Постанова НБУ 143: що встигнути до 13 грудня 2026 року

До 13 грудня 2026 року страховики, кредитні спілки, фінансові компанії та ломбарди мають привести свою роботу у відповідність до вимог, які встановлює постанова НБУ 143 від 9 грудня 2025 року. Станом на початок листопада до цієї дати лишається близько шести тижнів. Нижче – що саме вимагає постанова, що варто перевірити першим і як не витратити останні тижні на документи, які нічого не змінюють на практиці.

Що таке постанова НБУ 143 і кого вона стосується

Постанова НБУ 143 – це постанова Правління Національного банку від 9 грудня 2025 року №143, якою затверджено Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг. Постанову офіційно опубліковано 12 грудня 2025 року, чинності вона набрала наступного дня. На приведення діяльності у відповідність установам дали 12 місяців. Звідси і дата 13 грудня 2026 року.

Положення поширюється на небанківські фінансові установи: страховиків, кредитні спілки, фінансові компанії та ломбарди. На надавачів платіжних і супровідних послуг воно не поширюється. Не варто плутати цей документ із постановою НБУ №143 за 2023 рік: у неї той самий номер, але вона про інше.

Положення розроблено з урахуванням європейського регламенту DORA та стандартів ДСТУ ISO/IEC 27001 і 27002. Водночас воно прямо закріплює ризик-орієнтований підхід: установа сама обирає методики оцінювання ризиків і впроваджує заходи з урахуванням того, як працюють саме її системи. Тобто мала кредитна спілка і великий страховик виконують ті самі вимоги, але різним обсягом робіт.

Постанова НБУ 143: хто відповідає і які документи потрібні

Загальну організацію роботи Положення покладає на керівника. Він окремим рішенням призначає відповідальну особу за впровадження вимог з інформаційної безпеки та кіберзахисту або виконує ці функції особисто. Також керівник затверджує внутрішні документи і механізми контролю ризиків та організовує навчання відповідальної особи.

Відповідальна особа розробляє внутрішні документи, щонайменше раз на рік оновлює перелік програмних і апаратних засобів, розслідує інциденти, контролює роботу засобів захисту і погоджує зміни в системах. Працівники мають ознайомитися з документами під підпис або в інший спосіб, що підтверджує ознайомлення, а самі документи потрібно переглядати щороку.

Положення дозволяє об’єднувати документи в один або кілька і визначати їхній перелік за принципом мінімальної достатності. Це важлива деталь: мета не в товстій папці, а в правилах, які люди справді виконують.

Доступи, паролі і багатофакторна автентифікація

Найбільше конкретних вимог стосується доступів. Положення вимагає:

• описати ролі й права доступу для клієнтів, користувачів і адміністраторів та переглядати їх щонайменше раз на рік;
• видавати мінімальні права, достатні для роботи;
• використовувати багатофакторну автентифікацію для віддаленого доступу працівників до систем установи;
• блокувати обліковий запис після кількох, але не більше п’яти невдалих спроб входу, після 90 днів без входу та після звільнення працівника або зміни його обов’язків;
• використовувати паролі щонайменше з 12 символів для користувачів і з 15 для адміністраторів та змінювати їх не рідше ніж раз на 90 днів;
• мати окремі облікові записи для адміністративних і повсякденних завдань;
• блокувати екран після 15 хвилин без активності;
• ідентифікувати комп’ютери і мобільні пристрої, які підключаються до систем, щоб невідоме обладнання не могло в них працювати.

Простий тест: чи можна сьогодні за кілька хвилин сказати, скільки облікових записів звільнених працівників ще активні? Якщо ні, саме з цього варто почати. Як налагодити облік і закриття доступів, описано в матеріалі про облік ІТ-активів і закриття доступів.

Журнали подій, мережа і програмне забезпечення

Системи мають записувати в журнали входи і невдалі спроби входу, створення і видалення облікових записів, зміни прав і паролів, зміни налаштувань. Журнали потрібно архівувати щонайменше раз на рік, зберігати не менше року після архівації і захищати від змін, а доступ до них має лише відповідальна особа. Варто перевірити не лише те, чи журнали ведуться, а й чи їх справді можна знайти й прочитати, коли щось сталося.

Щодо мережі Положення вимагає сегментувати її і розмежувати сегменти міжмережевими екранами. Підключатися до інтернету треба через мінімальну кількість контрольованих точок і захищатися від атак типу «відмова в обслуговуванні». Сервіси, доступні клієнтам ззовні, потрібно виносити в окрему захищену зону. Потрібен і захист від шкідливого програмного забезпечення з актуальними базами.

