Перелік забороненого ПЗ виріс до 1564 позицій: що змінилося і що з цим робити ІТ-службам

Держспецзв'язку вкотре оновила Перелік забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання. Нова редакція набула чинності 21 липня 2026 року: список зріс із 1341 до 1564 позицій, тобто одразу на 223 нових пункти. Для державного сектору й операторів критичної інфраструктури це не «чергова новина про санкції», а прямий привід перевірити власні реєстри активів.

Що це за Перелік і звідки він узявся

Формування Переліку передбачене постановою Кабміну від 22.10.2025 № 1335. Веде його Адміністрація Держспецзв'язку — конкретно Департамент державного контролю у сфері захисту інформації та кіберзахисту. Документ публікується у форматі відкритих даних на офіційному сайті служби в розділі «Діяльність».

До появи Переліку ситуація була типово українська: рішення РНБО про санкції існували, указами Президента вводилися в дію, але єдиного централізованого джерела «що саме заборонено» не було. Через це частина держорганів роками продовжувала експлуатувати підсанкційні продукти — не з умислу, а тому що не існувало документа, на який можна послатися в тендерній документації чи в акті внутрішнього аудиту. Перелік цю прогалину і закриває: він є офіційним централізованим джерелом для органів державної влади, органів місцевого самоврядування, військових формувань, державних підприємств та операторів критичної інфраструктури.

Механіка оновлення проста: фахівці Департаменту опрацьовують чинні та нові рішення РНБО, аналізують програмні продукти й комунікаційне обладнання, пов'язані з підсанкційними особами, і вносять їх до Переліку. Документ динамічний за визначенням — він оновлюється й доповнюється постійно.

Динаміка: від 27 позицій до 1564 за пів року

Найцікавіше в цій історії — темп. Липневе оновлення стало вже сьомим від початку 2026 року, а стартував Перелік із кількох десятків позицій. За пів року кількість заборонених ІТ-рішень зросла в десятки разів.

Це означає дві речі. Перше: разова перевірка інфраструктури «під Перелік» не працює — між двома редакціями може минути кілька тижнів, і те, що вчора було просто небажаним, сьогодні стало формально забороненим. Друге: процес звірки треба ставити на регулярні рейки, бажано автоматизовані, з прив'язкою до інвентаризації ПЗ.

Що додали цього разу

223 нові пункти охоплюють продукти й системи кількох підсанкційних виробників:

1. ТОВ «Група компаній „Іннотех"» — банківські, фінтех-, корпоративні, аналітичні, інтеграційні, хмарні та інфраструктурні програмні платформи. Найширша категорія за охопленням: сюди потрапляє і прикладний, і платформний рівень.
2. ТОВ «Труконф» — серверне та клієнтське ПЗ для відеоконференцзв'язку, корпоративних комунікацій і MCU-серверів. Тобто не лише клієнти на робочих станціях, а й серверна частина ВКЗ.
3. ТОВ «Політерм» — геоінформаційне ПЗ та програмні комплекси для моделювання, розрахунку й диспетчеризації інженерних мереж.
4. Лінійка Zulu — ZuluGIS/ZuluServer, ZuluNetTools, веб- і мобільні компоненти, OPC/API-модулі для теплових, водопровідних, каналізаційних, газових і парових мереж.
5. Авіаційна та космічна сфери — спеціалізоване ПЗ та інформаційні системи ФДБУ «Авіаметтелеком Росгідромету» для авіаційного метеозабезпечення, а також програмні продукти ФДУП «Космічний зв'язок» і АТ «Амтел-Зв'язок».

Окремої уваги заслуговує блок Політерм/Zulu та OPC-модулі. Це вже не офісний софт, а рівень АСУ ТП і диспетчеризації комунальних та енергетичних мереж — тобто саме той сегмент, де компрометація дає не витік даних, а зупинку технологічного процесу. Наявність у цій категорії OPC/API-компонентів означає, що заборона стосується і «невидимих» інтеграційних прошарків, які зазвичай ніхто не інвентаризує, бо вони не мають іконки в меню «Пуск».

