Про затвердження Порядку проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України

СЛУЖБА БЕЗПЕКИ УКРАЇНИ

Центральне управління

НАКАЗ

22.07.2019 № 1132

Зареєстровано в Міністерстві

юстиції України

13 серпня 2019 р.

за № 910/33881

Про затвердження Порядку проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України

{Заголовок в редакції Наказів Служби безпеки № 75 від 03.03.2023, № 345 від 24.09.2026}

{Із змінами, внесеними згідно з Наказами Служби безпеки

№ 75 від 03.03.2023

№ 345 від 24.09.2026}

Відповідно до статей 10, 13 Закону України «Про Службу безпеки України», Закону України «Про захист інформації в інформаційно-телекомунікаційних системах», Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року № 373 (в редакції постанови Кабінету Міністрів України від 26 листопада 2025 року № 1531), з метою вдосконалення порядку організації та проведення державної експертизи комплексних систем захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах Служби безпеки України НАКАЗУЮ:

{Преамбула із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

1. Затвердити Порядок проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України, що додається.

{Пункт 1 в редакції Наказів Служби безпеки № 75 від 03.03.2023, № 345 від 24.09.2026}

2. Начальникам Управління правового забезпечення та Департаменту оперативно-технічних заходів Служби безпеки України забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України в установленому законодавством порядку.

3. Цей наказ набирає чинності з дня його офіційного опублікування.

Т.в.о. Голови Служби

І. Баканов

ПОГОДЖЕНО:

Голова Державної служби спеціального

зв'язку та захисту інформації України

Л.О. Євдоченко

ЗАТВЕРДЖЕНО

Наказ Центрального управління

Служби безпеки України

22 липня 2019 року № 1132

(у редакції наказу

Центрального управління

Служби безпеки України

від 03 березня 2023 року № 75)

Зареєстровано в Міністерстві

юстиції України

13 серпня 2019 р.

за № 910/33881

Порядок

проведення державної експертизи у сфері технічного захисту інформації в Службі безпеки України

{Заголовок в редакції Наказу Служби безпеки № 345 від 24.09.2026}

{У відмітках до додатків до цього Порядку слова «комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України» замінено словами «у сфері технічного захисту інформації в Службі безпеки України» згідно з Наказом Служби безпеки № 345 від 24.09.2026}

I. Загальні положення

1. Цей Порядок визначає особливості організації та проведення первинних або додаткових державних експертиз комплексних систем захисту інформації (далі - КСЗІ), програмних засобів, які реалізують функції технічного захисту інформації, або організаційно-технічних рішень на розгортання типової складової компоненти КСЗІ в інформаційних (автоматизованих), електронних комунікаційних та інформаційно-комунікаційних системах (далі - АС) Служби безпеки України (крім контрольних експертиз) шляхом експертних випробувань та аналізу декларацій про відповідність КСЗІ вимогам нормативних документів із технічного захисту інформації (далі - декларація) у системі Служби безпеки України (далі - СБУ).

{Пункт 1 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

2. Державна експертиза у сфері технічного захисту інформації (далі - експертиза) проводиться з метою дослідження, перевірки, аналізу та оцінки об'єктів експертизи щодо їх відповідності вимогам нормативних документів із технічного захисту інформації (далі - ТЗІ) та можливості їх використання для забезпечення ТЗІ.

3. Суб'єктами експертизи в СБУ є:

організатор - підрозділ Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, проводить експертизу КСЗІ, програмного засобу, який реалізує функції ТЗІ, або організаційно-технічного рішення на розгортання типової складової компоненти КСЗІ в АС СБУ, у тому числі в АС, в яких реалізуються вимоги щодо ТЗІ, спрямовані на запобігання кіберінцидентам, виявлення та захист від кібератак;

{Абзац другий пункту 3 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

замовник - підрозділ в системі СБУ, який є власником (розпорядником) АС чи програмного засобу, який реалізує функції ТЗІ, або в інтересах якого функціонує АС чи програмний засіб, який реалізує функції ТЗІ, або розробником організаційно-технічного рішення для впровадження типової компоненти КСЗІ в АС СБУ;

{Абзац третій пункту 3 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

експерт - співробітник організатора, до посадових обов'язків якого належить виконання завдань з проведення експертизи.

