КАБІНЕТ МІНІСТРІВ УКРАЇНИ
ПОСТАНОВА
від 21 лютого 2025 р. № 205
Київ
Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації
( Із змінами, внесеними згідно з Постановами Кабінету Міністрів України № 382 від 04.04.2025 № 893 від 15.07.2025 № 1579 від 03.12.2025 № 373 від 25.03.2026 № 1009 від 06.08.2026 )
Відповідно до частини четвертої статті 2, абзацу сьомого пункту 2 частини першої статті 5 та частини другої статті 15 Закону України "Про Національну програму інформатизації" Кабінет Міністрів України постановляє:
1. Затвердити такі, що додаються:
Обов’язкові вимоги до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації;
Порядок локалізації програмних продуктів для виконання Національної програми інформатизації.
2. У додатку до постанови Кабінету Міністрів України від 16 грудня 2015 р. № 1057 "Про визначення сфер діяльності, в яких центральні органи виконавчої влади та Служба безпеки України здійснюють функції технічного регулювання" (Офіційний вісник України, 2015 р., № 102, ст. 3519; 2020 р., № 2, ст. 68, № 11, ст. 434; 2023 р., № 65, ст. 3712; 2024 р., № 54, ст. 3199) позицію "Мінцифри" у графі "Сфера діяльності, в якій здійснюються функції технічного регулювання (об’єкти технічних регламентів)" доповнити словами "; сфера інформатизації (засоби інформатизації, зокрема ті, що використовують технології штучного інтелекту, розподіленого реєстру)".
3. Визнати такими, що втратили чинність, постанови Кабінету Міністрів України згідно з переліком, що додається.
| Прем'єр-міністр України | Д. ШМИГАЛЬ |
| Інд. 49 | |
ЗАТВЕРДЖЕНО
постановою Кабінету Міністрів України
від 21 лютого 2025 р. № 205
(в редакції постанови Кабінету Міністрів України
ОБОВ’ЯЗКОВІ ВИМОГИ
до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації
Загальні питання
1. Ці Обов’язкові вимоги визначають загальні умови, зміст та перелік заходів під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації.
Дія цих Обов’язкових вимог поширюється на заходи із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, які спрямовані на виконання функцій держави або органів місцевого самоврядування.
Дія цих Обов’язкових вимог не поширюється на:
( Абзац третій пункту 1 в редакції Постанови Кабінету Міністрів України № 1579 від 03.12.2025 )
заходи із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобів інформатизації, створених за допомогою програмного засобу для створення офіційних веб-сайтів державних органів "Конструктор веб-сайтів державних органів";
( Абзац пункту 1 в редакції Постанови Кабінету Міністрів України № 1579 від 03.12.2025 )
заходи із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобів інформатизації, власником (розпорядником) яких є Міноборони, за умови затвердження Міноборони життєвого циклу та/або вимог щодо управління життєвим циклом таких засобів інформатизації;
( Абзац пункту 1 в редакції Постанови Кабінету Міністрів України № 1579 від 03.12.2025 )
заходи, що здійснюються за рахунок коштів міжнародної технічної допомоги, крім випадків ініціювання замовником застосування цих Обов’язкових вимог;
( Абзац пункту 1 в редакції Постанови Кабінету Міністрів України № 1579 від 03.12.2025 )
заходи із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобів інформатизації та їх компонентів, необхідних для здійснення оперативно-розшукових, контррозвідувальних, розвідувальних заходів та негласних слідчих (розшукових) дій, власником (розпорядником) яких є СБУ, за умови затвердження СБУ життєвого циклу та/або вимог щодо управління життєвим циклом таких засобів інформатизації.
