Про затвердження Порядку здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)

АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ

НАКАЗ

14.05.2026

м. Київ

N 353

Зареєстровано в Міністерстві юстиції України

26 травня 2026 р. за N 757/46151

Про затвердження Порядку здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)

Відповідно до пункту 112 частини першої статті 14 Закону України "Про Державну службу спеціального зв'язку та захисту інформації України", підпункту 9541 пункту 4, пункту 10 Положення про Адміністрацію Державної служби спеціального зв'язку та захисту інформації України, затвердженого постановою Кабінету Міністрів України від 03 вересня 2014 року N 411,

НАКАЗУЮ:

1. Затвердити Порядок здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), що додається.

2. Департаменту кіберзахисту Адміністрації Державної служби спеціального зв'язку та захисту інформації України забезпечити в установленому порядку подання цього наказу на державну реєстрацію до Міністерства юстиції України.

3. Цей наказ набирає чинності з дня його офіційного опублікування.

Голова Служби

Олександр ПОТІЙ

ПОГОДЖЕНО:

Голова Державної

регуляторної служби України

Олексій КУЧЕР

Т. в. о. Голови

Служби безпеки України

генерал-майор

Євгеній ХМАРА

Голова Національного

банку України

Андрій ПИШНИЙ

Голова Національної

поліції України

Іван ВИГІВСЬКИЙ

Перший заступник

Міністра оборони України

Олексій ВИСКУБ

ЗАТВЕРДЖЕНО

Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України

14 травня 2026 року N 353

Порядок

здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)

I. Загальні положення

1. Цей Порядок визначає механізм і періодичність проведення моніторингу діяльності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA) (далі - національна команда реагування), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT).

2. У цьому Порядку термін "моніторинг за діяльністю національної команди реагування, галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT) (далі - команди реагування)" означає проведення оцінки (або самооцінки) з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих та регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), затверджених наказом Адміністрації Держспецзв'язку від 03 лютого 2026 року N 87, зареєстрованих у Міністерстві юстиції України 09 березня 2026 року за N 316/45710.

Інші терміни вживаються у значенні, наведеному в Законах України "Про захист інформації в інформаційно-комунікаційних системах", "Про електронні комунікації", "Про основні засади забезпечення кібербезпеки України", Національному плані реагування на кіберінциденти, кібератаки та кіберзагрози, затвердженому постановою Кабінету Міністрів України від 26 листопада 2025 року N 1533, Вимогах до організаційно-технічної спроможності національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих та регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT), затверджених наказом Адміністрації Держспецзв'язку від 03 лютого 2026 року N 87, зареєстрованих у Міністерстві юстиції України 09 березня 2026 року за N 316/45710 (далі - Вимоги до організаційно-технічної спроможності).

3. Моніторинг проводиться шляхом:

проведення самооцінки з відповідності організаційно-технічної спроможності рівню

зрілості, визначеному Вимогами до організаційно-технічної спроможності;

проведення взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності;

проведення Адміністрацією Держспецзв'язку спільно з національною командою реагування оцінки інших команд реагування, яким делеговані завдання національної команди реагування, з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності;

проведення Адміністрацією Держспецзв'язку оцінки національної команди реагування з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.

II. Проведення самооцінки

1. Самооцінка з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, проводиться командою реагування самостійно не менше ніж один раз на рік.

2. Самооцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів і характеристики значень, визначених Вимогами до організаційно-технічної спроможності (далі - опис параметрів).

3. Самооцінка проводиться співробітником або групою співробітників команди реагування не більше трьох осіб.

4. За результатами самооцінки співробітник або група співробітників команди реагування, які проводили самооцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.

Звіт підписується співробітником або групою співробітників команди реагування, які проводили самооцінку, та керівником команди реагування.

Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.

5. Один примірник звіту залишається для зберігання протягом трьох років у команди реагування та один примірник звіту не пізніше 45 днів від дня закінчення проведення самооцінки надсилається до Адміністрації Держспецзв'язку.

6. Для виконання вимоги про проведення самооцінки команда реагування може організовувати проведення зовнішнього аудиту з урахуванням вимог цього розділу.

