Злам пошти бухгалтера, програма-вимагач на сервері, менеджер, який перед звільненням вивантажив клієнтську базу, — для компанії це передусім збитки й простій. Але кожна з цих подій має ще й юридичний бік: хтось міг учинити злочин, а сама компанія могла мати обовʼязки, які треба виконати вже в перші години. Цей матеріал доповнює підрозділ посібника «Корпоративна безпека» про правове поле кібербезпеки практичними розʼясненнями.
Які дії із системами й даними Кримінальний кодекс вважає злочином?
Комп'ютерні злочини зібрані в статтях 361–363-1 КК України (в редакції від 18.09.2026). Коротко про кожну:
- ст. 361 — несанкціоноване втручання в роботу інформаційних, електронних комунікаційних, інформаційно-комунікаційних систем і мереж. Покарання суворішає, якщо втручання призвело до витоку, втрати, підробки чи блокування інформації (ч. 3) або заподіяло значну шкоду (ч. 4). Якщо такі дії вчинено під час воєнного стану, санкція — позбавлення волі на строк від десяти до пʼятнадцяти років (ч. 5);
- ст. 361-1 — створення з метою протиправного використання, розповсюдження або збут шкідливих програмних чи технічних засобів;
- ст. 361-2 — несанкціоновані збут або розповсюдження інформації з обмеженим доступом, яка зберігається в комп'ютерах, системах, мережах або на носіях, створеної та захищеної відповідно до чинного законодавства;
- ст. 362 — несанкціоновані зміна, знищення, блокування, а також перехоплення або копіювання інформації, що призвело до її витоку, вчинені особою, яка має право доступу до неї;
- ст. 363 — порушення правил експлуатації систем чи порядку захисту інформації, якщо це заподіяло значну шкоду, особою, яка відповідає за їх експлуатацію;
- ст. 363-1 — умисне масове розповсюдження повідомлень без згоди адресатів, що порушило або зупинило роботу систем чи мереж.
Значною шкодою для цих статей вважається шкода, що в триста і більше разів перевищує неоподатковуваний мінімум доходів громадян (примітка до ст. 361 КК). Окремо працює ст. 190 КК — шахрайство: ч. 4 передбачає позбавлення волі від трьох до восьми років, зокрема за шахрайство шляхом незаконних операцій з використанням електронно-обчислювальної техніки.
Важливо розрізняти поняття. Закон України «Про основні засади забезпечення кібербезпеки України» (в редакції від 19.10.2025) у ст. 1 називає кіберінцидентом і ненавмисні події — технічний збій, помилку людини, а кібератакою — лише спрямовані, навмисні дії. Кіберзлочин — це вже діяння, за яке встановлено кримінальну відповідальність. Не кожен інцидент є злочином, але розслідувати кожен варто так, ніби він може ним виявитися.
А якщо дані «злив» власний працівник або адміністратор?
Саме для цього існує ст. 362 КК: вона стосується людей, яким доступ надали законно, але які використали його без санкції. Копіювання бази, що призвело до витоку, карається позбавленням волі до трьох років (ч. 2 ст. 362), а повторно, групою чи зі значною шкодою — від трьох до шести років (ч. 3). Якщо працівник ще й продає чи публікує вивантажене, можлива ст. 361-2 КК.
Ключове слово — «несанкціоновані». Слідству доведеться зʼясувати, які дії працівнику дозволялися. Якщо в компанії немає наказу про перелік конфіденційної інформації, розмежування прав і підписаних зобовʼязань, межа між «робочим копіюванням» і злочином розмивається. Те саме з ст. 363 КК: щоб притягнути до відповідальності адміністратора за грубе порушення правил захисту, ці правила мають бути затверджені, а його обовʼязки — записані в посадовій інструкції.
Як це виглядає на практиці?
Ситуація 1. Бухгалтер отримала від «постачальника» лист про зміну реквізитів і оплатила рахунок на чужий рахунок. Згодом зʼясувалося, що пошту постачальника зламали. Що каже закон: заволодіння коштами шляхом обману охоплює ст. 190 КК, а злам поштової скриньки може додатково кваліфікуватися за ст. 361 КК — остаточну кваліфікацію дає слідство. Що робити: негайно звернутися до свого банку з проханням заблокувати платіж і до банку отримувача, у той самий день подати заяву до поліції. За ч. 1 ст. 214 КПК України (чинна редакція станом на жовтень 2026 року) відомості мають бути внесені до Єдиного реєстру досудових розслідувань не пізніше 24 годин після подання заяви, а заявник має право отримати документ про прийняття заяви й витяг з реєстру (ст. 60 КПК).
Ситуація 2. Менеджер з продажу за тиждень до звільнення вивантажив клієнтську базу на особистий диск, а потім клієнтам почав телефонувати конкурент. Що каже закон: це типова ознака ст. 362 КК. Водночас компанія як володілець персональних даних клієнтів мала забезпечити їх захист від незаконної обробки й доступу — так вимагає ч. 1 ст. 24 Закону України «Про захист персональних даних» (в редакції від 14.06.2025). Що робити: зафіксувати журнали доступу й вивантажень, доки їх не перезаписала система, заблокувати облікові записи, подати заяву й посилити захист даних.