( Абзац пункту 1 в редакції Постанови Кабінету Міністрів України № 1579 від 03.12.2025 )
2. У цих Обов’язкових вимогах терміни вживаються у такому значенні:
1) експлуатаційна документація - сукупність документів, які встановлюють організаційні, нормативні, технічні та інші рекомендації до експлуатації засобу інформатизації протягом строку його експлуатації та містять інформацію, необхідну для належного встановлення, використання, обслуговування, налаштування, ремонту або виправлення помилок та створення (модернізації, модифікації, розвитку) засобу інформатизації;
1-1) граничний мережевий засіб - програмне забезпечення або програмно-апаратний засіб, що забезпечує взаємодію інформаційно-комунікаційної системи користувача з іншими електронними комунікаційними мережами шляхом маршрутизації та/або оброблення трафіка з використанням інтернет-протоколів;
( Пункт 2 доповнено підпунктом 1-1 згідно з Постановою Кабінету Міністрів України № 373 від 25.03.2026 )
1-2) відновлювальний резерв засобу інформатизації (компонента засобу інформатизації) (далі — відновлювальний резерв) — сукупність резервних копій засобу інформатизації та/або інших попередньо створених та підтримуваних в актуальному стані технічних, програмних, інфраструктурних, хмарних, мережевих та організаційних ресурсів, що забезпечують відновлення функціонування засобу інформатизації (компонента засобу інформатизації) або його окремих критичних функцій у межах визначених цільового часу відновлення (RTO) та цільової точки відновлення (RPO);
( Пункт 2 доповнено підпунктом 1-2 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
2) життєвий цикл засобу інформатизації - сукупність стадій та етапів, які проходить засіб інформатизації від моменту ініціювання створення до завершення використання та виведення з промислової експлуатації;
3) компонент засобу інформатизації - засіб інформатизації, який є складовою іншого засобу інформатизації;
4) координатор робіт із створення (модернізації, модифікації, розвитку) засобу інформатизації - визначений структурний підрозділ та/або працівник замовника та/або підприємства, установи та організації, що належать до сфери управління замовника, відповідальний за організацію та здійснення заходів із створення (модернізації, модифікації, розвитку) засобу інформатизації;
4-1) категорія впливу порушення функціонування засобу інформатизації (далі — категорія засобу інформатизації) — характеристика засобу інформатизації, що відображає рівень впливу порушення його функціонування на виконання робочих процесів (бізнес-процесів) замовника;
( Пункт 2 доповнено підпунктом 4-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
5) користувач - державний орган, орган місцевого самоврядування, юридична особа, фізична особа - підприємець або фізична особа, що використовує засіб інформатизації;
5-1) максимально допустимий період порушення функціонування (MTPD) — визначений замовником граничний період часу, протягом якого допускається порушення безперервності виконання робочого процесу (бізнес-процесу), функціонування засобу інформатизації та/або компонентів засобу інформатизації, після завершення якого наслідки такого порушення набувають неприйнятного рівня для діяльності замовника;
( Пункт 2 доповнено підпунктом 5-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
6) методологія управління проектами із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації (далі - методологія управління проектами) - набір керівних принципів та правил, практик, моделей, якими визначається загальна організація виконання проекту із створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації;
7) об’єкт інформатизації - організаційна структура, робочі процеси (бізнес-процеси) та/або сукупність електронних інформаційних ресурсів та технологій замовника, які автоматизуються за допомогою засобу інформатизації;
7-1) цільовий час відновлення (RTO) — максимально допустимий проміжок часу, протягом якого після порушення функціонування засобу інформатизації повинно бути відновлено його працездатність та/або доступність відповідно до встановлених функціональних вимог;
( Пункт 2 доповнено підпунктом 7-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
7-2) цільова точка відновлення (RPO) — визначений замовником період часу, протягом якого допускається втрата даних у разі порушення функціонування засобу інформатизації або припинення його функціонування за умови забезпечення відновлення даних, необхідних для виконання робочих процесів (бізнес-процесів);
( Пункт 2 доповнено підпунктом 7-2 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
8) проектна документація - сукупність графічних і текстових документів, які описують концепцію, архітектуру, технічні вимоги, процеси створення та впровадження засобу інформатизації;
9) реінжиніринг робочих процесів (бізнес-процесів) засобу інформатизації (далі - реінжиніринг засобу інформатизації) - заходи системного аналізу та реорганізації робочих процесів (бізнес-процесів) засобу інформатизації, спрямовані на його вдосконалення та докорінні зміни;
9-1) резервування засобу інформатизації — сукупність заходів, спрямованих на забезпечення створення резервної копії (резервних копій) та/або відновлювального резерву засобу інформатизації, їх зберігання, підтримання в актуальному стані та використання з метою забезпечення безперервності функціонування засобу інформатизації;
( Пункт 2 доповнено підпунктом 9-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
9-2) резервна копія засобу інформатизації — копія інформації, програмного забезпечення, параметрів конфігурації та інших компонентів засобу інформатизації, необхідних для відновлення його функціонування;
( Пункт 2 доповнено підпунктом 9-2 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
10) робочий процес (бізнес-процес) - повторювана у певній послідовності сукупність дій, виконання яких спрямоване на задоволення потреб користувачів засобу інформатизації;
11) стадія життєвого циклу засобу інформатизації (далі - стадія) - визначена сукупність етапів, що складаються з окремих процесів, які виконуються послідовно, паралельно або комбіновано в певний момент життєвого циклу засобу інформатизації залежно від його стану;
12) технічна підтримка - комплекс організаційних і технічних заходів, спрямованих на забезпечення постійного та безперебійного функціонування засобу інформатизації, включаючи його встановлення, налаштування, оновлення, моніторинг, виявлення та усунення несправностей, а також відновлення працездатності після збоїв або порушень у роботі, що впливають на доступність, цілісність чи конфіденційність інформації;
13) технічне завдання - документ, розроблений відповідно до технічних вимог, що визначає призначення, показники якості, техніко-економічні, технічні та спеціальні характеристики засобу інформатизації і включає опис робочих процесів (бізнес-процесів) та умови використання засобу інформатизації;
14) технічні вимоги - документ, що визначає планові потреби замовника та загальні умови створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації та містить набір критеріїв, які описують засіб інформатизації;
15) технічний адміністратор засобу інформатизації - юридична особа, завданням якої відповідно до її повноважень або договору є здійснення організаційних, технічних та інших заходів, необхідних для забезпечення супроводу, адміністрування та функціонування засобу інформатизації;
16) управління проектами - діяльність, що передбачає організацію заходів, спрямованих на забезпечення виконання визначених завдань та досягнення цілей протягом визначеного періоду часу та обсягів необхідних фінансових, матеріально-технічних, людських та інших ресурсів.
