Законопроект о кибербезопасности и устойчивости
Законопроект о кибербезопасности и устойчивости (англ. Cyber Security and Resilience Bill, CS&R) — предложенное в 2024 году в Великобритании законодательство в области кибербезопасности. О планах внесения этого законопроекта было объявлено 17 июля 2024 года во время торжественного открытия парламента новым лейбористским правительством. Законопроект направлен на обновление действующих в стране «Правил по сетям и информационной безопасности» 2018 года («UK NIS») и расширяет их применение[1]. Законопроект о кибербезопасности и устойчивости должен усилить киберзащиту и устойчивость (resilience) Великобритании к враждебным атакам, обеспечив защиту инфраструктуры и критически важных сервисов, на которые полагаются компании и организации страны, а также способствовать росту цифровой экономики за счёт снижения уязвимостей[2].
Законопроект расширяет сферу действия существующих правил, укрепляет полномочия регуляторов, а также увеличивает требования к отчётности компаний, что должно помочь получить более полную картину киберугроз[3]. Его цель — обеспечить безопасность критической инфраструктуры и цифровых сервисов, используемых компаниями[4]. Законопроект будет действовать по всей территории Великобритании[2].
Новый свод правил — часть обязательств правительства по усилению мер кибербезопасности и защите цифровой экономики[5]. Законопроект вводит комплексную нормативную систему, обязывающую разные отрасли внедрять и подтверждать выполнение строгих мер по обеспечению кибербезопасности, включая регулярные аудиты и отчётность[6]. Предусмотрены и механизмы возмещения затрат регуляторов, а также полномочия для проактивного расследования уязвимостей[7].
Основные факты
Ключевые положения, озвученные в королевской речи[2]:
i) Действующие правила UK NIS играют важную роль в защите критически важной национальной инфраструктуры Великобритании, возлагая обязанности по обеспечению кибербезопасности на секторы, предоставляющие важнейшие услуги[8]. Нормативы распространяются на пять отраслей: транспорт, энергетику, водоснабжение, здравоохранение и цифровую инфраструктуру, а также на определённые цифровые сервисы, такие как онлайн-маркетплейсы, поисковые системы и облачные вычисления. За их соблюдением следят 12 регулирующих органов.
ii) Враждебные киберпреступники всё чаще нацеливаются на критические секторы Великобритании и её цепочки поставок. Недавние масштабные атаки на лондонские больницы и Министерство обороны, а также программные выкупы в Британской библиотеке и Royal Mail показали уязвимость государственных сервисов перед киберугрозами.
iii) Последствия кибератак создают серьёзные риски для граждан страны и функционирования экономики. Например, атака программой-вымогателем на NHS в Англии в июне 2024 года привела к отмене 3 396 амбулаторных записей и 1 255 плановых операций в больницах King's College, Guy’s и St Thomas’ на юге Лондона. Оценочная стоимость киберпреступности в Великобритании за 2023 год — 320 млрд долларов, или около 225 млрд фунтов стерлингов[9].
iv) Национальный центр кибербезопасности Великобритании (NCSC) отмечает рост угроз со стороны враждебных государств и подконтрольных им групп. На конференции CyberUK исполнительный директор NCSC Фелисити Осуолд предупредила, что поставщики ключевых услуг Великобритании не могут позволить себе игнорировать эти риски[10].
v) Проведённые после внедрения UK NIS регламентов проверки показали, что влияние положительное, но прогресс недостаточно быстр[11][12]. В отчёте 2022 года подчёркивается, что эта рамочная система жизненно необходима для повышения устойчивости страны к угрозам безопасности сетей, но требует пересмотра с учётом новых рисков. С 2018 года чуть больше половины операторов жизненно важных услуг усилили внутренние политики, изначально установленные после европейской Директивы NIS 2016/1148[1][13].
