Объекты критической инфраструктуры — это предприятия, системы, сети и их отдельные части, без которых государство не способно поддерживать жизненно важные функции: энергию, воду, связь, транспорт, охрану здоровья, финансы и оборону. Согласно Закону Украины «О критической инфраструктуре» от 16 ноября 2021 года № 1882-IX нарушение их работы может нанести вред национальной безопасности, экономике и жизнедеятельности населения. Статус предоставляется не по вывеске или форме собственности, а по последствиям сбоя.
В Украине такие объекты учитываются в государственном Реестре. По данным Государственной службы специальной связи и защиты информации, на начало 2026 года в него внесены сведения о более чем 4 600 объектах. Каждому присваивают категорию критичности от I до IV и регистрационный номер. Во время военного положения прямой доступ к реестру ограничен.
Для оператора статус означает обязанности по паспортизации, управлению рисками, киберзащите и резервированию. Для общины — приоритет восстановления после удара. Для государства — распределение ресурсов ПВО, инженерной защиты и финансирования. В 2026 году в госбюджете на защиту предусмотрено 67,6 млрд грн, приоритетными определены 444 объекта из 607, на которых ведутся работы.
Что именно закон называет объектом критической инфраструктуры
Нормативное определение сформулировано четко: объекты инфраструктуры, системы, их части и совокупность, важные для экономики, национальной безопасности и обороны, нарушение функционирования которых может нанести вред жизненно важным национальным интересам. Критическая инфраструктура — это уже совокупность таких объектов. Отдельно закон выделяет критическую технологическую информацию — данные, циркулирующие в системах управления технологическими процессами.
Главный критерий — не размер предприятия и не государственная доля в капитале. Решающим является масштаб последствий. Остановка районной насосной станции может оставить без воды десятки тысяч человек. Выход из строя магистральной подстанции «Укрэнерго» способен обрушить баланс целого энергоострова. Повреждение дата-центра платежной системы парализует расчеты. Именно эта цепочка «услуга — зависимость общества — вред национальным интересам» и отличает обычный актив от объекта критической инфраструктуры.
Статус возникает не из декларации владельца, а после идентификации секторальным органом, категоризации по методике Кабинета Министров и внесения сведений в Реестр объектов критической инфраструктуры.
Параллельно действует Закон Украины «Об основных принципах обеспечения кибербезопасности Украины». Он оперирует понятием критически важных объектов инфраструктуры и объектов критической информационной инфраструктуры — коммуникационных и технологических систем, атака на которые непосредственно останавливает физический объект. На практике один завод или больница могут одновременно быть объектом критической инфраструктуры и иметь несколько объектов критической информационной инфраструктуры внутри.
Как объект попадает в перечень и кто это решает
Порядок отнесения утвержден постановлением Кабинета Министров Украины от 9 октября 2020 года № 1109 (с многочисленными изменениями, в частности 2024–2026 годов). Секторальный орган — министерство или другой центральный орган, ответственный за отрасль — вместе с оператором идентифицирует объекты своего сектора. Далее проводится оценка критичности по секторальным и межсекторальным критериям.
Оценка учитывает социальную значимость (сколько людей может пострадать), общественную (влияние на порядок и базовые услуги), экономическую (убытки, остановка смежных производств), экологическую, значение для обороны и наличие взаимосвязей с другими объектами. Каждому критерию ставят балл от 0 до 4. Сумму нормируют: делят на максимально возможное количество баллов. Полученное значение PKOKI определяет категорию.
- I категория — если 0,8 < PKOKI ≤ 1: общегосударственное значение, кризис национального масштаба, сильное влияние на другие системы.
- II категория — если 0,63 < PKOKI ≤ 0,8: кризис регионального значения.
- III категория — если 0,37 < PKOKI ≤ 0,63: кризис районного или территориального уровня.
- IV категория — если 0,2 < PKOKI ≤ 0,37: локальное, но все еще критическое влияние.
Если показатель не превышает 0,2, объект не признают критическим. Количество критериев зависит от сектора и составляет 17 или 18, поэтому максимальная сумма баллов — 68 или 72. Методика выглядит формальной, однако именно она заставляет сравнивать атомную станцию, областную больницу и районный водоканал по общей шкале, а не «на глаз».
| Категория | Нормированная оценка | Масштаб кризиса | Типичные требования |
|---|---|---|---|
| I | свыше 0,8 до 1 | общегосударственный | паспорт безопасности, управление рисками, усиленная кибер- и физическая защита |
| II | свыше 0,63 до 0,8 | региональный | паспорт безопасности, планы восстановления, взаимодействие с органами власти |
| III | свыше 0,37 до 0,63 | район / община | резервирование, базовая защита, учет в секторальном перечне |
| IV | свыше 0,2 до 0,37 | локальный | минимальный набор мер устойчивости и отчетности |
Источники данных таблицы: постановление КМУ № 1109 и Методика категоризации объектов критической инфраструктуры (zakon.rada.gov.ua).
