Через постійні обстріли та руйнування енергетичної інфраструктури все частіше постає питання віднесення тих чи інших об’єктів до критичної інфраструктури. Які об’єкти до неї відносяться і які особливості передбачені для критичної інфраструктури?
Питання критичної інфраструктури регулюють, зокрема, такі нормативно-правові акти:
- Закон України «Про критичну інфраструктуру» від 16.11.2021 № 1882-IX (далі — Закон№ 1882);
- постанова Кабінету Міністрів України «Деякі питання об’єктів критичної інфраструктури» від 09.10.2020 № 1109 (далі — Постанова № 1109);
- постанова Кабінету Міністрів України «Про затвердження Загальних вимог до кіберзахисту об’єктів критичної інфраструктури» від 19.06.2019 № 518;
- постанова Кабінету Міністрів України «Про затвердження Порядку проведення моніторингу рівня безпеки об’єктів критичної інфраструктури» від 22.07.2022 № 821;
- постанова Кабінету Міністрів України «Деякі питання об’єктів критичної інформаційної інфраструктури» від 09.10.2020 № 943;
- постанова Кабінету Міністрів України «Деякі питання подання інформації у сфері захисту критичної інфраструктури» від 14.10.2022 № 1175;
- постанова Кабінету Міністрів України «Про утворення Державної служби захисту критичної інфраструктури та забезпечення національної системи стійкості України» від 12.07.2022 № 787 (далі — Постанова № 787) (станом на 17.01.2023 не набрала чинності);
- Указ Президента України «Про введення воєнного стану в Україні» від 24.02.2022 № 64/2022;
- наказ Адміністрації державної служби спеціального зв’язку та захисту інформації України «Про затвердження Методичних рекомендацій щодо категоризації об’єктів критичної інфраструктури» від 15.01.2021 за № 23.
Визначення об’єктів критичної інфраструктури
Закон № 1882 визначає, що критична інфраструктура — це сукупність об’єктів критичної інфраструктури, а, в свою чергу, об’єкти критичної інфраструктури — це об’єкти інфраструктури, системи, їх частини та їх сукупність, які є важливими для економіки, національної безпеки та оборони, порушення функціонування яких може завдати шкоди життєво важливим національним інтересам.
Віднесення об’єктів до критичної інфраструктури здійснюється за сукупністю критеріїв, що визначають їх соціальну, політичну, економічну, екологічну значущість для забезпечення оборони країни, безпеки громадян, суспільства, держави і правопорядку. Про це ми також писали в статті «Об’єкти критичної інфраструктури: як визначити?».
Варто звернути увагу, що нещодавно Кабінет Міністрів України Постановою № 1109 розширив перелік об’єктів критичної інфраструктури та оновив Порядок віднесення об’єктів до критичної інфраструктури. Зокрема, до переліку були додані такі сектори:
- «Правосуддя» (перелік судів, які слід віднести до об’єктів критичної інфраструктури, уряд формуватиме на основі подання Держспецзв’язку)
- «Вибори та референдуми» (за перелік об’єктів у цій галузі відповідає Центральна виборча комісія)
- «Інформаційні послуги» (визначати ЗМІ, які зможуть стати об’єктами критичної інфраструктури, буде Міністерство культури та інформполітики)
- «Державна влада та місцеве самоврядування» (відповідальним органом щодо визначення таких об’єктів буде Держспецзв’язку)
- «Наукові дослідження та розробки» (визначати об’єкти дослідницької інфраструктури наукових установ та закладів вищої освіти, наукової діяльності, надання послуг з використання наукового обладнання буде Міносвіти)
- «Тримання під вартою» (критичні об’єкти у сфері тримання засуджених та осіб, взятих під варту, в установах виконання покарань та слідчих ізоляторах Державної кримінально-виконавчої служби визначить Мін’юст)
Реєстр об’єктів критичної інфраструктури
Закон № 1882 передбачає, що в Україні має бути створений реєстр об’єктів критичної інфраструктури, тобто автоматизована система, що містить перелік найбільш важливої для життєдіяльності суспільства та держави критичної інфраструктури, щодо якої встановлюються особливі вимоги із забезпечення її безпеки та стійкості і здійснюється моніторинг їх дотримання.
Норми вищевказаного Закону та Постанови № 1109 передбачають, що Реєстр формується та ведеться уповноваженим органом у сфері захисту критичної інфраструктури України на основі пропозицій суб’єктів національної системи захисту критичної інфраструктури. Після включення об’єкта до Реєстру секторальні органи у сфері захисту критичної інфраструктури повідомляють про це оператора об’єкта критичної інфраструктури для забезпечення паспортизації та захисту об’єкта критичної інфраструктури відповідно до вимог цього Закону.
