Іванов Ю. А. НБУ в системі захисту критичної інфраструктури в кредитно-банківській сфері // Міжнародний науковий журнал "Інтернаука". Серія: "Юридичні науки". - 2019. - 1. https://doi.org/10.25313/2520-2308-2019-1-4786
Адміністративне право і процес; фінансове право; інформаційне право
УДК 347.734
Іванов Юрій Анатолійович
кандидат юридичних наук, доцент, докторант
Національної академії Служби безпеки України
Иванов Юрий Анатольевич
кандидат юридических наук, доцент, докторант
Национальной академии Службы безопасности Украины
Ivanov Yuriy
Candidate of Law Science, Associate Professor, Doctoral Student of the
National Academy of Security Service of Ukraine
НБУ В СИСТЕМІ ЗАХИСТУ КРИТИЧНОЇ ІНФРАСТРУКТУРИ В КРЕДИТНО-БАНКІВСЬКІЙ СФЕРІ
НБУ В СИСТЕМЕ ЗАЩИТЫ КРИТИЧЕСКОЙ ИНФРАСТРУКТУРЫ В КРЕДИТНО-БАНКОВСКОЙ СФЕРЕ
NBU IN THE SYSTEM OF CRITICAL INFRASTRUCTURE PROTECTION IN THE CREDIT AND BANKING SECTOR
Анотація. Стаття присвячена характеристиці ролі НБУ в системі захисту критичної інфраструктури загалом та її сегменту у кредитно-банківській сфері. Проаналізовано функції регулятора щодо забезпечення кіберзахисту та інформаційної безпеки у банківській системі України, а також формування й ведення переліку об’єктів критичної інфраструктури у її складі.
Ключові слова: НБУ, банківська система, критична інфраструктура, кіберзахист, інформаційна безпека.
Аннотация. Статья посвящена характеристике роли НБУ в системе защиты критической инфраструктуры в целом и её сегмента в кредитно-банковской сфере. Проанализированы функции регулятора касающиеся обеспечения киберзащиты и информационной безопасности в банковской системе Украины, а также формирования и ведения перечня объектов критической инфраструктуры в её составе.
Ключевые слова: НБУ, банковская система, критическая инфраструктура, киберзащита, информационная безопасность.
Summary. The article is devoted to the characterization of the role of the NBU in the system of protection of critical infrastructure in general and its segment in the credit and banking sector. The functions of the regulator concerning the provision of cyber protection and information security in the banking system of Ukraine as well as the formation of the list of critical infrastructure objects in its composition are analyzed.
Characteristics of the NBU in the system of protection of critical infrastructure in the credit and banking sector is based on the specifics of its status in comparison with other banks, which consists, above all, in the fact that it is simultaneously the central body of state administration and banking institution (the central bank of the country), which performs banking operations. At the same time, as a state body NBU is a subject of critical infrastructure protection in the credit and banking sector, and as a banking institution it can also be the object of such protection.
The specificity of the NBU status in the banking system is embodied in its main function, which is to ensure the stability of the monetary unit of Ukraine, and other functions assigned to it by law. At the present stage, these functions are supplemented with two new ones, which relate to cyber protection and information security, as well as the formation and maintenance of a list of critical infrastructure in the banking system of Ukraine. Some elements of these functions have been partially present in the activities of the NBU before. However, now they are separated from the total volume of banking regulation and supervision. Also, the introduction of a certain institutional mechanism to ensure the performance of these specific functions has begun, in particular, the Center for Cyber Protection of the NBU has been established. But relations between banks and the latter are built on a voluntary basis. It seems that further development of the cyber defense system adequate to existing and potential threats in the credit and banking sector requires clear normative fixation of key parameters of its functioning in the form of mandatory rules for banks.
The conclusion is made that at the present stage the functions of the NBU as a subject of critical infrastructure protection are focused primarily on the issues of cyber protection and information security in the banking system. But potentially, the content of these functions is much broader, because we are talking not only about the information aspects of banking security, but also in general about the formation and maintenance of a list of critical infrastructure, the definition of criteria and procedures for attributing objects in the banking system of Ukraine to the objects of critical infrastructure, which in the future should become the basis for comprehensive protection of such objects. At the same time, these functions of the NBU cannot be considered separately from its other functions. First of all, the effectiveness of the critical infrastructure protection system in general and its segment in the credit and banking sector will largely depend on the improvement of banking regulation and supervision taking into account European standards, including through the consistent national legal implementation of the relevant provisions of the Association Agreement between Ukraine and the EU.
Key words: NBU, banking system, critical infrastructure, cyber defense, information security.
