Зміни вже вступили в силу, і повернення до попереднього стану неможливе: в Україні офіційно запровадили відкритий перелік забороненого програмного забезпечення та комунікаційного обладнання, який тепер є обов’язковим документом для державних органів, компаній критичної інфраструктури, військових формувань та держпідприємств. Це не про плани чи концепції — це нова реальність, яка формується для сталого захисту держави у цифровому просторі.

Що саме сталося?

9 січня 2026 року Державна служба спеціального зв’язку та захисту інформації України (Держспецзв’язку) оприлюднила офіційний і відкритий перелік програмного забезпечення, забороненого до використання в державних організаціях та критичній інфраструктурі. Цей перелік — не рекомендація, а фактична норма, яку мають виконувати всі відповідні установи та організації.

Цей перелік являється офіційним джерелом інформації та стосується:

· Органів державної влади
· Органів місцевого самоврядування
· Військових формувань
· Державних підприємств
· Операторів критичної інфраструктури

До нього можуть включатися рішення, які мають безпекові ризики, зокрема через приналежність власникам із країн-агресорів, підпадають під санкції або містять невідомі вразливості.

❗️Це вже не теорія чи обговорення — це чинні вимоги, які мають виконуватися сьогодні, і немає «дороги назад» до використання небезпечних систем у критичних державних інфраструктурах.

Що саме заборонено вже сьогодні?

До цього переліку включено ряд широко використовуваних програмних продуктів, зокрема:

1. 1C: Бухгалтерія 8 для України.
2. 1C: Бухгалтерія 8 для України Базова.
3. 1C: Бухгалтерія 8 для України. Учбова версія.
4. 1C: Підприємство 8. Торгівля для приватних підприємців України.
5. 1C: Підприємство 8. Комплексний облік для бюджетних установ України.
6. 1C: Підприємство 8. Комплексний облік для бюджетних установ України Базова.
7. 1C: Підприємство 8. Управління торгівлею для України.
8. 1C: Підприємство 8. Управління невеликою фірмою для України.
9. 1C: Підприємство 8. Зарплата і Управління Персоналом для України.
10. 1C: Підприємство 8. Зарплата і Управління Персоналом для України Базова
11. 1С: Підприємство 8. Управління торговим підприємством для України (1С: Управління торговим підприємством 8, 1С: УТП8).
12. 1С: Підприємство 8. Бухгалтерія для бюджетних установ України (1С: Бухгалтерія 8 для бюджетних установ).
13. 1С: Підприємство 8. Зарплата та кадри для бюджетних установ України (1С: Зарплата та кадри для бюджетних установ України).
14. 1С: Підприємство 8. Управління виробничим підприємством для України.
15. 1С: Підприємство 8. Документообіг КОРП для України.
16. 1С: Підприємство 7.7. Бухгалтерський облік для України (1С: Бухгалтерія 7.7.).
17. 1С: Торгівля і Склад 7.7. для України.
18. 1С: Зарплата і Кадри 7.7. для України.
19. 1С: Підприємство 7.7. Комплексна поставка для України.
20. 1С: Підприємство 7.7. Виробництво + Послуги + Бухгалтерія для України.
21. BAS ERP.
22. BAS Управління холдингом BAS.
23. BAS Документообіг КОРП.
24. BAS Управління торгівлею BAS.
25. BAS Роздрібна торгівля BAS.
26. BAS Бухгалтерія КОРП.
27. UA-Бюджет.

Це означає, що використання такого програмного забезпечення в державних органах, органах місцевого самоврядування, військових формуваннях, державних підприємствах і операторах критичної інфраструктури є забороненим.

Навіщо це зроблено?

За інформацією Держспецзв’язку, створення та ведення такого переліку має на меті посилити захист національних інформаційних ресурсів і критичної інфраструктури від сучасних кіберзагроз, включно з можливістю використання програм або обладнання для шпигунства чи диверсій.

Цей список є динамічним і може бути оновлений або розширений залежно від оцінки ризиків.

Що це означає для підприємств критичної інфраструктури?

1. Порушення обов’язкових вимог кібербезпеки

Підприємства критичної інфраструктури зобов’язані:

· дотримуватися вимог Держспецзв’язку;
· використовувати лише дозволене та безпечне ПЗ;
· забезпечувати захист державних і критичних інформаційних ресурсів.

