Сообщество визовых консультантов и экспертов по Великобритании

Войти на сайт

Зарегистрироваться

Администрация

задать вопрос

Возврат к списку

В этом заявлении подробно излагаются утвержденные и предлагаемые меры в законопроекте о кибербезопасности и устойчивости

Алекс Эптон | 6 Апреля 2025, 9:59

Политический документ

Законопроект о кибербезопасности и устойчивости: политическое заявление

В этом заявлении подробно излагаются утвержденные и предлагаемые меры в законопроекте о кибербезопасности и устойчивости, который будет представлен на рассмотрение парламента в конце этого года.

От:: Департамент науки, инноваций и технологий , Ферьял Кларк, депутат , и достопочтенный Питер Кайл, депутат
Опубликовано: 1 апреля 2025 г.
Последнее обновление: 1 апреля 2025 г. — Посмотреть все обновления

Документы

Заявление о политике кибербезопасности и устойчивости

Ссылка: ISBN 978-1-5286-5588-0, E03328649 04/25, CP 1299

HTML

Заказать копию

Заявление о политике кибербезопасности и устойчивости

Ссылка: ISBN 978-1-5286-5588-0, E03328649 04/25, CP 1299

PDF , 326 КБ , 32 страницы

Заказать копию

Заявление о политике кибербезопасности и устойчивости (оптимизированный для веб-сайтов PDF-файл)

Ссылка: ISBN 978-1-5286-5588-0, E03328649 04/25, CP 1299

PDF , 326 КБ , 32 страницы

Заказать копию

Заявление о политике кибербезопасности и устойчивости (версия для крупного шрифта)

Ссылка: ISBN 978-1-5286-5588-0, E03328649 04/25, CP 1299

PDF , 415 КБ , 72 страницы

Заказать копию

Датганиад Полиси Seiberddiogelwch a Chadernid (валлийская версия)

Ссылка: ISBN 978-1-5286-5588-0, E03328649 04/25, CP 1299

HTML

Заказать копию

Подробности

В Заявлении о политике в области кибербезопасности и устойчивости изложены меры политики, которые будут включены в предстоящий законопроект о кибербезопасности и устойчивости, который будет внесен в парламент в конце этого года.

Это политическое заявление также будет представлено парламенту 1 апреля 2025 года. Законопроект будет внесен в парламент на текущей парламентской сессии.

Прочитайте пресс-релиз .

Дополнительную информацию и справочную информацию можно найти в сборнике документов по законопроекту о кибербезопасности и устойчивости .

Альтернативная версия на валлийском языке

Опубликовано 1 апреля 2025 г.

Последнее обновление: 1 апреля 2025 г. показать все обновления

Политический документ

Заявление о политике кибербезопасности и устойчивости

Обновлено 1 апреля 2025 г.

Maefersiwn amgen or mesurau hyn ar gael yn Gymraeg .
Альтернативная версия этих мер доступна на валлийском языке.

Представлено парламенту государственным секретарем по науке, инновациям и технологиям по приказу Его Величества

Апрель 2025 г.

КП 1299

ISBN 978-1-5286-5588-0

© Корона авторское право 2025

Предисловие министра

Первая обязанность этого правительства — обеспечить безопасность своих граждан. Предвидеть угрозы, с которыми мы сталкиваемся, минимизировать риски, которым мы подвергаемся, и сделать Великобританию максимально безопасной и защищенной. Вот что означает на практике превращение Национальной безопасности в наш главный приоритет.

Цифровая революция преобразует нашу Критически важную национальную инфраструктуру и наши основные государственные услуги. Она предлагает исключительную возможность — сделать наш народ и нашу страну лучше. Однако она также может принести новые и опасные уязвимости.

В мире, который становится все более опасным и нестабильным, мы не будем колебаться, защищая наших людей от тех, кто стремится причинить нам вред. Слишком долго сменявшие друг друга правительства не могли должным образом справиться с растущим риском, который представляют киберпреступники и враждебные государства. Прошлогодняя кибератака на поставщика больниц NHS в Лондоне привела к отсрочке более 11 000 неотложных амбулаторных приемов и плановых процедур. Некоторые из этих людей ждали приема месяцами.

Я не позволю этому продолжаться. Мы должны предпринять решительные действия для обеспечения эффективных и устойчивых изменений. Вот почему в течение нескольких недель после вступления в правительство я объявил о планах по законопроекту о кибербезопасности и устойчивости. В этом политическом заявлении я изложил законодательные предложения по этому законопроекту. Я также признаю, что киберпространство меняется экспоненциально — многое может произойти за короткий промежуток времени. В этом заявлении предлагается несколько дополнительных мер по борьбе с угрозами, с которыми мы сталкиваемся сейчас.