Термін "замовник" вживається у значенні, наведеному в Законі України "Про Національну програму інформатизації". Термін "програмне забезпечення" вживається у значенні терміна "програмний продукт" наведеному в Законі України "Про Національну програму інформатизації". Інші терміни вживаються у значенні, наведеному в Бюджетному та Податковому кодексах України, Законах України "Про Національну програму інформатизації", "Про захист інформації в інформаційно-комунікаційних системах", "Про захист персональних даних", "Про електронні комунікації", "Про публічні закупівлі", "Про авторське право і суміжні права", Порядку використання програмного забезпечення мобільного додатка Єдиного державного вебпорталу електронних послуг (Дія) з відкритим вихідним кодом та видачі ліцензії на нього, затвердженому постановою Кабінету Міністрів України від 13 лютого 2024 р. № 162 (Офіційний вісник України, 2024 р., № 21, ст. 1354).
3. Створення (модернізація, модифікація, розвиток), адміністрування та забезпечення функціонування засобу інформатизації ґрунтується на принципах:
1) актуальності - застосування сучасних інформаційних технологій для створення (модернізації, модифікації, розвитку) засобів інформатизації;
2) системності - встановлення зв’язків між компонентами засобу інформатизації, які забезпечують цілісність засобу та його взаємодію з іншими засобами інформатизації;
3) розвитку - врахування перспективи розвитку засобу інформатизації, зокрема можливості масштабування, доповнення та оновлення функцій і складу засобу інформатизації, без порушення його функціональності;
4) інтероперабельності - забезпечення взаємодії з іншими системами за встановленими правилами, використання єдиних правил електронної інформаційної взаємодії, відкритих форматів даних та протоколів обміну;
5) ефективності - досягнення раціонального співвідношення між витратами та цільовими результатами, включаючи очікуваний результат від засобу інформатизації;
6) уніфікації - раціонального використання типових, уніфікованих і стандартизованих рішень, програмних продуктів, компонентів, документів тощо;
7) захищеності - виконання вимог законодавства у сферах захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах та кібербезпеки, захисту персональних даних, шляхом впровадження організаційних і технічних заходів безпеки на всіх стадіях життєвого циклу засобу інформатизації;
( Підпункт 7 пункту 3 із змінами, внесеними згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
8) доступності - забезпечення можливості рівного та безперешкодного доступу до засобу інформатизації для всіх користувачів;
9) ризик-орієнтованості — забезпечення функціонування засобу інформатизації з урахуванням результатів оцінки ризиків та категорії засобу інформатизації;
( Пункт 3 доповнено підпунктом 9 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
10) стійкості та безперервності функціонування — забезпечення безперервності функціонування засобу інформатизації та своєчасного відновлення його працездатності у разі виникнення кібератак, інцидентів кібербезпеки, відмов, технічних збоїв, аварій, надзвичайних ситуацій та інших дій, що можуть вплинути на його функціонування.
( Пункт 3 доповнено підпунктом 10 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
3-1. Категорія засобу інформатизації визначається замовником за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації з урахуванням масштабу можливих наслідків порушення його функціонування та потреб щодо забезпечення безперервності виконання робочих процесів (бізнес-процесів).
