Новый закон о кибербезопасности меняет правила для армянских компаний. Кто должен готовиться, какие сроки уже установлены и почему безопасность становится вопросом ответственности руководства?
Пятница. 18:42. У компании начинается совершенно другая рабочая неделя
Представим ситуацию.
В армянской компании заканчивается обычный рабочий день. Сотрудники расходятся по домам. Руководитель IT-отдела собирается закрыть ноутбук, когда получает сообщение: один из критических сервисов перестал отвечать.
Сначала всё выглядит как техническая неисправность.
Через двадцать минут инженеры обнаруживают подозрительную активность. Ещё через час выясняется, что неизвестные получили доступ к части инфраструктуры.
Начинается знакомая многим IT-специалистам история: проверка журналов, изоляция систем, звонки подрядчикам, попытки определить масштаб происшествия.
Но теперь появляется дополнительный вопрос.
Не только «как восстановить систему?», но и «кому, когда и что мы обязаны сообщить?»
С 4 января 2026 года в Армении действует новый закон «О кибербезопасности» — ՀՕ-442-Ն, принятый Национальным собранием 4 декабря 2025 года.
Для определённых организаций это означает переход к более формализованной модели управления киберрисками. Закон устанавливает требования к предотвращению инцидентов, уведомлению о них, оценке рисков, внутренней документации и контролю безопасности.
И самое интересное здесь не появление очередного нормативного документа.
Армения постепенно меняет само понимание того, кто и за что отвечает, когда цифровая система перестаёт быть безопасной.
Кибербезопасность перестаёт быть исключительно проблемой IT-отдела
Долгое время в корпоративной практике безопасность оценивали по вполне понятным признакам.
Есть межсетевой экран? Есть.
Антивирус установлен? Установлен.
Резервное копирование настроено? Да.
Можно считать, что компания защищена?
Не совсем.
Современная инфраструктура состоит из десятков взаимосвязанных систем. Серверы, облачные сервисы, сетевое оборудование, пользовательские устройства, базы данных и внешние приложения образуют сложную цепочку.
У каждого элемента может быть собственный поставщик, отдельный администратор и собственная политика безопасности.
При этом ответственность за весь бизнес-процесс остаётся у организации.
Новый армянский закон делает акцент именно на комплексном управлении рисками.
Для подпадающих под его действие организаций важны не только защитные технологии, но и способность обнаруживать угрозы, документировать события, реагировать на происшествия и поддерживать непрерывность критических сервисов.
Другими словами, уже недостаточно сообщить руководству, что необходимое оборудование закуплено.
Нужно понимать, какие риски это оборудование действительно снижает, что произойдёт при его отказе и кто будет принимать решения во время инцидента.
Это принципиально другой уровень разговора.
И он касается не только технических специалистов.
Кого затрагивает новый закон?
Здесь важно избежать распространённой ошибки.
Закон не означает, что каждая зарегистрированная в Армении компания автоматически обязана выполнять абсолютно все его требования.
Его действие связано с определёнными жизненно важными секторами, эксплуатацией информационных систем и статусом организации.
В статье 16 перечислены 14 таких секторов.
В их числе энергетика, определённые виды производства, транспорт, водоснабжение, телекоммуникации, почтовые услуги, финансовый сектор, здравоохранение, информационные технологии и цифровая инфраструктура, управление базами данных, государственное управление и другие установленные законом направления.
Отдельные информационные системы признаются критической инфраструктурой непосредственно в силу закона. Среди них — системы предоставления квалифицированных доверительных услуг, определённые DNS-сервисы, системы государственных электронных услуг и некоторые системы электронных коммуникаций.
Для других объектов предусмотрены критерии идентификации и утверждение соответствующих перечней.
Закон также содержит исключение для микро- и малых предприятий по установленным критериям, за исключением случаев эксплуатации критической информационной инфраструктуры.
Поэтому первоочередная задача компании — определить собственный правовой статус, а не немедленно закупать средства защиты.
