Штрафи до 20 млн євро і викупи хакерам: хто відповідає за кібербезпеку бізнесу

У багатьох компаніях кібербезпеку досі вважають справою ІТ-фахівців, хоча саме керівництво ухвалює рішення про фінансування захисту та визначає допустимі ризики. І придбати сучасні технології вже недостатньо. Важливо чітко розуміти, як швидко вдасться відновити роботу систем після хакерської атаки і які операційні чи фінансові втрати бізнес готовий прийняти заради своїх цілей.

Сьогодні цей процес остаточно перейшов у правове поле. За словами адвоката Дениса Нагорнюка, сам факт зламу не означає автоматичної провини СЕО, проте керівник може нести особисту юридичну відповідальність, якщо ігнорував загрози чи попередження фахівців.

Разом з експертами ринку розібрали головні правові виклики для бізнесу та практичні приклади рішень від українських компаній.

Хто відповідає за злам: межа між форс-мажором та прорахунком керівництва

Перший і головний виклик, який постає перед бізнесом у разі кібератаки — визначити коло відповідальних осіб. Коли внутрішня інфраструктура підприємства зазнає серйозного удару, менеджмент часто намагається списати все на непереборну силу. Проте правова реальність є набагато суворішою.

Сам факт зламу або управлінська помилка автоматично не означають провини керівника. Але якщо СЕО чи Рада директорів ігнорували відомі загрози, не реагували на попередження власних ІТ-фахівців і не забезпечили належного управління кіберризиками, за певних обставин, може наступати цивільно-правова відповідальність перед акціонерами, адміністративні штрафи регуляторів і навіть кримінальна відповідальність.

---

Водночас довести відповідальність конкретної посадової особи досить складно. Для цього може знадобитися комплексна комп'ютерно-технічна експертиза, яка допоможе встановити обставини атаки, дії працівників і керівництва, а також фактичні наслідки інциденту. Тому керівник не повинен самостійно визначати технічні параметри захисту серверів, але має розуміти, які втрати загрожують компанії та скільки часу вона зможе працювати без критичних систем.

CEO не потрібно самостійно визначати параметри відновлення серверів. Його завдання — розуміти можливі збитки, визначати критичні процеси та ризик-апетит: які ризики і в якому обсязі компанія готова прийняти заради своїх цілей. Це основа для вибору стратегії управління операційними ризиками й обґрунтування витрат на захист

---

На практиці це означає, що керівництво має знати, які процеси необхідно відновити першими після атаки, коли знову запрацюють критичні сервіси та наскільки актуальними будуть дані, доступні після відновлення.

• Читайте також: Кібербезпека починається з управління бізнесом

Ігнорування цих питань може коштувати бізнесу значно дорожче за завчасні інвестиції у захист. Згідно з дослідженням Sophos State of Ransomware 2026, яке охопило 2 158 ІТ- та кібербезпекових керівників із 17 країн, медіанна сума викупу, що компанії виплачують зловмисникам після ransomware-атак, становить 769 тис. доларів. Щоби відновитися після хакерської атаки, вартує близько 1,7 млн доларів. А середня сума викупу, яку хакери вимагають від українських компаній, за оцінкою CISO Nova Digital Олега Полігенька, перевищує 2 млн доларів.

Але навіть значні фінансові втрати не вичерпують усіх наслідків інциденту. Якщо через атаку компанія не може виконати зобов'язання перед клієнтами чи партнерами, виникає наступне питання: чи можна в такій ситуації уникнути договірних штрафів, пославшись на форс-мажор?

Чи звільняє кібератака від договірних штрафів

Якщо через кібератаку зупиняються логістика, виробництво або роздрібна торгівля, підприємство може зіткнутися не лише з прямими збитками, а й із претензіями контрагентів через порушення термінів постачання чи виконання інших зобов'язань. Однак сам факт кібератаки не звільняє компанію від відповідальності автоматично. Щоби заявити про обставини непереборної сили, слід довести, що вони і справді перешкоджали виконанню конкретного договору. Зокрема, необхідно встановити причинно-наслідковий зв'язок між атакою та неможливістю виконати зобов'язання.

Для підтвердження компанії може знадобитися індивідуальний сертифікат Торгово-промислової палати України. Водночас наявність такого документа сама по собі не гарантує звільнення від відповідальності: значення мають умови договору, обставини конкретного інциденту та можливість виконати зобов'язання іншим способом.

Окремим ризиком є неналежна підготовка до загроз. Якщо підприємство не оновлювало програмне забезпечення, ігнорувало відомі вразливості або не подбало про резервні копії даних, це може ускладнити обґрунтування своєї позиції в суді.