Встановлюються такі категорії засобів інформатизації:
I категорія — засоби інформатизації, порушення функціонування яких призводить (може призвести) до припинення або суттєвого порушення виконання робочих процесів (бізнес-процесів), визначених замовником як критичні за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації, та/або спричиняє (може спричинити) неприйнятні наслідки для діяльності замовника, зокрема неможливість виконання визначених завдань і функцій, порушення надання публічних послуг, втрату або недоступність критичних даних, порушення вимог законодавства чи інші наслідки, визначені замовником як неприйнятні;
II категорія — засоби інформатизації, порушення функціонування яких призводить або може призвести до суттєвого обмеження виконання важливих робочих процесів (бізнес-процесів), визначених замовником як важливі за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації, та може спричинити негативні наслідки для діяльності замовника, але не призводить до повного припинення діяльності замовника;
III категорія — засоби інформатизації, порушення функціонування яких впливає на виконання робочих процесів (бізнес-процесів), визначених замовником за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації як такі, що мають обмежений вплив на діяльність замовника та не потребують невідкладного відновлення для забезпечення виконання його основних завдань і функцій.
Аналіз впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації проводиться з періодичністю, визначеною замовником, але не рідше одного разу на рік, а також у разі зміни робочих процесів (бізнес-процесів) замовника та/або архітектури засобів інформатизації, що можуть вплинути на результати такого аналізу.
( Обов’язкові вимоги доповнено пунктом 3-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
3-2. Для кожної категорії засобів інформатизації встановлюються такі граничні значення показників:
для I категорії: цільовий час відновлення (RTO) менше або дорівнює 8 годин, цільова точка відновлення (RPO) менше або дорівнює 4 години;
для II категорії: цільовий час відновлення (RTO) менше або дорівнює 24 години, цільова точка відновлення (RPO) менше або дорівнює 12 годин;
для III категорії: цільовий час відновлення (RTO) менше або дорівнює 72 години, цільова точка відновлення (RPO) менше або дорівнює 24 години.
Граничні значення цільового часу відновлення (RTO) та цільової точки відновлення (RPO), встановлені цим пунктом, є максимально допустимими для відповідної категорії засобу інформатизації.
Замовник за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації визначає для кожного засобу інформатизації значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD).
Визначені замовником значення цільового часу відновлення (RTO) та цільової точки відновлення (RPO) не можуть перевищувати граничних значень, установлених для відповідної категорії засобу інформатизації, крім випадків, передбачених пунктом 10- 1цих Обов’язкових вимог.
Значення максимально допустимого періоду порушення функціонування (MTPD) повинно бути більшим за значення цільового часу відновлення (RTO) та визначатися з урахуванням максимально допустимого часу, протягом якого порушення виконання відповідного робочого процесу (бізнес-процесу) не призводить до неприйнятних наслідків для діяльності замовника, і не може перевищувати 1,5 граничного значення цільового часу відновлення (RTO), визначеного для відповідного засобу інформатизації.
( Обов’язкові вимоги доповнено пунктом 3-2 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
4. Створення (модернізація, модифікація, розвиток), адміністрування та забезпечення функціонування засобу інформатизації може здійснюватися самостійно замовником та/або технічним адміністратором засобу інформатизації, та/або із залученням на договірних засадах третіх осіб за результатами закупівлі відповідно до законодавства у сфері публічних закупівель.
5. Фінансування заходів, пов’язаних із створенням (модернізацією, модифікацією, розвитком), адмініструванням та забезпеченням функціонування засобу інформатизації, здійснюється за рахунок коштів державного і місцевих бюджетів та/або інших джерел, не заборонених законодавством.
6. Замовник та/або технічний адміністратор засобу інформатизації самостійно обирає методологію управління проектами, що застосовуватиметься під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації.
7. Під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації замовник та/або технічний адміністратор засобу інформатизації може використовувати програмні продукти для управління проектами. Розроблення, погодження та затвердження документації, передбаченої цими Обов’язковими вимогами, може також здійснюватися в електронній формі.
Стадії та етапи життєвого циклу засобу інформатизації
8. Засіб інформатизації протягом життєвого циклу проходить такі стадії:
1) ініціювання;
2) проектування;
3) створення та впровадження;
4) промислова експлуатація;
5) виведення з промислової експлуатації.
9. Під час проходження всіх стадій життєвого циклу засобу інформатизації відповідні заходи виконуються з урахуванням матриці дій відповідно до життєвого циклу засобу інформатизації (додаток 1).
Під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації заходи із захисту інформації та кіберзахисту виконуються на всіх стадіях життєвого циклу засобу інформатизації відповідно до вимог законодавства у сфері захисту інформації та кіберзахисту.
( Пункт 9 в редакції Постанови Кабінету Міністрів України № 373 від 25.03.2026 )
10. Для засобу інформатизації, життєвий цикл якого розпочався до набрання чинності цими Обов’язковими вимогами, дотримання матриці дій відповідно до життєвого циклу засобу інформатизації (додаток 1) забезпечується в рамках однієї стадії з наступного етапу за етапом, що відповідає стану такого засобу на дату набрання чинності постановою Кабінету Міністрів України від 15 липня 2025 р. № 893 "Про внесення змін до Обов’язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації".
