування, необхідними для проведення оцінки;
здійснювати опитування співробітників національної команди реагування в частині, що стосується діяльності національної команди реагування.
6. За результатами оцінки уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку, які проводили оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.
Звіт підписують уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв’язку, які проводили оцінку, та керівник національної команди реагування.
Якщо керівник національної команди реагування не погоджується зі звітом, він підписує його із зауваженнями, які є невід’ємною частиною такого звіту.
Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.
7. Один примірник звіту залишається для зберігання протягом трьох років в Адміністрації Держспецзв’язку та один примірник звіту не пізніше 45 днів від дня закінчення проведення оцінки надсилається до національної команди реагування для зберігання протягом трьох років.
VI. Аналіз результатів моніторингу та усунення порушень
1. Адміністрація Держспецзв’язку систематично здійснює аналіз результатів моніторингу шляхом перевірки результатів оцінки, самооцінки та взаємної оцінки, зазначених у відповідних звітах, і надання вимог про усунення встановлених порушень.
2. У разі виявлення невідповідності організаційно-технічної спроможності команди реагування встановленому рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, Адміністрація Держспецзв’язку протягом 45 днів після отримання відповідного звіту надає вимоги про усунення встановлених порушень.
Вимоги про усунення встановлених порушень оформлюються в довільній формі та можуть стосуватися лише параметрів, значення яких не відповідають мінімальним значенням, необхідним для відповідного рівня зрілості, що визначені в додатку до Вимог до організаційно-технічної спроможності.
3. Команда реагування протягом трьох місяців з дати отримання відповідних вимог від Адміністрації Держспецзв’язку усуває порушення та повідомляє Адміністрацію Держспецзв’язку про це.
4. У разі неповного усунення порушень у встановлений термін або не повідомлення Адміністрації Держспецзв’язку в установлений термін про результати усунення порушень, виявлених у роботі національної команди реагування, Адміністрація Держспецзв’язку зобов’язана вжити відповідних заходів для усунення порушень і визначення їх причин.
5. У разі неповного усунення порушень у встановлений термін або не повідомлення Адміністрації Держспецзв’язку в установлений термін про результати усунення порушень делегування завдань національної команди реагування припиняється та галузева або регіональна команда реагування виключається з Переліку відповідно до Порядку делегування.
Директор Департаменту
кіберзахисту Адміністрації Державної
служби спеціального зв’язку
та захисту інформації України
Дмитро ПАХОЛЬЧЕНКО
Додаток
до Порядку здійснення моніторингу
за діяльністю національної
команди реагування на кіберінциденти,
кібератаки, кіберзагрози (CERT-UA),
галузевих і регіональних команд
реагування на кіберінциденти, кібератаки,
кіберзагрози (CSIRT)
(пункт 4 розділу II)
Звіт
за результатами оцінки/самооцінки/взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості
(з додатком)