Ба більше, компанії залежать від зовнішньої цифрової інфраструктури: операторів зв'язку, хмарних сервісів та інших постачальників. Атака на одного з них може порушити роботу багатьох підприємств. Тому бізнесу варто передбачати в договорах порядок дій у разі кіберінцидентів, визначати відповідальність сторін і правила комунікації під час збоїв. Це допоможе заздалегідь узгодити, як діяти, якщо виконання зобов'язань опиниться під загрозою.

Важливо Навіщо Росія атакує українські дата-центри: Зеленський розкрив несподіваний задум Кремля

Ще один спосіб зменшити ризики — передати частину функцій кіберзахисту професійному оператору. Йдеться про керовані сервіси (Managed Services), у межах яких зовнішня команда забезпечує моніторинг, виявлення загроз і реагування на інциденти.

За словами Романа Сологуба, у такій моделі замовник отримує технології, фахівців і процеси кіберзахисту як єдину операційну функцію. Умови її роботи сторони прописують у договорі та угоді про рівень сервісу (SLA), де визначають перелік послуг, вимоги до їхньої якості та порядок взаємодії.

Документальне підтвердження того, як саме організовано кіберзахист, може допомогти компанії продемонструвати належний підхід до управління ризиками. Проте сама наявність договору з провайдером не гарантує звільнення від юридичної відповідальності.

У професійному середовищі часто звертають увагу на парадокс кібербезпеки. Адже, як зазначає співзасновник Berezha Security Group Володимир Стиран, цей напрям складно презентувати інвесторам як актив. Причина в тому, що успішна робота захисту зазвичай непомітна: системи функціонують стабільно, а інцидентів просто не трапляється.

Саме тому бізнесу потрібні регулярні технічні аудити й тестування на проникнення (пентести). Вони допомагають перевіряти захищеність інфраструктури та виявляти слабкі місця до того, як ними скористаються зловмисники.

Вихід на ринки ЄС: як витік даних може коштувати контракту

Українські B2B-компанії, які співпрацюють із замовниками з Європейського Союзу та США, мають враховувати не лише технічні вимоги партнерів, а й правила обробки інформації та договірні зобов'язання.

У ЄС діють, зокрема, Загальний регламент про захист даних (GDPR) і директива NIS2, яка встановлює вимоги до кібербезпеки для визначених категорій організацій. Ці документи регулюють різні аспекти захисту інформації та управління кіберризиками, тому компаніям важливо розуміти, які саме вимоги поширюються на їхню діяльність.

За словами Дениса Нагорнюка, недотримання європейських правил може мати значні фінансові наслідки.

"У Європейському Союзі законодавство в сфері кібербезпеки прописане надзвичайно чітко — там діють жорсткі директиви NIS2 та GDPR. За витік персональних даних передбачено штрафи, які можуть сягати до 20 мільйонів євро або 4% від річного світового обороту компанії. Західні замовники прискіпливо перевіряють ці пункти і миттєво розривають контракти, якщо постачальник не відповідає їхнім стандартам", — зазначає юрист.

Важливо, що наведені граничні суми стосуються штрафів за окремі порушення GDPR, а не будь-якого витоку даних автоматично. Конкретні наслідки залежать від характеру порушення та застосовних норм.

Перед виходом на міжнародні ринки українському бізнесу варто перевірити договори, внутрішні правила обробки даних і фактичні можливості виконувати зобов'язання перед партнерами. Особливої уваги потребують ланцюжки постачання (Supply Chain): якщо невеликий підрядник має доступ до систем великої компанії, його недостатній захист може створювати ризики для всього бізнесу.

Водночас вимоги до кібербезпеки можуть стати конкурентною перевагою України. Європейські інституції приділяють увагу технологічному суверенітету та зменшенню залежності від постачальників з-поза меж ЄС. На цьому тлі українські компанії можуть використовувати досвід протидії реальним кібератакам для розвитку міжнародного бізнесу — за умови, що здатні підтвердити якість своїх рішень і відповідність вимогам клієнтів.

Приклад такої співпраці наводить Роман Сологуб. За його словами, міжнародна ISSP (Information Systems Security Partners) уже п'ятий рік поспіль надає послуги центру моніторингу та реагування на кіберзагрози (SOC) швейцарській компанії у сфері медичних технологій. Після відкриття офісу клієнта у США співпраця розширилася.