4. Об'єктами експертизи є:

КСЗІ, яка є невід'ємною складовою АС, завершення робіт щодо створення якої здійснюється у порядку, визначеному Кабінетом Міністрів України;

{Абзац другий пункту 4 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

організаційно-технічне рішення для впровадження типової компоненти КСЗІ в АС СБУ (далі - ОТР КСЗІ) - задокументоване уніфіковане рішення для багаторазового розгортання складових КСЗІ в АС, самодостатнє для вирішення певного завдання, що включає проєктні рішення програмно-технічного комплексу, організаційно-технічні рішення щодо регламенту функціонування типової компоненти АС та опис (алгоритм) процедури впровадження (розгортання) компоненти КСЗІ в АС;

програмний засіб, який реалізує функції ТЗІ (далі – засіб ТЗІ.

{Пункт 4 розділу I доповнено новим абзацом згідно з Наказом Служби безпеки № 345 від 24.09.2026}

5. Експертиза КСЗІ, засобу ТЗІ або ОТР КСЗІ є процедурою підтвердження їх відповідності вимогам нормативних документів із ТЗІ в обсязі функцій, зазначених у технічному завданні (технічних вимогах) на створення КСЗІ, засобу ТЗІ або ОТР КСЗІ.

{Абзац перший пункту 5 розділу I в редакції Наказу Служби безпеки № 345 від 24.09.2026}

Експертиза КСЗІ проводиться шляхом аналізу декларації відповідно до розділу II цього Порядку або шляхом експертних випробувань згідно з розділом III цього Порядку.

Експертиза ОТР КСЗІ проводиться шляхом експертних випробувань згідно з розділом III цього Порядку.

Експертиза засобів ТЗІ проводиться шляхом експертних випробувань згідно з розділом IV цього Порядку.

{Пункт 5 розділу I доповнено новим абзацом згідно з Наказом Служби безпеки № 345 від 24.09.2026}

Експертиза засобів ТЗІ, які мають чинний документ відповідності міжнародному стандарту ISO/IEC 15408 «The Common Criteria for Information Technology Security Evaluation» або які віднесені до переліку сертифікованих продуктів в НАТО (NATO Information Assurance Product Catalogue, NIAPC), може проводитися шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів і нормативних документів у сфері захисту інформації.

{Пункт 5 розділу I доповнено новим абзацом згідно з Наказом Служби безпеки № 345 від 24.09.2026}

6. Дія цього Порядку не поширюється на такі об'єкти експертизи:

апаратні, апаратно-програмні технічні засоби, які реалізують функції ТЗІ або оцінки стану захисту інформації (далі - засоби ТЗІ), у тому числі у складі КСЗІ;

{Абзац другий пункту 6 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

КСЗІ системи спеціального зв'язку;

технічні та програмні засоби, які реалізують функції криптографічного захисту інформації (далі - засоби КЗІ), у тому числі у складі КСЗІ.

Підтвердження відповідності та проведення державної експертизи зазначених об'єктів здійснюються відповідно до вимог законодавства.

7. Експертиза КСЗІ шляхом аналізу декларації проводиться у випадках, якщо:

1) КСЗІ створено в автоматизованій системі класу 1 (що класифікується згідно з нормативними документами із ТЗІ), у якій:

КСЗІ і її документацію розроблено, оформлено, узгоджено та затверджено відповідно до рекомендацій, розроблених (або погоджених) організатором;

впровадження заходів захисту інформації від витоку технічними каналами (за потреби створення комплексу ТЗІ) засвідчено актом атестації комплексу ТЗІ, зареєстрованим відповідно до вимог законодавства та чинним на момент подання декларації;

2) закінчився строк дії документів, що засвідчують результати експертизи в АС, яка згідно з нормативними документами із ТЗІ класифікується як автоматизована система класу 1;

3) КСЗІ в АС створена на основі ОТР КСЗІ та має у складі документації типову форму декларації для цієї КСЗІ, яка погоджена організатором або Адміністрацією Держспецзв'язку.