Например, два предприятия могут использовать практически одинаковую серверную инфраструктуру, но иметь разные обязательства в зависимости от характера деятельности, масштаба и роли обслуживаемых информационных систем.
Для армянских банков, телекоммуникационных операторов, медицинских организаций, поставщиков цифровых услуг и государственных структур оценка применимости закона особенно актуальна.
При этом организациям необходимо учитывать не только текст закона, но и принимаемые на его основе подзаконные акты, а также специальные требования собственных отраслевых регуляторов.
24 часа. Именно столько может быть на первое сообщение
Одна из наиболее важных норм содержится в статье 11.
При выявлении киберинцидента, оказывающего существенное влияние на непрерывность или безопасность соответствующей системы, организация, подпадающая под требования закона, должна уведомить предусмотренный законом регулирующий орган незамедлительно после того, как ей стало известно об инциденте, но не позднее 24 часов.
Причём обязанность может возникнуть и тогда, когда существенное воздействие ещё не установлено окончательно, но имеются разумные основания его предполагать.
Это важная деталь.
Закон не предлагает компаниям ждать завершения технического расследования, чтобы принять решение об уведомлении.
Далее предусмотрено предоставление обновлённой информации в течение 72 часов после того, как организации стало известно об инциденте.
Заключительный отчёт должен быть представлен в течение месяца после направления указанной обновлённой информации.
Есть также требования об уведомлении лиц, потенциально затронутых происшествием: незамедлительно, а при отсутствии такой возможности — в течение двух дней.
Разумеется, конкретный порядок зависит от применимых положений закона и характера инцидента.
Но сам подход заслуживает внимания.
Представим, что серьёзный инцидент обнаружен вечером в субботу.
Кто в организации определяет, является ли он существенным? Кто собирает подтверждённые факты? Кто отвечает за коммуникацию с государственным органом? Имеет ли дежурный инженер полномочия инициировать эту процедуру?
Если ответы на эти вопросы начинают искать только после атаки, компания уже теряет драгоценное время.
План реагирования должен существовать до инцидента. Во время инцидента его уже нужно исполнять.
«Наша безопасность на аутсорсинге» больше не может быть универсальным ответом
Отдельного внимания заслуживают отношения между заказчиками и внешними IT-подрядчиками.
Для армянского рынка это особенно интересный вопрос.
Многие компании приобретают оборудование у одной организации, внедрение заказывают у другой, техническую поддержку получают от третьей, а мониторинг безопасности передают специализированному поставщику.
Такая модель сама по себе вполне оправданна.
Проблемы начинаются, когда в договоре подробно описана поставка оборудования, но практически ничего не сказано об ответственности при обнаружении атаки.
Кто анализирует подозрительные события?
В течение какого времени подрядчик обязан сообщить о них заказчику?
Кто хранит журналы?
Кто может изолировать скомпрометированный сервер?
И кто несёт ответственность за коммуникацию с регулятором?
Статья 17 закона закрепляет важный принцип: передача другому лицу управления, эксплуатации или обеспечения взаимодействия информационных систем и критической инфраструктуры не снимает предусмотренной законом ответственности с самого поставщика соответствующей услуги.
Это не означает, что внешний подрядчик освобождается от собственных обязательств.
Это означает, что заказчик не может воспринимать заключённый договор как автоматическое доказательство выполнения всех требований.
Для бизнеса отсюда следует практический вывод: договоры на IT-обслуживание и информационную безопасность следует пересматривать не только с точки зрения доступности сервисов, но и с точки зрения реагирования на инциденты, распределения обязанностей и обмена информацией.
Самые важные даты ещё впереди
На октябрь 2026 года новый закон уже действует, но его внедрение предусматривает переходные периоды.
Это принципиально важно: вступление закона в силу не означает, что все требования необходимо было выполнить 4 января.
Статья 25 устанавливает несколько сроков.
До 4 января 2027 года предусмотрено принятие подзаконных нормативных актов, вытекающих из закона, включая национальный стандарт. Отдельные положения вступают в силу по мере введения соответствующих актов.
