Заборонене програмне забезпечення: кого стосується Перелік Держспецзв’язку і що з 1С і BAS
Прямо заборона діє для систем, де обробляються державні інформаційні ресурси, службова інформація або державна таємниця, і для об’єктів критичної інформаційної інфраструктури: там програмне забезпечення з Переліку Держспецзв’язку використовувати не можна. Для решти компаній і НПО закон такої заборони не встановлює, але Перелік показує, чий правовласник під санкціями, і саме тому програма обліку стає питанням, яке ставить аудитор.
Перелік ведеться за постановою Кабміну від 22.10.2025 № 1335. У лютому 2026 року Держспецзв’язку відповіло на поширені запитання, зокрема про програми 1С і BAS. Нижче пояснюємо, кого заборона стосується напряму, що це означає для інших і що варто зробити бухгалтерії вже зараз.
Що змінилося
Частина четверта статті 4 Закону «Про основні засади забезпечення кібербезпеки України» встановлює обов’язкову умову: у системах, де обробляються державні інформаційні ресурси або службова інформація та державна таємниця, а також на об’єктах критичної інформаційної інфраструктури, програмне забезпечення і мережеве обладнання не повинні бути у відкритому переліку забороненого до використання. Текст закону: zakon.rada.gov.ua.
Порядок формування Переліку затверджено постановою КМУ від 22.10.2025 № 1335. Перелік веде Адміністрація Держспецзв’язку, він є відкритими даними і публікується на її сайті та на порталі відкритих даних. До нього включають продукти, якщо їхній власник, кінцевий бенефіціар, автор чи інша особа з майновими правами перебуває під українськими санкціями або під міжнародними санкціями, які визнає Україна, а також за рішенням суду. Зміни вносять протягом п’яти робочих днів з моменту появи підстави.
18.02.2026 Держспецзв’язку опублікувало відповіді на поширені запитання: cip.gov.ua. Головне з них:
- критерій включення не технічна оцінка безпеки продукту, а санкційний статус осіб, які мають майнові права на нього;
- станом на дату відповідей у Переліку було 40 позицій, і він далі наповнюється;
- до Переліку внесено програмні продукти «1С» і «BAS», правовласником яких є ТОВ «1С»;
- відсутність доступу до інтернету чи оновлень не знімає вимог, якщо система підпадає під закон;
- хмарна модель (SaaS) теж підпадає під обмеження, бо закон не розрізняє програми за способом використання.
Кого стосується
| Хто ви | Що каже закон | Наслідок |
|---|---|---|
| Система, де обробляються державні інформаційні ресурси, службова інформація або держтаємниця; об’єкт критичної інформаційної інфраструктури | ПЗ з Переліку використовувати не можна (ч. 4 ст. 4 Закону про кібербезпеку) | Система не пройде авторизацію з безпеки або сертифікацію, уже видані можуть скасувати; у разі невиконання припису протокол за ст. 188-31 КУпАП |
| Звичайна компанія або громадська організація без таких систем | Прямої заборони цей закон не встановлює | Залишаються питання санкційного ризику правовласника, безперервності обліку і вимог ваших партнерів |
За ст. 188-31 КУпАП невиконання законних вимог посадових осіб Держспецзв’язку тягне штраф на посадових осіб від 50 до 100 неоподатковуваних мінімумів, а повторно протягом року від 100 до 150.
Що зробити і до якого строку
Загального строку для бізнесу закон не встановлює. Для систем, що підпадають під закон, вимога діє вже зараз. Для всіх інших ми радимо почати з інвентаризації. Результат варто оформити коротким внутрішнім документом із датою: його зручно показати аудитору, донору або банку, коли вони запитають про програмне забезпечення.
- Скласти перелік програм, у яких ведеться облік, зарплата, кадри і склад, а також мережевого обладнання. Для кожної вказати правовласника і спосіб використання: локально чи в хмарі.
- Звірити цей перелік з відкритим Переліком Держспецзв’язку. Оскільки він поповнюється, звіряти варто регулярно.
- Визначити, чи обробляє ваша організація державні інформаційні ресурси або чи є вона об’єктом критичної інформаційної інфраструктури. Якщо так, заміна ПЗ з Переліку обов’язкова.
- Якщо ні, оцінити ризики самостійно: хто правовласник, як оновлюється програма, чи є у вас актуальні резервні копії бази, чи зможете вивантажити дані в іншу систему.
- Перевірити умови договорів з донорами, банками і контрагентами: якщо вони містять санкційні застереження, зафіксувати, як ви їх дотримуєтесь.
- Якщо вирішили переходити, планувати перехід на початок звітного періоду і зберегти архів старої бази з доступом для перевірок.
Ризики для обліку й аудиту
- Безперервність даних. Аудитор перевіряє, з якої системи сформовано звітність і чи можна відтворити регістри за період. Якщо стару базу закрили без архіву, підтвердити залишки й обороти стає складно.
- Перехід посеред року. Дві програми в одному звітному періоді означають дві групи регістрів і ризик розбіжностей у залишках на дату переходу. Таку звірку аудитор попросить окремо.
- Неперевірений статус правовласника. Назва програми не завжди збігається з особою, яка має майнові права. Держспецзв’язку прямо пояснює: значення має саме правовласник.
- «Ми працюємо офлайн». Для систем, що підпадають під закон, це не аргумент: вимоги не залежать від доступу до інтернету.
- Хмарний сервіс замість коробки. Перехід на SaaS того самого продукту ситуацію не змінює.
Якщо облік за попередні періоди треба перенести в нову програму або частину даних втрачено, це вже задача відновлення обліку, і її краще вирішити до аудиту, а не під час нього.
Часті запитання
Чи заборонено бізнесу користуватися 1С і BAS у 2026 році?
Продукти «1С» і «BAS», правовласником яких є ТОВ «1С», внесено до Переліку. Пряма заборона за ч. 4 ст. 4 Закону про кібербезпеку стосується систем з державними інформаційними ресурсами, службовою інформацією чи держтаємницею та об’єктів критичної інформаційної інфраструктури. Для інших організацій цей закон прямої заборони не встановлює.
Де подивитися перелік забороненого програмного забезпечення?
Перелік веде Адміністрація Держспецзв’язку. За постановою КМУ № 1335 він є відкритими даними і публікується на офіційному сайті Держспецзв’язку та на Єдиному державному вебпорталі відкритих даних.
Чи діє заборона на хмарні програми і на комп’ютери без інтернету?
Так, для систем, що підпадають під закон. Держспецзв’язку пояснює, що закон не розрізняє локальне встановлення і SaaS, а вимоги застосовуються незалежно від доступу до інтернету.
Як ми допомагаємо
Ми ведемо облік у тій програмі, яку обирає клієнт, допомагаємо перенести облік на іншу систему і відновити регістри за минулі періоди. Під час аудиту перевіряємо, чи звітність підтверджується даними облікової системи. Дивіться бухгалтерський аутсорсинг, відновлення обліку і аудиторську перевірку. Для громадських організацій є безкоштовні вебінари для НПО.
Підготувала Команда МК Аудит