Наши законодательные предложения отражают знания, которые мы получили от наших международных партнеров, включая ценные уроки Европейского союза по внедрению его режима NIS2 . Они также основаны на консультациях, проведенных предыдущим правительством в 2022 и 2023 годах.

Однако крайне важно, чтобы мы также осознали уникальные угрозы, с которыми сталкивается Великобритания сейчас, и угрозы, которые мы пока не можем предсказать в грядущие десятилетия. В то же время мы должны гарантировать, что регулирование будет работать для бизнеса и инвесторов сегодня и завтра.

В основе наших предложений лежит главная миссия этого правительства: экономический рост. Рост — единственный путь к созданию новых рабочих мест и пополнению карманов трудящихся. Но роста не бывает без стабильности. Обеспечивая цифровую инфраструктуру, от которой зависит все большее число наших предприятий, мы можем обеспечить им стабильность, необходимую для инноваций и инвестиций.

Все компании, с которыми я общался, говорили одно и то же: нам необходимо гибкое, способствующее инновациям регулирование, разработанное для цифрового мира, в котором мы живем. Изменения никогда не были так необходимы.

Вместе мы сможем развить нашу экономику, перестроить наши государственные службы и обеспечить более безопасное, устойчивое и процветающее цифровое будущее для Великобритании.

Достопочтенный Питер Кайл, депутат,
государственный секретарь по вопросам науки, инноваций и технологий

Стратегический контекст

Мы сталкиваемся с беспрецедентными угрозами нашей критической национальной инфраструктуре, что создает риск для граждан Великобритании.

Враждебная киберактивность в Великобритании стала более интенсивной, частой и изощренной, что имеет реальные последствия для граждан Великобритании. В прошлом году атака с использованием вируса-вымогателя на NHS привела к более чем 11 000 отложенных амбулаторных приемов и процедур. Исследование кибернарушений 2024 года также показывает значительный масштаб проблемы, с которой мы сталкиваемся: более половины предприятий сообщили о той или иной форме кибернарушений или атак за последние двенадцать месяцев.

В ежегодном обзоре Национального центра кибербезопасности за 2024 год ( NCSC ) ландшафт угроз описывается как «рассеянный и опасный» с постоянными атаками со стороны враждебных государств и организованной преступности. Это представляет угрозу нашей национальной безопасности. Спонсируемые государством китайские субъекты угроз уже нацелились на критически важные секторы США (например, Volt Typhoon), а Россия начала разрушительные атаки против украинского правительства. Громкие атаки в Великобритании затронули местные и центральные органы власти, такие как взлом платежной сети Министерства обороны, а атаки на основных поставщиков, таких как Southern Water, а также на городской совет Лестера и городской совет Сент-Хеленс, демонстрируют реальный риск как для нашей национальной и экономической безопасности, так и для безопасности наших союзников.

Ричард Хорн, генеральный директор ( CEO ) NCSC , в своей речи, посвященной запуску ежегодного обзора NCSC , говорил о том, что серьезность риска, с которым сталкивается Великобритания, во многом недооценивается, а также о том, что защита и устойчивость критической сетевой инфраструктуры ( CNI ), цепочек поставок, государственного сектора и нашей экономики в целом нуждаются в срочном улучшении.

Устойчивость не улучшается с необходимой скоростью, чтобы идти в ногу с угрозой, и это может иметь серьезные последствия в реальном мире. Законодательный план правительства по кибербезопасности будет направлен на устранение уязвимостей в нашей киберзащите, чтобы минимизировать воздействие атак и повысить устойчивость нашей критической инфраструктуры, услуг и цифровой экономики.

Киберпреступники постоянно адаптируют и совершенствуют свои стратегии.

Киберпреступники постоянно используют достижения в области технологий для повышения эффективности своих вредоносных действий. Наша нормативная база должна идти в ногу со временем и обеспечивать гибкость для реагирования на будущие угрозы по мере их возникновения.

Злоумышленники используют уязвимости в критически важной инфраструктуре и цепочках поставок, применяя такие инструменты, как искусственный интеллект и коммерческие кибервозможности, для усиления своей шпионской и подрывной деятельности.

