Деякі питання об’єктів критичної інфраструктури

Відповідно до частини першої статті 8, частини третьої статті 9 та частини четвертої статті 10 Закону України "Про критичну інфраструктуру" Кабінет Міністрів України постановляє:

Затвердити такі, що додаються:

Порядок віднесення об’єктів до критичної інфраструктури;

перелік секторів критичної інфраструктури;

Методику категоризації об’єктів критичної інфраструктури.

1. Цей Порядок визначає механізм віднесення об’єктів до критичної інфраструктури та їх категоризації.

Дія цього Порядку не поширюється на:

банки, інші об’єкти, що провадять діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк, платіжні організації, учасників платіжних систем, операторів послуг платіжної інфраструктури, віднесення яких до критичної інфраструктури здійснюється в порядку, встановленому Національним банком;

об’єкти, що провадять діяльність на ринках послуг, державне регулювання та нагляд за діяльністю яких здійснюють державні органи, віднесення яких до критичної інфраструктури здійснюється в порядку, встановленому такими державними органами.

2. Терміни в цьому Порядку вживаються у значенні, наведеному в Законі України "Про критичну інфраструктуру".

3. Категорії критичності об’єктів критичної інфраструктури установлюються відповідно до частини другої статті 10 Закону України "Про критичну інфраструктуру".

4. Секторальні органи у сфері захисту критичної інфраструктури, використовуючи перелік секторів критичної інфраструктури, ідентифікують об’єкти критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури.

5. Секторальні органи у сфері захисту критичної інфраструктури разом із оператором критичної інфраструктури здійснюють категоризацію об’єктів критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури відповідно до Методики категоризації об’єктів критичної інфраструктури, затвердженої постановою Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 "Деякі питання об’єктів критичної інфраструктури" (Офіційний вісник України, 2020 р., № 93, ст. 2994), подають інформацію до реєстру об’єктів критичної інфраструктури.

6. Відомості про об’єкти критичної інфраструктури, що віднесені до I, II, III і IV категорії критичності, вносяться секторальними органами у сфері захисту критичної інфраструктури до секторальних переліків об’єктів критичної інфраструктури, які ними складаються та ведуться.

7. Секторальні органи у сфері захисту критичної інфраструктури складають переліки всіх об’єктів критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури, що віднесені до I, II, III і IV категорії критичності.

Cекторальні органи подають уповноваженому органу з питань захисту критичної інфраструктури переліки об’єктів критичної інфраструктури для формування зведеного переліку об’єктів критичної інфраструктури, що затверджується Кабінетом Міністрів України.

Секторальні органи у сфері захисту критичної інфраструктури подають оновлені відомості про об’єкти критичної інфраструктури своїх секторів (підсекторів) критичної інфраструктури до зведеного переліку об’єктів критичної інфраструктури щомісяця та протягом одного місяця в разі:

зміни оператора або найменування об’єкта критичної інфраструктури;

зміни категорії критичності об’єкта критичної інфраструктури;

ліквідації (перетворення, знищення, припинення) об’єкта критичної інфраструктури.

Уповноважений орган з питань захисту критичної інфраструктури має право витребувати документи, на підставі яких було прийнято рішення щодо категоризації об’єктів критичної інфраструктури. У разі невідповідності наданих документів законодавству у сфері захисту критичної інфраструктури уповноважений орган з питань захисту критичної інфраструктури здійснює формування зведеного переліку об’єктів критичної інфраструктури без урахування таких об’єктів.

Уповноважений орган з питань захисту критичної інфраструктури має право ініціювати здійснення повторної категоризації секторальним органом об’єкта критичної інфраструктури.

8. Відомості про об’єкти критичної інфраструктури, що містяться у зведеному переліку об’єктів критичної інфраструктури та секторальних переліках об’єктів критичної інфраструктури, є інформацією з обмеженим доступом, захист якої забезпечується відповідно до вимог законодавства.

1. Ця Методика визначає механізм та критерії віднесення об’єкта критичної інфраструктури до однієї з категорій критичності.

Дія цієї Методики не поширюється на:

банківську та фінансову системи, категоризація об’єктів критичної інфраструктури яких здійснюється відповідно до методики, затвердженої Національним банком;

сфери, державне регулювання та нагляд за діяльністю яких здійснюють державні органи, категоризація об’єктів критичної інфраструктури яких здійснюється відповідно до методики, затвердженої такими державними органами.

2. У цій Методиці під терміном "час відновлення" розуміється час, що необхідний для відновлення функціонування об’єкта критичної інфраструктури у частині надання основних послуг у штатному режимі після виникнення кризової ситуації, пошкодження або знищення об’єкта.

Інші терміни вживаються у значенні, наведеному в Законі України "Про критичну інфраструктуру".

3. Категорія критичності об’єкта критичної інфраструктури визначається на основі аналізу рівня негативного впливу, якого особа, суспільство, навколишнє природне середовище, економіка, національна безпека та обороноздатність країни можуть зазнати внаслідок порушення або припинення функціонування об’єкта інфраструктури відповідно до критеріїв, зазначених у додатках 1 і 2.