У всіх інших випадках експертиза КСЗІ в АС проводиться шляхом експертних випробувань.

8. Зареєстрована декларація або атестат відповідності є документами, що підтверджують відповідність створеної КСЗІ в АС СБУ вимогам нормативних документів із ТЗІ.

Чинний позитивний експертний висновок на засіб ТЗІ або на ОТР КСЗІ є документом, що підтверджує його відповідність вимогам нормативних документів із ТЗІ.

{Абзац другий пункту 8 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

9. Експертиза може бути первинною або додатковою.

Первинна експертиза є основним видом експертизи та проводиться після створення КСЗІ, розробки (закупівлі, впровадження) засобу ТЗІ або розробки ОТР КСЗІ.

{Абзац другий пункту 9 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

Додаткова експертиза проводиться у зв'язку із закінченням строку дії документів, що засвідчують результати експертизи.

10. Організатор:

організовує та проводить первинні або додаткові експертизи шляхом аналізу декларацій та експертних випробувань;

приймає рішення щодо можливості та доцільності проведення експертизи або її припинення;

розглядає заяви на проведення експертизи, надає замовникам методичну допомогу щодо порядку та організації проведення експертизи;

розробляє програму та методики проведення експертизи;

здійснює заходи щодо реєстрації або скасування декларації в Адміністрації Держспецзв'язку, зупиняє дію декларації та інформує про зазначене Адміністрацію Держспецзв'язку;

взаємодіє з Адміністрацією Держспецзв'язку та її уповноваженими підрозділами з питань проведення експертиз;

здійснює контроль за станом функціонування КСЗІ.

11. Замовник:

передає організатору необхідні відомості, що стосуються КСЗІ, засобу ТЗІ або ОТР КСЗІ, надає доступ до об'єкта для проведення експертизи;

{Абзац другий пункту 11 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

має право використовувати у своїй діяльності матеріали та документи, отримані під час проведення експертизи;

зберігає документи, що засвідчують результати експертизи КСЗІ, під час експлуатації АС, а також протягом 5 років після закінчення строку дії (скасування) атестата відповідності (декларації) або виведення АС з експлуатації;

{Абзац четвертий пункту 11 розділу I із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

зберігає документи, що засвідчують результати експертизи ОТР КСЗІ, та його документацію під час експлуатації АС, у складі яких побудовано (розгорнуто) КСЗІ за ОТР КСЗІ, а також протягом 5 років після закінчення строку дії (скасування) декларації останньої КСЗІ, побудованої (розгорнутої) за цим ОТР КСЗІ;

зберігає документи, що засвідчують результати експертизи засобу ТЗІ, та відповідну документацію на засіб ТЗІ під час його експлуатації, а також протягом 5 років після закінчення строку дії або скасування експертного висновку на цей засіб ТЗІ.

{Пункт 11 розділу I доповнено новим абзацом згідно з Наказом Служби безпеки № 345 від 24.09.2026}

12. У разі необхідності проведення експертизи апаратного, апаратно-програмного засобу ТЗІ або відсутності можливості виконання вимог цього Порядку для проведення експертизи чи за наявності інших обґрунтованих підстав замовник може залучати до проведення експертизи юридичних осіб, фізичних осіб-підприємців або фізичних осіб, що мають повноваження на проведення таких видів робіт відповідно до вимог законодавства України (далі – зовнішній виконавець).

Залучення зовнішнього виконавця здійснюється за попереднім погодженням із підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, на підставі рішення Голови СБУ (особи, яка виконує його обов'язки) або його заступника відповідно до розподілу функціональних обов'язків.