Постановка проблеми. В Україні відбувається послідовне формування нормативно-правового забезпечення захисту критичної інфраструктури у цілому та її складових у кредитно-банківській сфері. При цьому на порядку денному постають проблеми теоретико-правового супроводження нормотворчого процесу з метою забезпечення належного наукового підґрунтя для побудови сучасного законодавства, адекватного викликам сьогодення. Зазначене обумовлює актуальність статті, її теоретичне та практичне значення.
Аналіз досліджень та публікацій. Різним аспектам правового регулювання діяльності НБУ присвячено численні наукові праці, серед яких можна виокремити комплексне монографічне дослідження Ю.М. Дмитренко [1]. Останнім часом з’явилася низка публікацій, котрі стосуються ринкової інфраструктури у цілому, її фінансової складової, а також безпосередньо інфраструктури банківської системи. Переважно вони належать вченим-економістам, серед яких В.О. Маслак [2], О.О. Журба [3], Я.М. Остапчук [4], А.О. Дроб’язко [5], М.В. Федик [6], У.В. Владичин [7] та інші. Сучасні концептуальні підходи до вирішення питань захисту критичної інфраструктури знайшли відображення у матеріалах Національного інституту стратегічних досліджень [8]. Водночас функції НБУ у контексті розбудови системи захисту критичної інфраструктури у кредитно-банківській сфері окремо не розглядалися.
Формулювання цілей статті. Метою статті є з’ясування ролі НБУ у системі захисту критичної інфраструктури в кредитно-банківській сфері.
Виклад основного матеріалу. Характеристика НБУ у системі захисту критичної інфраструктури в кредитно-банківській сфері базується на специфіці його статусу у порівнянні з іншими банками. Так, згідно зі статтею 4 Закону України «Про банки і банківську діяльність» банківська система України складається з НБУ та інших банків, а також філій іноземних банків, що створені і діють на території України відповідно до положень цього Закону та інших законів України. Наведене формулювання дає уявлення лише про складові банківської системи, не визначаючи системних взаємозв’язків між ними. З чого можна зробити висновок про невідповідність між змістом та назвою («Банківська система України») зазначеної статті, адже визначення поняття банківської системи та характеристика її внутрішньої будови у ній відсутні. Лише зі змісту частини 6 цієї статті, у якій йдеться про здійснення НБУ регулювання та банківського нагляду, можна певним чином судити про особливу роль НБУ у банківській системі. При цьому системний аналіз законодавства вказує на дворівневий характер вітчизняної банківської системи, що характеризується принципово різним статусом НБУ та всіх інших складових цієї системи. Згідно зі статтею 99 Конституції України НБУ є центральним банком України. Відповідно до цієї конституційної норми у статті 2 Закону України «Про Національний банк України» НБУ також названо центральним банком України, однак поряд з цим його визначено ще й як особливий центральний орган державного управління. Таким чином специфіка правового статусу НБУ полягає, насамперед, у тому, що він одночасно є особливим центральним органом державного управління і банківською установою (центральним банком держави), що виконує банківські операції. При цьому, як державний орган НБУ є суб’єктом захисту критичної інфраструктури у кредитно-банківській сфері, а як банківська установа він може бути також об’єктом такого захисту.
Аналізуючи викладений у статті 42 Закону України «Про Національний банк України» у невичерпній формі перелік видів операцій НБУ, можна виокремити в ньому операції, змістовно подібні до здійснюваних іншими банками. Водночас з-поміж інших банків НБУ вирізняється низкою особливостей, основними серед яких є такі: отримання прибутку не є метою його діяльності; на нього не поширюється загальний для банків порядок створення, реорганізації та ліквідації; має властиву лише йому організаційну структуру; він володіє монополією на здійснення емісії національної валюти України; він проводить банківські операції для обмеженого кола суб’єктів.
Специфіка статусу НБУ у банківській системі втілюється у закріпленій у вище згаданій статті 99 Конституції України його основній функції, якою є забезпечення стабільності грошової одиниці України, та інших функціях, окреслених у статті 7 Закону України «Про Національний банк України». У зв’язку з прийняттям Закону України «Про основні засади забезпечення кібербезпеки України» перелік цих функцій доповнено двома новими, відповідно до яких НБУ:
Окремі елементи зазначених функцій були частково присутні в діяльності НБУ і раніше та реалізовувалися в межах здійснення банківського регулювання й нагляду, про що свідчить аналіз нормотворчої діяльності регулятора. Так, зокрема, низка нормативно-правових актів з питань інформаційної безпеки була затверджена постановою Правління НБУ від 26 листопада 2015 р. № 829. Постановою Правління НБУ від 28 вересня 2017 року № 95 затверджено Положення про організацію заходів із забезпечення інформаційної безпеки в банківській системі України.