Зовнішній аудит здійснюється органом з оцінки відповідності, який акредитовано національним органом України з акредитації чи національним органом з акредитації іноземної держави, якщо національний орган України з акредитації та національний орган з акредитації відповідної держави є членами міжнародної або регіональної організації з акредитації та/або уклали з такою організацією угоду про взаємне визнання щодо оцінки відповідності.

Результати проведення зовнішнього аудиту оформлюються відповідно до вимог цього розділу.

III. Проведення взаємної оцінки

1. Взаємна оцінка з відповідності організаційно-технічної спроможності рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, проводиться один раз на три роки щодо діяльності команд реагування, яким делеговані завдання національної команди реагування.

2. Взаємна оцінка повинна бути завершена за 60 днів до дати відповідного року, яка визначена як дата початку виконання делегованих завдань національної команди реагування, відповідно до Порядку делегування завдань національної команди реагування на кіберінциденти, кібератаки, кіберзагрози галузевим та регіональним командам реагування на кіберінциденти, кібератаки, кіберзагрози, затвердженого наказом Адміністрації Держспецзв'язку від 06 лютого 2026 року N 104, зареєстрованого у Міністерстві юстиції України 16 березня 2026 року за N 342/45736 (далі - Порядок делегування).

3. Взаємна оцінка з відповідності організаційно-технічної спроможності рівню зрілості проводиться співробітником або групою співробітників (не більше ніж три особи) однієї команди реагування щодо діяльності іншої команди реагування не довше 15 робочих днів.

4. Команда реагування, в якої буде проведено взаємну оцінку, самостійно обирає команду реагування, співробітник або група співробітників якої буде проводити взаємну оцінку, та звертається до такої команди реагування з відповідним запитом не раніше ніж за 60 днів до дати, до

якої має бути проведено взаємну оцінку.

Команда реагування, в якої буде проведено взаємну оцінку, обирає команду реагування з переліку галузевих і регіональних команд реагування, яким делеговані завдання національної команди реагування (далі - Перелік), що ведеться Адміністрацією Держспецзв'язку відповідно до Порядку делегування.

Дату початку проведення взаємної оцінки, термін проведення взаємної оцінки та інші деталі команди реагування узгоджують самостійно.

Команда реагування, яку обрано для проведення взаємної оцінки, може відмовити у разі проведення взаємної оцінки щодо діяльності іншої команди реагування в запропонований термін та/або у разі, якщо команда реагування проводила взаємну оцінку щодо діяльності іншої команди реагування протягом останніх 6 місяців до дати, до якої має бути проведено взаємну оцінку.

5. Для проведення взаємної оцінки команда реагування не може залучати одну і ту саму команду реагування двічі підряд.

Команда реагування, співробітник або група співробітників якої проводили взаємну оцінку певної команди реагування, не може залучати співробітника або групу співробітників такої команди реагування до проведення чергової взаємної оцінки власної команди реагування.

6. Взаємна оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.

7. Співробітник або група співробітників команди реагування, яка проводить взаємну оцінку, під час проведення взаємної оцінки має(ють) право:

ознайомлюватися з документами та матеріалами в частині, що стосується діяльності команди реагування, необхідними для проведення взаємної оцінки;

здійснювати опитування співробітників команди реагування в частині, що стосується діяльності команди реагування.

8. За результатами взаємної оцінки співробітник або група співробітників команди реагування, які проводили взаємну оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.

Звіт підписується співробітником або групою співробітників команди реагування, яка проводила взаємну оцінку, та керівником команди реагування, щодо якої проводилася взаємна оцінка.

Якщо керівник команди реагування, щодо якої проводилася взаємна оцінка, не погоджується зі звітом, він підписує його із зауваженнями, які є невід'ємною частиною такого звіту.

Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.

9. Один примірник звіту залишається для зберігання протягом трьох років у команди реагування, щодо якої проводилася взаємна оцінка, та один примірник звіту не пізніше 45 днів від дня закінчення проведення взаємної оцінки надсилається до Адміністрації Держспецзв'язку.

10. Для виконання вимоги про проведення взаємної оцінки команда реагування може організовувати проведення зовнішнього аудиту з урахуванням вимог цього розділу.

