Про внесення змін до наказу Центрального управління Служби безпеки України від 22 липня 2019 року № 1132

СЛУЖБА БЕЗПЕКИ УКРАЇНИ

ЦЕНТРАЛЬНЕ УПРАВЛІННЯ

НАКАЗ

24.09.2026

м. Київ

N 345

Зареєстровано в Міністерстві юстиції України

06 жовтня 2026 р. за N 1350/46744

Про внесення змін до наказу Центрального управління Служби безпеки України від 22 липня 2019 року N 1132

Відповідно до статей 10, 13 Закону України "Про Службу безпеки України", Закону України "Про захист інформації в інформаційно-комунікаційних системах", Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373 (в редакції постанови Кабінету Міністрів України від 26 листопада 2025 року N 1531), з метою вдосконалення порядку організації та проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України

НАКАЗУЮ:

1. Внести до наказу Центрального управління Служби безпеки України від 22 липня 2019 року N 1132 "Про затвердження Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України", зареєстрованого в Міністерстві юстиції України 13 серпня 2019 року за N 910/33881, такі зміни:

1) заголовок викласти в такій редакції:

"Про затвердження Порядку проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України";

2) у преамбулі слова та цифри "Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373" замінити словами та цифрами "Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373 (в редакції постанови Кабінету Міністрів України від 26 листопада 2025 року N 1531)";

3) пункт 1 викласти в такій редакції:

"1. Затвердити Порядок проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України, що додається".

2. Затвердити Зміни до Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України, затвердженого наказом Центрального управління Служби безпеки України від 22 липня 2019 року N 1132 (у редакції наказу Центрального управління Служби безпеки України від 03 березня 2023 року N 75), зареєстрованого в Міністерстві юстиції України 13 серпня 2019 року за N 910/33881, що додаються.

3. Начальникам Управління правового забезпечення та Головного управління внутрішньої безпеки Служби безпеки України забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України в установленому законодавством порядку.

4. Цей наказ набирає чинності з дня його офіційного опублікування.

Т. в. о. Голови Служби

генерал-майор

Олександр ПОКЛАД

ПОГОДЖЕНО:

Заступник Міністра цифрової

трансформації України

Олександр ЗАКУСИЛО

Голова Державної служби

спеціального зв'язку та

захисту інформації України

Олександр ПОТІЙ

ЗАТВЕРДЖЕНО

Наказ Центрального управління Служби безпеки України

24 вересня 2026 року N 345

Зміни до Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України

1. Заголовок викласти в такій редакції:

"Порядок проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України".

2. У розділі I:

1) пункт 1 після слів "(далі - КСЗІ)" доповнити словами ", програмних засобів, які реалізують функції технічного захисту інформації,";

2) у пункті 3:

абзац другий після слів "проводить експертизу КСЗІ" доповнити словами ", програмного засобу, який реалізує функції ТЗІ,";

абзац третій після слів "власником (розпорядником)

АС" доповнити словами "чи програмного засобу, який реалізує функції ТЗІ, або в інтересах якого функціонує АС чи програмний засіб, який реалізує функції ТЗІ,";

3) у пункті 4:

в абзаці другому слова "власником (розпорядником) якої є замовник" замінити словами "завершення робіт щодо створення якої здійснюється у порядку, визначеному Кабінетом Міністрів України";

доповнити новим абзацом такого змісту:

"програмний засіб, який реалізує функції ТЗІ (далі - засіб ТЗІ)";

4) у пункті 5:

абзац перший викласти в такій редакції:

"5. Експертиза КСЗІ, засобу ТЗІ або ОТР КСЗІ є процедурою підтвердження їх відповідності вимогам нормативних документів із ТЗІ в обсязі функцій, зазначених у технічному завданні (технічних вимогах) на створення КСЗІ, засобу ТЗІ або ОТР КСЗІ";

доповнити двома новими абзацами такого змісту:

"Експертиза засобів ТЗІ проводиться шляхом експертних випробувань згідно з розділом IV цього Порядку.