У разі коли етап, що відповідає стану такого засобу на дату набрання чинності зазначеною постановою, є завершальним в межах стадії, дотримання матриці дій здійснюється з наступної стадії.
До початку виконання наступного етапу або переходу до наступної стадії для засобу інформатизації, життєвий цикл якого розпочався до набрання чинності постановою Кабінету Міністрів України від 6 серпня 2026 р. № 1009 "Деякі питання забезпечення безперервності функціонування державних інформаційних ресурсів", замовник забезпечує проведення аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації, за результатами якого складає звіт за формою згідно з додатком 1- 1, та визначення категорії засобу інформатизації.
( Пункт 10 доповнено абзацом згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
10-1. У разі коли визначені за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та оцінювання пов’язаних з ними засобів інформатизації значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) перевищують граничні значення, встановлені пунктом 3- 2цих Обов’язкових вимог, такі значення показників погоджуються замовником з Мінцифри.
Для погодження значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) замовник звертається до Мінцифри листом, в якому зазначаються пояснення щодо неможливості забезпечення дотримання граничних значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), опис технічних та організаційних компенсуючих заходів та результати оцінки можливого впливу зміни таких значень показників на безперервність виконання робочих процесів (бізнес-процесів).
До листа додається звіт за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та оцінювання пов’язаних з ними засобів інформатизації за формою згідно з додатком 1- 1.
Подання документів, зазначених у цьому пункті, здійснюється в електронній формі з використанням системи електронної взаємодії органів виконавчої влади або на адресу електронної пошти Мінцифри з накладенням кваліфікованого електронного підпису або удосконаленого електронного підпису, що базується на кваліфікованому сертифікаті електронного підпису керівника замовника або уповноваженої ним особи.
( Обов’язкові вимоги доповнено пунктом 10-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
10-2. Мінцифри опрацьовує документи, подані відповідно до пункту 10- 1 цих Обов’язкових вимог, та протягом 15 робочих днів з дня їх надходження погоджує або не погоджує відповідні значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), про що повідомляє замовнику листом, в якому в разі непогодження зазначаються відповідні обґрунтування.
Мінцифри не погоджує значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) за наявності хоча б однієї з таких підстав:
документи, визначені пунктом 10- 1 цих Обов’язкових вимог, подані замовником не в повному обсязі та/або не містять повної/повних інформації/відомостей;
неузгодженість значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), які пропонується погодити, із значеннями цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), визначених за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації;
недостатність запропонованих технічних та організаційних компенсуючих заходів для забезпечення прийнятного рівня безперервності виконання робочих процесів (бізнес-процесів).
Замовник може усунути невідповідності, що стали підставою для непогодження значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), і протягом 10 календарних днів з моменту отримання такого непогодження в разі потреби повторно звернутися за погодженням до Мінцифри.
( Обов’язкові вимоги доповнено пунктом 10-2 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
11. Під час створення (модернізації, модифікації, розвитку) засобу інформатизації замовником у договорі з надання послуг та/або виконання робіт із створення (модернізації, модифікації розвитку) засобу інформатизації, зокрема, визначаються:
1) етапи виконання робіт та/або надання послуг;
2) умови використання засобу інформатизації, що надається для модернізації, модифікації або розвитку для програмного продукту. Умови використання засобу інформатизації для іншого засобу інформатизації застосовуються у разі потреби;
3) вимоги щодо якості виконаних робіт та/або наданих послуг відповідно до умов технічних вимог до створення (модернізації, модифікації, розвитку) засобу інформатизації та/або технічного завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації;
4) гарантійний строк на засіб інформатизації або його компоненти та умови гарантійного обслуговування;
5) умови та способи використання замовником створеного засобу інформатизації як об’єкта права інтелектуальної власності;
6) умови передання майнових прав інтелектуальної власності на створений засіб інформатизації (застосовується, якщо створений засіб інформатизації є об’єктом права інтелектуальної власності);
7) порядок впровадження засобу інформатизації на об’єкті інформатизації замовника та/або в інфраструктурі технічного адміністратора засобу інформатизації та/або надавача хмарних послуг чи центру обробки даних (у разі потреби);
8) умови надання технічної підтримки засобу інформатизації та користувачів (у разі потреби);
9) вимоги щодо забезпечення інформаційної безпеки та кіберзахисту.
( Пункт 11 доповнено підпунктом 9 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
Технічні вимоги до створення (модернізації, модифікації, розвитку) засобу інформатизації або технічна специфікація до предмета закупівлі, календарний план виконання робіт та/або надання послуг, розрахунок вартості з надання послуг або виконання робіт є обов’язковими додатками до договору з надання послуг та/або виконання робіт із створення (модернізації, модифікації розвитку) засобу інформатизації.