Інформація про об’єкти критичної інфраструктури, що міститься в Реєстрі, є відкритою, загальнодоступною та безоплатною, крім інформації з обмеженим доступом. Розпорядник забезпечує цілодобовий доступ до відкритої інформації Реєстру на своєму офіційному вебсайті.
Формувати та вести Реєстр має Державна служба захисту критичної інфраструктури та забезпечення національної системи стійкості України. Наразі Реєстр ще на стадії формування, але найближчим часом він має запрацювати.
Як визначити, до якої категорії належить об’єкт критичної інфраструктури?
Віднесення об’єктів до критичної інфраструктури здійснюється в порядку, встановленому Кабінетом Міністрів України згідно з положеннями Постанови № 1109. Віднесення об’єктів до критичної інфраструктури здійснюється за сукупністю критеріїв, що визначають їх значущість для забезпечення оборони країни, безпеки громадян і суспільства, держави та правопорядку, зокрема для реалізації життєво важливих функцій та надання життєво важливих послуг, свідчать про існування загроз для них, можливість виникнення кризових ситуацій через несанкціоноване втручання в їх функціонування, припинення функціонування, людський фактор чи природні лиха, тривалість робіт для усунення таких наслідків до повного відновлення штатного режиму.
Додатково положення Постанови № 1109 передбачають, що уповноважені органи складають зведені переліки всіх об’єктів критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури та надають їх уповноваженому органу з питань захисту критичної інфраструктури для формування національного переліку об’єктів критичної інфраструктури.
Окрім реєстру відомості про об’єкти критичної інфраструктури містяться в національному переліку об’єктів критичної інфраструктури та секторальних переліках об’єктів критичної інфраструктури. Проте вказана інформація є інформацією з обмеженим доступом, захист якої забезпечується відповідно до вимог законодавства у сфері захисту інформації.
Тут варто підкреслити певну колізію, яка закладена в норми Закону № 1882 та Постанови № 1109.
Так, стаття 11 Закону № 1882 передбачає таке: «Інформація про об’єкти критичної інфраструктури, що міститься в Реєстрі, є відкритою, загальнодоступною та безоплатною, крім інформації з обмеженим доступом. Розпорядник забезпечує цілодобовий доступ до відкритої інформації Реєстру на своєму офіційному веб-сайті».
А пункт 8 Порядку віднесення об’єктів до об’єктів критичної інфраструктури, затверджений Постановою № 1109, вказує, що: «відомості про об’єкти критичної інфраструктури, що містяться у національному переліку об’єктів критичної інфраструктури та секторальних переліках об’єктів критичної інфраструктури, є інформацією з обмеженим доступом, захист якої забезпечується відповідно до вимог законодавства у сфері захисту інформації».
Де і як взяти документальне підтвердження, що об’єкт належить до об’єктів критичної інфраструктури
Якщо Реєстру не існує, а інформація про об’єкт може належати до інформації з обмеженим доступом, постає питання: де взяти документальне підтвердження, що об’єкт належить до об’єктів критичної інфраструктури?
Наразі існують такі практичні варіанти:
- Звернення/адвокатський запит до секторального органу
Оскільки ідентифікація об’єктів критичної інфраструктури належить до повноважень саме секторальних органів, можна звернутися до секторального органу відповідно до Переліку секторів (підсекторів), затвердженого Постановою № 1109. - Звернення/адвокатський запит до військової адміністрації
Особливості захисту та правового режиму об’єктів критичної інфраструктури в умовах надзвичайних ситуацій, надзвичайного та воєнного стану, особливого періоду регулюються законами України «Про правовий режим воєнного стану» та «Про правовий режим надзвичайного стану».
Закон України «Про правовий режим воєнного стану» визначає, що однією з цілей створення військових адміністрацій у період воєнного стану є забезпечення захисту об’єктів критичної інфраструктури.
Таким чином, військові адміністрації населених пунктів повинні мати інформацію про список об’єктів критичної інфраструктури, за які вони відповідають.
Тому, якщо секторальні органи не відповідають на запити або не можуть дати чіткої відповіді, можна звернутися до військових адміністрацій з питанням, чи належить ваш об’єкт до об’єктів критичної інфраструктури.
Зауважимо, що з практичної точки зору краще використовувати механізм подання адвокатського запиту, оскільки строки його розгляду та надання відповіді на нього значно коротші, аніж строки розгляду звернення.
Навіщо потрібен паспорт безпеки для об’єкта критичної інфраструктури?
Згідно зі статтею 12 Закону № 1882 з метою проведення аналізу можливих основних загроз та потенційних негативних наслідків для об’єктів критичної інфраструктури, запобігання та попередження виникнення таких загроз для критичної інфраструктури оператори об’єктів критичної інфраструктури готують і подають на погодження до відповідних секторальних органів у сфері захисту критичної інфраструктури паспорт безпеки на кожний об’єкт критичної інфраструктури.