{Пункт 12 розділу I в редакції Наказу Служби безпеки № 345 від 24.09.2026}

II. Порядок організації та проведення експертизи шляхом аналізу декларації

1. Для проведення експертизи КСЗІ в АС шляхом аналізу декларації замовник надсилає супровідним листом до організатора оригінал та копію декларації про відповідність КСЗІ вимогам нормативних документів із ТЗІ за формою (додаток 1) до цього Порядку (далі - декларація) разом із формуляром АС, актом про завершення робіт зі створення КСЗІ.

2. Для проведення експертизи КСЗІ в АС, що створена на основі ОТР КСЗІ, замовник надсилає супровідним листом до організатора оригінал та копію декларації про відповідність КСЗІ вимогам нормативних документів із ТЗІ разом із документами до неї згідно із вимогами ОТР КСЗІ.

3. За результатами аналізу декларації організатор подає її на реєстрацію до Адміністрації Держспецзв'язку або повертає на доопрацювання. Після реєстрації оригінал декларації та інші подані документи організатор повертає замовнику. Копія декларації залишається у організатора.

4. Підстави для повернення декларації на доопрацювання:

надання неповного комплекту документів, визначених пунктами 1 або 2 цього розділу;

неповнота наданих відомостей у документах або їх невідповідність;

невідповідність порядку створення КСЗІ вимогам нормативних документів із ТЗІ.

Організатор повертає на доопрацювання декларацію та повідомляє замовнику причини. Після усунення причин, що стали підставою для повернення на доопрацювання декларації, замовник надсилає для повторного розгляду до організатора доопрацьовану декларацію.

5. Строк дії зареєстрованої декларації визначається з урахуванням вимог, встановлених Кабінетом Міністрів України.

{Абзац перший пункту 5 розділу II в редакції Наказу Служби безпеки № 345 від 24.09.2026}

Строк дії декларацій на КСЗІ в АС, які створено на основі ОТР КСЗІ, встановлюється вимогами ОТР КСЗІ.

III. Порядок організації та проведення експертизи шляхом експертних випробувань КСЗІ АС/ОТР КСЗІ

{Назва розділу III із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

1. Для проведення експертизи шляхом експертних випробувань замовник надсилає до організатора заяву про проведення експертизи КСЗІ АС/ОТР КСЗІ за формою (додаток 2) до цього Порядку.

До заяви додаються:

технічне завдання на створення КСЗІ/ОТР КСЗІ;

формуляр АС (для ОТР КСЗІ не надсилається).

2. За результатами розгляду заяви організатор приймає рішення про можливість та доцільність проведення експертизи і визначає експертів, які залучаються до виконання експертних робіт.

Експертами не може бути визначено осіб, які виконували роботи зі створення КСЗІ або ОТР КСЗІ (у тому числі надавали консультаційні послуги, які стосуються виконання окремих етапів робіт та вибору певних проектних рішень), експертизу якої планується провести.

3. Замовник надає організатору документацію на об'єкт експертизи, потрібну для проведення експертних випробувань (перелік таких документів організатор повідомляє замовнику).

4. Організатор за результатами аналізу наданих документів та з урахуванням загальних методик оцінювання задекларованих характеристик КСЗІ/ОТР КСЗІ формує програму і методики проведення експертизи.

5. Програма проведення експертизи погоджується із замовником.

6. Результати роботи за методиками оформлюються у вигляді протоколу виконання робіт за підписом експертів і їх безпосереднього керівника. Протокол затверджується керівником (заступником керівника) організатора.

Змістова частина протоколу викладається в обсязі виконаних робіт з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ.

7. У протоколі може бути зафіксовано особливу думку кожного експерта щодо результатів виконаних робіт.

8. У разі виявлення невідповідності об'єкта експертизи вимогам нормативних документів з ТЗІ організатор може запропонувати замовнику доопрацювати його.

Організатор формулює відомості, щодо яких потрібні доопрацювання, з посиланням на відповідні положення нормативно-правових актів, нормативних документів, технічного завдання та надає їх замовнику.

9. Після отримання відомостей щодо доопрацювань замовник визначає можливість доопрацювання об'єкта експертизи, його строк, обсяг робіт з доопрацювання, інші умови, про що в місячний строк письмово повідомляє організатора (у разі відсутності повідомлення організатор складає негативний експертний висновок та надсилає його замовнику).

