Проєкт Закону про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури

1Порівняльна таблиця до проекту Закону України Реєстраційний № 11290

про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних

ресурсів, об’єктів критичної інформаційної інфраструктури

Автор(и): Голова Комітету Верховної Ради України Завітневич О. М. (Повторне друге)

Автори остаточної редакції: Народні депутати України - члени Комітету Верховної Ради

України з питань національної безпеки, оборони та розвідки

Дата розгляду в комітеті: 25.03.2025

№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

1 Проект

З А К О НУ К Р А Ї Н ИПроект

З А К О Н У К Р А Ї Н И

2 Про внесення змін до деяких законів

України щодо захисту інформації та

кіберзахисту державних інформаційних

ресурсів, об’єктів критичної інформаційної

інфраструктуриПро внесення змін до деяких законів

України щодо захисту інформації та

кіберзахисту державних інформаційних

ресурсів, об’єктів критичної

інформаційної інфраструктури

3 Верховна Рада України п о с т а н о в л я є: Верховна Рада України п о с т а н о в л я

є:

4 І. Внести зміни до таких законів України: І. Внести зміни до таких законів України:

-1- Н.д. Герасимов А. В. (р.к. №196), Н.д.

Гончаренко О. О. (р.к. №338), Н.д.

Павленко Р. М. (р.к. №203), Н.д. Федина С.

Р. (р.к. №190)Відхилено 5

1. Розділ І після абзацу першого доповнити

новим абзацом такого змісту:

«1. Внести до Кримінального кодексу

України (Відомості Верховної Ради України

(ВВР), 2001, № 25-26, ст.131) такі зміни:

1) у статті 359:

абзац другий частини першої викласти у

наступній редакції:

«караються штрафом від двохсот

п’ятдесяти до тисячі двохсот

неоподатковуваних мінімумів доходів

громадян або обмеженням волі на строк до

чотирьох років, або позбавленням волі на той

самий строк»;

2№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

абзац другий частини другої викласти у

наступній редакції:

«караються позбавленням волі на строк

від п’яти до восьми років»;

абзац другий частини третьої викласти у

наступній редакції:

«караються позбавленням волі на строк

від восьми до десяти років»;

2) у статті 360:

абзац другий частини першої викласти у

наступній редакції:

«караються штрафом від двох тисяч до

п’яти тисяч неоподатковуваних мінімумів

доходів громадян або громадськими роботами

на строк до ста двадцяти годин, або

обмеженням волі на строк від одного до трьох

років, або пробаційним наглядом на строк до

двох років, або обмеженням волі на той самий

строк»;

абзац другий частини другої викласти у

наступній редакції:

«караються штрафом від чотирьох тисяч

до дванадцяти тисяч неоподатковуваних

мінімумів доходів громадян або позбавленням

волі на строк від трьох до п’яти років»;

абзац другий частини третьої викласти у

наступній редакції:

«караються штрафом від двадцяти тисяч

до двадцяти п’яти тисяч неоподатковуваних

мінімумів доходів громадян або позбавленням

волі на строк від шести до восьми років»;

3) у статті 361:

абзац другий частини першої викласти у

наступній редакції:

«карається штрафом від двох тисяч до

пяти тисяч неоподатковуваних мінімумів

доходів громадян або пробаційним наглядом

на строк до трьох років, або обмеженням волі

на той самий строк»;

абзац другий частини другої викласти у

наступній редакції:

3№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

«караються штрафом від п’яти тисяч до

восьми тисяч неоподатковуваних мінімумів

доходів громадян або обмеженням волі на

строк від двох до п'яти років, або

позбавленням волі на той самий строк»;

абзац другий частини третьої викласти у

наступній редакції:

«караються штрафом від в восьми тисяч

до дванадцяти тисяч неоподатковуваних

мінімумів доходів громадян або позбавленням

волі на строк від трьох до восьми років, з

позбавленням права обіймати певні посади чи

займатися певною діяльністю на строк до

трьох років або без такого»;

абзац другий частини четвертої викласти у

наступній редакції:

«караються позбавленням волі на строк від

дев’яти до тринадцяти років з позбавленням

права обіймати певні посади чи займатися

певною діяльністю на строк до трьох років або

без такого»;

абзац другий частини п’ятої викласти у

наступній редакції:

«караються позбавленням волі на строк від

десяти до п’ятнадцяти років з позбавленням

права обіймати певні посади чи займатися

певною діяльністю на строк до п’яти років»;

4) у статті 3611:

абзац другий частини першої викласти у

наступній редакції:

