Прикінцеві та перехідні положення

1. Цей Закон набирає чинності з дня, наступного за днем його опублікування, та вводиться в дію через шість місяців з дня набрання ним чинності, крім частини другої статті 32 (щодо страхування об’єктів критичної інфраструктури), яка набирає чинності через три роки з дня набрання чинності цим Законом.

2. Внести зміни до таких законодавчих актів України:

1) частину другу статті 17 Кодексу цивільного захисту України (Відомості Верховної Ради України, 2013 р., № 34-35, ст. 458) після пункту 53 доповнити п’ятьма новими пунктами такого змісту:

"54) бере участь в реалізації державної політики у сфері захисту критичної інфраструктури шляхом захисту населення і територій від надзвичайних ситуацій, запобігання їх виникненню, ліквідації наслідків надзвичайних ситуацій, гасіння пожеж, здійснення державного нагляду (контролю) за додержанням і виконанням вимог законодавства у сфері цивільного захисту, пожежної та техногенної безпеки;

55) реалізує заходи державної політики у сфері захисту критичної інфраструктури щодо впровадження інженерно-технічних заходів цивільного захисту на об’єктах критичної інфраструктури;

56) бере участь у межах компетенції в оцінці захищеності об’єктів критичної інфраструктури;

57) здійснює заходи щодо постійного та обов’язкового на договірній основі аварійно-рятувального обслуговування суб’єктів господарювання та окремих територій, на яких існує небезпека виникнення надзвичайних ситуацій, віднесених до об’єктів критичної інфраструктури, аварійно-рятувальними службами, що пройшли атестацію в установленому порядку;

58) у взаємодії з Міністерством внутрішніх справ України, Службою безпеки України забезпечує організацію захисту від терористичних посягань об’єктів аварійно-рятувальних служб, які залучаються і виконують свої функції на об’єктах критичної інфраструктури в разі виникнення надзвичайних ситуацій".

У зв’язку з цим пункт 54 вважати пунктом 59;

2) абзац четвертий частини першої статті 5 Закону України "Про оперативно-розшукову діяльність" (Відомості Верховної Ради України, 1992 р., № 22, ст. 303 із наступними змінами) викласти в такій редакції:

"Служби безпеки України - оперативними підрозділами Центрального управління, регіональних органів та органів військової контррозвідки";

3) пункт "б" частини першої статті 38 Закону України "Про місцеве самоврядування в Україні" (Відомості Верховної Ради України, 1997 р., № 24, ст. 170 із наступними змінами) доповнити підпунктом 2 - 1 такого змісту:

"2 - 1 ) вжиття необхідних заходів щодо захисту критичної інфраструктури, відновлення функціонування важливих державних об’єктів національної економіки, об’єктів критичної інфраструктури та об’єктів, які забезпечують життєдіяльність населення, підвищення стійкості громад до кризових ситуацій, викликаних припиненням або погіршенням надання важливих для їх життєдіяльності послуг чи припиненням здійснення життєво важливих функцій, взаємодія між суб’єктами національної системи захисту критичної інфраструктури з урахуванням вимог Закону України "Про критичну інфраструктуру";

4) статтю 25 Закону України "Про місцеві державні адміністрації" (Відомості Верховної Ради України, 1999 р., № 20-21, ст. 190 із наступними змінами) доповнити пунктом 24 такого змісту:

"24) забезпечує захист критичної інфраструктури, відновлення функціонування важливих державних об’єктів національної економіки, об’єктів критичної інфраструктури та об’єктів, які забезпечують життєдіяльність населення, підвищення стійкості громад до кризових ситуацій, викликаних припиненням або погіршенням надання важливих для їх життєдіяльності послуг або припиненням здійснення життєво важливих функцій, взаємодію між суб’єктами національної системи захисту критичної інфраструктури";

5) у статті 7 Закону України "Про Національний банк України" (Відомості Верховної Ради України, 1999 р., № 29, ст. 238 із наступними змінами):

пункт 33 викласти в такій редакції:

"33) забезпечує формування та ведення реєстру об’єктів критичної інформаційної інфраструктури у банківській системі України, визначає критерії та порядок віднесення об’єктів у банківській системі України до об’єктів критичної інформаційної інфраструктури, забезпечує проведення оцінювання стану кіберзахисту та аудиту інформаційної безпеки у банківській системі України";

