Критична інфраструктура це сукупність об’єктів, систем і мереж, без яких держава втрачає здатність забезпечувати енергію, воду, зв’язок, транспорт, охорону здоров’я, фінанси та оборону. У правовому полі України термін закріплено Законом України «Про критичну інфраструктуру» № 1882-IX: критична інфраструктура — це сукупність об’єктів критичної інфраструктури, а самі об’єкти — інфраструктура, системи, їхні частини та сукупність, важливі для економіки, національної безпеки й оборони, порушення яких може завдати шкоди життєво важливим національним інтересам.
Практичний сенс формули простий: якщо виходить з ладу трансформаторна підстанція, насосна станція чи вузол зв’язку, наслідки не зупиняються на одному підприємстві. Зникає світло в лікарні, зупиняється насос водоканалу, падає сигнал екстрених служб. Саме через такі ланцюгові ефекти закон говорить не лише про «важливі об’єкти», а про безпеку, безперервність, відновлюваність і стійкість усієї системи.
Для оператора це режим особливих обов’язків і звітності. Для громадянина — гарантія, що базові послуги мають пріоритет захисту навіть тоді, коли країна працює в умовах воєнного стану, кібератак і фізичних ударів по мережах.
Юридичне визначення і суміжні поняття
Закон № 1882-IX розділяє кілька шарів термінології, і плутанина між ними дорого коштує бізнесу. Об’єкт критичної інфраструктури — фізичний або віртуальний актив, система чи їхня частина. Оператор — юридична особа будь-якої форми власності або ФОП, що управляє таким об’єктом на праві власності, оренди чи іншій законній підставі і відповідає за поточне функціонування. Сектор — сукупність об’єктів однієї галузі або спільної функції.
Безпека критичної інфраструктури — стан захищеності, за якого забезпечуються функціональність, безперервність, відновлюваність, цілісність і стійкість. Стійкість — спроможність працювати в штатному режимі, адаптуватися до змін, протистояти загрозам і швидко відновлюватися. Захист — уся діяльність до, під час і після створення об’єкта: виявлення загроз, запобігання, нейтралізація, мінімізація наслідків.
Окремо існує критична інформаційна інфраструктура. Закон «Про основні засади забезпечення кібербезпеки України» відносить до неї комунікаційні та технологічні системи, без яких фізичний об’єкт не може стабільно працювати. У нашій практиці супроводу енергетичних і комунальних операторів саме цей шар часто виявляється слабшою ланкою: генератор стоїть, а SCADA недоступна через скомпрометований канал.
Важливо не змішувати об’єкт критичної інфраструктури зі статусом «критично важливого підприємства» за постановою Кабінету Міністрів України № 76. Перше — реєстр об’єктів, категорії критичності I–IV і вимоги до захисту. Друге — окрема процедура для бронювання працівників в особливий період. Підприємство може обслуговувати об’єкт критичної інфраструктури і при цьому проходити ще й критерії постанови № 76, але це різні правові режими.
Які функції вважаються життєво важливими
Стаття 9 Закону № 1882-IX фіксує орієнтовний перелік життєво важливих функцій і послуг, збій яких дає негативні наслідки для національної безпеки. Це не абстрактний каталог галузей, а карта залежностей суспільства.
- Урядування та публічні послуги. Реєстри, документообіг, кризове управління. Без них держава втрачає координацію навіть тоді, коли фізичні мережі ще цілі.
- Енергозабезпечення, включно з теплом. Генерація, передача, розподіл, ринок електроенергії, нафта, газ, а з травня 2026 року в переліку послуг паливно-енергетичного сектору окремо закріплено зберігання електричної енергії.
- Водопостачання і водовідведення. Питьеве водопостачання, каналізація, насосні станції. Переривання швидко переходить у санітарну кризу.
- Продовольче забезпечення. Виробництво, опт, логістика товарів повсякденного попиту. Склад великого ритейлера в умовах війни виконує ту саму системну роль, що й вузол енергосистеми для регіону.
- Охорона здоров’я, фармація, вакцини, біолабораторії. Лікарні, служби екстреної допомоги, виробництво ліків і критичних медичних виробів.
- Інформаційні послуги та електронні комунікації. Інтернет, мобільний і фіксований зв’язок, центри обробки даних, системи доменних імен.
- Фінансові послуги. Платежі, кліринг, банківська інфраструктура. Зупинка розрахунків паралізує зарплати, закупівлі пального і гуманітарні поставки.
- Транспорт. Залізниця, автомобільні коридори, авіація, порти, пошта.
- Оборона, державна безпека, правопорядок, цивільний захист. Сюди ж належать служби порятунку.
- Космічна діяльність, хімічна промисловість, дослідницька діяльність. Супутникові сервіси, небезпечні виробництва, лабораторії, без яких не працює оборонна і медична наука.