10. За результатами проведених робіт організатор складає:

експертний висновок (додаток 3) та в разі позитивних результатів експертної оцінки - атестат відповідності (додаток 4) КСЗІ;

експертний висновок (додаток 5) для ОТР КСЗІ.

Результати робіт, визначених програмою, узагальнюються в змістовій частині експертного висновку і засвідчуються підписами експертів та їх безпосереднього керівника. Експертний висновок засвідчується керівником (його заступником) організатора.

11. Змістова частина експертного висновку викладається з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ в обсязі виконаних робіт та містить:

загальні відомості щодо об'єкта експертизи;

загальну характеристику об'єкта експертизи;

нормативно-правові акти та нормативні документи з питань ТЗІ, на відповідність вимогам яких проводиться оцінка об'єкта експертизи;

назви програми та методик, згідно з якими здійснювалася оцінка об'єкта експертизи, ким розроблені та затверджені, реєстраційний номер та дату затвердження;

перелік документів і специфікацій програмних та технічних засобів ТЗІ/КЗІ, які замовник надав організатору;

результати експертних робіт щодо кожного пункту програми проведення експертизи об'єкта експертизи;

розгорнутий висновок щодо відповідності об'єкта експертизи вимогам нормативних документів із ТЗІ;

вимоги до умов експлуатації (сферу використання) об'єкта експертизи;

строк дії експертного висновку (для позитивного експертного висновку);

особливі думки експертів, зафіксовані в протоколі (за наявності).

12. Строк дії атестата відповідності, експертного висновку ОТР КСЗІ визначається організатором з урахуванням вимог, встановлених Кабінетом Міністрів України.

{Пункт 12 розділу III в редакції Наказу Служби безпеки № 345 від 24.09.2026}

13. Атестат відповідності підписується керівником (заступником керівника) організатора та направляється для реєстрації до Адміністрації Держспецзв'язку.

У разі позитивних результатів експертизи ОТР КСЗІ засвідчений організатором експертний висновок ОТР КСЗІ направляється для реєстрації до Адміністрації Держспецзв'язку.

14. Документи, що засвідчують позитивні результати експертизи КСЗІ/ОТР КСЗІ, організатор направляє замовнику.

15. З метою скорочення строків зі створення КСЗІ в АС за письмовим вмотивованим зверненням замовника до організатора допускається проводити:

первинну експертизу одночасно з роботами зі створення КСЗІ;

експертизу кожної складової частини або модуля КСЗІ окремо.

IV. Порядок організації та проведення експертизи шляхом експертних випробувань засобів ТЗІ

1. Для проведення експертизи шляхом експертних випробувань замовник надсилає до організатора заяву про проведення експертизи засобу ТЗІ за формою (додаток 6) до цього Порядку. До заяви додаються документи, що підтверджують право замовника на володіння та/або користування, та/або розпорядження засобом ТЗІ, а також технічне завдання (технічні вимоги) та технічний опис засобу ТЗІ.

2. Експертиза засобів ТЗІ проводиться з метою оцінки відповідності програмного засобу ТЗІ вимогам нормативних документів з ТЗІ в частині вимог щодо захисту інформації від несанкціонованого доступу.

У разі необхідності проведення під час експертизи дослідження на відсутність недокументованих функцій засобів ТЗІ, таке дослідження проводить Адміністрація Держспецзв'язку за відповідною заявкою замовника/організатора.

Процедуру ідентифікації засобів ТЗІ проводить організатор у присутності представника замовника. Для ідентифікації програмних засобів ТЗІ (їх складових частин) застосовується номер версії програмної реалізації засобу ТЗІ та значення геш-функцій програмного засобу ТЗІ (дистрибутиву або вибраних файлів). Для обчислення значень геш-функцій повинно використовуватися програмне забезпечення, яке має позитивний експертний висновок у сфері криптографічного захисту інформації. Визначені ідентифікатори програмних засобів ТЗІ фіксуються у протоколах та експертних висновках.

