Про затвердження Порядку ведення Реєстру об'єктів критичної інфраструктури, включення таких об'єктів до Реєстру, доступу та надання інформації з нього
Тип: Постанова Кабінету Міністрів України; Форма типового документа, Повідомлення
Видавник: Кабінет Міністрів України
Номер: 415-2023-п
Прийнято: 2023-04-28
Чинна редакція від: 2026-03-24
Стан: in_force
Rada ID: 415-2023-%D0%BF
КАБІНЕТ МІНІСТРІВ УКРАЇНИ
ПОСТАНОВА
від 28 квітня 2023 р. № 415
Київ
Про затвердження Порядку ведення Реєстру об’єктів критичної інфраструктури, включення таких об’єктів до Реєстру, доступу та надання інформації з нього
_Із змінами, внесеними згідно з Постановою КМ
Відповідно до частини п’ятої статті 11 Закону України “Про критичну інфраструктуру” Кабінет Міністрів України постановляє:
1. Затвердити Порядок ведення Реєстру об’єктів критичної інфраструктури, включення таких об’єктів до Реєстру, доступу та надання інформації з нього, що додається.
2. Установити, що під час воєнного стану, а також протягом дванадцяти місяців після його припинення чи скасування:
безпосередній доступ до інформації, що міститься в Реєстрі об’єктів критичної інфраструктури (далі - Реєстр), в тому числі до інформації, яка розміщується на офіційному веб-сайті уповноваженого органу у сфері захисту критичної інфраструктури України, є обмеженим;
інформація з Реєстру надається посадовим/службовим особам суб’єктів національної системи захисту критичної інфраструктури за суб’єктом права чи за об’єктом критичної інфраструктури за письмовим запитом до Адміністрації Державної служби спеціального зв’язку та захисту інформації.
3. Міністерствам та іншим центральним органам виконавчої влади, визначеним відповідальними за забезпечення формування та реалізацію державної політики у сфері захисту критичної інфраструктури в окремому секторі критичної інфраструктури, протягом місяця з дня набрання чинності цією постановою подати до Адміністрації Державної служби спеціального зв’язку та захисту інформації відомості про об’єкти критичної інфраструктури, віднесені до I та II категорії критичності.
4. Адміністрації Державної служби спеціального зв’язку та захисту інформації під час воєнного стану, а також протягом дванадцяти місяців після його припинення чи скасування з дня набрання чинності цією постановою забезпечити:
функціонування, формування і ведення Реєстру в автоматизованій системі, що забезпечує роботу як одномашинний однокористувачевий комплекс, який обробляє інформацію однієї або кількох ступенів обмеження доступу;
внесення відомостей про об’єкти критичної інфраструктури до Реєстру.
Прем'єр-міністр України
Д. ШМИГАЛЬ
Інд. 49
ЗАТВЕРДЖЕНО
постановою Кабінету Міністрів України
від 28 квітня 2023 р. № 415
ПОРЯДОК
ведення Реєстру об’єктів критичної інфраструктури, включення таких об’єктів до Реєстру, доступу та надання інформації з нього
1. Цей Порядок визначає процедури формування і ведення Реєстру об’єктів критичної інфраструктури (далі - Реєстр), включення об’єктів критичної інфраструктури до Реєстру, внесення до нього інформації про об’єкти критичної інфраструктури та їх виключення, доступу та надання інформації з Реєстру.
2. У цьому Порядку під терміном “власник об’єкта критичної інфраструктури” розуміється юридична особа будь-якої форми власності або фізична особа - підприємець, якій на праві власності належить об’єкт критичної інфраструктури.
Інші терміни вживаються у значенні, наведеному у Законах України “Про інформацію”, “Про захист інформації в інформаційно-комунікаційних системах”, “Про основні засади забезпечення кібербезпеки України”, “Про доступ до публічної інформації”, “Про критичну інфраструктуру”, “Про публічні електронні реєстри”, “Про електронну ідентифікацію та електронні довірчі послуги”.