доповнити пунктом 33 - 1 такого змісту:

"33 - 1 ) забезпечує формування та реалізацію державної політики у сфері захисту критичної інфраструктури щодо банків, інших осіб, що здійснюють діяльність на ринках фінансових послуг, державне регулювання та нагляд за діяльністю яких здійснює Національний банк, платіжних організацій, учасників платіжних систем, операторів послуг платіжної інфраструктури відповідно до закону, що визначає правові та організаційні засади функціонування і захисту критичної інфраструктури";

6) у пункті 3 статті 16 Закону України "Про правовий режим надзвичайного стану" (Відомості Верховної Ради України, 2000 р., № 23, ст. 176; 2013 р., № 15, ст. 99; 2014 р., № 12, ст. 178) слова "об’єктів, що забезпечують життєдіяльність населення та народного господарства" замінити словами "важливих об’єктів національної економіки та об’єктів критичної інфраструктури";

7) у Законі України "Про Збройні Сили України" (Відомості Верховної Ради України, 2000 р., № 48, ст. 410 із наступними змінами):

у статті 1:

частину четверту після слів "до здійснення заходів правового режиму воєнного і надзвичайного стану" доповнити словами "безпеки та захисту критичної інфраструктури", а після слів "ліквідації надзвичайних ситуацій природного і техногенного характеру" - словами "кризових ситуацій";

після частини четвертої доповнити новою частиною такого змісту:

"Збройні Сили України у сфері захисту критичної інфраструктури забезпечують організацію захисту військових об’єктів критичної інфраструктури Збройних Сил України від терористичних загроз, підготовку до застосування військ (сил) Збройних Сил України у разі вчинення терористичного акту в повітряному просторі або територіальному морі України, проведення заходів з підвищення рівня захищеності, усунення ризиків і загроз вибухопожежобезпеки арсеналів, баз та складів Збройних Сил України, виконання завдань з протиповітряного прикриття важливих об’єктів держави (критичної інфраструктури), перелік яких визначається Кабінетом Міністрів України".

У зв’язку з цим частини п’яту - дев’яту вважати відповідно частинами шостою - десятою;

8) у Законі України "Про оборону України" (Відомості Верховної Ради України, 2000 р., № 49, ст. 420 із наступними змінами):

у статті 3:

абзац десятий після слів "єдиної державної системи цивільного захисту" доповнити словами "об’єктів критичної інфраструктури";

абзац тринадцятий після слів "підготовку національної економіки" доповнити словами "об’єктів критичної інфраструктури";

в абзаці сьомому статті 9 слова "живучості об’єктів національної економіки та державного управління" замінити словами "живучості важливих об’єктів національної економіки, об’єктів критичної інфраструктури та державного управління";

в абзаці третьому частини першої статті 13 слова "інших об’єктів інфраструктури" замінити словами "інших об’єктів критичної інфраструктури";

9) абзац перший частини першої статті 73 Закону України "Про банки і банківську діяльність" (Відомості Верховної Ради України, 2001 р., № 5-6, ст. 30 із наступними змінами) після слів "масового знищення" доповнити словами "законодавства з питань захисту критичної інфраструктури, кіберзахисту та інформаційної безпеки";

{Підпункт 10пункту 2 розділу VI втратив чинність на підставі Закону № 1909-IX від 18.11.2021 }

11) абзац четвертий частини четвертої статті 8 Закону України "Про захист інформації в інформаційно-телекомунікаційних системах" (Відомості Верховної Ради України, 2005 р., № 26, ст. 347; 2020 р., № 42, ст. 349) замінити двома новими абзацами такого змісту:

"жоден з елементів системи не може бути розташований, а власник такої системи або його офіційний представник не може бути юридичною особою (його представником), зареєстрованою на територіях України, на яких органи державної влади України тимчасово не здійснюють своїх повноважень, на територіях держав, визнаних Верховною Радою України державами-агресорами, на територіях держав, щодо яких застосовані санкції відповідно до Закону України "Про санкції", та на територіях держав, які входять до митних союзів з такими державами;

власник системи або його представник, який надає послуги з використанням системи, елементи якої розміщуються поза межами України, має бути юридичною особою, зареєстрованою в Україні, або мати свого офіційного представника в Україні".

