ECSF
Європейська рамка, яка пов’язує професійні ролі в кібербезпеці з робочими завданнями, знаннями й навичками для найму та навчання.
Огляд ECSF
European Cybersecurity Skills Framework (ECSF) допомагає домовитися, яку роботу виконує фахівець із кібербезпеки та що він має вміти. ENISA опублікувала посібник користувача й 12 типових професійних профілів у 2022 році.
Практичний результат — зрозумілий опис ролі, обґрунтовані вимоги до вакансії або навчальна програма з перевірними результатами. ECSF є відкритим орієнтиром для розвитку персоналу; сама рамка не видає кваліфікацій і не встановлює обов’язкової чисельності команди.
Для кого створено рамку
Основні користувачі — керівники команд, кадрові служби, викладачі, розробники навчальних програм і самі фахівці. Роботодавці описують потрібну роботу, заклади освіти пов’язують її з навчанням, а люди визначають, яких умінь їм бракує.
Державним органам і професійним об’єднанням ECSF допомагає порівнювати потреби ринку праці та планувати розвиток кадрів. Новачкам він пояснює різницю між професіями, зокрема між реагуванням на інциденти, аудитом і дослідженнями.
Для яких галузей
Рамка придатна для будь-якої галузі, де потрібна робота з кібербезпеки: ІТ, фінансів, охорони здоров’я, енергетики, промисловості, освіти та державних послуг. Сектор визначає контекст завдань: аналітик у лікарні й аналітик хмарного сервісу працюють із різними системами та наслідками збоїв.
В Україні ECSF можна добровільно використовувати для освітніх програм і міжнародної співпраці. Галузеві вимоги, допуски та національні правила щодо посад потрібно враховувати окремо.
Які професійні ролі охоплено
12 профілів охоплюють управління, технічну роботу, перевірку й навчання. Назва профілю описує тип роботи: вона не означає, що організація повинна створити 12 окремих посад.
Керівник інформаційної безпеки (CISO)
Узгоджує стратегію, ресурси та управління кібербезпекою.
Фахівець із реагування на кіберінциденти
Виявляє, аналізує та опрацьовує інциденти.
Фахівець із кіберправа, політик і відповідності
Пов’язує правові вимоги з політиками й робочими процесами.
Аналітик кіберзагроз
Оцінює відомості про загрози для обґрунтованих рішень.
Архітектор кібербезпеки
Проєктує захист систем і взаємодію засобів безпеки.
Аудитор кібербезпеки
Перевіряє заходи безпеки за визначеними критеріями та доказами.
Викладач кібербезпеки
Планує навчання та оцінює його результати.
Фахівець із впровадження кібербезпеки
Розробляє, налаштовує та підтримує рішення безпеки.
Дослідник кібербезпеки
Досліджує проблеми та випробовує нові методи захисту.
Менеджер ризиків кібербезпеки
Оцінює кіберризики й організовує роботу з ними.
Фахівець із цифрової криміналістики
Досліджує цифрові сліди та зберігає цілісність доказів.
Фахівець із тестування на проникнення
Перевіряє стійкість систем до атак у погоджених межах.
Як читати професійний профіль
Почніть із призначення ролі та очікуваних результатів роботи. Потім зіставте основні завдання з навичками й знаннями. Знання пояснюють, що людина розуміє; навички — що вона може виконати на практиці.
Наприклад, для реагування на інциденти важливий не лише перелік знайомих інструментів. Потрібно вміти проаналізувати подію, узгодити дії й зрозуміло передати результат іншим учасникам. Конкретні інструменти та критерії перевірки визначає ваша команда.
Як застосувати до команди й навчання
Опишіть роботу, яку потрібно забезпечити, та оберіть відповідні профілі. Для кожного завдання зазначте відповідального, потрібну здатність і доказ її наявності: виконану вправу, робочий результат або спостереження наставника. Так видно, що вже покрито, а де потрібні навчання, найм чи зовнішня допомога.
У малій організації людина може поєднувати частини різних ролей; у великій один профіль може розподілятися між кількома працівниками. Перевіряйте навантаження, незалежність перевірок і можливі конфлікти обов’язків.
Зв’язок з іншими рамками та NIS2
Посібник пояснює зв’язки з e-CF, європейськими профілями ІКТ-професій, EQF та ESCO. Це допомагає описувати кібербезпеку у ширшій системі професій і навчання. Зіставлення не надає людині автоматичного рівня кваліфікації чи визнання диплома.
Окремі рекомендації ENISA від 2025 року пов’язують обов’язки за NIS2 з профілями ECSF. Вони допомагають розподіляти роботу, але відповідність організації NIS2 залежить від застосовних норм і реальних заходів, а не від назв посад.
Межі та поточний розвиток
Редакція 2022 року не є каталогом усіх спеціалізацій і не гарантує працевлаштування чи сертифікацію. Профілі потрібно доповнювати контекстом організації, технологіями, необхідним досвідом і способом перевірки вмінь.
Станом на 8 вересня 2026 року ENISA повідомляє про перегляд ECSF, зокрема про розроблення рівнів володіння та врахування життєвого циклу безпечних цифрових продуктів. Публічну консультацію планують на кінець 2026 року. Ці плани не слід подавати як уже опубліковану нову редакцію.
Кому це буде корисно
Практична користь ECSF залежить від вашої ролі: навчати, наймати, розвивати власні вміння чи узгоджувати професійні вимоги.
