Кому насправді заборонено 1С та BAS

Навколо теми 1С/BAS в Україні досі багато плутанини. Хтось каже, що ці системи “заборонені всім”, хтось — що це лише питання репутації, а хтось узагалі зводить усе до чуток. Насправді тут є дві різні правові історії, і саме через їх змішування виникає хаос у трактуванні.

Перша історія — відкритий перелік забороненого програмного забезпечення

Законодавство у сфері кібербезпеки після змін 2025 року прямо встановлює важливу умову: у системах, де обробляються державні інформаційні ресурси, службова інформація, державна таємниця, а також на об’єктах критичної інфраструктури, не можна використовувати програмні чи апаратні засоби, які включені до відкритого переліку забороненого ПЗ.

На практиці це означає, що така вимога є обов’язковою насамперед для:

• органів державної влади;
• органів місцевого самоврядування;
• військових формувань;
• державних підприємств;
• операторів критичної інфраструктури.

Саме в цьому контексті й говорять, що 1С/BAS “заборонені”: якщо конкретні продукти включені до відкритого переліку, їх використання в цих категоріях систем не допускається.

Друга історія — санкції щодо 1С як суб’єкта

Окремо існує санкційний режим щодо самої компанії 1С. Це вже не історія про “чорний список ПЗ”, а про обмеження взаємодії з конкретною санкційною особою. Тобто мова йде про економічні операції, платежі, купівлю, підтримку, супровід та інші форми співпраці з суб’єктом, щодо якого діють санкції.

І тут важливо розуміти різницю:

• відкритий перелік забороненого ПЗ — це пряма нормативна умова використання для держсектору та критичної інфраструктури;
• санкції — це обмеження взаємодії з конкретною особою або компанією, а не “окрема кримінальна стаття за сам факт, що програма стоїть на комп’ютері”.

Хто має повноваження забороняти

Це не питання чиєїсь “ініціативи на місцях”. Повноваження тут прямо визначені законом і постановами.

Формування та ведення відкритого переліку забороненого ПЗ покладено на Держспецзв’язку, а порядок ведення такого переліку затверджено Кабінетом Міністрів. Санкції ж ухвалюються РНБО і вводяться в дію Указом Президента. Тобто мова йде не про чиєсь самоуправство, а про реалізацію встановлених державою механізмів.

Яка відповідальність може наставати

Тут теж важливо не спрощувати.

Якщо “заборона” внутрішня

Якщо приватна компанія сама встановила політику “не використовувати 1С/BAS”, то це, як правило, внутрішнє управлінське рішення. За саме по собі порушення такої внутрішньої заборони окремої універсальної статті КУпАП чи КК немає.

Якщо йдеться про держсектор або критичну інфраструктуру

Тут правова опора — це вимоги закону про кібербезпеку і підзаконні акти щодо відкритого переліку. Але важливий нюанс: у законодавстві немає однієї короткої універсальної норми в стилі “кримінальна чи адміністративна відповідальність за сам факт використання ПЗ зі списку”. На практиці наслідки можуть наставати через:

• дисциплінарну відповідальність;
• результати аудиту та перевірок;
• порушення вимог безпеки;
• порушення закупівельних або внутрішніх процедур;
• наслідки інцидентів, якщо вони виникли через таке використання.

Щодо кримінальної відповідальності за порушення санкцій

У тексті окремо підкреслюється, що станом на чинну редакцію Кримінального кодексу немає окремої діючої статті “за порушення санкцій” у тому вигляді, як це часто подають у публічній дискусії. Є законопроєктна робота в цьому напрямі, але це не те саме, що вже чинна стаття КК.

Водночас, якщо дії в конкретній ситуації кваліфікуються як допомога державі-агресору, теоретично можуть застосовуватися вже інші норми, наприклад пов’язані з пособництвом. Але це не автоматична історія і не універсальна формула — тут потрібен окремий юридичний аналіз кожного конкретного випадку.

Головний висновок

Коли в Україні кажуть, що 1С/BAS “заборонено”, треба одразу уточнювати: кому саме і на якій підставі. Для держорганів, держпідприємств, військових формувань, органів місцевого самоврядування та об’єктів критичної інфраструктури питання стоїть значно жорсткіше, бо там працює режим відкритого переліку забороненого ПЗ. Для приватного бізнесу картина інша: тут мова частіше йде не про пряму універсальну заборону, а про санкційні, договірні, репутаційні та безпекові ризики.