Наша растущая зависимость от технологий сделала цепочки поставок особенно уязвимыми, а вымогательство и вымогательство данных стали серьезными угрозами. Менее одной десятой операторов основных услуг уверены в управлении рисками, исходящими от их более широких цепочек поставок ( Network and Information Systems ( NIS ) 2018 Second Post Implementation Review ). Поскольку эти субъекты продолжают развиваться, риск для цепочек поставок остается критической проблемой, требующей повышенной бдительности и надежных мер киберустойчивости.

Кибербезопасность является важнейшим фактором экономического роста, способствующим созданию стабильной среды для инноваций и инвестиций.

Это правительство сосредоточено на стимулировании экономического роста для улучшения благосостояния нашей страны и повышения уровня жизни трудящихся.

Безопасные и надежные цифровые сервисы создают стабильную и защищенную среду для процветания бизнеса, привлекая инвестиции и поощряя развитие передовых технологий. Эта стабильность не только повышает конкурентоспособность отдельных компаний, но и стимулирует общий экономический прогресс за счет сокращения простоев и сбоев в работе.

Устойчивая киберинфраструктура имеет решающее значение для поощрения инноваций, поскольку обеспечивает надежную основу, на которой могут строиться новые идеи и технологии, тем самым сохраняя позицию Великобритании на переднем крае мировых технологических достижений.

Наш законодательный план по кибербезопасности увеличит внедрение основных средств киберзащиты. Это защитит больше субъектов от кибератак и будет способствовать созданию среды, в которой инвестиции и инновации могут процветать.

Аргументы в пользу перемен

В речи короля в июле 2024 года правительство объявило о внесении законопроекта о кибербезопасности и устойчивости, который усилит киберзащиту Великобритании и повысит устойчивость наших основных услуг, инфраструктуры и цифровых сервисов.

В настоящем политическом заявлении излагаются более подробные сведения о мерах, предусмотренных законопроектом о кибербезопасности и устойчивости, о которых было объявлено в речи короля.

Киберландшафт постоянно меняется, и ежедневно появляются новые доказательства. В знак признания этого факта в этом политическом заявлении также будут изложены некоторые дополнительные меры, которые правительство рассматривает для соответствующего законодательного инструмента, которым может стать этот законопроект о кибербезопасности и устойчивости.

Действующая нормативная база

Великобритания определяет свои самые важные цифровые и физические инфраструктурные активы, системы (включая информационные и операционные технологии), объекты, персонал и функции через призму критической национальной инфраструктуры ( CNI ). В прошлом году правительство представило первый новый сектор CNI почти за десятилетие, обозначив инфраструктуру данных , что стало первым шагом в обновлении устойчивости Великобритании. Однако поддержание безопасности основных и цифровых услуг, включая CNI , в постоянно меняющемся ландшафте угроз и опасностей является постоянной проблемой для правительства, а также заинтересованных сторон государственного и частного секторов, ответственных за управление и эксплуатацию этих услуг.

Правила по сетевым и информационным системам ( NIS ) 2018 года являются единственным межсекторным законодательством Великобритании по кибербезопасности. Они играют важную роль в обеспечении кибер- и физической устойчивости большей части CNI Великобритании , возлагая обязанности по обеспечению безопасности на операторов, участвующих в предоставлении основных услуг. ^{[сноска 1]}

Положения 2018 года охватывают пять секторов (транспорт, энергетика, питьевая вода, здравоохранение и цифровая инфраструктура) и некоторые цифровые услуги (онлайн-рынки, онлайн-поисковые системы и облачные вычислительные сервисы). Двенадцать регуляторов (называемых в правилах «компетентными органами») отвечают за обеспечение соблюдения правил. Наши правила нуждаются в обновлении, чтобы идти в ногу с угрозами, с которыми сталкиваются регулируемые организации, и нам нужно принять меры, чтобы привести Великобританию в соответствие с нашими коллегами.

Законопроект о кибербезопасности и устойчивости будет решать конкретные проблемы кибербезопасности, с которыми сталкивается Великобритания, при этом, при необходимости, согласовываясь с подходом, принятым в директиве ЕС NIS 2. Этот стратегический подход гарантирует, что мы можем быть гибкими и реагировать на киберугрозы пропорциональным образом, который уравновешивает воздействие на бизнес.

Этот законопроект существенно улучшит существующую структуру, включив в нее больше субъектов и поставив регулирующие органы на более прочную основу, чтобы они могли выполнять свои важные обязанности. Меры признают необходимость повышения прозрачности киберугроз и важность простых и четких требований к отчетности в различных структурах, включая те, которые консультируются Министерством внутренних дел для противодействия программам-вымогателям. Законопроект также позволит правительству принимать меры против возникающих угроз без необходимости принятия нового первичного законодательства.