«караються штрафом від трьох тисяч до

п’яти тисяч неоподатковуваних мінімумів

доходів громадян або виправними роботами

на строк до двох років, або позбавленням волі

на строк до трьох років»;

абзац другий частини другої викласти у

наступній редакції:

«караються позбавленням волі на строк до

шести років»;

5) у статті 3612:

абзац другий частини першої викласти у

наступній редакції:

4№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

«караються штрафом від трьох тисяч до

п’яти тисяч неоподатковуваних мінімумів

доходів громадян або позбавленням волі на

строк до двох років»;

абзац другий частини другої викласти у

наступній редакції:

«караються позбавленням волі на строк від

трьох до п'яти років»;

5) у статті 362:

абзац другий частини першої викласти у

наступній редакції:

«караються штрафом від трьох тисяч до

п’яти тисяч неоподатковуваних мінімумів

доходів громадян або виправними роботами

на строк до двох років»;

абзац другий частини другої викласти у

наступній редакції:

«караються позбавленням волі на строк до

чотирьох років з позбавленням права

обіймати певні посади або займатися певною

діяльністю на той самий строк»;

абзац другий частини третьої викласти у

наступній редакції:

«караються позбавленням волі на строк

від чотирьох до шести років з позбавленням

права обіймати певні посади або займатися

певною діяльністю на строк до трьох років»;

6) у статті 363:

абзац третій викласти у наступній

редакції:

«караються штрафом від трьох тисяч до

п’яти тисяч неоподатковуваних мінімумів

доходів громадян або пробаційним наглядом

на строк до трьох років, або обмеженням волі

на строк до трьох років з позбавленням права

обіймати певні посади чи займатися певною

діяльністю на той самий строк»;

6) у статті 3631:

абзац другий частини першої викласти у

наступній редакції:

«карається штрафом від трьох тисяч до

п’яти тисяч неоподатковуваних мінімумів

5№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

доходів громадян або обмеженням волі на

строк до трьох років»;

абзац другий частини другої викласти у

наступній редакції:

«караються обмеженням волі на строк до

шести років або позбавленням волі на той

самий строк, з позбавленням права обіймати

певні посади або займатися певною

діяльністю на строк до трьох років».

-2- Н.д. Герасимов А. В. (р.к. №196), Н.д.

Гончаренко О. О. (р.к. №338), Н.д.

Павленко Р. М. (р.к. №203), Н.д. Федина С.

Р. (р.к. №190)Відхилено

Частину 1 вважати частиною 2

-3- Н.д. Завітневич О. М. (р.к. №38), Н.д.

Березін М. Ю. (р.к. №352), Н.д. Бобровська

С. А. (р.к. №217), Н.д. Веніславський Ф. В.

(р.к. №85), Н.д. Герасименко І. Л. (р.к.

№268), Н.д. Здебський Ю. В. (р.к. №373),

Н.д. Івченко В. Є. (р.к. №185), Н.д. Касай Г.

О. (р.к. №280), Н.д. Копитін І. В. (р.к. №330),

Н.д. Мисягін Ю. М. (р.к. №243), Н.д.

Припутень Д. С. (р.к. №97), Н.д. Рахманін

С. І. (р.к. №216), Н.д. Федієнко О. П. (р.к.

№89), Н.д. Чернєв Є. В. (р.к. №26)Відхилено6 1. У Законі України «Про захист

інформації в інформаційно-комунікаційних

системах» (Відомості Верховної Ради

України, 2005 р., № 26, ст. 347 із наступними

змінами):

1. Пункт 1 Розділу І проекту Закону

викласти в такій редакції:

«1. У Законі України «Про захист

інформації в інформаційно-комунікаційних

системах» (Відомості Верховної Ради

України, 2005 р., № 26, ст. 347 із наступними

змінами):

1) у частині першій статті 1:

абзаци третій, сьомий і п’ятнадцятий

викласти в такій редакції:

«виток інформації ‒ результат дій або

бездіяльності, внаслідок яких інформація, що

обробляється в системі чи пристроєм обробки

інформації, стає відомою чи доступною

фізичним та/або юридичним особам, що не

мають права доступу до неї»; Народні депутати

України - члени Комітету1. У Законі України «Про захист

інформації в інформаційно-комунікаційних

системах» (Відомості Верховної Ради

України, 2005 р., № 26, ст. 347 із наступними

змінами):

6№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

«захист інформації в системі ‒ діяльність,

спрямована на запобігання порушенню

цілісності, конфіденційності і доступності

інформації в системі»;

«обробка інформації в системі – виконання

однієї або кількох операцій, зокрема

збирання, введення, записування,

перетворення, зчитування, зберігання,

знищення, реєстрація, приймання, отримання,

передавання, що здійснюються в системі за

допомогою технічних і програмних засобів

або автономно (без підключення до інших

засобів обробки інформації, ліній зв’язку або

мереж передачі даних) пристроями обробки

інформації»;