12. Створення (модернізація, модифікація, розвиток) засобу інформатизації, яким передбачено оброблення інформації з обмеженим доступом, у тому числі експертна оцінка інформації, яка обробляється (оброблятиметься) на відповідних об’єктах інформатизації, здійснюється відповідно до Законів України "Про доступ до публічної інформації" і "Про державну таємницю", Порядку організації та забезпечення режиму секретності в державних органах, органах місцевого самоврядування, на підприємствах, в установах і організаціях, затвердженого постановою Кабінету Міністрів України від 18 грудня 2013 р. № 939, Типової інструкції про порядок ведення обліку, зберігання, використання і знищення документів та інших матеріальних носіїв інформації, що містять службову інформацію, затвердженої постановою Кабінету Міністрів України від 19 жовтня 2016 р. № 736 (Офіційний вісник України, 2016 р., № 85, ст. 2783), та цих Обов’язкових вимог.
( Пункт 12 із змінами, внесеними згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
13. У разі коли для засобу інформатизації передбачено визначення технічного адміністратора засобу інформатизації, таке визначення здійснюється не пізніше завершення стадії створення та впровадження.
У разі потреби у визначенні або зміні технічного адміністратора засобу інформатизації для засобу інформатизації, який на дату набрання чинності постановою Кабінету Міністрів України від 15 липня 2025 р. № 893 "Про внесення змін до Обов’язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації" перебуває на стадії промислової експлуатації, відповідне рішення приймається до початку виконання заходів, що потребують участі технічного адміністратора, з урахуванням положень цих Обов’язкових вимог.
Ініціювання
14. Ініціювання створення (модернізації, модифікації, розвитку) засобу інформатизації передбачає такі етапи:
1) формування потреби;
2) розроблення технічних вимог.
15. На етапі формування потреби замовник визначає потребу у створенні (модернізації, модифікації, розвитку) засобу інформатизації шляхом проведення обстеження обраних робочих процесів (бізнес-процесів) та пов’язаних з ними об’єктів інформатизації замовника та здійснює опис інформації, що обробляється (оброблятиметься) на відповідних об’єктах інформатизації відповідно до Законів України "Про інформацію", "Про доступ до публічної інформації", "Про державну таємницю", Порядку організації та забезпечення режиму секретності в державних органах, органах місцевого самоврядування, на підприємствах, в установах і організаціях, затвердженого постановою Кабінету Міністрів України від 18 грудня 2013 р. № 939, Типової інструкції про порядок ведення обліку, зберігання, використання і знищення документів та інших матеріальних носіїв інформації, що містять службову інформацію, затвердженої постановою Кабінету Міністрів України від 19 жовтня 2016 р. № 736 (Офіційний вісник України, 2016 р., № 85, ст. 2783).
Під час проведення обстеження замовник проводить аналіз впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації, за результатами якого складає звіт за формою згідно з додатком 1- 1.
Результати обстеження документуються із зазначенням обґрунтування потреби у створенні (модернізації, модифікації, розвитку) засобу інформатизації. У разі потреби в документах за результатами обстеження також зазначаються очікувані планові показники та розрахунки щодо створення (модернізації, модифікації, розвитку) засобу інформатизації.
На підставі результатів обстеження замовник визначає необхідність створення (модернізації, модифікації, розвитку) засобу інформатизації.
У разі визначення необхідності створення (модернізації, модифікації, розвитку) засобу інформатизації замовником приймається рішення щодо створення (модернізації, модифікації, розвитку) засобу інформатизації шляхом видання організаційного документа, в якому, зокрема, визначається категорія засобу інформатизації, відповідний базовий або галузевий профіль безпеки системи, координатор робіт із створення (модернізації, модифікації, розвитку) засобу інформатизації (за потреби). Категорія засобу інформатизації може бути уточнена на стадії проектування.
Координатору робіт із створення (модернізації, модифікації, розвитку) засобу інформатизації може бути делеговано право затвердження проектної та експлуатаційної документації.
Базовий або галузевий профіль безпеки системи обирається залежно від типу інформації, що обробляється (оброблятиметься) у засобі інформатизації, відповідно до Порядку розроблення та затвердження профілів безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем, затвердженого постановою Кабінету Міністрів України від 18 червня 2025 р. № 712 "Деякі питання захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем" (Офіційний вісник України, 2025 р., № 57, ст. 3921).
( Пункт 15 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
16. Етап розроблення технічних вимог передбачає підготовку технічних вимог до створення (модернізації, модифікації, розвитку) засобу інформатизації відповідно до примірної структури технічних вимог (додаток 2) та затвердження їх замовником.