Зовнішній аудит здійснюється органом з оцінки відповідності, який акредитовано національним органом України з акредитації чи національним органом з акредитації іноземної держави, якщо національний орган України з акредитації та національний орган з акредитації відповідної держави є членами міжнародної або регіональної організації з акредитації та/або уклали з такою організацією угоду про взаємне визнання щодо оцінки відповідності.

Результати проведення зовнішнього аудиту оформлюються відповідно до вимог цього розділу.

11. Взаємна оцінка проводиться у разі наявності не менше трьох команд реагування, включених до Переліку.

У разі наявності менше трьох команд реагування, включених до Переліку, виконання вимоги про проведення взаємної оцінки проводиться Адміністрацією Держспецзв'язку спільно з національною командою реагування один раз на три роки.

12. Команди реагування, які отримали статус "акредитована" ("ACCREDITED") в спільноті команд реагування TF-CSIRT та/або організаційно-технічна спроможність яких відповідає не менше ніж проміжному рівню, визначеному Вимогами до організаційно-технічної спроможності, що підтверджено результатами проведення взаємної оцінки, проводять взаємну оцінку з відповідності організаційно-технічної спроможності рівню

зрілості один раз на п'ять років у порядку, визначеному цим розділом.

Команди реагування, які отримали статус "сертифікована" ("CERTIFICATED") в спільноті команд реагування TF-CSIRT та/або організаційно-технічна спроможність яких відповідає не менше ніж розвинутому рівню, визначеному Вимогами до організаційно-технічної спроможності, що підтверджено результатами проведення взаємної оцінки, не проводять взаємну оцінку з відповідності організаційно-технічної спроможності рівню зрілості у порядку, визначеному цим розділом.

IV. Проведення оцінки Адміністрацією Держспецзв'язку спільно з національною командою реагування

1. Адміністрація Держспецзв'язку спільно з національною командою реагування проводить оцінку з відповідності організаційно-технічної спроможності команд реагування, яким делеговані завдання національної команди реагування, рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.

2. Адміністрація Держспецзв'язку спільно з національною командою реагування проводить оцінку один раз протягом першого календарного року з дати початку делегування завдань національної команди реагування.

Оцінка з відповідності організаційно-технічної спроможності рівню зрілості проводиться уповноваженою посадовою особою або групою уповноважених посадових осіб Адміністрації Держспецзв'язку та національної команди реагування (не більше ніж три особи) щодо діяльності команди реагування, якій делеговані завдання національної команди реагування, не довше 15 робочих днів.

3. Адміністрація Держспецзв'язку не раніше ніж за 30 днів до дати проведення оцінки повідомляє орган державної влади або орган місцевого самоврядування, який створив команду реагування, про заплановану оцінку команди реагування.

4. Оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.

5. Уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку та національної команди реагування, які проводять оцінку, мають право:

ознайомлюватися з документами та матеріалами в частині, що стосується діяльності команди реагування, необхідними для проведення оцінки;

здійснювати опитування співробітників команди реагування в частині, що стосується діяльності команди реагування.

6. За результатами оцінки уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку та національної команди реагування, які проводили оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.

Звіт підписують уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку та національної команди реагування, які проводили оцінку, та керівник команди реагування, щодо якої проводилася оцінка.

Якщо керівник команди реагування, щодо якої проводилася оцінка, не погоджується зі звітом, він підписує його із зауваженнями, які є невід'ємною частиною такого звіту.

Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.

7. Один примірник звіту залишається для зберігання протягом трьох років в Адміністрації Держспецзв'язку та один примірник звіту не пізніше 45 днів від дня закінчення проведення оцінки надсилається до команди реагування, щодо якої проводилася оцінка, для зберігання протягом трьох років.

V. Проведення оцінки національної команди реагування

1. Адміністрація Держспецзв'язку проводить оцінку з відповідності організаційно-технічної спроможності національної команди реагування рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності.

2. Адміністрація Держспецзв'язку проводить оцінку національної команди реагування один раз на три роки.

3. Адміністрація Держспецзв'язку не раніше ніж за 30 днів до дати проведення оцінки повідомляє національну команду реагування про заплановані заходи.

4. Оцінка проводиться шляхом визначення значення кожного параметра відповідно до опису параметрів.

5. Уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку, які проводять оцінку, має(ють) право:

ознайомлюватися

з документами та матеріалами в частині, що стосується діяльності національної команди реагування, необхідними для проведення оцінки;

здійснювати опитування співробітників національної команди реагування в частині, що стосується діяльності національної команди реагування.