Експертиза оновлень засобів ТЗІ, що мають чинні експертні висновки, проводиться в установленому порядку (направлення заяви на проведення експертизи та комплекту документації, із зазначенням внесених змін, ідентифікація версії програмного засобу, проведення експертних випробувань в обсязі, визначеному організатором, оформлення результатів). Експертиза оновлень засобів ТЗІ проводиться організатором лише стосовно засобів ТЗІ, експертизу яких було проведено організатором для власних потреб та за результатами якої зареєстровано позитивний експертний висновок.

3. Для проведення експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів та нормативних документів у сфері захисту інформації замовник зазначає про необхідність проведення експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) з вимогами нормативно-правових актів та нормативних документів у сфері захисту інформації в заяві на проведення експертизи засобу ТЗІ та надає організатору матеріали (документи) оцінки (сертифікації) засобу ТЗІ. Матеріали (документи) оцінки (сертифікації) засобу ТЗІ подаються українською мовою. У разі, якщо оригінал виданий іноземною мовою, обов'язково надається його автентичний переклад на українську мову.

При проведенні експертизи засобів ТЗІ шляхом зіставлення результатів оцінки (сертифікації) обчислення значень геш-функцій не застосовуються.

4. Замовник надає організатору документацію на об'єкт експертизи, потрібну для проведення експертних випробувань (документацію, що містить опис засобу ТЗІ, опис функціональних специфікацій засобу ТЗІ у вигляді переліку реалізованих в засобі ТЗІ функціональних послуг безпеки та опис їх політик). Організатор може уточнювати подану документацію та запитувати додаткові документи. Для проведення експертних випробувань замовник також надає тестовий стенд, який не є складовою ІКС, введеною в експлуатацію, та на якому розгорнутий дистрибутив досліджуваного програмного засобу. Тестовий стенд, що надається для проведення експертизи, повинен забезпечувати можливість функціонування засобу ТЗІ відповідно до вимог експлуатаційної і технічної документації з урахуванням всіх можливих варіантів його встановлення (розгортання, конфігурації), відповідати встановленим виробником вимогам до апаратно-програмного середовища, забезпечувати реалізацію всіх заявлених функцій безпеки, містити необхідне програмне забезпечення, ліцензії, засоби адміністрування, облікові записи та інші компоненти, необхідні для проведення експертних випробувань у повному обсязі.

За результатами розгляду заяви та наданої документації, а також перевірки наявності та відповідності тестового стенду організатор приймає рішення про можливість та доцільність проведення експертизи і визначає експертів, які залучаються до виконання експертних робіт. У разі якщо тестовий стенд, надана документація, засіб ТЗІ або інші матеріали, необхідні для проведення експертизи, унеможливлюють проведення експертних випробувань у повному обсязі та/або не відповідають умовам цього Порядку організатор залишає заяву без розгляду, про що повідомляє замовника.

5. Експертами не може бути визначено осіб із складу структурного підрозділу, який виконував роботи зі створення засобу ТЗІ (у тому числі надання консультаційних послуг, які стосуються виконання окремих етапів робіт та вибору певних проектних рішень), експертизу якого планується провести.

6. Організатор за результатами аналізу наданих документів та з урахуванням загальних методик оцінювання задекларованих характеристик засобів ТЗІ формує програму та методики проведення експертизи об'єкта та складає перелік необхідного програмно-технічного забезпечення для проведення випробувань.

7. Програма проведення експертизи погоджується із замовником.

8. Результати роботи за методиками оформлюються у вигляді протоколу виконання робіт за підписом експертів і їх безпосереднього керівника. Протокол затверджується керівником (заступником керівника) організатора.

Змістова частина протоколу викладається в обсязі виконаних робіт з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ.

9. У протоколі може бути зафіксовано особливу думку кожного експерта щодо результатів виконаних робіт.

