CEO, який не розуміє кіберризик, не до кінця розуміє власний бізнес
Що має вміти сильний керівник у 2026 році та чому кібербезпека вже стала частиною його особистої відповідальності
Що має вміти сильний CEO?
Найімовірніше, першою буде відповідь: приймати рішення. А ще — бачити на кілька кроків вперед, збирати сильніших за себе людей, витримувати тиск і визнавати власні помилки. Я б додав ще одне. Сильний CEO має вміти дивитися туди, де він не є експертом, але де залишається його відповідальність.
Кібербезпека саме така зона.
За майже 25 років у бізнесі я бачив, як змінювалися вимоги до керівників. Спочатку особливо цінувалося вміння заробляти. Потім до нього додалися системність, здатність будувати команди та формувати культуру компанії. Сьогодні цього вже замало. Сильний керівник повинен бачити вразливість бізнесу, навіть якщо вона прихована за екранами, серверами та роботою підрядників.
Керівнику не потрібно знати, як налаштовані міжмережеві екрани або система моніторингу. Але він має розуміти, що саме зупиниться, якщо компанія втратить доступ до даних, облікових систем, виробничого обладнання чи ключового хмарного сервісу. Бо цифровізація дала бізнесу швидкість. Водночас вона створила залежність, яку керівники часто недооцінюють.
Кіберризик вже вимірюється не кількістю атак, а наслідками для бізнесу
Український бізнес живе в особливому середовищі. За даними Держспецзв’язку, у 2025 році команда CERT-UA опрацювала 5927 кіберінцидентів — це на 37,4% більше, ніж у 2024-му. Це вже близько 16 інцидентів щодня і йдеться лише про ті випадки, які потрапили в поле зору державної команди реагування.
Глобальна статистика показує ціну цієї реальності. За Cost of a Data Breach Report 2026 від IBM і Ponemon Institute, середня вартість одного витоку даних у світі сягнула $4,99 млн. За рік вона зросла на 12%. Кількість атак із використанням штучного інтелекту збільшилася на 56%.
Але для CEO важливішою за середню глобальну суму є інша думка: збиток виникає не лише через викрадені дані. Компанія платить за зупинку процесів, відновлення, юридичні наслідки, втрату клієнтів і час керівної команди. Саме тому кіберінцидент швидко виходить за межі компетенції ІТ-відділу.
Є ще одна тенденція, яку власникам бізнесу варто побачити. За даними Verizon Data Breach Investigations Report 2026, 31% підтверджених порушень безпеки починалися з експлуатації вразливостей програмного забезпечення. У 48% випадків був залучений сторонній учасник: постачальник, підрядник або інша ланка цифрового ланцюга. За рік частка таких інцидентів зросла на 60%.
Тобто компанію можуть атакувати через систему, якою вона користується, але якою не керує. Через партнера, якого обрали за ціною і строками, не перевіривши його кіберзрілість. Через сервіс, без якого зупиняються продажі, логістика або виробництво.
Це вже точно зона уваги CEO. Бо вибір критичного постачальника = управлінське рішення.
Підписуйтеся на наші соцмережі
CEO та CISO часто бачать різні ризики
Global Cybersecurity Outlook 2026 Всесвітнього економічного форуму показав цікаву різницю. Для CEO головними загрозами стали кібершахрайство та фішинг, тоді як керівників із кібербезпеки найбільше хвилюють програми-вимагачі та стійкість ланцюгів постачання. Це не означає, що хтось із них помиляється. Вони дивляться на одну проблему з різних боків. CEO бачить фінансові втрати та втрату довіри клієнтів. CISO — спосіб проникнення, технічну стійкість і можливість відновлення.
Завдання зрілого керівника поєднати ці дві картини. Інакше технічна команда звітуватиме про кількість заблокованих атак, а керівництво так і не отримає відповіді на головне питання: який сценарій може зупинити бізнес і скільки це коштуватиме?
Той самий звіт ВЕФ, підготовлений на основі відповідей 804 керівників із 92 країн, фіксує ще дві важливі зміни. 94% опитаних вважають штучний інтелект найвпливовішою силою, що формуватиме кібербезпеку у 2026 році. А 65% великих компаній називають ризики постачальників і ланцюгів постачання головною перешкодою для кіберстійкості.
СЕО має бути готовим до відповіді команди безпеки, що абсолютної захищеності не існує. І це правда. Але запитання всетаки треба ставити і воно приблизно так має звучати: «Які наслідки ми готові витримати, як швидко помітимо атаку і що робитимемо в першу чергу, в другу і в третю?»
Світ вже закріплює відповідальність керівників у правилах і стандартах
Зміна ролі CEO — це не лише моя оцінка. Вона вже закладена в міжнародні правила управління кіберризиками.