Секторы, в которых ищут критические объекты
Кабинет Министров утверждает перечень секторов и подсекторов вместе с типами основных услуг и секторальными органами. Список не застыл: в 2025–2026 годах в него добавляли, в частности, местное самоуправление, оборонно-промышленный комплекс и уточняли промышленные подсекторы. Ниже — рабочая карта основных направлений, которыми оперируют органы власти.
| Сектор | Примеры услуг и объектов | Секторальный ориентир |
|---|---|---|
| Топливно-энергетический | АЭС, ТЭС, ГЭС, сети передачи и распределения, ГТС, теплоснабжение | Минэнерго |
| Вода и жизнеобеспечение | централизованное водоснабжение, водоотведение, очистные сооружения | профильные органы систем жизнеобеспечения |
| Охрана здоровья | больницы высокого уровня, фармацевтика, биолаборатории, кровь | Минздрав |
| Транспорт и почта | железная дорога, порты, аэропорты, магистральные узлы | Минразвития / транспортный блок |
| Цифровые технологии и связь | электронные коммуникации, облачные услуги, е-идентификация, ЦОД | Минцифры, Госспецсвязи |
| Финансы | банковская система, платежная инфраструктура, запасы наличности | НБУ (отдельный порядок) |
| Продовольствие | производство и хранение стратегических пищевых запасов | Минагрополитики / экономический блок |
| Оборона, правопорядок, правосудие | оборонная промышленность, места несвободы, осуществление правосудия | Минобороны, МВД, ГСА |
Источник структуры секторов: перечень к постановлению КМУ № 1109 в действующей редакции с изменениями 2025–2026 годов (zakon.rada.gov.ua). Для банков и части финансового рынка предусмотрен отдельный механизм с участием Национального банка.
Энергетика остается наиболее нагруженным сектором. С октября 2025-го по март 2026-го Мониторинговая миссия ООН по правам человека зафиксировала не менее 423 атак на объекты генерации, передачи и распределения электроэнергии и не менее 74 ударов по тепловой инфраструктуре. Это не абстрактная статистика: именно эти удары превращают больницу без резервного питания в объект, который формально критичен, а фактически нем.
Реестр, паспорт безопасности и что обязан делать оператор
Реестр объектов критической инфраструктуры ведется как автоматизированная система учета. Объект приобретает статус после внесения сведений и присвоения индикатора. Порядок ведения утвержден отдельным постановлением КМУ. На время военного положения и еще 12 месяцев после его отмены непосредственный публичный доступ к данным реестра ограничен — это защита от разведки противника, а не бюрократический каприз.
Для объектов I и II категорий обязательный паспорт безопасности. Это не справка «мы хорошие», а структурированный документ: границы объекта, жизненно важные функции, сценарии угроз, имеющиеся барьеры, пробелы, план восстановления. В 2025 году, по официальному сообщению Госспецсвязи, было согласовано 1 306 паспортов безопасности, а в реестр добавлено 2 046 новых объектов.
С апреля 2025 года для объектов I категории действуют отдельные требования по управлению рисками безопасности (постановление КМУ № 367). Оператор должен определить лимиты риска, источники угроз, вероятность инцидента и последствия для непрерывности услуги. Речь идет о цикле: идентификация — оценка — обработка — мониторинг, а не разовый отчет «для галочки».
- Подтвердить, что объект предоставляет жизненно важную услугу в конкретном секторе.
- Вместе с секторальным органом провести оценку PKOKI и определить категорию.
- Подать сведения для секторального перечня и Реестра.
- Разработать паспорт безопасности (для I–II категорий) и планы реагирования.
- Обеспечить киберзащиту систем управления, физическую охрану, резервное питание и восстанавливаемость.
- Участвовать в мониторинге уровня безопасности и сообщать об инцидентах.
В нашей практике сопровождения предприятий чаще всего «ломается» не формула баллов, а инвентаризация зависимостей: кто поставляет воду для охлаждения, кто держит связь SCADA, где лежит резервная копия конфигурации контроллеров, сколько часов объект проживет без внешней сети. Без этой карты паспорт превращается в красивый файл.
