Адміністративно-правове регулювання кібербезпеки критичної інформаційної інфраструктури в умовах воєнного стану

Анотація

У статті досліджено адміністративно-правове регулювання кібербезпеки критичної інформаційної інфраструктури в Україні в умовах воєнного стану станом на квітень 2025 року. Проаналізовано поняттєву тріаду «критична інфраструктура – критична інформаційна інфраструктура – об'єкти КІІ» за Законами України № 1882-IX та № 2163-VIII у зіставленні із суб'єктною логікою Директиви (ЄС) 2022/2555 (NIS2), що оперує категоріями essential та important entities у 18 секторах. Встановлено, що об'єктно-орієнтований підхід українського законодавства створює семантичний розрив з європейською моделлю та ускладнює процес гармонізації. Визначено інституційну архітектуру національної системи кібербезпеки, що охоплює Держспецзв'язку, CERT-UA, СБУ, кіберполіцію, Мінцифри та НКЦК при РНБО, та виявлено структурну проблему «координації без координатора» – дублювання компетенцій за відсутності єдиного оперативного центру відповідальності. Досліджено трансформацію правового режиму кібербезпеки КІІ під впливом воєнного стану, зокрема розширення дискреційних повноважень регуляторів, спрощення процедур реагування та обмеження публічності реєстрів, із констатацією ризику нормалізації надзвичайних повноважень за відсутності механізмів автоматичного згортання. Здійснено порівняльний аналіз української моделі з європейською системою NIS2 та досвідом Естонії і Литви. На підставі аналізу стратегічних кіберінцидентів 2022–2024 років (Industroyer2, атака на «Київстар», злам реєстрів Мін'юсту) доведено ефективність оперативного реагування за одночасної неспроможності адміністративного механізму превентивного дисциплінування операторів КІІ. Сформульовано пропозиції de lege ferenda щодо повної транспозиції NIS2, гармонізації санкційного механізму, створення єдиного оперативного координатора кіберзахисту та впровадження обов'язкового зовнішнього аудиту.