У зв’язку з цим абзац п’ятий вважати абзацом шостим;

12) у Законі України "Про інформацію" (Відомості Верховної Ради України, 2011 р., № 32, ст. 313 із наступними змінами):

статтю 10 після абзацу десятого доповнити новим абзацом такого змісту:

"критична технологічна інформація".

У зв’язку з цим абзац одинадцятий вважати абзацом дванадцятим;

доповнити статтею 19 - 1 такого змісту:

" Стаття 19 - 1 . Критична технологічна інформація

1. Критична технологічна інформація - дані, що обробляються (приймаються, передаються, зберігаються) в системах управління технологічними процесами об’єктів критичної інфраструктури.

2. Правовий режим критичної технологічної інформації визначається законами України та міжнародними договорами України, згода на обов’язковість яких надана Верховною Радою України.

3. Критична технологічна інформація за режимом доступу належить до інформації з обмеженим доступом та підлягає захисту згідно із законом";

13) частину другу статті 6 Закону України "Про охоронну діяльність" (Відомості Верховної Ради України, 2013 р., № 2, ст. 8) викласти в такій редакції:

"2. Перелік об’єктів критичної інфраструктури, охорона яких здійснюється державними органами, підприємствами та організаціями, затверджується Кабінетом Міністрів України";

14) пункт 5 частини першої статті 20 Закону України "Про Кабінет Міністрів України" (Відомості Верховної Ради України, 2014 р., № 13, ст. 222; 2021 р., № 29, ст. 234) після абзацу сьомого доповнити трьома новими абзацами такого змісту:

"забезпечує здійснення заходів із запобігання загрозам безпеці критичної інфраструктури та забезпечення безпеки критичної інфраструктури;

забезпечує планування відновлення функціонування критичної інфраструктури у випадках надзвичайних ситуацій, яким не можна запобігти;

забезпечує стійкість критичної інфраструктури до ідентифікованих загроз і небезпек".

У зв’язку з цим абзаци восьмий і дев’ятий вважати відповідно абзацами одинадцятим і дванадцятим;

15) частину першу статті 2 Закону України "Про Національну гвардію України" (Відомості Верховної Ради України, 2014 р., № 17, ст. 594 із наступними змінами) доповнити пунктом 5 - 1 такого змісту:

"5 - 1 ) охорона об’єктів критичної інфраструктури, перелік яких визначається Кабінетом Міністрів України; участь у ліквідації наслідків кризових ситуацій на об’єктах критичної інфраструктури, що нею охороняються";

16) у Законі України "Про Державну службу спеціального зв’язку та захисту інформації України" (Відомості Верховної Ради України, 2014 р., № 25, ст. 890 із наступними змінами):

у частині першій статті 3:

абзац третій після слів "довірчих послуг" доповнити словами "захисту критичної інформаційної інфраструктури";

доповнити абзацами п’ятим - сьомим такого змісту:

"реалізація державної політики щодо захисту критичної технологічної інформації, кіберзахисту об’єктів критичної інформаційної інфраструктури, здійснення державного контролю в цих сферах;

визначення вимог до захисту критичної технологічної інформації, формування загальних вимог до кіберзахисту об’єктів критичної інфраструктури, ведення переліку об’єктів критичної інформаційної інфраструктури, здійснення заходів щодо його оновлення та актуалізації;

виконання інших завдань, передбачених законодавством у сфері забезпечення кібербезпеки та кіберзахисту";

пункт 24 частини першої статті 14 після слів "захисту інформації" доповнити словами "кіберзахисту об’єктів критичної інфраструктури";

17) у Законі України "Про правовий режим воєнного стану" (Відомості Верховної Ради України, 2015 р., № 28, ст. 250; 2021 р., № 41, ст. 339):

частину першу, абзаци перший і другий частини сьомої, друге речення частини восьмої статті 4 після слів "громадської безпеки і порядку" доповнити словами "захисту критичної інфраструктури";

у частині першій статті 8:

у пункті 1 слова "об’єктів державного значення, об’єктів державного значення національної транспортної системи України" замінити словами "об’єктів критичної інфраструктури";

у пункті 2 слова "та сфері забезпечення життєдіяльності населення" і "та системи забезпечення життєдіяльності населення" замінити словами "та захисту критичної інфраструктури";