Физическая защита, киберконтур и устойчивость в 2026 году
После 2022 года защита критической инфраструктуры перестала быть исключительно режимно-охранной темой. Инженерная защита — бетонные укрытия трансформаторов, габионы, сетки против дронов, рассредоточение оборудования — стоит рядом с киберзащитой АСУ ТП. Второй уровень инженерной защиты на части энергообъектов уже завершен, на более чем сотне работы продолжаются. Параллельно наращивают распределенную генерацию: газопоршневые установки, когенерацию, модульные котельные, накопители.
Киберизмерение имеет собственный контур. Объекты критической информационной инфраструктуры идентифицируют отдельно, к ним применяют требования индикаторов киберугроз, аудита информационной безопасности и планов защиты по проектной угрозе «кибератака/киберинцидент». Атака на контроллер подстанции или систему диспетчеризации водоканала дает тот же блэкаут, что и ракета, только дешевле и с большей задержкой обнаружения.
Устойчивость — это не только «не дать попасть». Это способность за часы, а не недели, вернуть базовую услугу: воду, тепло, связь, расчеты, работу операционной.
Общины здесь также являются операторами. Опрос We Build Ukraine в сентябре 2026 года среди 145 общин показал: только 14% считают себя полностью готовыми к длительным отключениям электро-, тепло- и водоснабжения. Резервным питанием обеспечено в среднем 67% критических объектов общин, а все девять базовых услуг более 72 часов одновременно смогут удерживать лишь 4% опрошенных. Самое дефицитное — топливо для генераторов и котельных.
Что статус дает предприятию и что с него требует
Для бизнеса отнесение к критической инфраструктуре — двойной инструмент. С одной стороны, появляются основания для бронирования военнообязанных работников, приоритетного восстановления, отдельных режимов закупок и взаимодействия с ПВО и правоохранителями. С другой — растет регуляторная нагрузка: отчеты, паспорта, аудиты, инвестиции в защиту, ответственность руководителя за состояние безопасности.
Не каждое стратегическое предприятие автоматически является объектом критической инфраструктуры, и не каждый объект критической инфраструктуры входит в перечень предприятий стратегического значения. Это разные реестры и разные правовые режимы. Путаница между ними дорого обходится: компания либо не получает бронирование, либо берет на себя обязанности, которых юридически еще не имеет.
Практический минимум для руководителя, который подозревает, что его актив уже «критический»:
- сверить основную услугу с перечнем сектора в постановлении № 1109;
- собрать данные для оценки последствий сбоя (количество потребителей, взаимозависимости, время восстановления);
- обратиться к секторальному органу, а не ждать «пока сами найдут»;
- отдельно описать ИТ- и АСУ ТП-контур как потенциальные объекты критической информационной инфраструктуры;
- заложить в бюджет не только забор и камеры, а резервное питание, запчасти и кибермониторинг.
Для жителя города практический смысл иной. Критичность больницы, насосной или котельной измеряется тем, есть ли у нее генератор, запас реагентов, резервная схема подачи воды и знает ли персонал, что делать после «прилета». Государственные миллиарды на защиту 444 приоритетных объектов не заменят локальной готовности конкретной общины продержаться сутки без централизованной сети.
Как тема меняется прямо сейчас
Нормативная рамка 2021 года оказалась рабочей, но война заставила ее обрасти подзаконными актами: мониторинг уровня безопасности, паспортизация, реестр, требования к управлению рисками I категории, планы защиты от кибератак, инженерно-технические меры в рамках планов устойчивости регионов. В марте 2026-го правительство фиксировало старт работ уже на 209 объектах за счет резервного фонда. Осенью акцент сместился на приоритетный перечень и освоение 67,6 млрд грн.
Отдельный слой — логистика. Железная дорога, порты и автомобильные узлы держат и военное снабжение, и экспорт, и внутренний рынок продовольствия. Повреждение локомотивного парка и повторные удары по уже раненым объектам показывают, что критичность транспорта измеряется не только вокзалом, а способностью быстро заменить тягу, обойти разрушенную горловину станции и защитить ремонтную бригаду.
Украинская модель защиты критической инфраструктуры сегодня стоит на трех опорах: секторальная идентификация, категоризация по последствиям и сочетание физической защиты с киберустойчивостью и распределенными резервами.
Далее система будет двигаться в сторону более мелкой генерации, более жесткого учета зависимостей между секторами и реальной, а не бумажной паспортизации. Объект критической инфраструктуры перестает быть строкой в закрытом реестре в тот момент, когда в темноте снова включается насос, а в операционной — лампа. Именно эта грань между формальным статусом и живой услугой остается главным критерием, по которому общество оценивает всю конструкцию защиты.