10. У разі якщо під час проведення експертизи виявлено обставини, що унеможливлюють проведення об'єктивної оцінки засобу ТЗІ, зокрема неповноти документації, невідповідності поданих матеріалів фактичному об'єкту експертизи, відсутності необхідних складових засобу ТЗІ або неможливості відтворення заявлених функцій безпеки, організатор приймає рішення про припинення проведення експертизи та повертає матеріали експертизи замовнику на доопрацювання.

11. Після отримання повідомлення замовник визначає можливість доопрацювання об'єкта експертизи, його строк, обсяг робіт з доопрацювання, інші умови, про що в місячний строк письмово повідомляє організатора (ненадходження від замовника повідомлення у встановлений строк є підставою вважати, що замовник відкликав заяву на проведення експертизи).

12. За результатами проведених робіт організатор складає експертний висновок (додаток 7).

Результати робіт, визначених програмою, узагальнюються в змістовій частині експертного висновку і засвідчуються підписами експертів та їх безпосереднього керівника. Експертний висновок засвідчується керівником (його заступником) організатора.

На титульному аркуші експертного висновку зазначається функціональний профіль безпеки, що реалізується цим засобом ТЗІ, з відповідним рівнем гарантії.

13. Змістова частина експертного висновку викладається з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ в обсязі виконаних робіт та містить:

загальні відомості щодо об'єкта експертизи (тип, місце розташування, власник);

загальну характеристику об'єкта експертизи (призначення, функції, можливості щодо вирішення певних завдань захисту інформації);

перелік нормативно-правових актів та нормативних документів з питань ТЗІ, на відповідність вимогам яких проводиться оцінка об'єкта експертизи;

назви програми та методик, згідно з якими здійснювалася оцінка об'єкта експертизи, ким вони розроблені та затверджені, реєстраційний номер та дату затвердження;

перелік засобів ТЗІ (із зазначенням номеру версії програмної реалізації засобу ТЗІ та значення його геш-функцій), які замовник надав організатору;

результати експертних робіт щодо кожного пункту програми проведення експертизи об'єкта експертизи;

розгорнутий висновок щодо відповідності об'єкта експертизи вимогам нормативних документів із ТЗІ;

сферу використання (вимоги до умов експлуатації) об'єкта експертизи;

строк дії експертного висновку (для позитивного експертного висновку);

особливі думки експертів, зафіксовані в протоколі (за наявності).

14. Строк дії експертного висновку засобу ТЗІ визначається організатором, але не може перевищувати 3 років.

15. У разі позитивних результатів експертизи засобу ТЗІ засвідчений організатором експертний висновок направляється для реєстрації до Адміністрації Держспецзв'язку.

16. Документи, що засвідчують позитивні результати експертизи засобу ТЗІ, організатор направляє замовнику.

{Порядок доповнено розділом IV згідно з Наказом Служби безпеки № 345 від 24.09.2026}

V. Порядок скасування (зупинення дії) зареєстрованої декларації, атестата відповідності КСЗІ та експертного висновку

1. Організатор зупиняє дію зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку. Адміністрація Держспецзв'язку скасовує зареєстровану декларацію, атестат відповідності КСЗІ та/або експертний висновок за поданням організатора.

2. Можливі умови для зупинення дії, скасування зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку:

подання заяви про скасування зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку. Заява складається у довільній формі із зазначенням реєстраційного номера документа про виведення АС (всіх АС, КСЗІ яких розгорнуто за ОТР). До заяви додаються декларація, атестат відповідності КСЗІ та/або експертний висновок, що скасовуються, для проставлення відповідної відмітки;

наявність фактів внесення змін до КСЗІ, не передбачених проектною документацією на КСЗІ, та/або порушення вимог з експлуатації КСЗІ;

висновки експертизи, за результатами якої зареєстровано декларацію, видано атестат відповідності КСЗІ або експертний висновок, суперечать вимогам чинних нормативно-правових актів у сфері ТЗІ;

наявність персональних спеціальних економічних та інших обмежувальних заходів (санкцій) до виробника (постачальника) засобів ТЗІ, які унеможливлюють використання засобів ТЗІ в обсязі, визначеному експертним висновком.

