Кібератаки можуть коштувати бізнесу мільйони: викупи, штрафи та відповідальність керівників

28.10.2026, 06:46 press-center.news

Кібератака на підприємство загрожує не лише простоєм серверів, а й великими витратами, судовими спорами та втратою контрактів. За оцінкою фахівця Nova Digital, вимоги хакерів до українських компаній у середньому перевищують $2 млн, пише «Фокус».

Як повідомляє «Фокус» у матеріалі про кібербезпеку бізнесу, оприлюдненому 15 жовтня, цифрові інциденти дедалі частіше стають питанням безперервності роботи компанії та відповідальності керівництва.

За оцінкою CISO Nova Digital Олега Полігенька, середня сума викупу, яку зловмисники вимагають від українських компаній, перевищує 2 млн доларів. Це оцінка заявлених вимог, а не середній фактично сплачений викуп.

Згідно з дослідженням Sophos State of Ransomware 2026, яке охопило 2158 керівників у сфері ІТ та кібербезпеки із 17 країн, медіанний фактично сплачений викуп становив $769 тис., а витрати на відновлення після атаки — близько $1,7 млн. Ці міжнародні показники не слід ототожнювати з даними лише по Україні.

Адвокат Денис Нагорнюк пояснює: сам факт успішної атаки не означає автоматичної вини генерального директора. Однак відповідальність може виникнути, якщо керівництво знало про серйозні ризики, ігнорувало попередження фахівців і не забезпечило належного управління ними.

Залежно від обставин можливі цивільно-правові претензії, адміністративні санкції, а в окремих випадках — кримінально-правові наслідки. Для встановлення вини потрібні докази, зокрема результати комп’ютерно-технічної експертизи.

Зупинка виробництва, логістики чи онлайн-сервісів через шкідливе програмне забезпечення не звільняє підприємство автоматично від договірних зобов’язань. Потрібно довести, що конкретний інцидент справді унеможливив виконання відповідного договору.

У деяких ситуаціях компанії може знадобитися індивідуальний сертифікат Торгово-промислової палати. Проте навіть його наявність сама по собі не гарантує звільнення від штрафів. Значення мають умови контракту, причинно-наслідковий зв’язок і заходи, яких компанія вживала до атаки.

Для компаній, які працюють з даними європейських клієнтів, важливі правила GDPR, а для окремих організацій — вимоги директиви NIS2. За певні порушення GDPR максимальні штрафи можуть сягати 20 млн євро або 4% світового річного обороту компанії, залежно від того, яка сума більша.

Це верхня межа санкцій за визначені порушення, а не автоматичний штраф за кожен витік. Застосовність європейських норм і розмір можливих санкцій залежать від характеру діяльності, порушення та юрисдикції.

Експерти застерігають від завантаження комерційних документів, внутрішніх договорів і конфіденційних даних до непогоджених ШІ-сервісів. Навіть якщо прибрати імена, у тексті можуть залишитися деталі, за якими можна встановити сторони угоди або розкрити її умови.

Водночас не всі ШІ-сервіси автоматично роблять завантажену інформацію публічною: правила зберігання та використання залежать від постачальника і налаштувань. Компанії мають визначати дозволені інструменти, класи даних і порядок контролю доступу.

Фахівці радять визначити критичні процеси, допустимий час простою та порядок відновлення даних. Важливими залишаються регулярні оновлення програм, резервні копії, перевірки вразливостей, технічні аудити та тестування на проникнення.

Додатково бізнес може залучати керовані сервіси кібербезпеки, зокрема зовнішні команди моніторингу й реагування. У договорі з провайдером слід зафіксувати рівень сервісу, обов’язки сторін та процедури дій у разі інциденту.

Керівництву варто регулярно перевіряти не лише наявність захисних засобів, а й реальну можливість відновити роботу після атаки. Саме підготовка до інциденту допомагає обмежити втрати, хоча не гарантує повного захисту.

Раніше повідомлялося, що держава розглядає створення захищеного дата-центру за кордоном.