До 4 июля 2027 года — восемнадцатимесячный период для принятия внутренних регламентов кибербезопасности, оценки рисков эксплуатируемых информационных систем и разработки плана предотвращения киберинцидентов.
До 4 января 2028 года — двадцатичетырёхмесячный период, установленный для представления документа, подтверждающего соответствие применимым международным или национальным стандартам, операторами критической информационной инфраструктуры и поставщиками услуг кибербезопасности.
Это расчёт календарных сроков от даты вступления закона в силу. При практическом применении необходимо учитывать последующие нормативные акты и особенности правового статуса организации.
Но уже сейчас понятен масштаб предстоящей работы.
Полноценную систему управления информационной безопасностью невозможно создать за несколько дней.
Для этого нужны инвентаризация инфраструктуры, анализ рисков, разработка политик, распределение ответственности, технические изменения и проверка реальной эффективности защитных мер.
Поэтому компании, которые начнут подготовку только перед окончанием переходного периода, рискуют столкнуться не столько с нехваткой оборудования, сколько с нехваткой времени, специалистов и организационной готовности.
ISO 27001: сертификат не заменит безопасность
14 мая 2026 года правительство Армении приняло постановление №662-Ն, определившее перечни международных стандартов, применимых к критическим информационным инфраструктурам, поставщикам услуг кибербезопасности и аудитам.
Постановление вступило в силу 15 мая.
В перечнях важное место занимает ISO/IEC 27001 — международный стандарт системы управления информационной безопасностью.
Для отдельных функций предусмотрены и дополнительные стандарты. Например, PCI DSS для обработки данных платёжных карт, ISO/IEC 27701 для обработки персональных данных и серия ISA/IEC 62443 для соответствующих промышленных систем управления.
Однако неправильно трактовать это как требование ко всем предприятиям Армении немедленно получить одинаковый сертификат.
Применимость конкретного стандарта зависит от категории инфраструктуры, оказываемых услуг и выполняемых функций.
Есть и более фундаментальный вопрос.
Что именно подтверждает сертификат?
Система управления безопасностью должна включать реальные процессы: оценку рисков, управление доступом, реагирование на инциденты, контроль изменений, внутренние проверки и постоянное совершенствование.
Сертификат важен, но он не является гарантией отсутствия уязвимостей или успешных атак.
Компания может иметь прекрасно оформленные документы и при этом недостаточно контролировать привилегированные учётные записи.
Может проводить регулярные аудиты, но ни разу не проверить, насколько быстро восстанавливаются её критические сервисы.
Может инвестировать в дорогостоящий межсетевой экран, но не анализировать события безопасности по ночам и выходным.
Зрелость кибербезопасности определяется не количеством приобретённых решений, а тем, насколько последовательно организация управляет своими рисками.
Что руководителям компаний стоит сделать в ближайшие 30 дней
Независимо от того, распространяются ли на организацию все положения нового закона, ближайший месяц можно использовать для оценки готовности.
Практический план может выглядеть следующим образом:
-
Первая неделя — определить применимость закона. Сопоставить деятельность компании с установленными секторами, проверить размер предприятия, статус эксплуатируемых систем и отраслевые требования. Юридическую оценку следует проводить совместно с профильными специалистами.
-
Вторая неделя — составить карту критических активов. Определить основные информационные системы, их владельцев, используемые облачные сервисы, точки внешнего доступа и подрядчиков. Особое внимание уделить системам, остановка которых непосредственно влияет на обслуживание клиентов.
-
Третья неделя — проверить способность обнаруживать инциденты. Выяснить, кто получает уведомления о подозрительной активности, как быстро анализируются события, где сохраняются журналы и кто отвечает за безопасность вне рабочего времени.
-
Четвёртая неделя — провести практическое упражнение. Смоделировать серьёзный инцидент без нарушения работающих систем. Проверить порядок эскалации, принятия решений, уведомления ответственных лиц и подготовки первичного отчёта.
Результатом должна стать не формальная презентация, а документ с конкретными пробелами, ответственными исполнителями, сроками устранения и предварительной оценкой расходов.