пункт 9 після слів "посягання на" доповнити словами "стійкість критичної інфраструктури";

у статті 15:

частину першу після слів "Про мобілізаційну підготовку та мобілізацію" доповнити словами "Про критичну інфраструктуру";

у пункті 25 частини другої слова "важливих об’єктів національної економіки" замінити словами "об’єктів критичної інфраструктури";

у пункті 7 частини третьої слова "важливих об’єктів національної економіки" замінити словами "об’єктів критичної інфраструктури";

18) у частині першій статті 23 Закону України "Про Національну поліцію" (Відомості Верховної Ради України, 2015 р., № 40-41, ст. 379 із наступними змінами):

пункт 20 доповнити словами "а також об’єктів критичної інфраструктури, перелік яких визначається Кабінетом Міністрів України";

доповнити пунктом 24 - 1 такого змісту:

"24 - 1 ) здійснює у визначеному законом порядку протидію злочинним посяганням на об’єкти критичної інфраструктури, які загрожують безпеці громадян і порушують функціонування систем життєзабезпечення; захист об’єктів критичної інфраструктури, інтересів суспільства і держави від злочинних посягань у кіберпросторі, здійснює заходи із запобігання, виявлення, припинення та розкриття кіберзлочинів проти об’єктів критичної інфраструктури";

19) у Законі України "Про основні засади забезпечення кібербезпеки України" (Відомості Верховної Ради України, 2017 р., № 45, ст. 403; із змінами, внесеними Законом України від 30 червня 2021 року № 1591-IX):

у статті 1:

пункт 16 частини першої виключити;

частину другу доповнити реченням такого змісту: "Термін "об’єкт критичної інфраструктури" вживається в цьому Законі у значенні, визначеному Законом України "Про критичну інфраструктуру";

частини першу і другу статті 6 викласти в такій редакції:

"1. Віднесення об’єктів до об’єктів критичної інфраструктури та формування Реєстру об’єктів критичної інфраструктури здійснюються відповідно до Закону України "Про критичну інфраструктуру".

2. Загальні вимоги до кіберзахисту об’єктів критичної інфраструктури, у тому числі щодо застосування індикаторів кіберзагроз, та вимоги до проведення незалежного аудиту інформаційної безпеки затверджуються Кабінетом Міністрів України, а в банківській системі України - Національним банком України";

20) частину четверту статті 3 Закону України "Про національну безпеку України" (Відомості Верховної Ради України, 2018 р., № 31, ст. 241) викласти в такій редакції:

"4. Державна політика у сферах національної безпеки і оборони спрямовується на забезпечення воєнної, зовнішньополітичної, державної, економічної, інформаційної, екологічної безпеки, безпеки критичної інфраструктури, кібербезпеки України та на інші її напрями".

3. До приведення у відповідність із цим Законом законодавчі та інші нормативно-правові акти застосовуються в частині, що не суперечить цьому Закону.

4. Перша щорічна незалежна зовнішня оцінка діяльності уповноваженого органу у сфері захисту критичної інфраструктури України має бути проведена після першого повного календарного року його діяльності починаючи відлік часу з календарного року, у якому такий орган приступив до здійснення своїх повноважень.

Перша незалежна зовнішня оцінка діяльності національної системи захисту критичної інфраструктури має бути проведена після спливу перших трьох календарних років діяльності уповноваженого органу у сфері захисту критичної інфраструктури України.

5. Кабінету Міністрів України:

1) у тримісячний строк з дня набрання чинності цим Законом:

визначити уповноважений орган з питань захисту критичної інфраструктури України;

забезпечити прийняття нормативно-правових актів, необхідних для реалізації цього Закону;

привести свої нормативно-правові акти у відповідність із цим Законом;

забезпечити приведення міністерствами, іншими центральними і місцевими органами виконавчої влади (військово-цивільними адміністраціями - в разі утворення) їх нормативно-правових актів у відповідність із цим Законом;

2) організувати та забезпечити виконання функцій уповноваженого органу з питань захисту критичної інфраструктури України в межах відповідних видатків на поточний рік державного органу, на який покладено такі повноваження;

3) під час підготовки проекту Державного бюджету України на 2022 рік та наступні роки врахувати видатки, необхідні для виконання повноважень (функцій) уповноваженого органу з питань захисту критичної інфраструктури України.

