Внесення до Переліку надавачів хмарних послуг та ЦОД

Перелік надавачів хмарних послуг та/або послуг центру обробки даних — це окремий регуляторний інструмент для суб’єктів, які надають відповідні хмарні сервіси або послуги ЦОД і підпадають під вимоги законодавства у сфері хмарних послуг. Для бізнесу важливо не сприймати внесення до Переліку як формальне заповнення однієї заяви. Перед поданням необхідно перевірити, як саме описані послуги компанії, які дані та підтвердні документи використовуються, чи відповідають вони фактичній інфраструктурі та чи узгоджені з іншими документами надавача.

Чинний Порядок ведення Переліку надавачів хмарних послуг та/або послуг центру обробки даних і форма заяви затверджені наказом Адміністрації Держспецзв’язку від 7 квітня 2025 року № 231. Це означає, що підготовку потрібно вести за актуальною процедурою, а не за старими рекомендаціями або довільною формою листа. У сфері хмарних послуг також діють інші вимоги, пов’язані з інформаційною безпекою, організацією послуг і використанням хмарних ресурсів, тому конкретний обсяг підготовки залежить від моделі роботи компанії.

ТЕЛЕКОН супроводжує внесення до Переліку надавачів хмарних послуг та ЦОД: проводить первинний аудит готовності, допомагає структурувати інформацію про послуги, перевіряє документи, готує заяву та супроводжує комунікацію в межах погодженої процедури. Для компаній, які поєднують хмарні сервіси з іншими регульованими напрямами, ТЕЛЕКОН також може забезпечити юридичний супровід технологічних компаній як окремий комплексний формат.

Назва компанії, КВЕД або маркетингове слово «cloud» самі по собі не визначають необхідність процедури. Потрібно аналізувати фактичну модель надання послуг: що саме отримує клієнт, де розміщується та обробляється інформація, яку інфраструктуру використовує надавач, які функції виконує центр обробки даних і які договори укладаються із замовниками.

Перевірка може бути актуальною для:

• компаній, що надають хмарні обчислювальні ресурси, платформи або програмні сервіси в моделі, яка підпадає під регулювання Закону України «Про хмарні послуги»;
• операторів та власників центрів обробки даних, які надають послуги ЦОД третім особам;
• технологічних компаній, які планують працювати з державними замовниками або іншими клієнтами, для яких регуляторний статус надавача має значення;
• бізнесів, які запускають новий хмарний продукт і хочуть до старту перевірити юридичну модель;
• надавачів, які вже подали документи, але отримали запит на уточнення або мають сумніви щодо повноти інформації;
• компаній, яким потрібно актуалізувати відомості після зміни реквізитів, структури послуг або іншої інформації, що має значення для Переліку.

Якщо компанія лише орендує хмарні ресурси для власних потреб або використовує сторонній ЦОД, це не означає автоматично, що вона сама є надавачем хмарної послуги чи послуги центру обробки даних. Кваліфікація повинна базуватися на фактичній ролі суб’єкта й змісті послуг, які він надає клієнтам.

Найбільше часу часто займає не сама заява, а підготовка вихідних даних. Якщо інформація зібрана з різних підрозділів, вона може містити розбіжності: технічна команда описує один набір сервісів, комерційні матеріали — інший, а договори використовують ще одну класифікацію. До подання ці розбіжності потрібно усунути, оскільки реєстрова інформація має бути зрозумілою та відповідати фактичній діяльності.

Перед підготовкою документів доцільно перевірити:

• повну назву, код та інші реєстраційні дані надавача;
• повноваження особи, яка підписує або подає документи;
• актуальні контактні дані;
• опис хмарних послуг та/або послуг ЦОД;
• інформацію про інфраструктуру й організацію надання послуг у тому обсязі, який вимагає актуальна форма;
• наявні документи про відповідність, сертифікати або інші підтвердні матеріали, якщо вони застосовуються до конкретного надавача;
• узгодженість даних у заяві з договорами, внутрішніми документами та публічним описом сервісів;
• актуальність форми заяви та способу подання.

Якщо виявляються прогалини, доцільно спочатку сформувати короткий план підготовки, а не подавати неповний комплект із розрахунком на подальші уточнення. Такий підхід зменшує ризик повторної роботи та допомагає відповідальним особам зібрати саме ті дані, які потрібні для процедури.

Документи про відповідність і сертифікати

У Переліку можуть відображатися відомості, пов’язані з документами про відповідність, сертифікатами та іншими підтвердними документами. Тому важливо не просто перелічити всі сертифікати компанії, а визначити, які з них стосуються конкретної послуги, інфраструктури або вимоги. Якщо документ має обмежений строк дії, доцільно одразу передбачити внутрішній контроль його оновлення.

Опис хмарної послуги або послуги ЦОД

Опис послуги має бути достатньо точним, щоб відповідати фактичному сервісу, але не повинен перетворюватися на маркетинговий текст. Для юридичної процедури важливі функціональна модель, роль надавача, інфраструктура та інші відомості, передбачені актуальною формою. Якщо одна компанія надає кілька різних сервісів, їх потрібно структурувати так, щоб не змішувати різні моделі в одному нечіткому описі.

Процедуру доцільно поділити на підготовчий і реєстровий етапи. На підготовчому етапі визначається, чи підпадає діяльність під відповідний регуляторний режим, збираються дані та перевіряється комплектність. На реєстровому — готується актуальна заява, організовується подання та контролюється подальша комунікація.

Типовий супровід ТЕЛЕКОН може включати:

• аналіз бізнес-моделі та виду послуг;
• визначення переліку вихідних даних і документів;
• аудит готовності до подання;
• перевірку реєстраційних даних і повноважень підписанта;
• підготовку або перевірку опису послуг;
• заповнення актуальної форми заяви;
• формування комплекту додатків;
• супровід подання через передбачений чинною процедурою канал;
• опрацювання уточнень або зауважень у межах погодженого обсягу;
• перевірку результату внесення та рекомендації щодо подальшого контролю актуальності даних.

На сторінці послуги не варто фіксувати покрокову технічну інструкцію зі скриншотами конкретного електронного кабінету, якщо така інструкція може швидко застаріти. Перед кожним фактичним поданням потрібно перевіряти чинний канал, формат файлів, вимоги до електронної ідентифікації та актуальну форму заяви.

Частина помилок має технічний характер, але інші виникають ще на етапі юридичної кваліфікації послуги. Якщо компанія неправильно визначила свою роль або використала надто загальний опис, виправлення можуть потребувати повторного погодження даних із технічним і комерційним підрозділами.

До типових ризиків належать:

• використання неактуальної форми заяви;
• неповний або суперечливий опис хмарних послуг чи послуг ЦОД;
• розбіжності між заявою, договорами та фактичним сервісом;
• помилки в реєстраційних або контактних даних;
• відсутність належного підтвердження повноважень підписанта;
• механічне додавання сертифікатів без перевірки їх релевантності та строку дії;
• відсутність внутрішньої відповідальної особи за актуальність реєстрових відомостей;
• сприйняття внесення до Переліку як разової дії без подальшого контролю змін.

Окрема помилка — називати цю процедуру «отриманням ліцензії на хмарні послуги». Внесення до Переліку є самостійною процедурою, і юридичні формулювання на сайті повинні відповідати чинній нормативній термінології. Якщо для конкретної інфраструктури чи діяльності потрібні інші дозволи, права або процедури, їх потрібно аналізувати окремо.

Після успішного внесення робота з документами не завершується. Дані компанії, контактні особи, перелік сервісів, інфраструктура або підтвердні документи можуть змінюватися. Якщо зміна стосується відомостей, що мають значення для Переліку, потрібно своєчасно перевірити порядок їх актуалізації.

Для практичного контролю доцільно вести внутрішній реєстр, у якому зазначаються:

• дата внесення та ключові реєстрові відомості;
• відповідальна особа;
• перелік документів, на підставі яких подавалася заява;
• строки дії сертифікатів або інших підтвердних документів;
• події, після яких потрібно перевірити необхідність оновлення даних;
• історія поданих змін і листування з уповноваженим органом.

Такий підхід особливо корисний компаніям, у яких технічні та комерційні продукти змінюються швидше, ніж юридична документація. Внутрішній контроль допомагає не допустити ситуації, коли реєстровий опис сервісу вже не відповідає фактичній моделі роботи.

Чи кожна ІТ-компанія повинна вноситися до Переліку?

Ні. Потрібно аналізувати фактичну діяльність і визначати, чи є компанія надавачем хмарних послуг та/або послуг центру обробки даних у розумінні чинного законодавства. Сам по собі ІТ-КВЕД або використання хмарної інфраструктури не дає універсальної відповіді.

Яким документом визначений порядок внесення?

Чинний Порядок ведення Переліку та форма заяви затверджені наказом Адміністрації Держспецзв’язку від 07.04.2025 № 231. Перед фактичним поданням потрібно перевірити актуальну редакцію та технічний спосіб подання.

Чи можна подати заяву без попереднього аудиту?

Формально порядок дій визначається чинною процедурою, але практично попередня перевірка допомагає знайти розбіжності в описі послуг, реквізитах і підтвердних документах до подання. Це особливо важливо для складних моделей із кількома сервісами.

Чи є внесення до Переліку ліцензією?

Ні. На сторінці послуги не слід використовувати формулювання «ліцензія на хмарні послуги» як синонім внесення до Переліку. Інші дозвільні або спеціальні вимоги, якщо вони застосовуються, аналізуються окремо.

Чи потрібно оновлювати дані після внесення?

Якщо змінюються відомості, які мають значення для Переліку, потрібно перевірити чинну процедуру їх актуалізації. Для цього доцільно призначити відповідальну особу та вести внутрішній реєстр змін.