Для навчальних закладів
Практична користь. Допомагає пов’язати навчальні результати з роботою, яку виконуватиме випускник.
Що вивчити насамперед. Завдання профілю, потрібні знання й навички, практичне оцінювання.
Приклад застосування. Для модуля з реагування на інциденти визначте підсумковий звіт і критерії його оцінювання.
Більше про напрям для цієї групиДля студентів
Практична користь. Допомагає обрати напрям і зрозуміти, чим відрізняються професійні ролі.
Що вивчити насамперед. Призначення ролі, типові завдання та власні прогалини в підготовці.
Приклад застосування. Порівняйте ролі аудитора й тестувальника на проникнення та підберіть практичну роботу для портфоліо.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Дає спільну мову керівнику, кадровій службі й технічній команді.
Що вивчити насамперед. Розподіл відповідальності, вимоги вакансій і розвиток працівників.
Приклад застосування. Перепишіть вакансію через конкретні завдання та докази вмінь замість надмірного переліку сертифікатів.
Більше про напрям для цієї групиДля державних установ
Практична користь. Підтримує планування кадрів для цифрових державних послуг і навчання службовців.
Що вивчити насамперед. Профілі потрібних ролей, прогалини в команді й застосовні вимоги до посад.
Приклад застосування. Для порталу послуг визначте, хто оцінює ризики, підтримує захист і координує реагування на інциденти.
Більше про напрям для цієї групиДля військових
Практична користь. Корисний як цивільний орієнтир для підготовки фахівців і взаємодії з освітніми партнерами.
Що вивчити насамперед. Переносні захисні навички; спеціальні вимоги служби й допуски визначаються окремо.
Приклад застосування. Зіставте дозволену навчальну вправу з цифрової криміналістики із завданнями відповідного профілю.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає невеликій організації розподілити роботу з безпеки між командою та партнерами.
Що вивчити насамперед. Реалістичне навантаження, зовнішня підтримка й навчання відповідальних людей.
Приклад застосування. Для бази донорів опишіть завдання з ризиків і захисту та визначте, для чого потрібна зовнішня допомога.
Більше про напрям для цієї групиДля громадян
Практична користь. Пояснює професії кібербезпеки та допомагає оцінити можливість зміни кар’єри.
Що вивчити насамперед. Відмінності ролей і вимоги до підготовки; ECSF не є обов’язковим курсом для всіх користувачів.
Приклад застосування. Порівняйте свої навички викладання з профілем Cybersecurity Educator і визначте потрібні технічні знання.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає розробникам стандартів і кваліфікацій основу для зрозумілих описів потрібної компетентності.
Що вивчити насамперед. Простежуваний зв’язок між вимогами, робочими завданнями та оцінюванням.
Приклад застосування. Для вимоги до аудиторів поясніть, які завдання профілю ECSF вона покриває і як це перевіряють.
Більше про напрям для цієї групиІсторія ECSF
Від спільної мови професійних ролей до практики планування кадрів і підготовки оновлення рамки. Нові рекомендації та законодавчі пропозиції відокремлено від редакції 2022 року.
Початок розроблення спільної рамки
У грудні 2020 року ENISA створила спеціальну робочу групу для ECSF. Експерти мали узгодити мову професійних ролей і зв’язок між потребами роботодавців та підготовкою кадрів.
Опубліковано посібник і професійні профілі
19 вересня 2022 року ENISA опублікувала User Manual та окремий документ із 12 типовими професійними профілями. Ця редакція є основою опису на сторінці.
ECSF стає орієнтиром Академії кібернавичок
18 квітня 2023 року Європейська комісія представила Cybersecurity Skills Academy. Повідомлення визначає ECSF спільною основою для опису й оцінювання професійних навичок; воно не запроваджує обов’язкової сертифікації кожного фахівця.
Рекомендації щодо ролей для виконання NIS2
26 червня 2025 року ENISA опублікувала рекомендації щодо ролей і навичок для суттєвих та важливих суб’єктів за NIS2. Вони застосовують ECSF для розподілу роботи й розвитку потрібної спроможності, не замінюючи правові вимоги.
Обмін практикою застосування ECSF
20–21 листопада 2025 року ENISA провела у Брюсселі семінар про використання ECSF у проєктах за співфінансування ЄС. Обговорювали навчання, галузеві потреби та оцінювання дефіциту навичок. Це розвиток практики застосування, а не нова редакція рамки.
Пропозиція щодо європейського підтвердження навичок
20 січня 2026 року Комісія запропонувала перегляд Cybersecurity Act: серед положень — підтримка ECSF та європейських схем підтвердження індивідуальних навичок. Станом на перевірку це пропозиція; вона не означає, що нові схеми вже діють або що ECSF 2022 видає сертифікат.
Запущено консорціум Cybersecurity Skills Coalition
30 червня 2026 року Комісія та держави-учасниці оголосили про запуск CSC-EDIC для підтримки Академії кібернавичок. Його завдання охоплюють навчання, оцінювання дефіциту навичок і співпрацю з ENISA; це інституційна підтримка поширення ECSF, а не нова редакція профілів.
Перегляд ECSF: поточний стан
Станом на 8 вересня 2026 року ENISA повідомляє про перегляд рамки: життєвий цикл безпечних продуктів, нові загрози й політики та рівні володіння. Консультацію планують на кінець 2026 року. Дата цієї події позначає перевірку стану, а не дату оприлюднення повідомлення ENISA.