Експертиза засобів ТЗІ, які мають чинний документ відповідності міжнародному стандарту ISO/IEC 15408 "The Common Criteria for Information Technology Security Evaluation" або які віднесені до переліку сертифікованих продуктів в НАТО (NATO Information Assurance Product Catalogue, NIAPC), може проводитися шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів і нормативних документів у сфері захисту інформації";

5) в абзаці другому пункту 6 слова "технічні та програмні засоби" замінити словами "апаратні, апаратно-програмні технічні засоби";

6) абзац другий пункту 8 після слів "позитивний експертний висновок" доповнити словами "на засіб ТЗІ або";

7) в абзаці другому пункту 9 слова "або ОТР КСЗІ" замінити словами ", розробки (закупівлі, впровадження) засобу ТЗІ або розробки ОТР КСЗІ";

8) у пункті 11:

абзац другий після слів "що стосується КСЗІ" доповнити словами ", засобу ТЗІ";

абзац четвертий після слів "результати експертизи" доповнити словом "КСЗІ";

доповнити новим абзацом такого змісту:

"зберігає документи, що засвідчують результати експертизи засобу ТЗІ, та відповідну документацію на засіб ТЗІ під час його експлуатації, а також протягом 5 років після закінчення строку дії або скасування експертного висновку на цей засіб ТЗІ";

9) пункт 12 викласти в такій редакції:

"12. У разі необхідності проведення експертизи апаратного, апаратно-програмного засобу ТЗІ або відсутності можливості виконання вимог цього Порядку для проведення експертизи чи за наявності інших обґрунтованих підстав замовник може залучати до проведення експертизи юридичних осіб, фізичних осіб - підприємців або фізичних осіб, що мають повноваження на проведення таких видів робіт відповідно до вимог законодавства України (далі - зовнішній виконавець).

Залучення зовнішнього виконавця здійснюється за попереднім погодженням із підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, на підставі рішення Голови СБУ (особи, яка виконує його обов'язки) або його заступника відповідно до розподілу функціональних обов'язків".

3. Абзац перший пункту 5 розділу II викласти в такій редакції:

"5. Строк дії зареєстрованої декларації визначається з урахуванням вимог, встановлених Кабінетом Міністрів України".

4. У розділі III:

1) назву розділу після слів "експертних випробувань" доповнити словами "КСЗІ АС/ОТР КСЗІ";

2) пункт 12 викласти в такій редакції:

"12. Строк дії атестата відповідності, експертного висновку ОТР КСЗІ визначається організатором з урахуванням вимог, встановлених Кабінетом Міністрів України".

5. Після розділу III доповнити розділом IV такого змісту:

"IV. Порядок організації та проведення експертизи шляхом експертних випробувань засобів ТЗІ

1. Для проведення експертизи шляхом експертних випробувань замовник надсилає до організатора заяву про проведення експертизи засобу ТЗІ за формою (додаток 6) до цього Порядку. До заяви додаються документи, що підтверджують право замовника на володіння та/або користування, та/або розпорядження засобом ТЗІ, а також технічне завдання (технічні вимоги) та технічний опис засобу ТЗІ.

2. Експертиза засобів ТЗІ проводиться з метою оцінки

відповідності програмного засобу ТЗІ вимогам нормативних документів з ТЗІ в частині вимог щодо захисту інформації від несанкціонованого доступу.

У разі необхідності проведення під час експертизи дослідження на відсутність недокументованих функцій засобів ТЗІ, таке дослідження проводить Адміністрація Держспецзв'язку за відповідною заявкою замовника/організатора.

Процедуру ідентифікації засобів ТЗІ проводить організатор у присутності представника замовника. Для ідентифікації програмних засобів ТЗІ (їх складових частин) застосовується номер версії програмної реалізації засобу ТЗІ та значення геш-функцій програмного засобу ТЗІ (дистрибутиву або вибраних файлів). Для обчислення значень геш-функцій повинно використовуватися програмне забезпечення, яке має позитивний експертний висновок у сфері криптографічного захисту інформації. Визначені ідентифікатори програмних засобів ТЗІ фіксуються у протоколах та експертних висновках.

Експертиза оновлень засобів ТЗІ, що мають чинні експертні висновки, проводиться в установленому порядку (направлення заяви на проведення експертизи та комплекту документації, із зазначенням внесених змін, ідентифікація версії програмного засобу, проведення експертних випробувань в обсязі, визначеному організатором, оформлення результатів). Експертиза оновлень засобів ТЗІ проводиться організатором лише стосовно засобів ТЗІ, експертизу яких було проведено організатором для власних потреб та за результатами якої зареєстровано позитивний експертний висновок.

3. Для проведення експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів та нормативних документів у сфері захисту інформації замовник зазначає про необхідність проведення експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів та нормативних документів у сфері захисту інформації в заяві на проведення експертизи засобу ТЗІ та надає організатору матеріали (документи) оцінки (сертифікації) засобу ТЗІ. Матеріали (документи) оцінки (сертифікації) засобу ТЗІ подаються українською мовою. У разі, якщо оригінал виданий іноземною мовою, обов'язково надається його автентичний переклад на українську мову.