Стратегічна мета українського ринку, за словами Сологуба, — перетворити Україну на провідний європейський центр безпекових рішень та експертизи, подібно до того, як ізраїльська індустрія кібербезпеки закріпилася на ринку США. Проте для міжнародної експансії недостатньо лише технологічної експертизи. Компаніям також потрібно контролювати, як працівники використовують дані та нові цифрові інструменти. Особливо гостро це питання постає на тлі поширення штучного інтелекту.

Штучний інтелект: як працівники можуть розкрити комерційну таємницю

ШІ допомагає автоматизувати робочі процеси, аналізувати інформацію та швидше виконувати рутинні завдання. Однак використання публічних моделей без чітких правил може створювати ризик розголошення конфіденційних відомостей.

За словами Дениса Нагорнюка, помилково вважати, що достатньо прибрати з документа імена та інші очевидні ідентифікатори, перш ніж завантажувати його до ШІ-сервісу.

"Бізнес часто потрапляє в пастку так званого "знеособлення": працівники формально затирають імена в документах, але залишають неприхованою іншу конфіденційну інформацію та унікальні умови угод, завантажуючи їх у публічний ШІ. Ці дані безповоротно стають публічними. Ба більше, за певних обставин правоохоронні органи можуть отримати повну історію взаємодії конкретного працівника з ШІ-моделями, що ставить під загрозу комерційну таємницю", — пояснює юрист.

Водночас твердження про те, що завантажені дані в усіх випадках безповоротно стають публічними, було б надто категоричним: умови зберігання, використання та доступу до інформації залежать від конкретного сервісу й налаштувань. Однак передавання конфіденційних документів сторонньому інструменту справді потребує оцінки ризиків.

Тому компаніям варто визначити, яку інформацію дозволено вводити в ШІ-сервіси, які інструменти можуть використовувати працівники та як контролюватиметься доступ до чутливих даних. Але слід пам'ятати: застосування засобів моніторингу не означає, що роботодавець може без обмежень стежити за працівниками: способи контролю також мають відповідати правовим вимогам.

Ризики не обмежуються випадковим розголошенням інформації. Штучний інтелект використовують і для вдосконалення кібератак. Зловмисники можуть автоматизувати розвідку всередині мереж, пошук вразливостей та інші етапи атак, що скорочує час на виявлення загроз і реагування на них.

Як свідчать глобальні дослідження ринку, зокрема щорічний звіт IBM Cost of a Data Breach, компанії, які активно впроваджують інструменти автоматизації та ШІ для захисту, виявляють і локалізують загрози в середньому на 80 днів швидше. Сучасні інтелектуальні рішення класу AI SOC здатні безперервно аналізувати поведінкові фактори в мережі. Вони миттєво фіксують аномалії на кшталт нетипового копіювання корпоративних файлів вночі і автоматично блокують підозрілі дії ще до того, як зловмисник завдасть значних збитків.

За відповідних налаштувань система може автоматично блокувати загрозу на рівні пристрою, перш ніж дані буде передано за межі корпоративної інфраструктури. Водночас ефективність такого захисту залежить від налаштувань, якості даних, повноти моніторингу та процедур реагування.

Тож штучний інтелект може бути як джерелом нових ризиків, так і інструментом захисту. Вирішальне значення має те, чи має компанія зрозумілі правила використання технологій, контролює доступ до інформації та здатна вчасно виявляти підозрілу активність.

Що має зробити бізнес, щоб зменшити ризики

Як з'ясував Фокус, кібербезпека перестала бути виключно технічним питанням. Вона впливає на безперервність роботи підприємства, відносини з партнерами, міжнародну експансію та потенційну юридичну відповідальність керівництва. І щоби знизити ризики, компаніям варто не лише визначити критичні бізнес-процеси та допустимий час їхнього простою, а й регулярно перевіряти вразливості, проводити технічні аудити й пентести.

Юридична та договірна площина захисту теж потребує уваги. Тому бізнесу важливо заздалегідь прописувати в контрактах чіткий алгоритм дій на випадок кібератак та правила безпечної взаємодії з контрагентами, адже головне питання полягає не в тому, чи станеться кібератака, а наскільки компанія готова до її наслідків.

Раніше Фокус писав, що російські хакери створили ПЗ, якому надали право автономних дій — від розвідки та фішингу до введення шкідливого коду в програмні коди відповідних установ. За даними власників ШІ-алгоритму, операція росіян тривала з грудня 2025 по серпень 2026 року. Так вони використали ШІ Claude для кібератаки та навчання дронів.

Також вже йшлося про те, як Росія маніпулює кіберпростором і використовує кібератаки, дезінформацію та маніпуляції інформацією проти України задля сіяння паніки серед населення, обмеження доступу до достовірної інформації та підриву довіри до державних інституцій.