Що таке паспорт об’єкта критичної інфраструктури? Закон передбачає, що паспортом безпеки є документ встановленої форми, який містить відомості про об’єкт критичної інфраструктури, а також комплекс заходів, що вживаються для захисту цього об’єкта від визначених для нього видів загроз (відомості, що містяться у паспорті безпеки, є інформацією з обмеженим доступом).
Сам паспорт безпеки на об’єкт критичної інфраструктури містить інформацію про ідентифікацію об’єкта та заходи щодо його захисту і безпеки, а також визначає перелік посад та відповідальних осіб, до завдань яких належать зв’язок та обмін інформацією з суб’єктами національної системи захисту критичної інфраструктури.
Закон № 1882 передбачає, що паспорт безпеки розробляється (переглядається) з урахуванням визначених проєктних загроз. Погодження паспорта безпеки на об’єкт критичної інфраструктури здійснюється безоплатно для усіх операторів об’єктів критичної інфраструктури незалежно від форми власності.
Станом на 16.01.2023 практично неможливо отримати паспорт безпеки, бо не затверджений відповідний порядок. Вимоги до порядку розроблення та погодження паспорта безпеки на об’єкт критичної інфраструктури, його наповнення, зміст і строки подання встановлюються Кабінетом Міністрів України.
Окремо для банків Національний банк України визначає порядок розроблення паспорта безпеки на об’єкти критичної інфраструктури, зміст і строки подання його банками, іншими особами, що здійснюють діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк України, платіжними організаціями, учасниками платіжних систем, операторами послуг платіжної інфраструктури.
Уповноважені органи щодо об’єктів критичної інфраструктури
Згідно з Постановою № 787 Державна служба захисту критичної інфраструктури та забезпечення національної системи стійкості України (далі — ДЗКІ) є уповноваженим органом у сфері захисту критичної інфраструктури України.
ДЗКІ є центральним органом виконавчої влади із спеціальним статусом, діяльність якого спрямовується та координується Кабінетом Міністрів України через Міністра Кабінету Міністрів України.
Але тут є наразі практична проблема щодо дії Постанови № 787. Відповідно до пункту 6 вона набирає чинності одночасно із законом, який вносить зміни до Закону України «Про Державний бюджет України на 2022 рік» щодо фінансування Державної служби захисту критичної інфраструктури та забезпечення національної системи стійкості України. Проте в публічній площині ми не бачимо ані закону, ані проєкту закону з такою назвою.
Водночас законодавство визначає і так звані секторальні органи у сфері захисту об’єктів критичної інфраструктури. Відповідно до норм Закону секторальні органи — це державні органи, визначені законодавством відповідальними за забезпечення формування та реалізації державної політики у сфері захисту критичної інфраструктури в окремому секторі критичної інфраструктури.
До секторальних органів належать:
- Міненерго
- Мінцифри
- Мінрегіон
- Мінекономіки
- МОЗ
- НСЗУ
- НКЦПФР
- Мінінфраструктури
- Мінстратегпром
- МВС
- Мінфін
- Державна судова адміністрація (далі — ДСА)
Звісно, перелік вказаних органів має бути оновлений, враховуючи поточну реформу державних органів.
Ряд секторальних органів (наприклад, Міністерство аграрної політики та продовольства України) утворили робочу групу з ідентифікації та категоризації об’єктів критичної інфраструктури у відповідному секторі (наприклад, харчової промисловості та агропромислового комплексу).
Наразі обговорюється питання про те, щоб ДСА створила відповідний відділ або призначила особу, яка буде займатися цією сферою. Внаслідок віднесення судів до об’єктів критичної інфраструктури на відповідного голову суду будуть покладені додаткові обов’язки.
Висновки
Підсумовуючи все вищенаведене, можемо зробити такі висновки:
- існує окремий пласт регулювання питань критичної інфраструктури;
- станом на 16.01.2023 необхідно прийняти ряд нормативно-правових актів, наприклад щодо паспортизації об’єктів критичної інфраструктури;
- наразі замовник має можливість отримати інформацію/документальне підтвердження, що об’єкт належить до об’єктів критичної інфраструктури, зокрема з метою застосування виключення, що передбачене підпунктом 12 пункту 13 Особливостей, що затверджено постановою КМУ від 12.10.2022 № 1178;
- станом на 16.01.2023 триває робота ряду секторальних органів з ідентифікації та категоризації об’єктів критичної інфраструктури у відповідному секторі.
У разі потреби завантажуйте зразок протоколу щодо закупівлі за виключенням за п. 12 та п. 13 Особливостей та дивіться корисне відео: