HackenProof і постанова КМУ №1580: як bug bounty платформа вписується в українське законодавство про кіберзахист

У грудні 2025 року Кабінет Міністрів України ухвалив постанову №1580, яка вперше на рівні підзаконного акта чітко визначила, як в Україні мають шукати й виявляти вразливості в державних інформаційних системах та об'єктах критичної інфраструктури — включно з програмами пошуку вразливостей за винагороду (bug bounty) та узгодженим розкриттям вразливостей (coordinated disclosure).

Навколо цієї постанови вже встигло з'явитися чимало неточностей — включно з твердженнями про нібито обов'язкову деанонімізацію дослідників через Дію, перевірки за реєстрами МВС чи СБУ, гео-блокування цілих країн і оплату виключно через тендери Prozorro.

У цій статті — що постанова №1580 говорить насправді, на якій законодавчій основі вона ґрунтується і як модель роботи HackenProof як організатора bug bounty програм відповідає цим вимогам.

Правова основа: від закону до постанови

Постанова №1580 не з'явилася сама по собі. Вона спирається на конкретну норму закону і вносить зміни до вже чинного підзаконного акта:

1. Закон України №4336-IX від 27.03.2025 «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об'єктів критичної інформаційної інфраструктури» доповнив статтю 8 Закону «Про основні засади забезпечення кібербезпеки України» частиною сьомою. Ця норма прямо встановлює, що розроблення та застосування платних і безоплатних умов пошуку та/або виявлення потенційних вразливостей у державних інформаційних системах здійснюються за порядком, який затверджує Кабінет Міністрів, і що складовою цього порядку обов'язково мають бути правила проведення програм пошуку вразливостей за винагороду та правила узгодженого розкриття вразливостей.

Той самий закон закріпив за CERT-UA офіційну функцію координатора узгодженого розкриття вразливостей і прямо легітимізував залучення приватних команд реагування до роботи з державними системами й критичною інфраструктурою — за умови організаційно-технічної спроможності.

2. Постанова КМУ №497 від 16.05.2023 «Порядок пошуку та виявлення потенційної вразливості інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж» — це базовий документ, який ще у 2023 році вперше врегулював саму процедуру bug bounty та coordinated disclosure в Україні на рівні підзаконного акта.

3. Постанова КМУ №1580 від 03.12.2025 (набрала чинності 10.12.2025) виконує подвійну функцію:

• Затверджує окремий Порядок для систем, де обробляються державні інформаційні ресурси, та для об'єктів критичної інформаційної інфраструктури;
• Вносить суттєві зміни до Порядку №497, зокрема, замінює термін «координатор» на «організатор» — офіційно визнаючи роль зовнішньої платформи, яка організовує програму пошуку вразливостей за договором із власником системи.

Разом ці три документи утворюють цілісну правову рамку, яка діє сьогодні.

Хто є хто: власник системи, дослідник, організатор

Порядок №497 у редакції постанови №1580 чітко розділяє ролі учасників процесу:

• Власник або розпорядник системи — юридична або фізична особа-підприємець, яка на праві власності, оренди чи інших законних підставах управляє системою й відповідає за її функціонування.
• Дослідник — особа, яка здійснює пошук та/або виявлення вразливостей у межах публічної пропозиції (програми) або поза нею, без втручання в роботу системи та без експлуатації вразливості.
• Організатор — сторона, яка за договором із власником системи бере на себе організацію програми пошуку й виявлення вразливостей за винагороду. Саме цей термін замінив попереднє формулювання «координатор» — і саме цю роль на практиці виконують спеціалізовані bug bounty платформи.

Це принципово важливо: законодавство прямо передбачає участь зовнішнього організатора програми як окремого, легітимного учасника процесу — поряд із власником системи та дослідником.

Як побудований процес за оновленим Порядком №497

Постанова №1580 деталізує механіку роботи з вразливостями в державних системах:

1. Договір між власником системи та організатором визначає умови програми — скоуп, розмір і джерело винагороди, умови нерозголошення інформації.
2. Дослідник подає звіт про виявлену вразливість — за встановленою формою, з мінімумом технічної інформації, достатнім для відтворення й перевірки вразливості без її фактичної експлуатації.
3. Власник системи або організатор перевіряє звіт: чи відповідає він умовам публічної пропозиції, чи не дублює вже відомі знахідки, які ризики несе вразливість.
4. Рішення приймається протягом 30 робочих днів з дати реєстрації звіту — про внесення або невнесення змін до системи, з повідомленням дослідника та CERT-UA (або галузевого/регіонального CSIRT).
5. Паралельно дослідник повідомляє CERT-UA — за формою, розміщеною на офіційному сайті команди реагування, яка виконує роль координатора узгодженого розкриття вразливостей на національному рівні.
6. Публічне розкриття інформації про вразливість можливе за умови згоди власника системи та відсутності ризиків для стабільної роботи системи — здійснити його можуть CERT-UA, галузеві CSIRT або сам дослідник.

Що постанова №1580 НЕ вимагає

Оскільки навколо цього документа вже з'явилося чимало неточних тверджень, варто окремо зафіксувати, чого в тексті постанови й оновленого Порядку №497 немає:

• Немає обов'язкової деанонімізації дослідників. Пункт 13 змін до Порядку №497 прямо передбачає: дослідник має право повідомити про вразливість анонімно або під псевдонімом, і CERT-UA чи відповідний CSIRT зобов'язані забезпечити цю анонімність, якщо дослідник про це заявив.
• Немає вимоги про перевірку через КЕП, Дію чи реєстри МВС/СБУ для участі дослідника в програмі пошуку вразливостей.
• Немає норми про обов'язкове геоблокування дослідників з певних країн.
• Немає прив'язки до конкретного механізму оплати через Prozorro — постанова згадує лише загальну можливість державно-приватної взаємодії «за рахунок джерел, не заборонених законодавством», без деталізації тендерних процедур.

Це не означає, що якісь із цих практик не застосовуються державними органами з інших міркувань (внутрішня політика безпеки, окремі відомчі вимоги) — але вони не випливають із самої постанови №1580 чи Порядку №497.

Де в цій моделі місце HackenProof

Модель роботи HackenProof — це модель організатора програм пошуку вразливостей за винагороду в тому вигляді, який тепер прямо описаний в українському законодавстві:

• Договірні відносини з власником системи — публічна пропозиція (програма) з чітко визначеним скоупом, правилами й умовами винагороди, що відповідає вимозі укладення договору між власником системи та організатором.
• Тріаж і перевірка звітів — оцінка кожного звіту дослідника на відповідність умовам програми, наявність дублікатів, реальні ризики — саме те, що Порядок №497 покладає на власника системи або організатора.
• Підтримка анонімних і псевдонімних дослідників — на платформі дослідник з будь-якої точки світу може подавати звіти під псевдонімом, що узгоджується з правом на анонімність, закріпленим у Порядку №497.
• Приватні програми з обмеженим доступом — для чутливих систем, де власник хоче залучити лише перевірене коло дослідників, що відповідає логіці «публічної пропозиції» з визначеними умовами доступу.
• Координація розкриття інформації — узгоджений процес розкриття вразливості лише за згодою власника системи, без ризику для стабільної роботи інфраструктури.

Таким чином, роль, яку відіграє HackenProof на ринку — залучення міжнародного пулу дослідників безпеки, організація програм за договором із власником системи та тріаж звітів — структурно відповідає ролі «організатора», яку законодавство України тепер прямо визнає в процесі пошуку вразливостей у державних інформаційних системах та об'єктах критичної інфраструктури.

Застереження

Ця стаття описує загальну структуру процесу, передбачену постановою КМУ №1580 та Порядком №497 (у редакції змін), і проводить паралелі з моделлю роботи bug bounty платформ. Вона не є юридичним висновком. Перед запуском конкретної програми для державної системи чи об'єкта критичної інфраструктури власнику системи варто звернутися за консультацією до профільного юриста та узгодити умови програми з CERT-UA й, за потреби, Держспецзв'язком.