6. За результатами оцінки уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку, які проводили оцінку, не пізніше ніж протягом 30 днів після її завершення складають звіт за формою згідно з додатком до цього Порядку.

Звіт підписують уповноважена посадова особа або група уповноважених посадових осіб Адміністрації Держспецзв'язку, які проводили оцінку, та керівник національної команди реагування.

Якщо керівник національної команди реагування не погоджується зі звітом, він підписує його із зауваженнями, які є невід'ємною частиною такого звіту.

Звіт може містити інформацію з обмеженим доступом, крім додатка до нього.

7. Один примірник звіту залишається для зберігання протягом трьох років в Адміністрації Держспецзв'язку та один примірник звіту не пізніше 45 днів від дня закінчення проведення оцінки надсилається до національної команди реагування для зберігання протягом трьох років.

VI. Аналіз результатів моніторингу та усунення порушень

1. Адміністрація Держспецзв'язку систематично здійснює аналіз результатів моніторингу шляхом перевірки результатів оцінки, самооцінки та взаємної оцінки, зазначених у відповідних звітах, і надання вимог про усунення встановлених порушень.

2. У разі виявлення невідповідності організаційно-технічної спроможності команди реагування встановленому рівню зрілості, визначеному Вимогами до організаційно-технічної спроможності, Адміністрація Держспецзв'язку протягом 45 днів після отримання відповідного звіту надає вимоги про усунення встановлених порушень.

Вимоги про усунення встановлених порушень оформлюються в довільній формі та можуть стосуватися лише параметрів, значення яких не відповідають мінімальним значенням, необхідним для відповідного рівня зрілості, що визначені в додатку до Вимог до організаційно-технічної спроможності.

3. Команда реагування протягом трьох місяців з дати отримання відповідних вимог від Адміністрації Держспецзв'язку усуває порушення та повідомляє Адміністрацію Держспецзв'язку про це.

4. У разі неповного усунення порушень у встановлений термін або неповідомлення Адміністрації Держспецзв'язку в установлений термін про результати усунення порушень, виявлених у роботі національної команди реагування, Адміністрація Держспецзв'язку зобов'язана вжити відповідних заходів для усунення порушень і визначення їх причин.

5. У разі неповного усунення порушень у встановлений термін або неповідомлення Адміністрації Держспецзв'язку в установлений термін про результати усунення порушень делегування завдань національної команди реагування припиняється та галузева або регіональна команда реагування виключається з Переліку відповідно до Порядку делегування.

Директор Департаменту кіберзахисту

Адміністрації Державної служби

спеціального зв'язку та

захисту інформації України

Дмитро ПАХОЛЬЧЕНКО

Додаток

до Порядку здійснення моніторингу за діяльністю національної команди реагування на кіберінциденти, кібератаки, кіберзагрози (CERT-UA), галузевих і регіональних команд реагування на кіберінциденти, кібератаки, кіберзагрози (CSIRT)

(пункт 4 розділу II)

Звіт

за результатами оцінки / самооцінки / взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості

команди реагування на кіберінциденти, кібератаки, кіберзагрози (далі - команда реагування) - _____________________________________________________________________________________,

(назва команди реагування)

яку створив __________________________________________________________________________,

(найменування органу державної влади або органу місцевого самоврядування, який створив

команду реагування)

що виконує завдання у _________________________________________________________________.

(сфера відповідальності)

За результатами ________________________________________________ встановлено, що станом на

(оцінки / самооцінки / взаємної оцінки)

___ ____________ 20__ р. організаційно-технічна спроможність команди реагування - _____________________________________________________________________________________

(назва команди реагування)

відповідає ____________________________________________ зрілості.

