Редакция: Указ Президента Республики Беларусь от 14 февраля 2023 г. № 40 «О кибербезопасности» (вступил в силу 16 февраля 2023 г.); приказ ОАЦ № 130 — в редакции приказа № 98 от 27.05.2026.
Гайд не является юридическим заключением. Формулировки приведены близко к тексту официальных публикаций; точный текст — по ссылкам в разделе «Источники». Применимость требований к вашей организации и объектам определяют ваши юристы и ответственные лица.
Что это за документ
Указ № 40 создаёт национальную систему обеспечения кибербезопасности. Её элементы:
- Оперативно-аналитический центр при Президенте Республики Беларусь (ОАЦ) — регулятор, который определяет требования по кибербезопасности;
- Национальный центр кибербезопасности — получает информацию о киберинцидентах;
- центры кибербезопасности — выявляют киберинциденты и информируют о них Национальный центр.
Чего в Указе нет
Технических мер — паролей, обновлений, межсетевого экранирования, журналирования — Указ не перечисляет. Их определяет ОАЦ (подп. 3.1 п. 3 Указа). Поэтому вопрос «как выполнить Указ № 40 технически» на практике означает «как выполнить требования ОАЦ»:
- приказ ОАЦ № 130 (приложение 4) — требования по кибербезопасности объектов информационной инфраструктуры. Разбор по пунктам — в гайде «Как выполнить требования приказа ОАЦ № 130»;
- приказ ОАЦ № 66 — техническая и криптографическая защита информации ограниченного распространения, в том числе персональных данных, с требованиями по классам информационных систем.
Что Указ требует от организации напрямую
- Хранить информацию о киберинцидентах не менее одного года. Это касается государственных органов и иных организаций в отношении объектов информационной инфраструктуры, которые им принадлежат (подп. 3.12 п. 3).
- Персональная ответственность руководителя. Руководитель организации несёт персональную ответственность за обеспечение её кибербезопасности (подп. 3.14 п. 3).
- Информирование о киберинцидентах в течение часа — для центров кибербезопасности: они информируют Национальный центр кибербезопасности о выявленных киберинцидентах не позднее одного часа с момента выявления (подп. 3.8 п. 3).
Сроки информирования: сводная таблица
Сроки задают разные акты, и у каждого свой адресат.
| Кто | Кого и о чём информирует | Срок | Основание |
|---|---|---|---|
| Центр кибербезопасности | Национальный центр кибербезопасности — о киберинцидентах | не позднее 1 часа | Указ № 40, подп. 3.8 |
| Центр кибербезопасности | Национальный центр кибербезопасности — о киберинцидентах высокого и среднего уровня и критических уязвимостях | не позднее 1 часа | приказ ОАЦ № 130, п. 6 Положения об информационном взаимодействии |
| Собственник (владелец) информационной системы | ОАЦ — о событиях информационной безопасности, в том числе о нарушении конфиденциальности, целостности, доступности информации | в течение суток | приказ ОАЦ № 66, подп. 4.4 Положения о порядке представления сведений |
| Оператор персональных данных | Уполномоченный орган по защите прав субъектов персональных данных — о нарушениях систем защиты персональных данных | незамедлительно, не позднее 3 рабочих дней | Закон № 99-З, ст. 16 |
С чего начать: практический чек-лист
- Назначьте ответственных. Руководитель отвечает лично, поэтому закрепите, кто отвечает за кибербезопасность каждого объекта и кто принимает решения при инциденте.
- Определите, какие требования к вам применимы. Какие у вас объекты информационной инфраструктуры, есть ли информационные системы с информацией ограниченного распространения и персональными данными, к какому классу они относятся.
- Настройте хранение событий и сведений об инцидентах не менее года. Проверьте, что журналы серверов, сетевого оборудования и средств защиты действительно собираются и не перезаписываются раньше срока.
- Опишите порядок информирования. Кто, кого и в какой срок уведомляет — по таблице выше. Час и сутки — короткие сроки: контакты и шаблоны сообщений должны быть подготовлены заранее.
- Проверьте технические меры по приказу ОАЦ № 130. Реквизиты по умолчанию, блокировка при неудачных попытках входа, доступ к администрированию, обновление ПО в течение месяца, межсетевое экранирование — см. чек-лист по приложению 4.
Как помогает Cyber-Cortex
Cyber-Cortex проверяет инфраструктуру и сопоставляет технические находки с требованиями Указа № 40, приказов ОАЦ № 130 и № 66 и Закона № 99-З — с цитатой и ссылкой на пункт официальной публикации. Находки указывают на потенциальное несоответствие; вывод делает ответственное лицо организации.