Після набрання чинності Законом України «Про основні засади забезпечення кібербезпеки України» та внесення вище вказаних змін до статті 7 Закону України «Про Національний банк України» функції НБУ із забезпечення кіберзахисту та інформаційної безпеки у банківській системі України виокремилися із загального обсягу банківського регулювання та нагляду й набули власного змістовного наповнення. Також започатковано запровадження певного інституційного механізму для забезпечення виконання цих специфічних функцій, зокрема, утворено Центр кіберзахисту НБУ. Однак взаємовідносини банків з останнім будуються фактично на добровільній основі. Так, зокрема, у Листі від 03.12.2018 р. № 56-0007/64280 у зв’язку із введенням в Україні воєнного стану НБУ пропонує банкам здійснити низку заходів, спрямованих на забезпечення належного стану кібербезпеки та кіберзахисту банківської системи України. Також у разі виявлення спроб вчинення кібератак, які за попередньою оцінкою можуть призвести до зниження якості або припинення надання банком основних банківських послуг, порушення інтересів клієнтів банку, матимуть суттєві негативні наслідки безпосередньо для банку та/або банківської системи в цілому, регулятор просить негайно інформувати Центр кіберзахисту НБУ. Використання у зазначеному листі таких конструкцій, як «пропонуємо вжити таких заходів» та «просимо негайно інформувати» вказує на диспозитивність викладених у ньому положень. Це обумовлено обмеженими функціями у системі банківського регулювання листів НБУ, які за своєю юридичною сутністю є інформаційно-аналітичними документами. Вбачається, що подальша розбудова адекватної існуючим та потенційним загрозам системи кіберзахисту у кредитно-банківській сфері потребує застосування з боку регулятора інструментів імперативного характеру у форматі нормативно-правових актів для закріплення ключових параметрів взаємовідносин піднаглядових йому суб’єктів із Центром кіберзахисту НБУ.
Друга із вище наведених нових функцій НБУ на початковому етапі спрямована також, передусім, на потреби забезпечення інформаційної безпеки банківської системи та кіберзахисту. Однак потенційно її зміст є значно ширшим, оскільки йдеться не лише про інформаційні аспекти банківської безпеки, а й взагалі про формування та ведення переліку об’єктів критичної інфраструктури, визначення критеріїв та порядку віднесення об’єктів у банківській системі України до об’єктів критичної інфраструктури, що у подальшому має стати основою комплексного захисту таких об’єктів. При цьому, оскільки законопроект «Про критичну інфраструктуру та її захист» лише перебуває на розгляді у Верховній Раді України й не прийнятий, то доводиться орієнтуватися на визначення критичної інфраструктури, наведене у статті 1 Закону України «Про основні засади забезпечення кібербезпеки України», за яким об’єктами критичної інфраструктури є підприємства, установи та організації незалежно від форми власності, діяльність яких безпосередньо пов’язана з технологічними процесами та/або наданням послуг, що мають велике значення для економіки та промисловості, функціонування суспільства та безпеки населення, виведення з ладу або порушення функціонування яких може справити негативний вплив на стан національної безпеки і оборони України, навколишнього природного середовища, заподіяти майнову шкоду та/або становити загрозу для життя і здоров’я людей. Це визначення містить окремі поняття оціночного характеру, такі як: «мають велике значення», «може справити негативний вплив», «заподіяти майнову шкоду». Тож його практичне застосування можливе лише за умови конкретизації на рівні підзаконних нормативно-правових актів з урахуванням особливостей критичної інфраструктури у різних сферах.