5 - 1 . Установити, що під час дії воєнного стану, а також протягом 12 місяців після його припинення чи скасування повноваження уповноваженого органу у сфері захисту критичної інфраструктури України, передбачені цим Законом, здійснюються Державною службою спеціального зв’язку та захисту інформації України.

{Розділ VI доповнено пунктом 5 - 1 згідно із Законом № 2684-IX від 18.10.2022 }

5 - 2 . Кабінету Міністрів України протягом 12 місяців після припинення чи скасування воєнного стану визначити уповноважений орган у сфері критичної інфраструктури України.

{Розділ VI доповнено пунктом 5 - 2 згідно із Законом № 2684-IX від 18.10.2022 }

6. Кабінету Міністрів України протягом трьох років з дня набрання чинності цим Законом забезпечити проведення та завершення перевірки структури власності об’єктів критичної інфраструктури з метою убезпечення належності таких об’єктів фізичним і юридичним особам - громадянам та/або резидентам держави, визнаної Верховною Радою України державою-агресором, або кінцевими бенефіціарними власниками яких є громадяни держави, визнаної Україною державою-агресором або державою-окупантом; юридичним особам, зареєстрованим згідно із законодавством держав, включених FAТF до списку держав, що не співпрацюють у сфері протидії відмиванню доходів, одержаних злочинним шляхом, а також юридичним особам, 50 і більше відсотків статутного капіталу яких належать прямо або опосередковано таким особам.

7. Кабінету Міністрів України до 1 січня 2024 року поінформувати Верховну Раду України про стан виконання цього Закону.

8. Рекомендувати Центральній виборчій комісії, Антимонопольному комітету України, Національному банку України, Національній комісії з цінних паперів та фондового ринку, Національній комісії, що здійснює державне регулювання у сфері зв’язку та інформатизації, Національній комісії, що здійснює державне регулювання у сферах енергетики та комунальних послуг, протягом трьох місяців з дня набрання чинності цим Законом:

привести свої нормативно-правові акти у відповідність із цим Законом;

забезпечити прийняття нормативно-правових актів, необхідних для реалізації цього Закону.

9. Центральному органу виконавчої влади у сфері освіти і науки спільно з уповноваженим органом у сфері захисту критичної інфраструктури України забезпечити проведення науково-дослідної роботи щодо доповнення Переліку галузей знань і спеціальностей, за якими здійснюється підготовка здобувачів вищої освіти, новою позицією у сфері забезпечення стійкості та захисту критичної інфраструктури та до 1 січня 2024 року поінформувати про результати Кабінет Міністрів України і подати проект відповідного рішення та пропозиції щодо програм навчання, підвищення кваліфікації, робочих і навчальних програм.

10. Уповноваженому органу у сфері захисту критичної інфраструктури України щороку починаючи з наступного дня за днем набрання чинності цим Законом забезпечити:

проведення науково-дослідних робіт щодо впливу новітніх і проривних технологій на формування нових індикаторів потенційних ризиків та загроз об’єктам критичної інфраструктури;

перегляд нормативно-правових актів у сфері захисту об’єктів критичної інфраструктури за результатами проведення науково-дослідних робіт;

підготовку рекомендацій для операторів об’єктів критичної інфраструктури за результатами проведення науково-дослідних робіт;

подання пропозицій щодо обсягів бюджетного фінансування для проведення уповноваженим органом у сфері захисту критичної інфраструктури України таких науково-дослідних робіт починаючи відлік часу з календарного року, у якому такий орган приступив до здійснення своїх повноважень;

постійне інформування про результати Кабінету Міністрів України.

11. Уповноваженому органу у сфері захисту критичної інфраструктури України протягом року з дня початку ним діяльності підготувати зміни до Закону України "Про критичну інфраструктуру" в частині визначення форм та розмірів штрафних санкцій до операторів об’єктів критичної інфраструктури, до Кодексу України про адміністративні правопорушення, Кримінального кодексу України в частині визначення видів правопорушень та відповідальності за них.

Президент України

В. ЗЕЛЕНСЬКИЙ

м. Київ
16 листопада 2021 року
№ 1882-IX