При проведенні експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) обчислення значень геш-функцій не застосовуються.

4. Замовник надає організатору документацію на об'єкт експертизи, потрібну для проведення експертних випробувань (документацію, що містить опис засобу ТЗІ, опис функціональних специфікацій засобу ТЗІ у вигляді переліку реалізованих в засобі ТЗІ функціональних послуг безпеки та опис їх політик). Організатор може уточнювати подану документацію та запитувати додаткові документи. Для проведення експертних випробувань замовник також надає тестовий стенд, який не є складовою ІКС, введеною в експлуатацію, та на якому розгорнутий дистрибутив досліджуваного програмного засобу. Тестовий стенд, що надається для проведення експертизи, повинен забезпечувати можливість функціонування засобу ТЗІ відповідно до вимог експлуатаційної і технічної документації з урахуванням всіх можливих варіантів його встановлення (розгортання, конфігурації), відповідати встановленим виробником вимогам до апаратно-програмного середовища, забезпечувати реалізацію всіх заявлених функцій безпеки, містити необхідне програмне забезпечення, ліцензії, засоби адміністрування, облікові записи та інші компоненти, необхідні для проведення експертних випробувань у повному обсязі.

За результатами розгляду заяви та наданої документації, а також перевірки наявності та відповідності тестового стенду організатор приймає рішення про можливість та доцільність проведення експертизи і визначає експертів, які залучаються до виконання експертних робіт. У разі якщо тестовий стенд, надана документація, засіб ТЗІ або інші матеріали, необхідні для проведення експертизи, унеможливлюють проведення експертних випробувань у повному обсязі та/або не відповідають умовам цього Порядку організатор залишає заяву без розгляду, про що повідомляє замовника.

5. Експертами не може

бути визначено осіб із складу структурного підрозділу, який виконував роботи зі створення засобу ТЗІ (у тому числі надання консультаційних послуг, які стосуються виконання окремих етапів робіт та вибору певних проектних рішень), експертизу якого планується провести.

6. Організатор за результатами аналізу наданих документів та з урахуванням загальних методик оцінювання задекларованих характеристик засобів ТЗІ формує програму та методики проведення експертизи об'єкта та складає перелік необхідного програмно-технічного забезпечення для проведення випробувань.

7. Програма проведення експертизи погоджується із замовником.

8. Результати роботи за методиками оформлюються у вигляді протоколу виконання робіт за підписом експертів і їх безпосереднього керівника. Протокол затверджується керівником (заступником керівника) організатора.

Змістова частина протоколу викладається в обсязі виконаних робіт з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ.

9. У протоколі може бути зафіксовано особливу думку кожного експерта щодо результатів виконаних робіт.

10. У разі якщо під час проведення експертизи виявлено обставини, що унеможливлюють проведення об'єктивної оцінки засобу ТЗІ, зокрема неповноти документації, невідповідності поданих матеріалів фактичному об'єкту експертизи, відсутності необхідних складових засобу ТЗІ або неможливості відтворення заявлених функцій безпеки, організатор приймає рішення про припинення проведення експертизи та повертає матеріали експертизи замовнику на доопрацювання.

11. Після отримання повідомлення замовник визначає можливість доопрацювання об'єкта експертизи, його строк, обсяг робіт з доопрацювання, інші умови, про що в місячний строк письмово повідомляє організатора (ненадходження від замовника повідомлення у встановлений строк є підставою вважати, що замовник відкликав заяву на проведення експертизи).

12. За результатами проведених робіт організатор складає експертний висновок (додаток 7).

Результати робіт, визначених програмою, узагальнюються в змістовій частині експертного висновку і засвідчуються підписами експертів та їх безпосереднього керівника. Експертний висновок засвідчується керівником (його заступником) організатора.

На титульному аркуші експертного висновку зазначається функціональний профіль безпеки, що реалізується цим засобом ТЗІ, з відповідним рівнем гарантії.