Абзац другий пункту 2 із змінами, внесеними згідно з Постановою КМ № 337 від 06.03.2026
3. Реєстр ведеться з метою:
узгодження дій суб’єктів національної системи захисту критичної інфраструктури, які приймаються на національному рівні;
функціонування системи обміну інформацією між суб’єктами національної системи захисту критичної інфраструктури;
здійснення оцінки захищеності об’єктів критичної інфраструктури;
створення бази даних щодо загроз і вразливостей критичній інфраструктурі;
підготовки та надання уповноваженим органом у сфері захисту критичної інфраструктури України висновків/рекомендацій власнику/оператору критичної інфраструктури;
забезпечення паспортизації та захисту об’єктів критичної інфраструктури;
проведення аналізу інформації, яка обробляється в Реєстрі.
4. Реєстр забезпечує включення, оброблення, виключення, захист, відображення та надання інформації про найбільш важливу для життєдіяльності суспільства та держави критичну інфраструктуру, щодо якої встановлюються особливі вимоги із забезпечення її безпеки та стійкості, здійснюється моніторинг їх дотримання.
Власником Реєстру є держава в особі уповноваженого органу у сфері захисту критичної інфраструктури України.
5. Держателем та адміністратором Реєстру є уповноважений орган у сфері захисту критичної інфраструктури України, який здійснює облік, узагальнення, систематизацію, аналіз та надання інформації, яка подається секторальним органом, включення об’єкта критичної інфраструктури до Реєстру, внесення інформації про об’єкт до Реєстру та/або виключення інформації з Реєстру, внесення змін до відомостей, що містяться в Реєстрі, здійснює інші повноваження, пов’язані з веденням Реєстру для забезпечення його функціонування.
Створювачами реєстрової інформації є секторальні органи.
Пункт 5 доповнено абзацом згідно з Постановою КМ № 337 від 06.03.2026
6. Користувачами Реєстру є суб’єкти національної системи захисту критичної інфраструктури.
Посадовим/службовим особам суб’єктів національної системи захисту критичної інфраструктури у зв’язку із здійсненням ними повноважень, передбачених Законом України “Про критичну інфраструктуру”, інформація з Реєстру надається за суб’єктом права чи за об’єктом критичної інфраструктури в електронній формі шляхом безпосереднього доступу до Реєстру за умови ідентифікації відповідної посадової/службової особи відповідно до вимог Закону України “Про електронну ідентифікацію та електронні довірчі послуги”.
Абзац другий пункту 6 із змінами, внесеними згідно з Постановою КМ № 337 від 06.03.2026
7. Реєстр формується і ведеться уповноваженим органом у сфері захисту критичної інфраструктури України.
8. Обробка інформації в Реєстрі здійснюється відповідно до вимог Законів України “Про захист інформації в інформаційно-комунікаційних системах”, “Про захист персональних даних”, “Про основні засади забезпечення кібербезпеки України”, “Про державну таємницю”.
9. Інформація, що міститься в Реєстрі, є державним інформаційним ресурсом. Інформація про об’єкти критичної інфраструктури, що міститься в Реєстрі, є відкритою, загальнодоступною та безоплатною, крім інформації з обмеженим доступом.
10. Реєстр ведеться в електронній формі. Мовою ведення Реєстру є державна мова.
11. До Реєстру вносяться відомості про:
секторальний орган, який подає інформацію;
оператора критичної інфраструктури;
документ, на підставі якого ідентифіковано та категоризовано об’єкт критичної інфраструктури;
об’єкт критичної інфраструктури;
погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури.
12. До відкритої інформації у Реєстрі віднесена інформація про:
секторальний орган, який подав інформацію до Реєстру;
найменування (прізвище, власне ім’я, по батькові (за наявності), місцезнаходження (адреса) та код згідно з ЄДРПОУ (РНОКПП - за наявності) оператора критичної інфраструктури, форму власності, країну реєстрації, КВЕД основної діяльності;
кінцевого бенефіціарного власника/контролера;
реєстровий номер об’єкта критичної інфраструктури;
дату внесення інформації про об’єкт критичної інфраструктури до Реєстру вперше.