доповнити з урахуванням алфавітного

порядку термінами такого змісту:

«авторизація з безпеки – рішення щодо

можливості функціонування (експлуатації)

відповідної інформаційної, електронної

комунікаційної, інформаційно-

комунікаційної, технологічної системи, з

урахуванням її відповідності вимогам

законодавства, національним стандартам та

нормативним документам у сферах

технічного захисту, криптографічного захисту

та кіберзахисту, що приймається у

встановленому законодавством порядку»;

«авторизована система з безпеки –

інформаційна, електронна комунікаційна,

інформаційно-комунікаційна, технологічна

система або їх окремі компоненти, об’єкт

критичної інформаційної інфраструктури, в

яких запроваджені заходи та/або системи з

безпеки інформації, що пройшли авторизацію

з безпеки»;

«комплекс технічного захисту інформації ‒

сукупність заходів, засобів технічного захисту

інформації, призначених для захисту

інформації від витоку технічними каналами в

інформаційних, електронних комунікаційних

та інформаційно-комунікаційних системах»;

7№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

«пристрої обробки інформації – технічні

пристрої (засоби) обробки інформації, в яких

технічно неможливо реалізувати програмні

процедури розмежування доступу

користувачів та інші функціональні послуги

безпеки»;

«перелік авторизованих систем з безпеки

– єдина електронна база даних, що містить

відомості про авторизовані системи з безпеки

інформаційних, електронних комунікаційних,

інформаційно-комунікаційних та

технологічних систем, в яких обробляються

державні інформаційні ресурси або службова

інформація та інформація, що становить

державну таємницю, обʼєктів критичної

інформаційної інфраструктури, власниками

або розпорядниками яких є органи державної

влади, державні органи, державні

підприємства, установи та організації, органи

місцевого самоврядування, порядок ведення

якої, порядок внесення даних щодо

авторизованих систем з безпеки до якої та

порядок доступу і надання інформації з якої

визначаються спеціально уповноваженим

центральним органом виконавчої влади з

питань організації спеціального зв'язку та

захисту інформації. Інформація про

авторизовані системи з безпеки, що міститься

в переліку, є відкритою, загальнодоступною

та безоплатною, крім інформації з обмеженим

доступом та інформації, доступ до якої

обмежений відповідно до законодавства на

період дії воєнного стану»;

«технічний канал витоку інформації –

взаємопов’язана сукупність джерела

небезпечного сигналу, середовища його

поширення та засобу технічної розвідки,

спрямована на забезпечення витоку

інформації»;

2) статтю 8 викласти в такій редакції:

«Стаття 8. Умови обробки інформації в

системі

8№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

Умови обробки інформації в системі

визначаються власником системи відповідно

до договору з володільцем інформації, якщо

інше не передбачено законодавством.

Державні інформаційні ресурси або

інформація з обмеженим доступом, вимога

щодо захисту якої встановлена законом, у

системах, обʼєктах критичної інформаційної

інфраструктури, власниками або

розпорядниками яких є органи державної

влади, державні органи, державні

підприємства, установи та організації, органи

місцевого самоврядування, мають

оброблятися із застосуванням комплексної

системи захисту інформації або шляхом

авторизації з безпеки, або шляхом отримання

сертифіката відповідності стандарту

інформаційної безпеки, виданого органом з

оцінки відповідності.

Для створення комплексної системи

захисту інформації використовуються засоби

криптографічного захисту інформації, які

мають позитивний експертний висновок за

результатами державної експертизи у сфері

криптографічного захисту інформації, та

засоби технічного захисту інформації, які

мають позитивний експертний висновок за

результатами державної експертизи у сфері

технічного захисту інформації або сертифікат

відповідності, виданий органом з оцінки

відповідності, який акредитовано

національним органом України з акредитації

або національним органом з акредитації

іноземної держави, якщо національний орган

України з акредитації та національний орган з

акредитації відповідної держави є членами

міжнародної або регіональної організації з

акредитації та/або уклали з такою

організацією угоду про взаємне визнання

щодо оцінки відповідності.

Авторизація з безпеки та процедура

отримання сертифіката відповідності

9№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

стандарту інформаційної безпеки не

застосовуються до систем, в яких

обробляється інформація, що становить

державну таємницю.

Підтвердження відповідності комплексної

системи захисту інформації забезпечується

власником або розпорядником системи в

порядку, встановленому Кабінетом Міністрів

України.