4. Категорія об’єкта критичної інфраструктури визначається за такою процедурою:

1) секторальний орган у сфері захисту критичної інфраструктури ідентифікує всі об’єкти критичної інфраструктури свого сектору (підсектору) критичної інфраструктури згідно з Порядком віднесення об’єктів до критичної інфраструктури, затвердженим постановою Кабінету Міністрів України від 9 жовтня 2020 р. № 1109 "Деякі питання об’єктів критичної інфраструктури" (Офіційний вісник України, 2020 р., № 93, ст. 2994), - в редакції постанови Кабінету Міністрів України від 16 грудня 2022 р. № 1384;

2) секторальний орган у сфері захисту критичної інфраструктури відповідно до Порядку віднесення об’єктів до критичної інфраструктури для кожного об’єкта свого сектору (підсектору) критичної інфраструктури визначає, які основні послуги надає цей об’єкт;

3) секторальний орган у сфері захисту критичної інфраструктури разом із оператором критичної інфраструктури проводить оцінку критичності об’єкта критичної інфраструктури, використовуючи секторальні та міжсекторальні критерії визначення рівня негативного впливу, наведені у додатках 1 і 2, які враховують:

рівень негативного впливу на надання основних послуг у разі знищення, пошкодження або порушення функціонування об’єкта критичної інфраструктури;

соціальну значущість об’єкта критичної інфраструктури;

суспільну значущість об’єкта критичної інфраструктури;

економічну значущість об’єкта критичної інфраструктури;

наявність взаємозв’язків між об’єктами критичної інфраструктури;

значущість об’єкта критичної інфраструктури для забезпечення національної безпеки та обороноздатності країни;

4) під час заповнення форми додатка 1 обирається рівень негативного впливу в рамках сектору або підсектору об’єкта критичної інфраструктури та у графі "Оцінка РКi " виставляється бал, який відповідає рівню негативного впливу, опис якого характеризує наслідки, які можуть настати у разі порушення функціонування об’єкта критичної інфраструктури;

5) під час заповнення форми додатка 2 обирається рівень негативного впливу за кожним критерієм, наведеним у формі, та у графі "Оцінка РКi " виставляється бал, який відповідає рівню негативного впливу, опис якого характеризує наслідки, які можуть настати у разі порушення функціонування об’єкта критичної інфраструктури;

6) підсумовуються всі бали, що були отримані під час оцінки об’єкта критичної інфраструктури згідно з формами, наведеними в додатках 1 і 2;

7) розраховується узагальнена нормована оцінка рівня критичності за такою формулою:

де РКОКІ - узагальнена нормована оцінка рівня критичності об’єкта критичної інфраструктури;

див. зображення - сума балів, які отримав об’єкт критичної інфраструктури за всіма критеріями критичності (додатки 1 і 2);

див. зображення - максимальна можлива сума балів (розраховується виходячи з того, що об’єкт отримує максимальні бали за всіма критеріями оцінки рівня негативного впливу).

Примітка. У цій Методиці залежно від сектору використовується 17 або 18 критеріїв. Тому для об’єктів критичної інфраструктури, що належать до секторів критичної інфраструктури за пунктами 1, 3-7 додатка 1, максимальна можлива сума балів буде дорівнювати див. зображення = 18 x 4 = 72 балів, для об’єктів критичної інфраструктури, що належать до секторів за пунктами 2, 8-13 додатка 1, максимальна можлива сума балів буде дорівнювати див. зображення = 17 x 4 = 68 балів.

8) рішення щодо категорії критичності об’єкта критичної інфраструктури приймається на основі узагальненої нормованої оцінки рівня критичності об’єкта критичної інфраструктури відповідно до такого правила:

I категорія критичності, якщо 0,8 < PKOKI менше або дорівнює 1;

II категорія критичності, якщо 0,63 < PKOKI менше або дорівнює 0,8;

III категорія критичності, якщо 0,37 < PKOKI менше або дорівнює 0,63;

IV категорія критичності, якщо 0,2 < PKOKI менше або дорівнює 0,37;

об’єкт не є критичним, якщо PKOKI менше або дорівнює 0,2;

9) відомості про об’єкти критичної інфраструктури, що віднесені до I, II, III і IV категорії критичності, секторальний орган у сфері захисту критичної інфраструктури подає уповноваженому органу у сфері захисту критичної інфраструктури для формування зведеного переліку об’єктів критичної інфраструктури;

10) відомості про об’єкти критичної інфраструктури, що віднесені до I, II, III і IV категорії критичності, вносяться до секторального переліку об’єктів критичної інфраструктури, який формується та ведеться секторальним органом у сфері захисту критичної інфраструктури у відповідному секторі (підсекторі).

5. Методичні рекомендації щодо категоризації об’єкта критичної інфраструктури затверджує Адміністрація Держспецзв’язку.