Конкретний перелік секторів і підсекторів, а також секторальні органи влади затверджує Кабінет Міністрів постановою № 1109 «Деякі питання об’єктів критичної інфраструктури» (поточна редакція з урахуванням змін 2025–2026 років, зокрема постанов № 337 і № 636). Секторальний орган ідентифікує об’єкти свого сектору і веде секторальний перелік.
Категорії критичності: як держава вимірює важливість
Не кожна підстанція і не кожен водоканал потрапляють до однієї полиці. Методика категоризації, затверджена тією ж постановою № 1109, оцінює рівень негативного впливу на людей, довкілля, економіку, національну безпеку й обороноздатність. За секторальними та міжсекторальними критеріями виставляють бали, далі рахують нормовану оцінку PKOKI як відношення набраної суми до максимально можливої.
| Категорія | Діапазон PKOKI | Масштаб наслідків | Типовий характер об’єкта |
|---|---|---|---|
| I | 0,8 < PKOKI ≤ 1 | Криза державного рівня | Унікальні або системоутворювальні об’єкти загальнодержавного значення з впливом на інші сектори |
| II | 0,63 < PKOKI ≤ 0,8 | Криза регіонального рівня | Життєво важливі об’єкти області або кількох областей |
| III | 0,37 < PKOKI ≤ 0,63 | Надзвичайна ситуація локального масштабу | Міські системи життєзабезпечення, великі місцеві вузли |
| IV | 0,2 < PKOKI ≤ 0,37 | Криза місцевого значення | Необхідні об’єкти громади, без яких послуга просідає локально |
| Поза реєстром | PKOKI ≤ 0,2 | Недостатній вплив | Об’єкт не визнається критичним за методикою |
Джерела даних таблиці: Методика категоризації об’єктів критичної інфраструктури до постанови КМУ № 1109; Закон України № 1882-IX (zakon.rada.gov.ua).
Категорія визначає глибину вимог: плани безпеки, управління ризиками, інженерно-технічний захист, кіберзахист, взаємодію з уповноваженими органами. Відомості про об’єкти I–IV категорій вносять до секторальних переліків і далі — до Реєстру об’єктів критичної інфраструктури за порядком, затвердженим урядом.
Фізичний контур, кіберконтур і каскадні відмови
Класична картина «завод за парканом» давно не працює. Електростанція залежить від газу, газ — від компресорних станцій і електроживлення, диспетчеризація — від зв’язку, логістика ремонтних бригад — від доріг і пального. Відмова в одному секторі дає каскад в іншому. Саме тому європейські рамки NIS2 і CER (Directive (EU) 2022/2555 і 2022/2557) говорять одночасно про кіберстійкість і фізичну відмовостійкість критичних суб’єктів. Українське законодавство рухається в тому ж напрямі: окремо об’єкт, окремо його інформаційно-комунікаційні та технологічні системи.
Інцидент безпеки критичної інфраструктури за законом — це не лише «вибух чи пожежа». Це подія природного, технічного, технологічного чи людського характеру, а також несанкціоноване втручання, що загрожує штатному режиму, системі управління процесами або захищеності об’єкта. Для оператора це означає єдиний контур реагування: фізична охорона, аварійна готовність і кібермоніторинг не живуть у різних папках.
За моїм досвідом роботи з підприємствами паливно-енергетичного сектору та систем життєзабезпечення протягом останніх років типова помилка одна: захищають периметр і «видиме» обладнання, а резервні канали зв’язку, облікові записи підрядників і ланцюг постачання запчастин залишають без моделі загроз. Після першого серйозного інциденту саме ці три позиції стають вузьким місцем відновлення.
Хто за що відповідає в національній системі захисту
Національна система захисту критичної інфраструктури — це не один орган, а сукупність центральних і місцевих органів виконавчої влади, органів місцевого самоврядування та операторів. Кабінет Міністрів визначає перелік секторів і відповідальних відомств. Секторальний орган ідентифікує об’єкти, веде перелік, бере участь у категоризації. Оператор забезпечує поточну безпеку, плани безперервності, повідомлення про інциденти, ідентифікацію об’єктів критичної інформаційної інфраструктури після внесення відомостей до реєстру.
| Рівень | Суб’єкт | Ключова функція |
|---|---|---|
| Політика | Кабінет Міністрів України | Перелік секторів, методики, реєстр, фінансування захисних заходів |
| Сектор | Профільні міністерства та інші секторальні органи | Ідентифікація об’єктів, секторальні переліки, галузеві вимоги |
| Об’єкт | Оператор критичної інфраструктури | Безперервність послуг, захист, інциденти, взаємодія з державою |
| Територія | ОМС, військові та місцеві адміністрації | Цивільний захист, плани стійкості регіонів і міст |
У 2026 році уряд окремими розпорядженнями затверджував переліки об’єктів, на яких фінансуються нове будівництво, реконструкція, капітальний ремонт та інженерно-технічний захист у паливно-енергетичному секторі, залізничному транспорті та системах життєзабезпечення. Це прямий сигнал пріоритетів: енергія, колія, тепло й вода залишаються каркасом стійкості.
