Законопроект о кибербезопасности и устойчивости

17 июля 2024 года на церемонии открытия парламента было объявлено , что лейбористское правительство представит законопроект о кибербезопасности и устойчивости (CS&R). ^[1] Предлагаемый законопроект призван обновить существующие Правила сетевой и информационной безопасности 2018 года, известные как UK NIS. ^{[2] CS&R укрепит} киберзащиту Великобритании и ее устойчивость к враждебным атакам, тем самым гарантируя, что инфраструктура и критически важные услуги, на которые полагаются британские компании, защищены путем устранения уязвимостей , одновременно гарантируя, что цифровая экономика может обеспечить рост . ^[3]

Законопроект расширит сферу действия существующих правил и укрепит позиции регулирующих органов, а также повысит требования к отчетности, предъявляемые к предприятиям, чтобы помочь составить более полную картину киберугроз. ^[4] Его цель — укрепить киберзащиту Великобритании, гарантируя, что критически важная инфраструктура и цифровые услуги, на которые полагаются компании, защищены. ^[5] Законопроект будет распространяться и применяться на всей территории Великобритании. ^[3]

Новые законы являются частью обязательства правительства по усилению и укреплению мер кибербезопасности Великобритании и защите цифровой экономики. ^[6] CS&R представит всеобъемлющую нормативную базу, предназначенную для обеспечения соблюдения строгих мер кибербезопасности в различных секторах. Эта база будет включать обязательное соблюдение установленных стандартов и практик кибербезопасности для обеспечения внедрения основных мер кибербезопасности. В конечном итоге предприятиям необходимо будет продемонстрировать свою приверженность этим стандартам посредством регулярных аудитов и отчетности. ^[7] В законодательство также включены потенциальные механизмы возмещения затрат для предоставления ресурсов регулирующим органам и предоставления полномочий для упреждающего расследования потенциальных уязвимостей. ^[8]

Ключевые факты из Речи короля: ^[3]

i ) Действующие правила кибербезопасности NIS Великобритании играют важную роль в защите критически важной национальной инфраструктуры Великобритании, возлагая обязанности по обеспечению безопасности на промышленность, участвующую в предоставлении основных услуг. ^[9] Эти правила охватывают пять секторов: транспорт, энергетика, питьевая вода , здравоохранение и цифровая инфраструктура, а также некоторые цифровые услуги, включая онлайн-рынки , онлайн-поисковые системы и службы облачных вычислений. За реализацию настоящих правил отвечают 12 регулирующих органов.

ii) Враждебные кибератаки все чаще нацеливаются на критически важные секторы и цепочки поставок Великобритании. Недавние серьезные громкие атаки, затронувшие лондонские больницы и Министерство обороны , а также атаки с использованием программ-вымогателей на Британскую библиотеку и Королевскую почту , подчеркнули, что британские службы и учреждения уязвимы для атак.

iii) Последствия кибератаки на эти секторы представляют серьезные риски для граждан Великобритании, основных служб и экономики в целом. Например, в результате атаки с использованием вируса-вымогателя, затронувшей NHS в Англии в июне [2024 г.], 3396 амбулаторных приемов и 1255 плановых процедур были отложены в King's College Hospital , Guy's Hospital и St Thomas' Hospital , все в Южном Лондоне. Было подсчитано, что стоимость киберпреступности в Великобритании в 2023 г. составила 320 млрд долларов, около 225 млрд фунтов стерлингов. ^[10]

iv) Национальный центр кибербезопасности (NCSC) оценивает, что возросшая угроза со стороны враждебных государств и спонсируемых государством субъектов продолжает расти. В недавнем выступлении на CyberUK генеральный директор NCSC Фелисити Освальд предупредила, что поставщики основных услуг в Великобритании не могут позволить себе игнорировать эти угрозы. ^[11]

v) 2 обзора UK NIS после внедрения показали, что первоначальные правила оказывают положительное влияние, но прогресс недостаточно быстрый. ^{[12] [13]} В 2022 году обзор показал, что они «являются жизненно важной основой для повышения более широкой устойчивости Великобритании к угрозам безопасности сетей и информационных систем», но обновления необходимы, чтобы идти в ногу с растущими угрозами. Чуть более половины операторов основных услуг обновили или усилили существующие политики и процессы с момента принятия UK NIS Regulations в 2018 году, которые были введены после Директивы ЕС NIS 2016/1148. ^{[2] [14]}

Он введет обязательную отчетность о программах-вымогателях, чтобы власти могли лучше понять угрозу и «предупреждать нас о потенциальных атаках, расширяя тип и характер инцидентов, о которых должны сообщать регулируемые организации». ^{[6] [15]} Хотя этот сбор информации, вероятно, повысит устойчивость к атакам, административная нагрузка для предприятий, связанная с этой отчетностью, может повлечь за собой дополнительные расходы, а также расходы на первоначальный киберинцидент. ^[6]

Поскольку современные методы ведения бизнеса взаимосвязаны, организации должны гарантировать, что их партнеры и поставщики также придерживаются стандартов, установленных CS&R. ^[6]

В ЕС первоначальная Директива о сетевой и информационной безопасности (Директива NIS 2016/1148) обновляется до Директивы 2022/2555, известной как EU NIS 2. ^{[16] [17]} EU NIS 2 вносит широкомасштабные изменения в существующие законы ЕС о кибербезопасности для сетевых и информационных систем. ^[16] CS&R должна привести существующие правила NIS Великобритании 2018 года в соответствие с положениями ЕС. ^{[16] [18]}

В законопроекте пока нет информации о каких-либо наказаниях за несоблюдение или о том, какими будут требования регуляторов данных к организации, столкнувшейся с инцидентом кибербезопасности. ^[19]

Джон Эллисон, директор NCSC по национальной устойчивости, сказал, что предложенный законопроект является «знаменательным моментом в борьбе с растущей угрозой критически важным системам Великобритании». ^[20] Он продолжил, что это будет «важным шагом на пути к более всеобъемлющему режиму регулирования, подходящему для нашего нестабильного мира». ^[20]

Бывший глава NCSC Сиаран Мартин вместе с другими экспертами приветствовали законодательное предложение. В социальных сетях он написал, что предлагаемое законодательство кажется разумным, а обязательные требования к отчетности являются значительными и позитивными шагами. ^[21]

Представитель кампании CyberUp Мэтт Халл заявил, что организация с нетерпением ждет обновления правительством киберустойчивости Великобритании и, в частности, Закона о неправомерном использовании компьютеров 1990 года . Любые обновления этого Закона помогут киберспециалистам защитить Великобританию, обезопасить цифровую экономику и раскрыть потенциальный рост в индустрии кибербезопасности. ^[21]

Законопроект пройдет семь стадий законодательного процесса, который проходит в обеих палатах парламента Великобритании: первое чтение, второе чтение, этап комитета, этап доклада, третье чтение, противоположная палата и королевское одобрение.

1. 17 июля объявлен законопроект. ^[1]
2. Стадия: Предварительное законодательное рассмотрение (текущее).
3. Стадия: Первое чтение. Законопроект будет внесен в парламент в 2025 году. ^[22]

• Закон о киберустойчивости — регламент ЕС по улучшению кибербезопасности и киберустойчивости.
• GDPR — Общий регламент по защите данных.
• Вредоносное ПО — примеры включают компьютерные вирусы , шпионское и рекламное ПО .

• Кибербезопасность в Великобритании. Исследовательский брифинг - Библиотека Палаты общин