Признавая меняющийся ландшафт угроз, это политическое заявление будет содержать несколько дополнительных мер, которые позволят правительству решительно реагировать на надвигающиеся угрозы национальной безопасности. Дополнительные меры признают новый статус центров обработки данных как CNI и необходимость для правительства устанавливать стратегическое направление для растущего разнообразия секторов в сфере регулирования. Правительство примет решение о соответствующем законодательном механизме для дополнительных мер в надлежащее время.

Меры законопроекта о кибербезопасности и устойчивости

Как было объявлено в Речи короля 2024 года:

1. Включение большего количества субъектов в сферу действия нормативно-правовой базы

В королевской речи мы объявили, что будем использовать законопроект о кибербезопасности и устойчивости для внесения важных изменений в Положения NIS 2018 года. Мы сделаем это, вовлекая в сферу действия больше компаний, чтобы лучше осознать растущую зависимость от цифровых услуг и уязвимости, связанные с цепочками поставок.

Меняющийся ландшафт угроз и громкие кибератаки, нацеленные на основные службы, а также растущая зависимость от облачных и других цифровых услуг требуют включения большего количества субъектов в нормативную базу.

Цепочки поставок играют решающую роль в экономике в целом. Сложность цифрового ландшафта и взаимосвязанность цепочек поставок означают, что уязвимости в одной части могут иметь каскадные эффекты для наших основных услуг. Поэтому крайне важно признать важность цепочек поставок и разработать соответствующие меры для управления рисками, которые они представляют. Регулирование этого пространства поможет гарантировать, что все соответствующие субъекты будут придерживаться надежных методов кибербезопасности, тем самым защищая экономику и услуги, от которых зависит общество.

1.1. Включение поставщиков управляемых услуг в сферу деятельности

1.1.1 Краткое изложение намерений

Поставщики управляемых услуг ( MSP ) играют важную роль в экономике Великобритании, предлагая основные ИТ-услуги для предприятий. Эти организации имеют беспрецедентный доступ к ИТ-системам, сетям, инфраструктуре и данным клиентов. Это делает их привлекательной целью для злоумышленников и подверженными кибератакам, включая те, которые привели к воздействию на клиентов. Сюда входит атака Cloud Hopper на MSP и атака на кадровую систему Министерства обороны. Они подчеркивают уязвимости MSP и, как следствие, критически важных услуг, которые они поддерживают.

Эта мера расширит сферу действия текущих правил, включив в сферу действия правил организации, предоставляющие управляемые услуги. Возложение обязанностей на MSP позволит нам защитить более широкий спектр услуг от кибератак и составить более полную картину угроз, с которыми сталкиваются наши основные услуги.

1.2.2 Как эта мера будет работать на практике

Законопроект определит управляемые услуги, которые будут включены в сферу действия законодательства. Характеристики ниже отражают услуги, которые предполагается включить. Точная формулировка будет зависеть от окончательной редакции.

Управляемая услуга — это услуга, которая:

предоставляется другой организации (т.е. не внутри компании), и;
полагается на использование сетевых и информационных систем для предоставления услуг;
относится к постоянной поддержке управления, активному администрированию и/или мониторингу ИТ-систем, ИТ-инфраструктуры, приложений и/или ИТ-сетей, в том числе в целях деятельности, связанной с кибербезопасностью, и;
подразумевает сетевое подключение и/или доступ к сетевым и информационным системам клиента.

На эти фирмы ^{[сноска 2]} будут распространяться те же обязанности, что и на фирмы, предоставляющие цифровые услуги, именуемые «соответствующими поставщиками цифровых услуг» в соответствии с Правилами 2018 года. ^{[сноска 3]} Управление комиссара по информации ( ICO ) будет действовать в качестве регулирующего органа и будет иметь полномочия регулировать деятельность МСП посредством сбора информации, проведения расследований и осуществления правоприменительных мер.

1.1.3 Воздействие

Расширение сферы действия правил с целью включения управляемых услуг повысит безопасность ИТ-инфраструктуры и снизит риски кибератак. По оценкам, эта мера обезопасит еще 900–1100 MSP . ^{[сноска 4]} Хотя мы ожидаем, что эта мера будет иметь сопутствующие расходы, связанные с улучшением безопасности и соответствием требованиям, эти инвестиции позиционируют MSP как доверенных и надежных партнеров в сфере кибербезопасности.