Під час розроблення технічних вимог замовник визначає умови розгортання та вимоги щодо забезпечення відмовостійкості (резервування) засобу інформатизації залежно від встановленої категорії засобу інформатизації.
( Пункт 16 в редакції Постанов Кабінету Міністрів України № 1579 від 03.12.2025, № 1009 від 06.08.2026 )
Проектування
17. Проектування засобу інформатизації передбачає такі етапи:
1) оцінка ризиків та визначення вимог до захисту засобу інформатизації;
2) розроблення технічного завдання.
За потреби стадія проектування може доповнюватися новими етапами залежно від особливостей засобу інформатизації.
( Пункт 17 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
17-1. На етапі оцінки ризиків та визначення вимог до захисту засобу інформатизації замовник забезпечує проведення оцінки ризиків кібербезпеки відповідно до Методики оцінювання ризиків кібербезпеки, затвердженої наказом Адміністрації Держспецзв’язку від 2 червня 2026 р. № 402, з урахуванням положень національних стандартів у сфері управління інформаційною безпекою та оцінювання ризиків.
Результати оцінки ризиків кібербезпеки та аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов’язаних з ними засобів інформатизації враховуються під час визначення архітектурних і технологічних рішень, вимог до захисту інформації, кіберзахисту та забезпечення безперервності функціонування засобу інформатизації, зокрема щодо місця його розгортання, резервування, створення відновлювального резерву, плану аварійного відновлення та сценаріїв тестування відновлення функціонування.
( Обов’язкові вимоги доповнено пунктом 17-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
18. Технічне завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації розробляється з урахуванням Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 р. № 373 (Офіційний вісник України, 2006 р., № 13, ст. 878; 2025 р., № 99, ст. 6925), відповідно до примірної структури технічного завдання (додаток 3).
Технічне завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації затверджується замовником у разі необхідності. Технічне завдання може коригуватися за результатами виконання комплексу робіт або наданих послуг із створення (модернізації, модифікації, розвитку) засобу інформатизації.
Під час розроблення технічного завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації обов’язковим є:
( Абзац третій пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
використання/застосування національних стандартів із переліку стандартів, що застосовуються під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації (додаток 4), із зазначенням відомостей про них;
( Абзац пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
оцінка можливості використання хмарних послуг та/або послуг центрів обробки даних з урахуванням функціональних потреб, вимог до захисту інформації, кіберзахисту, категорії засобу інформатизації, результатів оцінки ризиків кібербезпеки, економічної доцільності, вимог щодо забезпечення безперервності функціонування та відновлення працездатності.
( Абзац пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
Визначення вимог щодо забезпечення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD). Забезпечення відмовостійкості (резервування) та відновлення після збоїв залежить від встановленої категорії засобу інформатизації.
( Абзац пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
Для засобів інформатизації I та II категорії у технічному завданні повинні бути визначені вимоги щодо тестування процедур резервного копіювання, резервування, переключення на резервне середовище функціонування та відновлення функціонування засобу інформатизації відповідно до встановлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO) та перелік сценаріїв тестування, періодичність їх проведення, критерії успішності, порядок документування результатів та усунення виявлених недоліків.
( Абзац пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
Вимоги, що містяться у технічному завданні на створення (модернізацію, модифікацію, розвиток) засобу інформатизації, повинні піддаватися практичній перевірці, бути оцінюваними та технічно досяжними.
Склад експлуатаційної документації визначається в технічному завданні на створення (модернізацію, модифікацію, розвиток) засобу інформатизації з урахуванням положень національних стандартів із переліку стандартів, що застосовуються під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації (додаток 4), та повинен бути достатнім для забезпечення адміністрування та користування засобом інформатизації відповідними категоріями користувачів.
( Абзац дев'ятий пункту 18 в редакції Постанови Кабінету Міністрів України № 1009 від 06.08.2026 )
Склад експлуатаційної документації може бути відкоригований на стадії створення та впровадження.
( Пункт 18 в редакції Постанови Кабінету Міністрів України № 373 від 25.03.2026 )
Створення та впровадження
19. Створення та впровадження засобу інформатизації передбачає такі етапи:
1) постачання та/або створення програмних продуктів та/або технічних засобів;
2) проведення попередніх випробувань засобу інформатизації або його компонентів;
3) розгортання засобу інформатизації або його компонентів;
3-1) впровадження системи захисту інформації та заходів з кіберзахисту;
( Пункт 19 доповнено підпунктом 3-1 згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
4) проведення дослідної експлуатації засобу інформатизації (у разі потреби).
За потреби етапи можуть доповнюватися новими або поєднуватися залежно від особливостей засобу інформатизації.
20. Створення засобу інформатизації передбачає затвердження положення про засіб інформатизації (за потреби).
