Один із найчутливіших і найзаплутаніших блоків. У медіа звучать тези про «3–5 років позбавлення волі», у HR-чатах — про «штрафи за відсутність CISO». У SHERIFF КІБЕРБЕЗПЕКА ми сотні разів пояснювали клієнтам реальну картину ризиків і тепер зберемо її в єдиному тексті.
Закон 4336 встановлює один прямий вид відповідальності - адміністративний Він прив’язаний до конкретного порушення: ненадання обов’язкових повідомлень про кіберінциденти у встановлені строки. Це нова стаття 9¹ Закону «Про основні засади забезпечення кібербезпеки», введена цим законом. Розмір штрафів встановлюється в КУпАП або окремому законі - Закон 4336 робить відсилання «до закону».
Принциповий момент: Закон 4336 не запроваджує і не змінює кримінальну відповідальність. Усі тези про «3−5 років позбавлення волі за витік даних» стосуються Кримінального кодексу України, а саме статей 361−363¹. Ці статті описують злочини у сфері використання комп’ютерних систем та існують незалежно від Закону 4336. Санкції в них варіюються залежно від складу та обтяжуючих обставин: від штрафів і обмеження волі до кількох років позбавлення волі.
Стаття 361 КК у частині з обтяжуючими обставинами передбачає до 6 років.
Регуляторний контроль за дотриманням вимог кіберзахисту здійснюється у порядку, затвердженому постановою КМУ від 17.12.2025 № 1668. Йдеться про планові і позапланові перевірки на відповідність вимогам — за результатами можуть формуватися приписи, рекомендації, фіксуватися адміністративні правопорушення.
Що це означає на практиці. По-перше, треба чітко доносити до команди, що ризик адміністративної санкції — це реальний і прив’язаний до строків повідомлень про кіберінциденти. Це елементарне процедурне питання, яке вирішується внутрішнім регламентом і навчанням персоналу. По-друге, ризик кримінальної відповідальності — це не «новий ризик від Закону 4336», а постійна реальність КК, яка не з’явилась у березні 2025 року. По-третє, найбільш недооцінений ризик — регуляторний: позапланова перевірка з фіксацією невідповідностей може суттєво вплинути на репутацію установи навіть без жодної кримінальної справи.
Фахівці SHERIFF КІБЕРБЕЗПЕКИ готують клієнтів саме до третього сценарію, щоб під час перевірки документи відповідали процедурам, а процедури відповідали реальним діям. Це той рівень готовності, який знімає більшість регуляторних ризиків ще до їх настання.
↳ Стаття 9¹ Закону «Про основні засади забезпечення кібербезпеки» у ред. 4336-IX; статті 361−363¹ Кримінального кодексу України; постанова КМУ № 1668 від 17.12.2025.
⟵ Це публікація-доповнення до основної статті «Закон 4336-IX: що змінюється для держустанов і критичної інфраструктури і як до цього готуватися бізнесу».
Читайте також: Кібербезпека за новими правилами: Закон 4336-IX на практиці
