Перелік надавачів хмарних послуг: що змінюється для держпідприємств і органів влади з 2027 року

Коротко

Органи влади, органи місцевого самоврядування, державні підприємства, установи й організації можуть отримувати хмарні послуги лише від надавачів, внесених до переліку (ч. 2 ст. 8 Закону № 2075-IX). Перехідний період за постановою КМУ № 154 (у редакції постанови № 1691 від 17.12.2025) триває до 31 грудня 2026 року. Обираючи сервіс з охорони праці на 2027 рік, перевірте, чи є надавач у переліку або чи можна розгорнути систему на вашому сервері.

Хто такий публічний користувач

Визначення

«публічний користувач хмарних послуг (далі — публічний користувач) — орган державної влади, орган влади Автономної Республіки Крим, орган місцевого самоврядування, державне підприємство, державна установа, державна організація чи інший суб’єкт владних повноважень або інший суб’єкт, якому делеговані такі повноваження».

— ст. 2 Закону України «Про хмарні послуги» № 2075-IX

Тобто вимоги стосуються не лише міністерств і мерій, а й державних підприємств — енергетики, транспорту, промисловості, — для яких охорона праці є повсякденною роботою з сотнями й тисячами працівників.

Що таке перелік і хто його веде

Перелік надавачів хмарних послуг та/або послуг центру обробки даних веде регулятор комунікаційних послуг (ст. 7 Закону). Закон визначає його як центральний орган виконавчої влади у сферах організації спеціального звʼязку й захисту інформації — це Державна служба спеціального звʼязку та захисту інформації. Регулятор вносить, змінює й виключає відомості про надавачів і затверджує форму заяви.

Що подає надавач для внесення

Заява

Із зазначенням видів хмарних послуг (наприклад, «програмне забезпечення як послуга»), за формою регулятора.

Документи про захист інформації

Передбачені ст. 8 Закону «Про захист інформації в інформаційно-комунікаційних системах»: авторизація з безпеки або сертифікат відповідності стандарту інформаційної безпеки.

Документи про обробку персональних даних

Порядок обробки персональних даних або політики, що регламентують їх конфіденційність.

Право користування засобами

Засвідчені копії документів про право власності чи користування обладнанням і хмарною інфраструктурою; для SaaS — також про право користування програмним забезпеченням або його розповсюдження.

Документ про відповідність

Від органу з оцінки відповідності у сфері електронних комунікацій — про відповідність вимогам до надавачів, затвердженим Кабінетом Міністрів. Ці вимоги, зокрема, передбачають підтвердження відповідності стандартам ISO/IEC 27001, 27017 і 27018.

Крім того, надавач не може використовувати технічні засоби на тимчасово окупованих територіях чи в державі-агресорі або засоби осіб під санкціями, а про значні інциденти має повідомляти регулятора й CERT-UA (ч. 1 ст. 8 Закону).

Що перевірити, обираючи сервіс з охорони праці

Статус надавача. Чи внесений він до переліку, а якщо ні — коли планує, і чи вкладається це в строк 31.12.2026.
Договір. Для публічних користувачів договір укладається за Типовим договором, затвердженим постановою КМУ № 154: перелік авторизованих осіб, право на контент, конфіденційність, зменшення вартості за неналежну якість.
Де обробляються дані. Країни й дата-центри, перелік субобробників.
Ризики безпеки. Надавач має до початку послуг повідомити публічного користувача про ризики безпеки інформації при обробці в хмарі (ч. 1 ст. 8 Закону).
Персональні дані. Договір про обробку персональних даних і обмеження для органів влади — див. наступний розділ.

Персональні дані працівників органів влади

Обмеження

«Розпорядником персональних даних, володільцем яких є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності.»

— ч. 3 ст. 4 Закону України «Про захист персональних даних»

Тобто приватний хмарний сервіс не може бути розпорядником персональних даних працівників органу влади чи місцевого самоврядування. Для державних підприємств як володільців такого обмеження немає.

Альтернатива — розгортання на сервері підприємства

Якщо програмне забезпечення встановлено на інфраструктурі самого підприємства, це не хмарна послуга надавача, і вимога переліку до неї не застосовується. Дані не залишають підприємство. Натомість система підприємства, у якій обробляються державні інформаційні ресурси, має відповідати Закону «Про захист інформації в інформаційно-комунікаційних системах» — через авторизацію з безпеки або сертифікат відповідності. Це робить власник системи; постачальник програми надає документацію й бере участь у випробуваннях.

Bezpeco

Bezpeco затвердив систему управління інформаційною безпекою за ISO/IEC 27001, 27017 і 27018 і готується до сертифікації та внесення до переліку. До того для державних підприємств і органів влади платформу можна розгорнути на сервері замовника. Як ми захищаємо дані — у Політиці інформаційної безпеки, де обробляються дані в хмарі — у переліку субобробників.

Питання та відповіді

Чи стосуються вимоги переліку державних підприємств?

Так. Закон відносить державні підприємства, установи й організації до публічних користувачів хмарних послуг разом з органами влади й місцевого самоврядування.

Що буде, якщо сервісу немає в переліку після 31 грудня 2026 року?

Публічний користувач не зможе отримувати від такого надавача хмарні послуги. Варіант без хмари — розгортання програмного забезпечення на інфраструктурі самого підприємства.

Хто веде перелік?

Регулятор комунікаційних послуг — так Закон «Про хмарні послуги» називає центральний орган виконавчої влади у сферах спеціального звʼязку й захисту інформації, тобто Державну службу спеціального звʼязку та захисту інформації.

Чи може приватна компанія обробляти персональні дані працівників органу влади у своїй хмарі?

Ні. Якщо володільцем персональних даних є орган державної влади чи місцевого самоврядування, розпорядником може бути лише підприємство державної або комунальної форми власності (ч. 3 ст. 4 Закону № 2297-VI). Для державних підприємств такого обмеження немає.