21. На етапі постачання та/або створення програмних продуктів та/або технічних засобів здійснюється укомплектування засобу інформатизації відповідно до технічного завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації та технічних вимог до створення (модернізації, модифікації, розвитку) засобу інформатизації, з урахуванням Критеріїв критичності товарів, робіт, послуг, що постачаються власникам або розпорядникам інформаційно-комунікаційних систем, у яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, об’єктів критичної інформаційної інфраструктури, затверджених наказом Адміністрації Держспецзв’язку від 17 грудня 2025 р. № 836.
( Абзац перший пункту 21 із змінами, внесеними згідно з Постановою Кабінету Міністрів України № 1009 від 06.08.2026 )
У разі постачання програмного продукту та/або комп’ютерної техніки, та/або елементів електронних комунікаційних мереж (у тому числі компонентів для ремонту чи відновлення працездатності) як засобу інформатизації життєвий цикл такого продукту не включає стадію проектування, а стадії ініціювання, створення та впровадження реалізуються з урахуванням потреб замовника.
Засіб інформатизації, який або компоненти якого є за своїм типом програмним продуктом, повинен включати код, придатний (призначений) для виконання комп’ютером, та/або виконувані файли, та/або вихідний код та інші дані, необхідні для запуску та роботи такого засобу інформатизації.
Опис вихідного коду здійснюється безпосередньо у відповідному коді у вигляді коментарів з поясненням щодо дотримання алгоритмів роботи тощо.
Вихідний код та опис до нього не передаються замовнику у разі, коли:
передавання заборонено правочинами щодо розпоряджання майновими правами інтелектуальної власності на програмні продукти;
програмні продукти, технології чи їх компоненти мають відкритий вихідний код і використані виконавцем у процесі створення програмного продукту, крім випадків, коли відкритий вихідний код взято за основу такого програмного продукту.
22. У разі здійснення закупівлі програмних продуктів, комп’ютерної техніки та/або елементів електронних комунікаційних мереж (у тому числі компонентів, призначених для ремонту або відновлення працездатності засобу інформатизації), замовником у договорі поставки засобів інформатизації передбачаються умови щодо:
1) забезпечення комплектності поставки, зазначеної у специфікації, яка додається до договору;
2) передання майнових прав інтелектуальної власності на програмний продукт або надання дозволу на його використання, у разі коли програмний продукт є засобом інформатизації або його компонентом;
3) їх встановлення на об’єкті інформатизації замовника (у разі потреби);
4) надання гарантійних зобов’язань;
5) визначення строків та умов технічної підтримки.
Забороняється закупівля засобу інформатизації, ліцензія на використання якого передбачає виплату роялті та/або винагороди правовласнику у вигляді відсотків плати за надані від імені держави послуги.
23. Проведення попередніх випробувань засобу інформатизації або його компонентів здійснюється у середовищі, визначеному у технічних вимогах до створення (модернізації, модифікації, розвитку) засобу інформатизації та передбачає:
1) перевірку відповідності засобу інформатизації або його компонентів вимогам проектної та експлуатаційної документації;
2) перевірку працездатності засобу інформатизації або його компонентів згідно з програмою та методикою попередніх випробувань;
3) оцінку готовності засобу інформатизації або його компонентів до прийняття у промислову експлуатацію (за необхідності дослідну експлуатацію) або повернення засобу інформатизації або його компонентів на доопрацювання та виправлення помилок і невідповідностей технічному завданню на створення (модернізацію, модифікацію, розвиток) засобу інформатизації та технічним вимогам до створення (модернізації, модифікації, розвитку) засобу інформатизації.
Учасники випробувань, склад робіт та/або послуг на етапі проведення попередніх випробувань засобу інформатизації або його компонентів, типи випробувань та їх послідовність погоджуються із замовником та технічним адміністратором засобу інформатизації (за наявності).
До попередніх випробувань засобу інформатизації або його компонентів повинні бути залучені представники замовника та/або технічного адміністратора засобу інформатизації.
Результати попередніх випробувань оформлюються протоколом випробувань, у якому фіксується факт проведених робіт з випробувань засобу інформатизації або його компонентів.
24. Розгортання засобу інформатизації або його компонентів виконується на об’єкті інформатизації замовника та/або в інфраструктурі технічного адміністратора засобу інформатизації та/або надавача хмарних послуг чи центру обробки даних та може передбачати організацію замовником:
1) встановлення та/або впровадження засобу інформатизації або його компонентів у сформованому випробувальному або промисловому середовищі;
2) проведення навчання фахівців замовника та/або технічного адміністратора засобу інформатизації, які залучені до забезпечення працездатності засобу інформатизації (за необхідності);
3) проведення приймальних випробувань засобу інформатизації або його компонентів (у разі потреби).