Згідно з пунктом 1 частини 1 статті 6 Закону України «Про основні засади забезпечення кібербезпеки України» до об’єктів критичної інфраструктури можуть бути віднесені, серед іншого, підприємства, установи та організації незалежно від форми власності, які провадять діяльність та надають послуги у банківському та фінансовому секторах. А відповідно до частини 2 цієї ж статті критерії та порядок віднесення об’єктів до об’єктів критичної інфраструктури, перелік таких об’єктів в банківській системі України затверджуються НБУ, що й знайшло відображення у вище вказаних нормах статті 7 Закону України «Про Національний банк України». Визначальною характеристикою таких об’єктів є те, що вони провадять діяльність та надають послуги у банківському та фінансовому секторах. Слід зазначити, що наведене формулювання не узгоджується із чинним господарським законодавством, адже в господарсько-правовому контексті поняттям “діяльність” охоплюється виробництво та реалізація продукції, виконання робіт і надання послуг. Тобто діяльність і надання послуг співвідносяться як загальне і особливе, яке охоплюються загальним. Якщо ж йдеться про об’єкти у банківському секторі, якими є, передусім, банки, то для них діяльність і надання послуг є нерозривно пов’язаними поняттями. Так, відповідно до частини 1 статті 47 Закону України «Про банки і банківську діяльність» банк має право надавати банківські та інші фінансові послуги (крім послуг у сфері страхування), а також здійснювати іншу діяльність, визначену в цій статті. При цьому, якщо своїм правом на здійснення іншої діяльності банк може і не скористатися, то надавати банківські послуги він повинен, оскільки саме вони складають зміст банківської діяльності. Останнє випливає зі змісту пункту 2 частини 2 статті 77 Закону України «Про банки і банківську діяльність», відповідно до якого НБУ має право відкликати банківську ліцензію з власної ініціативи у разі, якщо банк не виконав жодної банківської операції протягом року з дня отримання ліцензії. Таким чином, після одержання юридичною особою, яка має намір здійснювати банківську діяльність, банківської ліцензії надання банківських послуг де-факто перетворюється для неї із права на обов’язок.
Крім того, відповідно до пункту 4 частини 1 статті 6 Закону України «Про основні засади забезпечення кібербезпеки України» до об’єктів критичної інфраструктури можуть бути віднесені підприємства, установи та організації незалежно від форми власності, які включені до переліку підприємств, що мають стратегічне значення для економіки і безпеки держави. Наразі такий перелік затверджений постановою КМ України від 4 березня 2015 року № 83. З числа об’єктів у складі банківської системи до нього увійшли АТ “Укрексімбанк”, АТ “Ощадбанк”, АБ “Укргазбанк”. Вбачається, що наразі до числа цих об’єктів необхідно додати ще й АТ КБ «Приватбанк», який став державним і відповідає критеріям, визначеним у постанові КМ України від 3 листопада 2010 р. №999.
Таким чином, загальний перелік об’єктів критичної інфраструктури у кредитно-банківській сфері має формуватися із двох складових:
Загалом роль НБУ у системі захисту критичної інфраструктури не обмежується лише вище окресленими специфічними функціями. Виконання ним своєї основної функції, – забезпечення стабільності грошової одиниці України, – є вкрай важливим як для критичної інфраструктури, так і для економіки держави у цілому. Основна функція НБУ реалізовується через інші визначені у статті 7 Закону України «Про Національний банк України» функції, серед яких ключову роль відіграє здійснення банківського регулювання та нагляду. Банківське регулювання полягає, передусім, у створенні системи норм, що регулюють діяльність банків, а нагляд – це система контролю та активних впорядкованих дій регулятора, спрямованих на забезпечення дотримання піднаглядовими суб’єктами законодавства України і встановлених нормативів, з метою забезпечення стабільності банківської системи та захисту інтересів вкладників та кредиторів банку. Тож, поряд із подальшим реформуванням банківського регулювання, вкрай важливим є вдосконалення банківського нагляду. При цьому своєрідним дороговказом слугують положення Угоди про асоціацію між Україною, з однієї сторони, та Європейським Союзом і його державами-членами, з іншої сторони (далі – Угода про асоціацію) [9], котрі підлягають національно-правовій імплементації.
Угода про асоціацію є складним за змістом та структурою комплексним документом. Положення, які стосуються банківського сектору, містить підрозділ 6 «Фінансові послуги» частини 5 глави 6 розділу IV. Частиною 2 статті 127 передбачено, що кожна Сторона зобов’язується докласти необхідних зусиль для забезпечення впровадження міжнародних стандартів регулювання та нагляду в сфері фінансових послуг та для боротьби з ухиленням від сплати податків на всій її території. У банківській сфері такі міжнародні стандарти включають, зокрема, «Основні принципи ефективного банківського нагляду» Базельського комітету, «Сорок рекомендацій» та «Дев’ять спеціальних рекомендацій стосовно боротьби з фінансуванням тероризму» Групи з розробки фінансових заходів боротьби з відмиванням грошей (FATF).