(початковому/базовому/проміжному/розвинутому рівню)

Опис поточного стану справ щодо кожного параметра організаційно-технічної спроможності команди реагування:

Номер параметра

Назва параметра

Значення параметра

Поточний стан справ щодо параметра

Примітки

(проблемні питання, деталі реалізації, застосовність параметра)

O-1

Повноваження

O-2

Сфера відповідальності

O-3

Компетенція

O-4

Обов'язки

O-5

Опис сервісів

O-6

Політика взаємодії із медіа

O-7

Рівнів надання сервісів

O-8

Класифікація кіберінцидентів

O-9

Взаємодія з іншими командами реагування

O-10

Організаційно-правові засади діяльності

O-11

Політика безпеки

H-1

Правила професійної поведінки та етики

H-2

Операційна стійкість персоналу

H-3

Опис професійних компетенцій

H-4

Професійний розвиток персоналу

H-5

Розвиток технічних навичок

H-6

Розвиток навичок з комунікації та взаємодії

H-7

Зовнішня взаємодія та професійні зв'язки

T-1

IT-активи та їх конфігурації

T-2

Перелік джерел інформації

T-3

Об'єднані системи обміну повідомленнями

T-4

Система обліку та відстеження кіберінцидентів

T-5

Стійкість послуг голосової електронної комунікації голосового зв'язку

T-6

Стійкість систем обміну повідомленнями

T-7

Стійкість доступу до мережі Інтернет

T-8

Інструменти для запобігання кіберінцидентам

T-9

Інструменти для виявлення кіберінцидентів

T-10

Інструменти для реагування на кіберінциденти та усунення наслідків

P-1

Порядок залучення керівництва користувачів та/або органу до реагування на значні кіберінциденти

P-2

Порядок взаємодії з підрозділом, відповідальним за комунікації із медіа

P-3

Порядок взаємодії з юридичним підрозділом

P-4

Процес запобігання кіберінцидентам

P-5

Процес виявлення кіберінцидентів

P-6

Процес реагування на кіберінциденти та усунення наслідків

P-7

Процедури реагування на різні категорії та типи кіберінцидентів і усунення наслідків

P-8

Процес аудиту

P-9

Взаємодія в кризових ситуаціях

P-10

Взаємодія через публічні вебресурси

P-11

Процес безпечного поводження з інформацією

P-12

Процес роботи з джерелами інформації

P-13

Процес зовнішньої комунікації та інформування

P-14

Процес звітування перед вищим керівництвом

P-15

Процес звітування перед користувачами

P-16

Процес проведення внутрішніх нарад

P-17

Процес взаємодії з іншими командами реагування

Додаток:

Результати оцінки / самооцінки / взаємної оцінки у вигляді діаграми1.

Уповноважені посадові особи Адміністрації Держспецзв'язку та національної команди реагування, які проводили оцінку:

____________________________________

(посада уповноваженої посадової особи)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

____________________________________

(посада уповноваженої посадової особи)

_______________

(підпис)

____________________________

(власне

ім'я, прізвище)

Співробітник / група співробітників команди реагування

_____________________________________________________________________________________,

(назва команди реагування, яка проводила взаємну оцінку)

який(і) проводили взаємну оцінку:

____________________________________

(посада)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

____________________________________

(посада)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

Співробітник / група співробітників команди реагування

_____________________________________________________________________________________,

(назва команди реагування)

який(і) проводили самооцінку:

____________________________________

(посада)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

____________________________________

(посада)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

Зі звітом ознайомлений

____________________________________

(найменування посади керівника

команди реагування)

_______________

(підпис)

____________________________

(власне ім'я, прізвище)

У разі незгоди керівника команди реагування з викладеною у звіті за результатами оцінки / взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості інформацією чи фактами керівник команди реагування власноручно після фрази "Зі звітом ознайомлений" робить допис "із зауваженнями" та ставить підпис про ознайомлення.

Зауваження викладаються на окремих аркушах у довільній формі та є невід'ємною частиною Звіту.

Додаток

до Звіту за результатами оцінки / самооцінки / взаємної оцінки з відповідності організаційно-технічної спроможності рівню зрілості

Результати оцінки / самооцінки / взаємної оцінки у вигляді діаграми1

Примітка 1. Для відображення результатів оцінки / самооцінки / взаємної оцінки у вигляді діаграми можна використовувати засоби програми Microsoft Excel або інструменти незалежної некомерційної організації Open CSIRT Foundation для проведення самооцінки за стандартом SIM3v2 Interim - Security Incident Management Maturity Model за посиланням: https://sim3-check.opencsirt.org/#/a/99V7xi3n2-99V7xi5Yk-9cLaZ2Xdi.

____________