Об’єкти критичної інфраструктури — це підприємства, системи, мережі та їх окремі частини, без яких держава не здатна підтримувати життєво важливі функції: енергію, воду, зв’язок, транспорт, охорону здоров’я, фінанси та оборону. За Законом України «Про критичну інфраструктуру» від 16 листопада 2021 року № 1882-IX порушення їхньої роботи може завдати шкоди національній безпеці, економіці та життєдіяльності населення. Статус надається не за вивіскою чи формою власності, а за наслідками збою.
В Україні такі об’єкти обліковуються в державному Реєстрі. За даними Державної служби спеціального зв’язку та захисту інформації, на початок 2026 року до нього внесено відомості про понад 4 600 об’єктів. Кожному присвоюють категорію критичності від I до IV і реєстраційний номер. Під час воєнного стану прямий доступ до реєстру обмежений.
Для оператора статус означає обов’язки з паспортизації, управління ризиками, кіберзахисту та резервування. Для громади — пріоритет відновлення після удару. Для держави — розподіл ресурсів ППО, інженерного захисту та фінансування. У 2026 році в держбюджеті на захист передбачено 67,6 млрд грн, пріоритетними визначено 444 об’єкти з 607, на яких ведуться роботи.
Що саме закон називає об’єктом критичної інфраструктури
Нормативне визначення сформульоване чітко: об’єкти інфраструктури, системи, їх частини та сукупність, важливі для економіки, національної безпеки та оборони, порушення функціонування яких може завдати шкоди життєво важливим національним інтересам. Критична інфраструктура — це вже сукупність таких об’єктів. Окремо закон виділяє критичну технологічну інформацію — дані, що циркулюють у системах управління технологічними процесами.
Головний критерій — не розмір підприємства і не державна частка в капіталі. Вирішальним є масштаб наслідків. Зупинка районної насосної станції може залишити без води десятки тисяч людей. Вихід з ладу магістральної підстанції «Укренерго» здатний обвалити баланс цілого енергоострова. Пошкодження дата-центру платіжної системи паралізує розрахунки. Саме цей ланцюг «послуга — залежність суспільства — шкода національним інтересам» і відрізняє звичайний актив від об’єкта критичної інфраструктури.
Статус виникає не з декларації власника, а після ідентифікації секторальним органом, категоризації за методикою Кабінету Міністрів і внесення відомостей до Реєстру об’єктів критичної інфраструктури.
Паралельно діє Закон України «Про основні засади забезпечення кібербезпеки України». Він оперує поняттям критично важливих об’єктів інфраструктури та об’єктів критичної інформаційної інфраструктури — комунікаційних і технологічних систем, атака на які безпосередньо зупиняє фізичний об’єкт. На практиці один завод чи лікарня може одночасно бути об’єктом критичної інфраструктури і мати кілька об’єктів критичної інформаційної інфраструктури всередині.
Як об’єкт потрапляє до переліку і хто це вирішує
Порядок віднесення затверджено постановою Кабінету Міністрів України від 9 жовтня 2020 року № 1109 (з численними змінами, зокрема 2024–2026 років). Секторальний орган — міністерство чи інший центральний орган, відповідальний за галузь — разом з оператором ідентифікує об’єкти свого сектору. Далі проводиться оцінка критичності за секторальними та міжсекторальними критеріями.
Оцінка враховує соціальну значущість (скільки людей може постраждати), суспільну (вплив на порядок і базові послуги), економічну (збитки, зупинка суміжних виробництв), екологічну, значення для оборони та наявність взаємозв’язків з іншими об’єктами. Кожному критерію ставлять бал від 0 до 4. Суму нормують: ділять на максимально можливу кількість балів. Отримане значення PKOKI визначає категорію.
- I категорія — якщо 0,8 < PKOKI ≤ 1: загальнодержавне значення, криза національного масштабу, сильний вплив на інші системи.
- II категорія — якщо 0,63 < PKOKI ≤ 0,8: криза регіонального значення.
- III категорія — якщо 0,37 < PKOKI ≤ 0,63: криза районного чи територіального рівня.
- IV категорія — якщо 0,2 < PKOKI ≤ 0,37: локальний, але все ще критичний вплив.
Якщо показник не перевищує 0,2, об’єкт не визнають критичним. Кількість критеріїв залежить від сектору і становить 17 або 18, тож максимальна сума балів — 68 або 72. Методика виглядає формальною, проте саме вона змушує порівнювати атомну станцію, обласну лікарню і районний водоканал за спільною шкалою, а не «на око».
| Категорія | Нормована оцінка | Масштаб кризи | Типові вимоги |
|---|---|---|---|
| I | понад 0,8 до 1 | загальнодержавний | паспорт безпеки, управління ризиками, посилений кібер- і фізичний захист |
| II | понад 0,63 до 0,8 | регіональний | паспорт безпеки, плани відновлення, взаємодія з органами влади |
| III | понад 0,37 до 0,63 | район / громада | резервування, базовий захист, облік у секторальному переліку |
| IV | понад 0,2 до 0,37 | локальний | мінімальний набір заходів стійкості та звітності |
Джерела даних таблиці: постанова КМУ № 1109 та Методика категоризації об’єктів критичної інфраструктури (zakon.rada.gov.ua).
Сектори, у яких шукають критичні об’єкти
Кабінет Міністрів затверджує перелік секторів і підсекторів разом із типами основних послуг та секторальними органами. Список не застиг: у 2025–2026 роках до нього додавали, зокрема, місцеве самоврядування, оборонно-промисловий комплекс і уточнювали промислові підсектори. Нижче — робоча карта основних напрямів, якими оперують органи влади.
| Сектор | Приклади послуг і об’єктів | Секторальний орієнтир |
|---|---|---|
| Паливно-енергетичний | АЕС, ТЕС, ГЕС, мережі передачі й розподілу, ГТС, теплопостачання | Міненерго |
| Вода і життєзабезпечення | централізоване водопостачання, водовідведення, очисні споруди | профільні органи систем життєзабезпечення |
| Охорона здоров’я | лікарні високого рівня, фармацевтика, біолабораторії, кров | МОЗ |
| Транспорт і пошта | залізниця, порти, аеропорти, магістральні вузли | Мінрозвитку / транспортний блок |
| Цифрові технології та зв’язок | електронні комунікації, хмарні послуги, е-ідентифікація, ЦОД | Мінцифра, Держспецзв’язок |
| Фінанси | банківська система, платіжна інфраструктура, запаси готівки | НБУ (окремий порядок) |
| Продовольство | виробництво й зберігання стратегічних харчових запасів | Мінагрополітики / економічний блок |
| Оборона, правопорядок, правосуддя | оборонна промисловість, місця несвободи, здійснення правосуддя | Міноборони, МВС, ДСА |
Джерело структури секторів: перелік до постанови КМУ № 1109 у чинній редакції з змінами 2025–2026 років (zakon.rada.gov.ua). Для банків і частини фінансового ринку передбачено окремий механізм за участю Національного банку.
Енергетика залишається найнавантаженішим сектором. З жовтня 2025-го по березень 2026-го Моніторингова місія ООН з прав людини зафіксувала щонайменше 423 атаки на об’єкти генерації, передачі та розподілу електроенергії і щонайменше 74 удари по тепловій інфраструктурі. Це не абстрактна статистика: саме ці удари перетворюють лікарню без резервного живлення на об’єкт, який формально критичний, а фактично німий.
Реєстр, паспорт безпеки і що зобов’язаний робити оператор
Реєстр об’єктів критичної інфраструктури ведеться як автоматизована система обліку. Об’єкт набуває статусу після внесення відомостей і присвоєння індикатора. Порядок ведення затверджено окремою постановою КМУ. На час воєнного стану та ще 12 місяців після його скасування безпосередній публічний доступ до даних реєстру обмежений — це захист від розвідки противника, а не бюрократична забаганка.
Для об’єктів I та II категорій обов’язковий паспорт безпеки. Це не довідка «ми хороші», а структурований документ: межі об’єкта, життєво важливі функції, сценарії загроз, наявні бар’єри, прогалини, план відновлення. У 2025 році, за офіційним повідомленням Держспецзв’язку, було погоджено 1 306 паспортів безпеки, а до реєстру додано 2 046 нових об’єктів.
З квітня 2025 року для об’єктів I категорії діють окремі вимоги щодо управління ризиками безпеки (постанова КМУ № 367). Оператор має визначити ліміти ризику, джерела загроз, імовірність інциденту і наслідки для безперервності послуги. Йдеться про цикл: ідентифікація — оцінка — обробка — моніторинг, а не разовий звіт «для галочки».
- Підтвердити, що об’єкт надає життєво важливу послугу в конкретному секторі.
- Разом із секторальним органом провести оцінку PKOKI і визначити категорію.
- Подати відомості для секторального переліку та Реєстру.
- Розробити паспорт безпеки (для I–II категорій) і плани реагування.
- Забезпечити кіберзахист систем управління, фізичну охорону, резервне живлення й відновлюваність.
- Брати участь у моніторингу рівня безпеки та повідомляти про інциденти.
У нашій практиці супроводу підприємств найчастіше «ламається» не формула балів, а інвентаризація залежностей: хто постачає воду для охолодження, хто тримає зв’язок SCADA, де лежить резервна копія конфігурації контролерів, скільки годин об’єкт проживе без зовнішньої мережі. Без цієї карти паспорт перетворюється на красивий файл.