Відповідно до статті 133 Угоди про асоціацію Україна має забезпечити поступове приведення у відповідність своїх чинних законів та майбутнього законодавства до acquis ЄС. Таке наближення розпочалося з дати підписання Угоди та поступово поширюватиметься на всі елементи acquis ЄС, зазначені у Додатку XVII до Угоди. Термін «acquis» є скороченням від французького «аcquis communautaire», що в буквальному перекладі означає «доробок спільноти, спільне надбання». Що ж до юридичного аспекту, то дослідник цієї проблематики Р.А. Петров зазначає, що досі не існує єдиного підходу до уніфікованого тлумачення обсягу та змісту поняття “acquis communautaire” в правозастосовній практиці та науці права ЄС. Він виокремлює внутрішні та зовнішні сфери застосування цього поняття. У першому випадку воно застосовується державами – членами ЄС як сукупність правових досягнень ЄС. У другому випадку поняття “acquis communautaire” застосовується у багатосторонніх та двосторонніх відносинах між ЄС та іншими країнами. В обох випадках обсяг та зміст цього поняття неоднакові. Відмінності спричинені різною метою його застосування. У внутрішній сфері метою застосування “acquis communautaire” є охорона всієї правової спадщини ЄС, яку було накопичено за період європейської інтеграції. У зовнішній сфері мета застосування “acquis communautaire” – це транспозиція (від лат. “transpositio” – перенесення, перестановка, транспортування) демократичних цінностей і сучасних політичних, економічних та правових стандартів у правові та політичні системи третіх країн [10, с. 12]. В даному випадку йдеться саме про зовнішню сферу застосування цього поняття. Тому його зміст слід з’ясовувати за допомогою методу систематичного тлумачення положень Угоди про асоціацію разом з додатками, які є її невід’ємними складовими. Так, зокрема, вище згаданий Додаток XVII, що має назву «Нормативно-правове наближення», містить конкретний перелік законодавчих актів ЄС, які мають стати чистиною національного законодавства України.
Слід враховувати, що органи ЄС можуть видавати кілька різновидів актів: регламенти; директиви; рішення; рекомендації; висновки. Регламент є актом загального характеру. Він є обов’язковим у всіх його складових і підлягає прямому застосуванню. Директива обов’язкова для кожної держави, якій адресована, в тому, що стосується очікуваного результату, зберігаючи за національною владою свободу вибору форм і методів його досягнення. Рішення є обов’язковими у всіх своїх складових для тих, кому воно адресоване. Рекомендації та висновки не є обов’язковими [11, с. 127]. Відповідно, Угодою про асоціацію передбачено різний порядок їх імплементації: якщо законодавчий акт є Регламентом або Рішенням ЄС, то він повинен стати, як такий, частиною законодавства України; якщо ж акт є Директивою ЄС, то за компетентними органами України залишається право вибору форми та способу його імплементації.
У розділі А Доповнення XVII-2 до Угоди про асоціацію наведено конкретні положення актів ЄС, які підлягають імплементації у банківське законодавство України, та часові межі їх впровадження. Загалом ідеться про тринадцяти актів ЄС. Аналіз показує, що всі ці акти мають юридичну форму директив. Отже вони не стають автоматично частиною вітчизняного законодавства, а підлягають імплементації відповідно до обраних Україною процедур. Для оцінки виконання Україною своїх зобов’язань за Угодою про асоціацію будуть братись до уваги не форми та методи імплементації, а лише результат нормативного регулювання. Порядок оцінки ефективності впровадження та застосування правових актів ЄС визначено Доповненням XVII-6 «Положення щодо моніторингу».
Висновки. Підсумовуючи викладене, можна зробити висновок про те, що на сучасному етапі функції НБУ як суб’єкта захисту критичної інфраструктури сфокусовано, передусім, на питаннях кіберзахисту та інформаційної безпеки у банківській системі. Однак потенційно зміст цих функцій є значно ширшим, оскільки йдеться не лише про інформаційні аспекти банківської безпеки, а й взагалі про формування та ведення переліку об’єктів критичної інфраструктури, визначення критеріїв та порядку віднесення об’єктів у банківській системі України до об’єктів критичної інфраструктури, що у подальшому має стати основою комплексного захисту таких об’єктів. При цьому, зазначені функції НБУ неможна розглядати відокремлено від інших його функцій. Насамперед, ефективність функціонування системи захисту критичної інфраструктури у цілому та її сегменту у кредитно-банківській сфері значною мірою залежатиме від удосконалення банківського регулювання й нагляду з урахуванням європейських стандартів, в тому числі, шляхом послідовної національно-правової імплементації відповідних положень Угоди про асоціацію між Україною та ЄС.
Перспективи подальших досліджень. Подальші дослідження можуть бути спрямовані на оптимізацію нормативно-правового та організаційного забезпечення функціонування комплексної системи захисту критичної інфраструктури у кредитно-банківській сфері.
Література
References