Ситуація 3. Фрилансер пропонує «показати дірки» на вашому сайті й надсилає скриншоти з адмінки, яку він уже відкрив. Що каже закон: за ч. 6 ст. 361 КК дії не вважаються несанкціонованим втручанням, лише якщо їх учинено відповідно до порядку пошуку та виявлення потенційних вразливостей. Для систем з державними інформаційними ресурсами й обʼєктів критичної інформаційної інфраструктури такий порядок, зокрема програми винагород і узгоджене розкриття вразливостей, встановлює Кабінет Міністрів (ч. 7 ст. 8 Закону про кібербезпеку). Що робити: тестування на проникнення замовляйте лише за договором із письмово визначеними межами, строками й обʼєктами перевірки. «Самодіяльний» пошук без дозволу власника — ризик для того, хто шукає.
Що компанія зобовʼязана зробити після інциденту — і чи всі мусять повідомляти державу?
Обовʼязки залежать від того, хто ви:
- Будь-який власник системи. Відповідальність за захист інформації в системі покладається на її власника або розпорядника (ч. 1 ст. 9 Закону України «Про захист інформації в інформаційно-комунікаційних системах» (чинна редакція станом на жовтень 2026 року)). Умови обробки інформації визначає власник з урахуванням вимог законодавства (ст. 8 цього Закону), а для фінансових систем під наглядом НБУ — Національний банк.
- Власник системи з державними ресурсами або інформацією, захист якої вимагає закон. Він утворює підрозділ з кіберзахисту або призначає відповідальних осіб і повідомляє Держспецзвʼязку про спроби чи факти несанкціонованих дій (ч. 2 і 3 ст. 9 того самого Закону). Власники систем, де обробляються державні ресурси, службова інформація чи державна таємниця, повідомляють відповідний CSIRT про всі кіберінциденти (ч. 3 ст. 9-1 Закону про кібербезпеку).
- Оператори критичної інфраструктури та власники обʼєктів критичної інформаційної інфраструктури. Їхні посадові особи зобовʼязані дотримуватися вимог з кіберзахисту й повідомляти про кіберінциденти (ч. 1 ст. 6 Закону про кібербезпеку); власники таких обʼєктів повідомляють CSIRT про всі значні кіберінциденти (ч. 3 ст. 9-1). Закон України «Про критичну інфраструктуру» (чинна редакція станом на жовтень 2026 року) додає обовʼязок негайно інформувати уповноважений орган, Національну поліцію, СБУ та інші органи про інциденти з порушенням фізичної безпеки й кібербезпеки (п. 9 ч. 1 ст. 21) і невідкладно — секторальні та функціональні органи (п. 2 ч. 4 ст. 21).
- Інші компанії. Обовʼязкового повідомлення CSIRT для вас закон не встановлює, але ви маєте право приєднатися до національної системи обміну інформацією про кіберінциденти й обмінюватися нею добровільно (ч. 3 ст. 9-1 Закону про кібербезпеку). Заява до поліції про злочин — ваше право, і без неї кривдника майже неможливо знайти: саме Національна поліція розкриває кіберзлочини (п. 2 ч. 2 ст. 8 того самого Закону).
Строки й форми обовʼязкових повідомлень встановлює Держспецзвʼязку (ч. 4 ст. 9-1), а за їх невиконання чи порушення строків посадові особи несуть адміністративну відповідальність (ч. 6 ст. 9-1). Тому чинний порядок і контакти CERT-UA мають бути у вашому плані реагування заздалегідь.
Часті помилки
- Перевстановлюють систему «з нуля» до збору доказів — журнали й сліди зловмисника зникають разом із надією на розслідування.
- Не мають затвердженого переліку конфіденційної інформації та розмежування доступу, а потім не можуть довести, що дії працівника були несанкціонованими.
- Відкладають заяву про BEC-шахрайство «до зʼясування» — і втрачають шанс заблокувати кошти.
- Платять викуп і вважають інцидент закритим, не перевіривши, чи не скопійовано дані та чи немає обовʼязку повідомити.
- Замовляють пентест «на словах», без договору й визначених меж робіт.
Що робити покроково
- Ізолюйте уражені пристрої від мережі, але не вимикайте й не очищайте їх, доки фахівець не зробить копії.
- Зберіть докази: журнали, листи із заголовками, скриншоти, платіжні документи; зафіксуйте, хто, коли й що зробив.
- Змініть паролі й відкличте доступи, увімкніть двофакторну автентифікацію на поштових і адміністративних облікових записах.
- Якщо йдеться про гроші — у той самий день зверніться до банку з вимогою заблокувати платіж.
- Визначте, чи належите ви до субʼєктів з обовʼязковим повідомленням (CSIRT, Держспецзвʼязку, органи захисту критичної інфраструктури), і подайте повідомлення в установлений строк.
- Подайте заяву до поліції, отримайте документ про її прийняття й витяг з ЄРДР.
- Оцініть, чи зачеплено персональні дані, і за потреби попередьте людей.
- Після інциденту оновіть політики доступу, посадові інструкції та план реагування.
Зобовʼязання працівників, договір на пентест і внутрішні політики краще перевірити до того, як вони знадобляться. Їх можна показати юристу в межах послуги «Консультація юриста для бізнесу + перевірка документів» — 2 300 грн. Якщо вже розпочато кримінальне провадження і компанія є потерпілою або підозра падає на працівника, варто взяти консультацію адвоката — 3 500 грн.
З повагою, Твій Юрист.
Дана інформаційна стаття згенерована за допомогою ШІ, перевірена юристом щодо актуальності положень і норм чинного законодавства на відповідність станом на день публікації, з метою інформування громадян про можливість звернутися до спеціаліста у сфері права, адже ніхто не зможе замінити консультацію досвідченого юриста