Последствия
Среди нововведений — обязательная отчётность о случаях программ-вымогателей, чтобы власти могли лучше понимать уровень угроз и своевременно реагировать на потенциальные атаки за счёт расширения перечня инцидентов, которые должны быть заявлены[5][14]. Вместе с тем расширяется административная нагрузка для компаний, сопоставимая по стоимости с последствиями инцидентов[5].
Поскольку современные бизнес-практики предполагают тесную связанность организаций, все партнёры и поставщики также должны соблюдать установленные стандартами CS&R требования[5].
В Европейском союзе изначальная Директива по сетям и информационной безопасности (NIS Directive 2016/1148) заменяется обновлённой редакцией — Директивой 2022/2555 (EU NIS 2)[15][16]. NIS 2 приносит значительные изменения в систему регулирования кибербезопасности для сетей и информационных систем ЕС[15]. Британский законопроект призван приблизить UK NIS 2018 к современным европейским стандартам[15][17].
В законопроекте пока нет подробной информации о конкретных санкциях за неисполнение требований или требованиях регуляторов к компаниям, подвергшимся инциденту[18]. В апреле 2025 года министр Питер Кайл объявил о намерении ввести штрафы в размере 100 000 фунтов в день за неисполнение предписаний по реагированию на угрозы[19][20].
Реакция
Директор по национальной устойчивости Национального центра кибербезопасности Джон Эллисон заявил, что предлагаемый законопроект является «поворотным моментом в борьбе с растущей угрозой национальным системам»[21] и станет «важнейшим шагом к более комплексной системе регулирования, отвечающей вызовам современности»[21].
Бывший глава NCSC Киаран Мартин и другие специалисты приветствовали законодательную инициативу, отмечая, что обязательная отчётность — позитивная составляющая новой политики[22].
По словам представителя кампании CyberUp Мэтта Халла, организация ожидает обновления не только правил киберустойчивости, но и Закона о компьютерных злоупотреблениях 1990 года. Его совершенствование позволит киберспециалистам эффективнее защищать страну и раскрыть потенциал индустрии кибербезопасности[22].
Политическое заявление о кибербезопасности и устойчивости
В апреле 2025 года опубликовано официальное Политическое заявление правительства по CS&R, в котором перечислены подтверждённые и предлагаемые меры[23]. В заявлении отмечается: «Цифровая трансформация меняет наше критическое национальное хозяйство (CNI) и важнейшие общественные сервисы, открывая большие возможности для страны, но одновременно принося новые риски… В этом документе изложены законодательные предложения, а также отмечается необходимость гибкой системы регулирования, чтобы поспевать за динамикой угроз»[23].
Документ предусматривает расширение сферы регулирования, наделение контролирующих органов дополнительными полномочиями и улучшение контроля за отраслью, включая усиление отчётности об инцидентах, расширение возможностей сбора информации у Информационного комиссара (ICO) и совершенствование механизмов финансирования надзора. Важно, чтобы система регулирования оставалась адаптивной[24].
Законопроект затрагивает около 1000 организаций, на которые возлагается обязанность совершенствовать оценку рисков и меры киберзащиты[25]. Среди мер — повышение стандартов защиты данных и сетей, новые требования для дата-центров и провайдеров управляемых сервисов, усиление полномочий регуляторов, расширенная отчётность и предоставление правительству возможности пересматривать требования по мере появления новых угроз[25].
В заявлении подробно описаны изменения в программе Cyber Essentials: обновлённое определение программного обеспечения, устранение уязвимостей, корректировка терминологии для удалённой работы[26]. Сертификация Cyber Essentials будет осуществляться по новым спецификациям, включая контроль фрагментации сетей, проверку по выборке, а также внедрение беспарольной аутентификации[26].
Ход рассмотрения
Рассмотрение законопроекта проходит в семь этапов парламентарного процесса в обеих палатах парламента Великобритании: представление, первое и второе чтение, рассмотрение в комитете, доклад, третье чтение, рассмотрение в другой палате и королевская санкция.