5 жовтня 2026 року до Верховної Ради подали законопроєкт № 16123 «Про внесення змін до деяких законів України щодо надання хмарних послуг та послуг центру обробки даних». Він змінює правила діяльності постачальників хмарних сервісів і ЦОД, особливо тих, хто працює або планує співпрацювати з державними установами та операторами критичної інфраструктури.

Реєстр хмарних провайдерів перейде під контроль Мінцифри

Згідно з документом, функцію ведення переліку постачальників хмарних послуг та ЦОД планують забрати у Держспецзв'язку і передати Міністерству цифрової трансформації.

Державні установи та оператори критичної інфраструктури зможуть обирати виконавців лише з цього оновленого переліку. Щоби туди потрапити, компанії доведеться пройти перевірку й отримати висновок від Служби безпеки України.

Висновок СБУ стане обов'язковою умовою

СБУ аналізуватиме ресурси, якими користується постачальник хмарних послуг чи ЦОД, аби з'ясувати, чи не пов'язані вони з:

  • особами, що мають зв'язки з державою-агресором;
  • особами під санкціями;
  • компаніями, які приховують інформацію про кінцевих бенефіціарів.

Якщо СБУ не дасть позитивного висновку, компанія не зможе увійти до переліку, необхідного для співпраці з державою та критичною інфраструктурою.

Варто зазначити, що законопроєкт не вимагає від постачальника українського резидентства. Підтвердити відповідність стандартам інформаційної безпеки зможуть як вітчизняні, так і зарубіжні акредитовані органи оцінки — за умови дії угоди про взаємне визнання. Така норма потенційно відкриває простіший шлях на український ринок для іноземних cloud- і DC-гравців.

Окремо оновлюється механізм сповіщення про кіберінциденти. Якщо трапляється серйозний інцидент, що впливає на якість послуг, провайдер зобов'язаний буде негайно повідомити не тільки CERT-UA, а й Ситуаційний центр забезпечення кібербезпеки СБУ. Через це компаніям доведеться переглянути свої внутрішні регламенти реагування та чітко прописати взаємодію з обома структурами.

СБУ отримає право вимагати ідентифікаційні дані користувачів

За офіційним письмовим запитом керівництва СБУ або Ситуаційного центру забезпечення кібербезпеки СБУ передавати дані для ідентифікації користувача будуть зобов'язані:

  • постачальники хмарних послуг та ЦОД, за винятком нерезидентів;
  • постачальники електронних комунікаційних послуг.

Йдеться лише про ідентифікаційні відомості — зміст самих даних чи інформації, яку передавав користувач, розкриттю не підлягає. Утім для бізнесу це означає появу нового напряму комплаєнсу: компаніям треба буде розробити внутрішній порядок перевірки, обробки та фіксації таких запитів.

Державні закупівлі хмарних послуг зміняться

Перш ніж оголосити закупівлю, державні замовники муситимуть оцінити доцільність використання хмарних рішень за методикою, яку затвердить Кабінет Міністрів. При цьому розглядатимуть не лише ціну послуг, а й витрати, пов'язані з перенесенням інформаційних систем та баз даних.

Крім того, законопроєкт скасовує обов'язкову типову форму договору. Замість неї з'явиться перелік із 14 істотних умов, які мають бути прописані в угодах із державними замовниками.

Кого торкнуться зміни

Нові правила передусім зачеплять:

  • cloud- та DC-провайдерів;
  • операторів і постачальників електронних комунікацій;
  • компанії у сфері кібербезпеки;
  • постачальників технологічних рішень для держсектору;
  • компанії, що співпрацюють з операторами критичної інфраструктури.

Якщо документ ухвалять, компаніям варто заздалегідь продумати, як нові норми позначаться на їхній роботі: підготуватися до перевірки СБУ, переглянути процедури сповіщення про кіберінциденти та обробки запитів щодо ідентифікаційних даних, а також перевірити умови чинних договорів із державними замовниками.

Відмова від вимоги резидентства та можливість підтверджувати відповідність через закордонні акредитовані органи здатні полегшити вихід міжнародних провайдерів на український ринок.

Загалом законопроєкт № 16123 пропонує оновлену модель взаємодії cloud- і DC-провайдерів із державою: Мінцифри отримує більшу вагу у допуску постачальників на публічний ринок, а СБУ — розширені повноваження щодо перевірки компаній, реагування на кіберінциденти та отримання ідентифікаційних даних користувачів.

Джерело: IT Ukraine Association