Для руководителя такая работа полезна ещё и потому, что переводит информационную безопасность на язык управленческих решений.
Не «нам нужен новый продукт», а «вот риск, который мы не контролируем; вот его возможные последствия; вот стоимость снижения этого риска».
Армянский IT-рынок столкнётся не только с новыми требованиями, но и с новым спросом
Изменения законодательства имеют последствия и для поставщиков технологий.
Для системных интеграторов, поставщиков решений информационной безопасности, аудиторов и компаний технической поддержки возникает необходимость внимательнее определять собственную роль в клиентской инфраструктуре.
Одни будут предоставлять оборудование и лицензии.
Другие — проектировать системы защиты.
Третьи — обеспечивать непрерывный мониторинг, расследование инцидентов, аудит или сопровождение процессов соответствия требованиям.
Это разные виды деятельности, предполагающие разные компетенции и обязательства.
Новый закон и утверждённые стандарты создают дополнительную значимость профессиональной квалификации, документированных процессов и качества оказываемых услуг.
Но здесь есть опасность, которую рынку стоит избежать.
Кибербезопасность не должна превратиться в соревнование по продаже сертификатов, оборудования и формальных отчётов.
В противном случае компании получат дополнительные расходы, не обязательно получив соответствующее повышение уровня защищённости.
Наиболее востребованным подходом может стать комплексная работа: от первоначальной оценки инфраструктуры и рисков до технического внедрения, документирования, тестирования и последующей поддержки.
Для заказчика главный критерий прост: способен ли поставщик объяснить, какой риск устраняется, какими средствами и как будет проверяться результат.
Главный вопрос — не о штрафах
Любой новый закон естественным образом вызывает у бизнеса вопросы об ответственности.
Что произойдёт, если требования не выполнить? Кто будет проверять? Какие последствия предусмотрены?
Статья 24 закона устанавливает возможность административной или уголовной ответственности в соответствии с законодательством. При этом конкретные основания и процедуры необходимо оценивать с учётом применимых норм и соответствующих подзаконных актов.
Но было бы ошибкой рассматривать закон исключительно через призму санкций.
В действительности финансовые и репутационные последствия серьёзного инцидента могут значительно превысить стоимость разумных предупредительных мер.
Особенно если речь идёт о финансовых услугах, здравоохранении, коммуникациях или критических государственных системах.
Клиенту, который не может получить доступ к своим средствам, неважно, насколько дорогое оборудование стоит в серверной банка.
Пациенту, который не может своевременно получить медицинскую услугу, неинтересно, кто именно отвечает за неисправный компонент информационной системы.
Потребитель оценивает цифровую инфраструктуру по гораздо более простому критерию.
Работает она или нет.
И можно ли ей доверять.
2026 год: время перейти от защиты оборудования к защите бизнеса
В Армении продолжается развитие цифровых государственных услуг, финансовых технологий, телекоммуникаций и корпоративной IT-инфраструктуры.
Каждый новый цифровой сервис повышает удобство для пользователя.
Но одновременно создаёт новые зависимости.
Чем больше услуг предоставляется через взаимосвязанные информационные системы, тем важнее становится способность предотвращать инциденты и ограничивать их последствия.
Новый закон «О кибербезопасности» — значимый шаг в формировании более системного подхода к этим вопросам.
Его реальная эффективность будет зависеть не только от государственных требований, но и от качества их реализации внутри организаций.
От профессиональной подготовки специалистов.
От зрелости процессов.
От ответственности поставщиков.
И от готовности руководителей рассматривать кибербезопасность как постоянную часть управления бизнесом, а не как разовую закупку оборудования.
В конечном счёте даже самая современная технология не избавляет компанию от необходимости понимать собственные риски.
Поэтому сегодня руководителю стоит задать IT-команде не один привычный вопрос — «насколько мы защищены?», — а другой:
«Если завтра в нашей инфраструктуре произойдёт серьёзный киберинцидент, сможем ли мы не только остановить его, но и доказать, что действовали правильно?»
Именно с ответа на этот вопрос начинается настоящая готовность.