У другій версії Cybersecurity Framework від NIST до п’яти звичних функцій, ідентифікувати, захистити, виявити, відреагувати та відновитися, додали шосту: Govern, тобто управління. Її сенс у тому, що кіберризик має бути частиною загальної системи ризик-менеджменту компанії, з визначеними ролями, відповідальністю, пріоритетами й контролем з боку керівництва.
Ще пряміше це сформульовано в європейській директиві NIS2. Стаття 20 вимагає, щоб керівні органи компаній, на які поширюється директива, затверджували заходи з управління кіберризиками, контролювали їх виконання та могли нести відповідальність за порушення.
Показово, що у NIS2 окремо згадується навчання членів керівних органів. Європейський підхід фактично говорить: керівник не може прикриватися тим, що кібербезпека є занадто технічною темою. Якщо ризик здатен вплинути на безперервність роботи, клієнтів і фінансовий результат, його потрібно розуміти на рівні управління.
Цей принцип важливий і для українських компаній, які працюють із європейськими клієнтами, входять до міжнародних ланцюгів постачання або планують виходити на ринки ЄС. Навіть коли вимога формально не поширюється на український бізнес, її логіка вже приходить до нас через контракти, аудити та вимоги партнерів.
П’ять запитань, на які сильний CEO повинен знати відповідь
Кіберграмотність керівника не вимірюється знанням технічних скорочень. Для мене її краще перевіряють п’ять простих запитань.
1. Що в нашому бізнесі зупиниться першим?
Не «які сервери у нас є», а які процеси є критичними. Прийом платежів, відвантаження товару, робота виробничої лінії, доступ працівників до систем, зв’язок із клієнтами. CEO повинен бачити залежність бізнес-процесу від технології та конкретного постачальника.
2. Скільки часу ми можемо не працювати?
Відповідь «якомога менше» не є управлінською. Потрібен конкретний допустимий час простою для кожного критичного процесу і розуміння ціни кожної години. Лише після цього можна обґрунтовано вирішувати, скільки інвестувати в резервування, моніторинг і відновлення.
3. Хто має право ухвалювати рішення під час інциденту?
Кібератака швидко стає кризою всієї компанії. Хтось має вирішити, чи зупиняти системи, коли залучати зовнішніх експертів, що повідомляти клієнтам, чи звертатися до державних органів. Якщо ці ролі не визначені заздалегідь, у критичний момент компанія втратить час не через техніку, а через внутрішню невизначеність.
4. Від кого ми залежимо більше, ніж думаємо?
Хмарні сервіси, бухгалтерські системи, CRM, логістичні платформи, інтегратори, агенції, постачальники обладнання, кожен із них може мати доступ до даних або впливати на безперервність роботи. Закупівля критичного сервісу без оцінки кіберризику сьогодні схожа на кредитування без перевірки платоспроможності.
5. Коли ми востаннє перевіряли план відновлення на практиці?
Наявність резервної копії ще не означає, що з неї можна швидко відновитися. Наявність плану реагування не означає, що команда зможе діяти за ним під тиском. Сценарні навчання для керівництва дають іноді більше, ніж чергова презентація про загрози: вони показують, де рішення зависають, хто не знає своєї ролі та яких даних бракує CEO.
Що повинен бачити керівник замість технічного звіту
CEO не потрібен щомісячний перелік із тисяч заблокованих подій. Велика цифра може створити відчуття активної роботи, але нічого не сказати про реальний ризик. Керівнику потрібна коротка управлінська картина: які сценарії можуть зупинити бізнес, який можливий фінансовий вплив, чи вкладається компанія у визначений час відновлення, які критичні вразливості залишаються невирішеними, де є залежність від одного постачальника і наскільки команда готова діяти під час інциденту.
Працюючи понад два десятиліття у сфері безпеки, я дедалі більше переконуюся: фізичний, фінансовий, репутаційний і кіберризик не живуть окремо. Кібератака може зупинити фізичне виробництво. Компрометація підрядника — відкрити доступ до внутрішньої інфраструктури. Втрата даних — перетворитися на кризу довіри.
Саме тому в SHERIFF ми дивимося на безпеку комплексно. Для керівника важлива не назва загрози, а її здатність порушити керованість бізнесу.
Нова компетенція CEO — бачити те, чого не видно
Сильний CEO не повинен виконувати роботу CISO, ІТ-директора чи аналітика центру кібербезпеки. Його роль інша: визначити допустимий ризик, розставити пріоритети та вимагати чесної картини готовності компанії.
Питаннями кібербезпеки може займатися окрема команда, зовнішній партнер або, як досі часто буває, ІТ-відділ. Але пояснювати наслідки інциденту клієнтам, партнерам, працівникам і наглядовій раді доведеться керівнику. Тому для мене сьогодні один із маркерів сильного CEO — здатність розуміти кіберризики на тому самому рівні, що й фінансові та репутаційні. Йому не потрібно знати все. Але він не може дозволити собі не бачити того, що здатне зупинити його компанію.