Фізичний захист, кіберконтур і стійкість у 2026 році
Після 2022 року захист критичної інфраструктури перестав бути виключно режимно-охоронною темою. Інженерний захист — бетонні укриття трансформаторів, габіони, сітки проти дронів, розосередження обладнання — стоїть поруч із кіберзахистом АСУ ТП. Другий рівень інженерного захисту на частині енергооб’єктів уже завершено, на понад сотні роботи тривають. Паралельно нарощують розподілену генерацію: газопоршневі установки, когенерацію, модульні котельні, накопичувачі.
Кібервимір має власний контур. Об’єкти критичної інформаційної інфраструктури ідентифікують окремо, щодо них застосовують вимоги індикаторів кіберзагроз, аудиту інформаційної безпеки та планів захисту за проєктною загрозою «кібератака/кіберінцидент». Атака на контролер підстанції чи систему диспетчеризації водоканалу дає той самий блекаут, що й ракета, лише дешевше і з більшою затримкою виявлення.
Стійкість — це не лише «не дати влучити». Це здатність за години, а не тижні, повернути базову послугу: воду, тепло, зв’язок, розрахунки, роботу операційної.
Громади тут так само є операторами. Опитування We Build Ukraine у вересні 2026 року серед 145 громад показало: лише 14% вважають себе повністю готовими до тривалих відключень електро-, тепло- та водопостачання. Резервним живленням забезпечено в середньому 67% критичних об’єктів громад, а всі дев’ять базових послуг понад 72 години одночасно зможуть утримувати лише 4% опитаних. Найдефіцитніше — пальне для генераторів і котелень.
Що статус дає підприємству і що з нього вимагає
Для бізнесу віднесення до критичної інфраструктури — подвійний інструмент. З одного боку, з’являються підстави для бронювання військовозобов’язаних працівників, пріоритетного відновлення, окремих режимів закупівель і взаємодії з ППО та правоохоронцями. З іншого — зростає регуляторне навантаження: звіти, паспорти, аудити, інвестиції в захист, відповідальність керівника за стан безпеки.
Не кожне стратегічне підприємство автоматично є об’єктом критичної інфраструктури, і не кожен об’єкт критичної інфраструктури входить до переліку підприємств стратегічного значення. Це різні реєстри й різні правові режими. Плутанина між ними дорого коштує: компанія або не отримує бронювання, або бере на себе обов’язки, яких юридично ще не має.
Практичний мінімум для керівника, який підозрює, що його актив уже «критичний»:
- звірити основну послугу з переліком сектору в постанові № 1109;
- зібрати дані для оцінки наслідків збою (кількість споживачів, взаємозалежності, час відновлення);
- звернутися до секторального органу, а не чекати «поки самі знайдуть»;
- окремо описати ІТ- та АСУ ТП-контур як потенційні об’єкти критичної інформаційної інфраструктури;
- закласти в бюджет не лише паркан і камери, а резервне живлення, запчастини та кібермоніторинг.
Для мешканця міста практичний сенс інший. Критичність лікарні, насосної чи котельні вимірюється тим, чи є в неї генератор, запас реагентів, резервна схема подачі води і чи знає персонал, що робити після «прильоту». Державні мільярди на захист 444 пріоритетних об’єктів не замінять локальної готовності конкретної громади протримати добу без централізованої мережі.
Як тема змінюється просто зараз
Нормативна рамка 2021 року виявилася робочою, але війна змусила її обрости підзаконними актами: моніторинг рівня безпеки, паспортизація, реєстр, вимоги до управління ризиками I категорії, плани захисту від кібератак, інженерно-технічні заходи в межах планів стійкості регіонів. У березні 2026-го уряд фіксував старт робіт уже на 209 об’єктах за рахунок резервного фонду. Восени акцент змістився на пріоритетний перелік і освоєння 67,6 млрд грн.
Окремий шар — логістика. Залізниця, порти й автомобільні вузли тримають і військове постачання, і експорт, і внутрішній ринок продовольства. Пошкодження локомотивного парку й повторні удари по вже поранених об’єктах показують, що критичність транспорту вимірюється не лише вокзалом, а здатністю швидко замінити тягу, обійти зруйновану горловину станції й захистити ремонтну бригаду.
Українська модель захисту критичної інфраструктури сьогодні стоїть на трьох опорах: секторальна ідентифікація, категоризація за наслідками та поєднання фізичного захисту з кіберстійкістю і розподіленими резервами.
Далі система рухатиметься в бік дрібнішої генерації, жорсткішого обліку залежностей між секторами і реальної, а не паперової паспортизації. Об’єкт критичної інфраструктури перестає бути рядком у закритому реєстрі в той момент, коли в темряві знову вмикається насос, а в операційній — лампа. Саме ця межа між формальним статусом і живою послугою залишається головним критерієм, за яким суспільство оцінює всю конструкцію захисту.