3. Рішення про зупинення дії зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку приймається у разі, якщо після вжиття погоджених з підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, коригувальних заходів, спрямованих на усунення виявлених недоліків, власник зареєстрованої декларації, атестата відповідності КСЗІ або експертного висновку без проведення додаткової експертизи може підтвердити відповідність КСЗІ/ОТР КСЗІ вимогам нормативних документів. В іншому випадку зареєстрована декларація, атестат відповідності КСЗІ та/або експертний висновок скасовуються шляхом подання відповідної заяви до Адміністрації Держспецзв'язку.

4. Організатор інформує замовника про скасування або зупинення дії зареєстрованої декларації, атестата відповідності КСЗІ або експертного висновку із зазначенням відповідних підстав.

5. Стан функціонування КСЗІ, яка має декларацію або атестат відповідності з безстроковим строком дії, перевіряється підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, у порядку здійснення контролю за станом ТЗІ в системі СБУ (без необхідності подання повідомлення про стан функціонування КСЗІ до Адміністрації Держспецзв'язку).

У разі виявлення змін, які впливають на реалізацію оцінених при проведенні експертизи КСЗІ заходів захисту інформації та/або призводять до втрати актуальності цих заходів і невжиття наданих підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, вимог (рекомендацій), спрямованих на усунення виявлених недоліків, організатор подає заяву до Адміністрації Держспецзв'язку про скасування декларації або атестата відповідності КСЗІ з безстроковим строком дії.

За відсутності інформування Адміністрації Держспецзв'язку щодо скасування декларації або атестата відповідності КСЗІ з безстроковим строком дії вони вважаються чинними.

Начальник

Головного управління

внутрішньої безпеки

Є. Рибинський

{Порядок в редакції Наказу Служби безпеки № 75 від 03.03.2023}

Додаток 1

до Порядку проведення державної

експертизи у сфері технічного захисту

інформації в Службі безпеки України

(пункт 1 розділу II)

ДЕКЛАРАЦІЯ

про відповідність КСЗІ вимогам нормативних документів із ТЗІ

(з додатком)

{Додаток 1 в редакції Наказу Служби безпеки № 75 від 03.03.2023}

Додаток 2

до Порядку проведення державної

експертизи у сфері технічного захисту

інформації в Службі безпеки України

(пункт 1 розділу III)

ЗАЯВА

{Додаток 2 в редакції Наказу Служби безпеки № 75 від 03.03.2023}

Додаток 3

до Порядку проведення державної

експертизи у сфері технічного захисту

інформації в Службі безпеки України

(пункт 10 розділу III)

ЕКСПЕРТНИЙ ВИСНОВОК

{Додаток 3 в редакції Наказу Служби безпеки № 75 від 03.03.2023}

Додаток 4

до Порядку проведення державної

експертизи у сфері технічного захисту

інформації в Службі безпеки України

(пункт 10 розділу III)

АТЕСТАТ ВІДПОВІДНОСТІ

{Додаток 4 в редакції Наказу Служби безпеки № 75 від 03.03.2023; із змінами, внесеними згідно з Наказом Служби безпеки № 345 від 24.09.2026}

Додаток 5

до Порядку проведення державної

експертизи у сфері технічного захисту

інформації в Службі безпеки України

(пункт 10 розділу III)

ЕКСПЕРТНИЙ ВИСНОВОК

{Додаток 5 в редакції Наказу Служби безпеки № 75 від 03.03.2023}

Додаток 6

до Порядку проведення

державної експертизи

у сфері технічного захисту інформації

в Службі безпеки України

(пункт 1 розділу IV)

Заява

{Порядок доповнено новим додатком згідно з Наказом Служби безпеки № 345 від 24.09.2026}

Додаток 7

до Порядку проведення

державної експертизи

у сфері технічного захисту інформації

в Службі безпеки України

(пункт 12 розділу IV)

Експертний висновок

{Порядок доповнено новим додатком згідно з Наказом Служби безпеки № 345 від 24.09.2026}