Операційні системи і прикладні програми мають отримувати оновлення безпеки від виробника. Якщо в установі працює програма, підтримку якої припинено, потрібно задокументувати аналіз ризиків, запровадити компенсуючі заходи і затвердити план переходу на підтримувану версію. Сам перехід має відбутися не пізніше ніж за два роки. Окремо Положення регулює використання змінних носіїв: облік, ідентифікацію, обмеження і перевірку на шкідливе програмне забезпечення.

Інциденти і підрядники

Установа має запровадити процес управління інцидентами і затвердити план реагування. План має бути частиною плану безперервної діяльності або узгодженим із ним і містити оцінку збитків, порядок дій відповідальної особи і працівників, порядок інформування керівника і збереження інформації про інцидент. Національний банк має право письмово запитати інформацію про реагування на інциденти. З чого складається робочий план, розібрано в матеріалі «План реагування на інциденти».

Залучати зовнішніх фахівців для заходів безпеки і реагування на інциденти можна. Але в договорі мають бути умови про нерозголошення. Крім того, підрядник не може бути резидентом держави-агресора, мати таких бенефіціарів, зберігати дані на її території чи на тимчасово окупованих територіях або підпадати під санкції. У договорах із розробниками, інтеграторами і техпідтримкою потрібно прописати, як вони взаємодіють з установою під час інцидентів.

Залучення підрядника не знімає відповідальності з установи. Відповідальна особа і керівник мають розуміти, що відбувається в їхніх системах, бо саме вони відповідають за виконання вимог.

Що зробити за шість тижнів

До кінцевого строку, який встановлює постанова НБУ 143, лишається півтора місяця, тож розпорошуватися не варто. Розумний порядок такий:

1. Призначити відповідальну особу окремим рішенням керівника, якщо це ще не зроблено.
2. Пройтися по кожній вимозі Положення і чесно позначити: виконано, виконано частково, не виконано. Так стане видно реальний обсяг робіт.
3. Перевірити те, що найчастіше стає входом для зловмисників: багатофакторну автентифікацію для віддаленого доступу і пошти, облікові записи звільнених працівників, адміністративні права, що накопичилися.
4. Перевірити, чи ведуться і зберігаються журнали подій і чи їх можна прочитати.
5. Скласти план дій з пріоритетами: що закрити до 13 грудня, а що оформити як план із конкретними строками й відповідальними.
6. Затвердити мінімально достатній набір документів і ознайомити з ним працівників.

Документи без перевірки того, як усе працює насправді, мало що дають. Політика доступів не закриває обліковий запис, який забули заблокувати після звільнення.

Постанова НБУ 143: запитання й відповіді

Кого стосується постанова НБУ 143?
Страховиків, кредитних спілок, фінансових компаній і ломбардів. На надавачів платіжних і супровідних послуг вона не поширюється.

До якої дати потрібно виконати вимоги?
Постанова набрала чинності 13 грудня 2025 року і дає 12 місяців на приведення діяльності у відповідність, тобто до 13 грудня 2026 року.

Чи можна доручити виконання вимог підряднику?
Залучати зовнішніх фахівців для заходів безпеки і реагування на інциденти можна, за умови договору з нерозголошенням і обмежень щодо держави-агресора та санкцій. Водночас керівник установи організовує роботу і призначає відповідальну особу або виконує її функції сам.

Чи є спрощений режим для невеликих установ?
Окремого спрощеного режиму Положення не передбачає. Але заходи впроваджуються з урахуванням ризик-орієнтованого підходу, а перелік документів визначається за принципом мінімальної достатності.

Де прочитати текст постанови?
Офіційний текст опубліковано на сайті НБУ та на zakon.rada.gov.ua.

Перевірка готовності від DigVel

DigVel проводить перевірку готовності до постанови НБУ №143 за 10 робочих днів: оцінку виконання кожної вимоги Положення і технічну перевірку доступів, багатофакторної автентифікації, журналів подій і периметра. Результат – звіт і план дій з пріоритетами. Обсяг погоджується заздалегідь з урахуванням профілю установи. Відповідальність за виконання вимог лишається за установою, а мета перевірки – щоб захист працював не лише на папері.

Щоб зрозуміти, з чого почати саме вашій установі, запишіться на безкоштовну 30-хвилинну розмову.

Джерело: постанова Правління НБУ від 09.12.2025 №143 (офіційно опублікована 12.12.2025).