Що вже було в Переліку раніше

Чинна редакція, окрім новинок, і далі містить класику, яка досі трапляється в українських організаціях:

1. облікові та корпоративні рішення на базі 1С, BAS та UA-Бюджет;
2. антивірусні продукти Kaspersky;
3. усі сервіси, пов'язані з «Яндексом».

Раніше команда Clapkey вже писала про це:

- Україна посилює контроль над програмними продуктами

- Кому на справді належить BAS

Останній пункт варто читати ширше, ніж «не заходити на пошуковик»: це і метрики та лічильники на вебсайтах, і картографічні API, і SDK у мобільних застосунках. Такі речі найчастіше «висять» у legacy-коді сайтів і в старих інтеграціях.

Наслідки невиконання

Тут без сентиментів. Якщо заборонене ПЗ виявлять в інформаційних системах державної установи, це може стати підставою для скасування авторизації комплексної системи захисту інформації. Керівники відповідних організацій можуть бути притягнуті до адміністративної відповідальності.

Скасована авторизація КСЗІ — це не абстрактний штраф, а фактична зупинка легітимної експлуатації системи з усіма похідними: від проблем із інтеграціями до питань під час перевірок і закупівель.

Сама Держспецзв'язку формулює ризик прямо: використання таких продуктів створює загрозу витоку даних, несанкціонованого доступу до інформаційних ресурсів, віддаленого втручання в роботу систем і зупинки критично важливих процесів.

Практичний чекліст для ІТ-служби

Що варто зробити, не чекаючи наступної редакції:

1. Зняти повний інвентар ПЗ. Не «за пам'яттю адмінів», а через реальні джерела: WMI/registry-інвентаризація на Windows, пакетні менеджери на Linux, дані з системи моніторингу, SCCM/аналоги, звіти EDR. Заборонений софт найчастіше живе на «забутих» серверах.
2. Окремо пройтися по неочевидному. Бібліотеки, драйвери, плагіни, OPC-сервери, SDK у мобільних застосунках, лічильники та карти на корпоративних сайтах, вбудовані компоненти в АСУ ТП.
3. Звірити з відкритими даними Переліку. Оскільки він публікується як open data, звірку реально автоматизувати: розпарсити перелік у власну базу активів (CMDB/NetBox/будь-що) і поставити на щотижневий крон замість ручного порівняння PDF.
4. Перевірити закупівлі та договори. Перелік був створений зокрема для того, щоб спростити процеси закупівель і управління ризиками. Тендерна документація і чинні договори підтримки — окремий фронт роботи.
5. Скласти план заміщення з термінами. Для кожної знайденої позиції: чим замінюємо, хто відповідальний, дедлайн, ризики міграції даних. Особливо болісно це буде для облікових систем на 1С/BAS та для галузевих ГІС.
6. Оформити результат документально. Акт інвентаризації та план заміщення — це те, що показують під час перевірки. Усна впевненість, що «в нас такого немає», доказом не є.

Висновок

Перелік перетворився з декларативного документа на робочий інструмент контролю, який змінюється майже щомісяця. Логіка держави зрозуміла: програмне забезпечення сьогодні розглядається не тільки як робочий інструмент, а і як потенційний канал кібератаки — з керованим оновленням, телеметрією та каналом до виробника, який перебуває під санкціями.

Для ІТ-служб це означає перехід від разових «зачисток» до постійного процесу: інвентаризація → звірка з актуальною редакцією → заміщення → документування. Хто вибудує це як регулярну процедуру зараз, той не переживатиме кожне наступне оновлення як аварію.

Джерела:

1. Держспецзв'язку: «Перелік забороненого до використання ПЗ та комунікаційного обладнання розширено до 1564 позицій» — cip.gov.ua
2. Держспецзв'язку: «Перелік забороненого до використання програмного забезпечення та комунікаційного (мережевого) обладнання» — cip.gov.ua