⮕ Використання забороненого ПЗ автоматично означає невідповідність вимогам кіберзахисту.

2. Ризик приписів та примусової зупинки систем

У разі виявлення забороненого ПЗ:

· підприємство може отримати обов’язковий припис на негайне виведення такого ПЗ з експлуатації;
· можливе блокування або обмеження роботи інформаційних систем до усунення порушень;
· у критичних випадках — примусове відключення систем, що створюють загрозу національній безпеці.

⮕ Для об’єктів критичної інфраструктури це означає ризик зупинки виробництва, логістики, енергопостачання, зв’язку або фінансових операцій.

3. Юридична відповідальність посадових осіб

Керівники та відповідальні за ІТ і безпеку особи можуть нести:

· адміністративну відповідальність — за порушення вимог захисту інформації;
· дисциплінарну відповідальність — аж до звільнення;
· кримінальну відповідальність — у разі, якщо використання забороненого ПЗ призвело або могло призвести до:

o витоку даних,
o порушення роботи критичних систем,
o шкоди обороноздатності чи безпеці держави.

⮕ Формулювання «не встигли перейти» або «використовували раніше» не є виправданням.

4. Втрата статусу відповідності та проблеми з перевірками

Використання забороненого ПЗ означає:

· провал перевірок Держспецзв’язку та інших контролюючих органів;
· неможливість пройти аудит інформаційної безпеки;
· ризик втрати статусу оператора критичної інфраструктури або обмеження діяльності.

⮕ Це напряму впливає на можливість працювати в регульованих галузях.

5. Фінансові втрати та репутаційні ризики

Наслідки для бізнесу:

· витрати на екстрену заміну ПЗ без планування;
· штрафи, пені, непрямі збитки через зупинку процесів;
· втрата довіри держави, партнерів і регуляторів;
· ризик виключення з державних програм, контрактів або тендерів.

⮕ Для критичної інфраструктури це не просто ІТ-ризик, а бізнес-ризик рівня “екзистенційний”.

Що далі — приватний сектор у фокусі?

Зараз заборона діє саме для державних і критично важливих систем. Водночас експерти та бізнес-спільнота все частіше обговорюють необхідність розширення таких обмежень на приватні компанії, особливо там, де йдеться про загрозу національній безпеці або обробку критичних даних.

Це означає, що обмежувальні правила можуть поширюватися і на бізнес, а підприємствам уже варто готуватися до того, що вимоги кібербезпеки стануть жорсткішими й для них.

🔚 Висновок: перехід на нове ПЗ — не «коли-небудь», а зараз!

Заборона вже офіційно діє, перелік оприлюднений, правила визначені. Для підприємств критичної інфраструктури це означає одне: час для роздумів закінчився.

Використання забороненого програмного забезпечення більше не є «технічним боргом» або «тимчасовим рішенням» — це прямий операційний і юридичний ризик.

Важливо розуміти: перехід на нове ПЗ — це не про формальне виконання вимог держави. Це про стійкість бізнесу, безперервність процесів, захист даних клієнтів і партнерів, збереження контрактів та репутації. Чим довше компанія відкладає міграцію, тим дорожчим і болючішим стає перехід: без плану, без вибору альтернатив, у режимі примусу та зупинки систем.

Крім того, перелік забороненого ПЗ не є фінальним. Він буде оновлюватися й розширюватися. Те, що сьогодні ще формально дозволене, завтра може опинитися під обмеженнями. Тому стратегія «почекати» — це не нейтралітет, а відкладений ризик.

Саме зараз — оптимальний момент:

· провести аудит свого ІТ-ландшафту,
· визначити залежності від заборонених або ризикових рішень,
· обрати безпечні, прозорі та підтримувані альтернативи,
· спланувати перехід без тиску, штрафів і зупинок.

👉Тягнути не варто.
Перехід на нове програмне забезпечення — це не вимога «на потім», а необхідна умова стабільної роботи вже сьогодні. Для підприємств критичної інфраструктури це питання не зручності, а відповідальності та виживання в новій цифровій реальності.