13. Змістова частина експертного висновку викладається з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ в обсязі виконаних робіт та містить:

загальні відомості щодо об'єкта експертизи (тип, місце розташування, власник);

загальну характеристику об'єкта експертизи (призначення, функції, можливості щодо вирішення певних завдань захисту інформації);

перелік нормативно-правових актів та нормативних документів з питань ТЗІ, на відповідність вимогам яких проводиться оцінка об'єкта експертизи;

назви програми та методик, згідно з якими здійснювалася оцінка об'єкта експертизи, ким вони розроблені та затверджені, реєстраційний номер та дату затвердження;

перелік засобів ТЗІ (із зазначенням номеру версії програмної реалізації засобу ТЗІ та значення його геш-функцій), які замовник надав організатору;

результати експертних робіт щодо кожного пункту програми проведення експертизи об'єкта експертизи;

розгорнутий висновок щодо відповідності об'єкта експертизи вимогам нормативних документів із ТЗІ;

сферу використання (вимоги до умов експлуатації) об'єкта експертизи;

строк дії експертного висновку (для позитивного експертного висновку);

особливі думки експертів, зафіксовані в протоколі (за наявності).

14. Строк дії експертного висновку засобу ТЗІ визначається організатором, але не може перевищувати 3 років.

15. У разі позитивних результатів експертизи засобу ТЗІ засвідчений організатором експертний висновок направляється для реєстрації до Адміністрації Держспецзв'язку.

16. Документи, що засвідчують позитивні результати експертизи засобу ТЗІ, організатор направляє замовнику".

У зв'язку з цим розділ IV вважати розділом V.

6. У додатку 4 до цього Порядку

слова "Експертний висновок додається до цього Атестата та є його невід'ємною частиною" замінити словами "Атестат відповідності зареєстровано на підставі експертного висновку від ___ ____________ ____ N ______".

7. У відмітках до додатків до цього Порядку слова "комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України" замінити словами "у сфері технічного захисту інформації в Службі безпеки України".

8. Доповнити цей Порядок новими додатками, що додаються.

Начальник Головного управління

внутрішньої безпеки

бригадний генерал

Антон КРАВЧУК

Додаток 6

до Порядку проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України

(пункт 1 розділу IV)

Керівнику організатора

____________________________

Заява

про проведення _____________________________________________ експертизи засобу технічного

(первинної / додаткової / контрольної)

захисту інформації ____________________________________________________________________,

(найменування засобу технічного захисту інформації)

наданого _____________________________________________________________________________

(найменування замовника

_____________________________________________________________________________________

та його місцезнаходження)

шляхом ______________________________________________________________________________

(експертних випробувань / зіставлення результатів оцінки (сертифікації) з вимогами нормативно-

правових актів та нормативних документів у сфері захисту інформації)

Необхідність проведення експертизи обумовлена:

_____________________________________________________________________________________

_____________________________________________________________________________________

_____________________________________________________________________________________

Додатки:

1. Технічне завдання (технічні вимоги) та технічний опис засобу (для експертизи шляхом зіставлення - копії міжнародних сертифікатів та матеріалів (документів) оцінки безпеки, Security Target тощо).

2. Експертний висновок первинної експертизи або його копія (в разі проведення додаткової або контрольної експертизи).

3. Документи, що підтверджують право на володіння та/або користування, та/або розпорядження засобом технічного захисту інформації.

____________________________________

(найменування посади керівника замовника

або його заступника, на якого покладається

загальне керівництво організацією

технічного захисту інформації)

___________

(підпис)

_____________________________

(Власне ім'я ПРІЗВИЩЕ)

____________

Додаток 7

до Порядку проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України

(пункт 12 розділу IV)

Система технічного захисту інформації

Експертний висновок

Зареєстровано в Адміністрації

Державної служби спеціального зв'язку

та захисту інформації України

___ ____________ 20__ р. за N ________

Дійсний до ___ ____________ 20__ р.

Результати експертизи свідчать, що засіб технічного захисту інформації

_____________________________________________________________________________________,

(найменування засобу ТЗІ)

що наданий на експертизу ______________________________________________________________

(найменування

замовника)

_____________________________________________________________________________________

_____________________________________________________________________________________,

_____________________________________________________________________________________

(відповідає / не відповідає)

вимогам нормативних документів з технічного захисту інформації в обсязі функцій, зазначених у _____________________________________________________________________________________

Функціональний профіль безпеки ________________________________________________________

Гарантії реалізації зазначених послуг безпеки встановлені на рівні ____________________________

Вимоги щодо умов експлуатації об'єкта експертизи визначені у відповідному розділі цього Експертного висновку.

____________________________

(найменування посади керівника

(його заступника) організатора)

____________

(підпис)

______________________________

(Власне ім'я ПРІЗВИЩЕ)

____________