Стаття 8. Вимоги до надавача хмарних послуг та/або послуг центру обробки даних

1. Надавач хмарних послуг та/або послуг центру обробки даних зобов’язаний не використовувати для надання хмарних послуг технічні засоби, розміщені на території, на якій органи державної влади України тимчасово не здійснюють свої повноваження, на території держави, визнаної Верховною Радою України державою-агресором або державою-окупантом, а також не використовувати технічні засоби, якими володіють держави або суб’єкти, до яких застосовано санкції відповідно до Закону України "Про санкції".

Надавач хмарних послуг та/або послуг центру обробки даних повинен вжити відповідних пропорційних технічних та організаційних заходів для управління ризиками, що виникають для безпеки електронної комунікаційної мережі, електронної комунікаційної послуги та інформаційних систем, які використовуються для надання хмарних послуг.

Такі заходи мають забезпечувати рівень безпеки електронної комунікаційної мережі, електронної комунікаційної послуги та інформаційних систем, які використовуються для надання хмарних послуг, що відповідає ризику, який виник, та враховувати такі елементи:

безпеку систем та устаткування;

врегулювання інцидентів;

управління безперервністю бізнесу;

моніторинг, аудит та випробування;

відповідність міжнародним стандартам.

Надавач хмарних послуг та/або послуг центру обробки даних без необґрунтованої затримки повинен повідомляти регулятора комунікаційних послуг та CERT-UA про будь-який інцидент, який має значний негативний вплив на надання хмарної послуги та/або послуг центру обробки даних, у порядку, затвердженому регулятором комунікаційних послуг.

Надавач хмарних послуг та/або послуг центру обробки даних повинен:

надавати державному органу, призначеному для формування та реалізації державної політики у сфері кіберзахисту, інформацію, необхідну для оцінювання безпеки електронної комунікаційної мережі, електронної комунікаційної послуги та інформаційних систем, у тому числі документально встановленої політики безпеки;

усувати будь-яку невідповідність вимогам, затвердженим регулятором комунікаційних послуг.

Надавач хмарних послуг та/або послуг центру обробки даних публічним користувачам та критично важливим об’єктам інфраструктури до початку надання цих послуг повинен повідомити публічному користувачу та критично важливим об’єктам інфраструктури інформацію про ризики безпеки інформації у зв’язку з її обробленням у системі хмарних обчислень.

2. Для надання хмарних послуг та/або послуг центру обробки даних публічним користувачам та/або критично важливим об’єктам інфраструктури відомості про надавачів хмарних послуг та/або послуг центру обробки даних мають бути внесені до переліку.

3. Надавачі хмарних послуг та/або послуг центру обробки даних для внесення відомостей про них до переліку подають до регулятора комунікаційних послуг:

1) заяву про внесення до переліку із зазначенням відповідних видів хмарних послуг та/або послуг центру обробки даних, передбачених цим Законом, за формою, затвердженою регулятором комунікаційних послуг;

2) документи, передбачені частиною другою або четвертою статті 8 Закону України "Про захист інформації в інформаційно-телекомунікаційних системах";

3) документи, що визначають порядок обробки персональних даних чи політики, якими регламентовано дотримання конфіденційності обробки персональних даних;

4) засвідчені в установленому порядку копії документів, що підтверджують право власності або право користування засобами, що використовуються при наданні хмарних послуг;

5) для надавачів послуг центру обробки даних - засвідчені в установленому порядку копії документів, що підтверджують право власності або право користування нежилими приміщеннями, що використовуються для розміщення всіх складових програмно-технічного комплексу, що забезпечують надання хмарних послуг;

6) документ про відповідність, виданий органом з оцінки відповідності у сфері електронних комунікацій, що підтверджує відповідність юридичних осіб, фізичних осіб - підприємців, які мають намір надавати хмарні послуги та/або послуги центру обробки даних, вимогам до надавачів хмарних послуг та/або послуг центру обробки даних, затвердженим Кабінетом Міністрів України.

4. Надавачі хмарних послуг, визначених абзацами третім - п’ятим частини другої статті 3 цього Закону, додатково подають засвідчені в установленому порядку копії документів, що підтверджують право користування або розповсюдження апаратного або програмного забезпечення, що буде застосовуватися при наданні хмарних послуг.