Що це означає для оператора на практиці
Якщо об’єкт ідентифіковано, з’являється пакет обов’язків, а не лише «табличка на прохідній». Потрібна паспортизація, оцінка ризиків, план захисту й план відновлення, облік критичної технологічної інформації, розмежування доступу до систем управління, резерв персоналу та матеріалів. Для об’єктів вищих категорій вимоги жорсткіші: окремі урядові акти вже встановлюють спеціальні правила управління ризиками для I категорії та вимоги захисту для III–IV категорій окремих секторів.
- Перевірити, чи об’єкт уже в секторальному переліку. Запит іде через профільне міністерство або орган, відповідальний за сектор. Самостійно «призначити себе критичним» у сенсі Закону № 1882-IX неможливо.
- Відділити режим об’єкта від режиму бронювання. Статус за постановою № 76 не замінює внесення до реєстру об’єктів критичної інфраструктури і навпаки.
- Ідентифікувати інформаційні системи, без яких послуга зупиняється. Після появи запису в реєстрі оператор у встановлений строк визначає об’єкти критичної інформаційної інфраструктури.
- Побудувати модель каскаду. Які зовнішні послуги потрібні вам і хто залежить від вас: електропостачання, зв’язок, логістика, вода, фінанси.
- Закласти відновлення, а не лише охорону. Стійкість вимірюється часом повернення послуги, а не висотою паркану.
Для малого та середнього бізнесу, що лише обслуговує критичний об’єкт (підрядник, логіст, сервіс КІТ), ризик інший: ви можете не бути оператором, але стати критичним постачальником. Переривання вашої послуги здатне дати «істотний інцидент» у основного оператора. Це варто закладати в договори SLA, резерв складів і кібергігієну підрядного ланцюга.
Що варто розуміти громадянину і громаді
Для побутового рівня критична інфраструктура це не канцеляризм із закону, а причина, чому після удару по енергосистемі першими намагаються підняти лікарні, водоканали, зв’язок і тягу залізниці. Громада, яка тримає в порядку схему резервного живлення котельні, запас реагентів на водоканалі та канали оповіщення, зменшує глибину кризи навіть без статусу об’єкта I категорії.
Побутовий мінімум стійкості домогосподарства в регіоні з ризиком відключень — це не «набір для апокаліпсису», а конкретні речі: запас питної води на кілька діб, автономне світло, зарядні станції для зв’язку, розуміння, де у вашій громаді пункти незламності та як працює місцеве оповіщення. Це не замінює державну систему захисту, але скорочує вікно вразливості, поки оператори відновлюють мережі.
Органам місцевого самоврядування закон також відводить місце: виконання функцій місцевого самоврядування окремо фігурує серед секторів, а комплексні плани стійкості регіонів і міст уже прив’язуються до фінансування захисних заходів на об’єктах. Міська мережа теплопостачання чи водоканал III категорії для конкретної громади важить більше, ніж формальний статус «не столиця».
Міжнародний контекст і українська специфіка 2026 року
У ЄС критична інфраструктура — актив, об’єкт, мережа або система, необхідні для надання базової послуги, тобто послуги, критичної для суспільних функцій, економіки, здоров’я, безпеки чи довкілля. Директива CER зобов’язує держави ідентифікувати критичні суб’єкти, директива NIS2 посилює кібервимоги до енергетики, транспорту, банків, охорони здоров’я, води, цифрової інфраструктури, публічної адміністрації та космосу. Український закон 2021 року з пізнішими змінами вже оперує тією самою логікою: не галузь як ярлик, а послуга, без якої суспільство не стоїть.
Українська відмінність жорстка і конкретна. Система захисту будується не в навчальному полігоні, а в умовах регулярного фізичного ураження енергетики, логістики й зв’язку плюс постійного кібертиску. Тому в 2024–2026 роках уряд неодноразово уточнював перелік секторів (зокрема оборонно-промисловий комплекс і зберігання електроенергії), порядок реєстру та вимоги до захисту. Нормативний каркас живий: оператору варто звірятися з чинною редакцією постанови № 1109, а не з текстом 2020 року.
Для початківця достатньо трьох опор. Критична інфраструктура це не «все стратегічне підряд», а об’єкти, формально ідентифіковані за законом і методикою. Категорія критичності показує масштаб можливої кризи, а не престиж підприємства. Стійкість — це здатність послуги повернутися, коли частина системи вже зруйнована. Для фахівця наступний рівень глибший: секторальний перелік, реєстр, ідентифікація кібероб’єктів, модель взаємозалежностей і розведення режимів Закону № 1882-IX та постанови № 76. Саме на цьому стику права, інженерії та управління ризиками сьогодні тримається безперервність базових послуг.