Підтвердження відповідності стандарту

інформаційної безпеки за результатами

процедури з оцінки відповідності

національним стандартам України

здійснюється органом з оцінки відповідності,

акредитованим національним органом

України з акредитації чи національним

органом з акредитації іноземної держави,

якщо національний орган України з

акредитації та національний орган з

акредитації іноземної держави є членами

міжнародної або регіональної організації з

акредитації та/або уклали з такою

організацією угоду про взаємне визнання

щодо оцінки відповідності.

Авторизація з безпеки здійснюється в

порядку, встановленому Кабінетом Міністрів

України.

Авторизація з безпеки або отримання

сертифіката відповідності стандарту

інформаційної безпеки щодо систем, в яких

обробляються державні інформаційні ресурси

або службова інформація, обʼєктів критичної

інформаційної інфраструктури, власниками

або розпорядниками яких є органи державної

влади, державні органи, державні

підприємства, установи та організації, органи

місцевого самоврядування, здійснюється за

одночасного дотримання таких умов:

використання для захисту інформації в

системах засобів технічного та/або

криптографічного захисту інформації, які

мають позитивний експертний висновок за

10№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

результатами державної експертизи у сфері

технічного та/або криптографічного захисту

інформації або документ про відповідність,

виданий органом з оцінки відповідності, який

акредитовано національним органом України

з акредитації або національним органом з

акредитації іноземної держави, якщо

національний орган України з акредитації та

національний орган з акредитації відповідної

держави є членами міжнародної або

регіональної організації з акредитації та/або

уклали з такою організацією угоду про

взаємне визнання щодо оцінки відповідності;

жодний з елементів системи, об'єкта

критичної інформаційної інфраструктури не

розташований на тимчасово окупованій

території України, на території держави,

визнаної Верховною Радою України

державою-агресором, або на території

держави, яка входить до митного або воєнного

союзу з такими державами;

власник або розпорядник жодного з

елементів системи, об'єкта критичної

інформаційної інфраструктури не є

юридичною або фізичною особою,

зареєстрованою на тимчасово окупованій

території України, резидентом держави,

визнаної Верховною Радою України

державою-агресором, резидентом держави,

яка входить до митного або воєнного союзу з

такими державами або щодо якої застосовано

санкції відповідно до Закону України "Про

санкції";

власник або розпорядник системи, об'єкта

критичної інформаційної інфраструктури або

його представник, який надає послуги з

використанням системи, об'єкта критичної

інформаційної інфраструктури, елементи якої

розміщуються поза межами України, є

юридичною особою, зареєстрованою в

Україні, або має свого офіційного

представника в Україні;

11№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

виконання особливих вимог,

встановлених Кабінетом Міністрів України до

забезпечення захисту інформації в системах

залежно від категорії державних

інформаційних ресурсів або інформації з

обмеженим доступом, вимога щодо захисту

якої встановлена законом, що обробляються.

Інформація, що становить державну

таємницю, має оброблятися в системі, до

складу комплексної системи захисту

інформації якої входить комплекс технічного

захисту інформації з підтвердженою

відповідністю, та за умови використання

засобів криптографічного захисту субʼєктів

господарювання, які провадять ліцензовану

діяльність відповідно до законодавства.

Порядок атестації такого комплексу

технічного захисту інформації визначається

спеціально уповноваженим центральним

органом виконавчої влади з питань організації

спеціального зв'язку та захисту інформації.

Програмне забезпечення, що забезпечує

функціонування інформаційних, електронних

комунікаційних, інформаційно-

комунікаційних та технологічних систем, в

яких обробляється інформація, що становить

державну таємницю, використовується за

умови проведення державної експертизи у

сфері захисту інформації в порядку,

встановленому Кабінетом Міністрів України.

Національний банк України визначає

умови обробки інформації в системах у сфері

надання банківських, інших фінансових та

платіжних послуг, інформації з обмеженим

доступом, що є складовою системи

депозитарного обліку Національного банку

України, та використання засобів захисту

такої інформації в системах Національного

банку України, банків, інших осіб, що

здійснюють діяльність на ринках фінансових

послуг, державне регулювання та нагляд за

діяльністю яких здійснює Національний банк

12№ Редакція, прийнята в першому читанні Пропозиції та поправки до проекту Висновки, обґрунтування Законопроект, запропонований головним

комітетом в остаточній редакції

України, операторів платіжних систем та/або

учасників платіжних систем, технологічних

операторів платіжних послуг.

Власники або розпорядники систем,

об'єктів критичної інфраструктури для

забезпечення їх належного функціонування та

захисту інформації, що обробляється в них:

створюють резервні копії державних

інформаційних ресурсів та систем із