Нарешті парламент хоче формально захистити те, що тримає країну в русі — цифрові й логістичні системи великих підприємств. Це крок до зниження ризиків від кібератак на ланцюжки постачання, але й початок нових зобов’язань для бізнесу.
Що саме хочуть змінити і навіщо. До переліку об’єктів кібербезпеки пропонують додати «об’єкти і системи цифрової та логістичної інфраструктури критично важливих підприємств». Одночасно Кабмін отримує доручення підготувати зміни в законах щодо посилення вимог до резервування інформаційних систем, центрів обробки даних і цифрових сервісів цих підприємств та фінансово-економічне обґрунтування для внесення змін до держбюджету. Ідея — юридично зобов’язати резервувати, дублювати та жорстко контролювати цифрові й логістичні ланцюги, щоб уникнути масових збоїв під час атак або надзвичайних ситуацій.
- Вигоди: підвищення стійкості критичної інфраструктури; менший ризик зриву постачань і енергопостачання; краща координація держави з підприємствами щодо відновлення сервісів; можливі інвестиції у захищені центри обробки даних і сучасні DR-процедури.
- Ризики/Втрати: додаткові прямі витрати для підприємств на резервні ДЦ, дзеркалювання даних, канали зв’язку й персонал; адміністративні навантаження (аудити, звітність, зміни в договорах з постачальниками); для МСП, яких визнають «критично важливими», ці витрати можуть бути непосильними; великому бізнесу — підвищена вартість операцій і можливі затримки у впровадженні нових сервісів.
- Кого торкнеться: оператори логістики, транспортні і складські мережі, енергетика, продовольчі ланцюги, фарма, великі ІТ-оператори та хмарні провайдери, а також постачальники апаратного/програмного забезпечення та дата-центрів.
- Корупційні ризики: ризик «вибору переможців» під час створення резервних майданчиків і закупівель, непрозора процедура віднесення до критичних підприємств, ризик лобіювання обладнання і постачальників через державні контракти.
- Прямі й непрямі витрати: CAPEX на резервні ДЦ/локації, OPEX на підтримку дубльованих систем, витрати на аудит і сертифікацію, можливе зростання цін для кінцевих споживачів, інвестиційні потреби в кіберкоманду та навчання персоналу.
- Коли і як запрацює: закон набирає чинності з дня, наступного за публікацією; проте практичні обов’язки будуть деталізовані Кабміном і супутніми актами — тож реальні зобов’язання й графіки впровадження з’являться пізніше (місяці — рік залежно від швидкості розробки підзаконних актів і бюджетних процедур).
Висновок. Сам по собі напрям — правильний: захищати цифрові та логістичні ланцюги в умовах гібридних загроз необхідно. Але ефект залежатиме від реалізації. Якщо держава введе чіткі, прозорі критерії, помірковані технічні стандарти й компенсує частину навантаження на малі суб’єкти — це позитив. Якщо ж правила будуть розмитими, а контроль — повʼязаний із нестачею конкуренції й непрозорими закупівлями, то суспільству це обійдеться дорого і створить корупційні вікна.
Що робити вже зараз (коротко і конкретно): провести аудит своїх ІТ і логістичних систем; підготувати план резервування і оцінку вартості; перевірити договори з хостингом/хмарою на можливість геодублювання; почати діалог з регулятором та галузевими асоціаціями; закласти інвестиції в бюджет наступного року; домовитися з потенційними партнерами щодо спільного використання DR-майданчиків; оформити оферти на тендери та підготувати документи для можливого внесення до реєстрів. Також слід контролювати процес формування критеріїв віднесення до критично важливих, щоб уникнути несправедливих обов’язків.