13. До інформації з обмеженим доступом у Реєстрі віднесена інформація про об’єкт критичної інфраструктури, а саме:
назва об’єкта критичної інфраструктури;
категорія критичності;
дата останнього оновлення інформації про об’єкт критичної інфраструктури в Реєстрі;
дата затвердження паспорта безпеки на об’єкт критичної інфраструктури;
адреса місцезнаходження об’єкта критичної інфраструктури, кадастровий (кадастрові) номер (номери);
найменування (прізвище, власне ім’я, по батькові (за наявності), місцезнаходження (адреса) та код згідно з ЄДРПОУ (РНОКПП - за наявності) власника об’єкта критичної інфраструктури/суб’єкта управління об’єкта критичної інфраструктури, форма власності, країна реєстрації/громадянство власника об’єкта критичної інфраструктури;
сектор, підсектор, тип основної послуги, життєво важлива функція та/або послуга, яку надає об’єкт критичної інфраструктури, КВЕД;
назва секторального органу, який погодив (переглянув) паспорт безпеки на об’єкт критичної інфраструктури;
дата погодження (перегляду) паспорта безпеки на об’єкт критичної інфраструктури;
дата погодження функціональними органами планів захисту від загроз критичній інфраструктурі;
відомості про особу, відповідальну за організацію та забезпечення захисту об’єкта критичної інфраструктури, яка визначається на рівні не нижче керівника оператора критичної інфраструктури (заступника керівника оператора критичної інфраструктури) або з числа посадових осіб оператора критичної інфраструктури, які відповідають професійним стандартам, затвердженим Адміністрацією Держспецзв’язку, або кваліфікаційним характеристикам професій працівників у сфері захисту та стійкості критичної інфраструктури, затвердженим Адміністрацією Держспецзв’язку, у разі відсутності відповідних професійних стандартів;
Абзац дванадцятий пункту 13 із змінами, внесеними згідно з Постановою КМ № 337 від 06.03.2026
додаткові відомості щодо об’єкта критичної інфраструктури для внесення до Реєстру.
14. Уповноважений орган у сфері захисту критичної інфраструктури України забезпечує цілодобовий доступ до відкритої інформації на своєму офіційному веб-сайті.
15. Кожному об’єкту критичної інфраструктури присвоюється реєстровий номер, відкривається новий розділ та формується реєстраційна справа у Реєстрі.
Реєстровим номером об’єкта критичної інфраструктури є унікальний реєстровий номер, який присвоюється кожному індивідуально визначеному об’єкту критичної інфраструктури під час реєстрації вперше, не повторюється на всій території України, залишається незмінним протягом усього часу існування такого об’єкта критичної інфраструктури та не змінюється у разі зміни оператора критичної інфраструктури, форми власності, кінцевого бенефіціарного власника/контролера.
16. З моменту присвоєння об’єкту критичної інфраструктури унікального реєстрового номера в Реєстрі він вважається таким, що набув правового статусу об’єкта критичної інфраструктури.
17. Секторальні органи на підставі матеріалів, поданих оператором критичної інфраструктури для категоризації об’єктів критичної інфраструктури, подають окремо про кожен об’єкт критичної інфраструктури повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру за формою згідно з додатком 1 та додатки до нього в електронній формі з дотриманням вимог Законів України “Про електронну ідентифікацію та електронні довірчі послуги”, “Про захист інформації в інформаційно-комунікаційних системах” або у паперовій формі.
Абзац перший пункту 17 в редакції Постанови КМ № 337 від 06.03.2026
В електронній формі повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру подається із застосуванням електронних довірчих послуг відповідно до статті 17 Закону України “Про електронні довірчі послуги”.
Повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру подається у паперовій формі з дотриманням законодавства у сфері захисту інформації.
До повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру додаються документи, що обґрунтовують віднесення об’єкта критичної інфраструктури до однієї з категорій критичності відповідно до Методики категоризації об’єктів критичної інфраструктури, затвердженої постановою Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 “Деякі питання об’єктів критичної інфраструктури” (Офіційний вісник України, 2020 р., № 93, ст. 2994) (далі - Методика).
Абзац четвертий пункту 17 в редакції Постанови КМ № 337 від 06.03.2026
Для банків, інших об’єктів, що провадять діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк, платіжних організацій, учасників платіжних систем, операторів послуг платіжної інфраструктури, віднесення яких до критичної інфраструктури здійснюється в порядку, встановленому Національним банком, повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру подаються без додатків, передбачених абзацом четвертим цього пункту Порядку.
Пункт 17 доповнено новим абзацом згідно з Постановою КМ № 337 від 06.03.2026
Інформація про об’єкт критичної інфраструктури подається у місячний строк з моменту внесення об’єкта критичної інфраструктури до секторального переліку об’єктів критичної інфраструктури.
18. Підставою для внесення інформації до Реєстру є повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру, яке подає секторальний орган.
Інформація до Реєстру вноситься відповідальною особою уповноваженого органу у сфері захисту критичної інфраструктури України (публічним реєстратором) за результатами перевірки повноти інформації, зазначеної в повідомленні про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру, обґрунтованості віднесення об’єкта критичної інфраструктури до однієї з категорій критичності відповідно до Методики, про що повідомляється секторальному органу, який подав таке повідомлення.
Абзац другий пункту 18 в редакції Постанови КМ № 337 від 06.03.2026
Інформація вноситься до Реєстру відповідальною особою уповноваженого органу у сфері захисту критичної інфраструктури України протягом 30 днів з дня надходження повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру.
У разі неповноти інформації, невідповідності визначення категорії критичності об’єкта критичної інфраструктури відповідно до Методики уповноважений орган у сфері захисту критичної інфраструктури України повертає подані документи до секторального органу.
Після усунення невідповідностей, доповнення інформації або приведення у відповідність з категоріями критичності секторальний орган протягом 10 робочих днів з дня отримання повідомлень, повернутих відповідно до цього абзацу, повторно подає уповноваженому органу у сфері захисту критичної інфраструктури України повідомлення про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру.
Абзац п’ятий пункту 18 із змінами, внесеними згідно з Постановою КМ № 337 від 06.03.2026
Уповноважений орган у сфері захисту критичної інфраструктури України повідомляє секторальному органу про внесення відомостей до Реєстру протягом п’яти робочих днів з дня їх внесення до Реєстру.
Пункт 18 доповнено абзацом згідно з Постановою КМ № 337 від 06.03.2026
Секторальний орган протягом п’яти робочих днів з дня отримання від уповноваженого органу у сфері захисту критичної інфраструктури України інформації про внесення відомостей до Реєстру повідомляє про це оператора критичної інфраструктури.
Пункт 18 доповнено абзацом згідно з Постановою КМ № 337 від 06.03.2026
19. Зміни і додаткові відомості про об’єкт критичної інфраструктури до Реєстру вносяться уповноваженим органом у сфері захисту критичної інфраструктури України та фіксуються програмними засобами Реєстру на підставі повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури за формою згідно з додатком 2 та/або повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури за формою згідно з додатком 3, а також рішення уповноваженого органу у сфері захисту критичної інфраструктури України.
У разі виявлення секторальним органом зміни відомостей про об’єкт критичної інфраструктури під час заповнення повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури з таким повідомленням подається повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури.
Уповноважений орган у сфері захисту критичної інфраструктури України повідомляє секторальному органу про внесення змін та додаткових відомостей до Реєстру протягом п’яти робочих днів з дня їх внесення до Реєстру.
