57
НБУ обязал финкомпании пересмотреть подход к кибербезопасности — комментарий юристов
Национальный банк Украины обязал поставщиков финансовых услуг пересмотреть подход к кибербезопасности. Регулятор требует рассматривать ее не только как сферу ответственности ІТ-отдела, а как систему управления рисками, доступ к информации и корпоративную ответственность.
Об этом свидетельствует Постановление Правления НБУ № 143.
НБУ будет оценивать не только наличие технических средств защиты, но и способность компании системно управлять информационными рисками, документировать процессы, распределять ответственность и контролировать выполнение установленных процедур. Конечный срок выполнения требований — декабрь 2026 года.
Почему НБУ изменил подход
По данным Государственной службы специальной связи и защиты информации Украины, в 2024 году количество кибератак выросло на 69,8% по сравнению с предыдущим годом. Основной целью остаются объекты критической инфраструктуры.
В то же время, по статистике IBM, средняя стоимость одного киберинцидента в 2025 году составила $4,4 млн.
Помимо финансовых потерь компании также сталкиваются с существенными репутационными рисками.
Компания может использовать антивирус, резервное копирование и современные средства киберзащиты, но может потерять контроль над критической информацией. Для этого порой достаточно одного сотрудника с исключительными правами доступа или пароля, который не меняли годами.
В то же время, по мнению юристов, постановление № 143 стало логичным продолжением реформы регулирования финансового сектора, которая длится уже почти десять лет.
В Investment Lawyer Group (ILG), специализирующейся, в частности, на вопросах безопасности бизнеса, отмечают, что масштабная кибератака NotPetya в 2017 году стала одним из ключевых факторов пересмотра подходов к кибербезопасности.
«Причины появления Постановления № 143 следует искать гораздо раньше. После кибератаки NotPetya в 2017 году украинский финансовый сектор фактически получил сигнал, что информационная безопасность больше не может оставаться сугубо технической функцией. В это время НБУ начал формировать для банков системные требования к управлению информационной безопасностью», — объясняет руководитель ІТ-отдела ILG Николай Плотников.
Уже в сентябре 2017 года Нацбанк ввел для банков обязательные требования к организации систем управления информационной безопасностью, возложив ответственность за киберустойчивость не только на ІТ-подразделения, но и на руководство учреждений.
Единые правила для всего финансового рынка
В 2020 году прошла масштабная финансовая реформа в Украине, которая ликвидировала Нацкомфинуслуг и передала Национальному банку Украины полномочия регулятора рынков небанковских финансовых услуг (страховых, лизинговых, факторинговых компаний, кредитных союзов и ломбардов).
После так называемого «сплита» под надзор НБУ перешли более 2000 небанковских финансовых учреждений с разным уровнем зрелости внутренних процессов и разными подходами к информационной безопасности.
Для регулятора это означало необходимость сформировать единые правила игры для всего финансового рынка.
По словам юристов, постановление № 143 фактически устраняет отличия. Оно формирует единые принципы управления информационной безопасностью для всего финансового сектора и приближает украинское регулирование к европейским подходам, заложенным в Регламенте DORA, Директиве NIS2 и международным стандартам серии ISO/IEC 27000.
«Постановление НБУ № 143 — это гораздо больше, чем очередное регуляторное требование. Это стресс-тест на зрелость управленческих процессов в финансовом учреждении. Регулятор будет оценивать не только наличие технических средств защиты, но и способность компании системно управлять информационными рисками, распределять ответственность, документировать процессы и обеспечивать их выполнение», — отмечают в ILG.
По материалам: Finance.ua
Поделиться новостью