Секторальний орган протягом п’яти робочих днів з дня отримання від уповноваженого органу у сфері захисту критичної інфраструктури України інформації про внесення змін і додаткових відомостей до Реєстру повідомляє про це оператора критичної інфраструктури.
У разі неповноти інформації, невідповідності відомостей про об’єкт критичної інфраструктури у повідомленні про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури та/або повідомленні про внесення змін до відомостей щодо об’єкта критичної інфраструктури, зокрема відомостям, що містяться у Реєстрі, уповноважений орган у сфері захисту критичної інфраструктури України повертає такі повідомлення до секторального органу.
Після усунення невідповідностей, доповнення інформації або приведення у відповідність, зокрема із відомостями, що містяться у Реєстрі, секторальний орган протягом 10 робочих днів з дня отримання повідомлень, повернутих відповідно до абзацу п’ятого цього пункту, повторно подає уповноваженому органу у сфері захисту критичної інфраструктури України повідомлення про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури та/або повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури.
Інформація про оцінку стану захищеності об’єкта критичної інфраструктури та її результати вносяться до Реєстру відповідальною особою уповноваженого органу у сфері захисту критичної інфраструктури України на підставі акта оцінки стану захищеності об’єкта критичної інфраструктури, складеного відповідно до Порядку проведення моніторингу рівня безпеки об’єктів критичної інфраструктури, затвердженого постановою Кабінету Міністрів України від 22 липня 2022 р. № 821 (Офіційний вісник України, 2022 р., № 60, ст. 3599).
Пункт 19 в редакції Постанови КМ № 337 від 06.03.2026
20. Секторальний орган протягом 10 робочих днів з дня отримання інформації від оператора критичної інфраструктури про внесення змін до відомостей щодо об’єкта критичної інфраструктури подає уповноваженому органу у сфері захисту критичної інфраструктури України повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури в порядку, визначеному пунктом 17 цього Порядку.
У повідомленні про внесення змін до відомостей щодо об’єкта критичної інфраструктури до Реєстру заповнюються лише позиції про відомості, що змінилися.
Пункт 20 доповнено абзацом згідно з Постановою КМ № 337 від 06.03.2026
21. Об’єкт критичної інфраструктури виключається з Реєстру у зв’язку з невідповідністю такого об’єкта критеріям віднесення його до критичної інфраструктури.
Об’єкт критичної інфраструктури виключається з Реєстру на підставі повідомлення про внесення змін до відомостей щодо об’єкта критичної інфраструктури за формою згідно з додатком 3, в якій зазначаються відомості про об’єкт критичної інфраструктури, який виключається з Реєстру.
22. У разі допущення технічної помилки під час внесення відомостей до Реєстру відповідальна особа уповноваженого органу у сфері захисту критичної інфраструктури України самостійно її виправляє та повідомляє секторальному органу протягом 10 робочих днів з дня виявлення такої технічної помилки.
23. Фінансування створення, ведення та функціонування Реєстру, а також створення програмно-технічних засобів Реєстру здійснюється за рахунок коштів міжнародної технічної та/або поворотної або безповоротної фінансової допомоги міжнародних організацій та інших джерел, не заборонених законодавством.
Пункт 23 із змінами, внесеними згідно з Постановою КМ № 337 від 06.03.2026
24. Відповідальність за достовірність, своєчасність та повноту інформації, поданої уповноваженому органу у сфері захисту критичної інфраструктури України для внесення до Реєстру, несе секторальний орган.
Додаток 1
до Порядку
ПОВІДОМЛЕННЯ
про внесення відомостей щодо об’єкта критичної інфраструктури до Реєстру об’єктів критичної інфраструктури
Додаток 2
до Порядку
ПОВІДОМЛЕННЯ
про погодження (перегляд) паспорта безпеки на об’єкт критичної інфраструктури
Додаток 3
до Порядку
ПОВІДОМЛЕННЯ
про внесення змін до відомостей щодо об’єкта критичної інфраструктури