1.2 Укрепление безопасности цепочки поставок и предоставление регулирующим органам возможности определять «критических поставщиков»

1.2.1 Краткое изложение намерений

Цепочки поставок поддерживают основные услуги и цифровую инфраструктуру, на которые опираются наша экономика и общество. Сбой одного поставщика может иметь далеко идущие последствия для предоставления основных или цифровых услуг. Однако в настоящее время не существует целевого механизма для устранения критических уязвимостей цепочек поставок в соответствии с Правилами 2018 года.

Законопроект позволит правительству установить более строгие обязанности в цепочке поставок для операторов основных услуг ( OES ) и соответствующих поставщиков цифровых услуг ( RDSP ) во вторичном законодательстве, при условии проведения консультаций. Он также предоставит регулирующим органам полномочия по выявлению и назначению конкретных поставщиков с высоким уровнем воздействия в качестве «назначенных критически важных поставщиков» ( DCS ), что повлечет за собой сопоставимые обязательства с OES и RDSP . Это также будет распространяться на некоторые малые и микро RDSP , где они играют ключевую роль в поддержке основных услуг.

Внедряя требования безопасности цепочки поставок непосредственно в нашу нормативную базу, мы стремимся повысить национальную киберустойчивость и снизить угрозу существенных сбоев в предоставлении критически важных услуг в случае, если регулируемая организация подвергнется атаке на свою цепочку поставок.

1.2.2 Как эта мера будет работать на практике

Обязанности по цепочке поставок для OES и RDSP

Законопроект уполномочит правительство разъяснить в подзаконных актах обязанности OES и RDSP по управлению киберрисками в цепочке поставок. Эти обязанности будут разработаны для обеспечения принятия соответствующих и соразмерных мер, таких как договорные требования, проверки безопасности или планы обеспечения непрерывности, чтобы не допустить подрыва основных или цифровых услуг уязвимостями поставщиков.

Назначение критически важных поставщиков

Регуляторы смогут индивидуально назначать поставщика в качестве DCS , если товары или услуги поставщика настолько критичны, что нарушение может вызвать значительное разрушительное воздействие на необходимую или цифровую услугу, которую он поддерживает. Поэтому ожидается, что DCS будет составлять очень небольшое количество и процент поставщиков, предоставляющих товары или услуги OES и RDSP . Назначение напрямую введет таких поставщиков в сферу основных требований безопасности и обязательств по отчетности об инцидентах, обеспечивая согласованные стандарты на самых критических уровнях цепочки поставок. Пороговые критерии для назначения, скорее всего, будут следующими:

Поставка товаров или услуг: Поставщик предоставляет товары или услуги (включая цифровые услуги) OES ( регулируемой этим регулирующим органом) или RDSP ( в случае ICO ).
Значительный деструктивный эффект: Регулятор считает, что сбой или перебой в поставках товаров или услуг этого поставщика — или инцидент, влияющий на сеть и информационные системы поставщика — может оказать значительное деструктивное воздействие на предоставление основных или цифровых услуг.
Зависимость от сетей и информационных систем: товары или услуги поставщика зависят от сетей и информационных систем, что делает их соответствующими сфере действия нормативной базы. Это призвано гарантировать, что поставщики попадают в сферу действия только в том случае, если их товары или услуги включают или зависят от технологий (например, ИТ-инфраструктуры или операционных технологий), которые могут быть направлены или нарушены.
Еще не регулируется: Поставщик не подпадает под действие аналогичных правил обеспечения киберустойчивости в других местах (например, в соответствии с Частью 2 Закона о коммуникациях 2003 года с поправками, внесенными Законом о телекоммуникациях (безопасности) 2021 года) или в других местах в соответствии с Правилами 2018 года.

Распространение регулирования на некоторые RDSP малого и среднего бизнеса

RDSP

В настоящее время малые и микро RDSP освобождены от Регламента 2018 года. Согласно этим предложениям, регулирующие органы могут назначить меньшего RDSP критически важным поставщиком, если он соответствует критериям назначения, изложенным выше. Это обеспечивает пропорциональное регулирование поставщиков с высоким риском, независимо от размера.

Перспективы и консультации

Законопроект обеспечит гибкость для уточнения этих обязанностей и пороговых критериев посредством вторичного законодательства, при условии соответствующих консультаций. Это гарантирует, что требования могут быть обновлены в соответствии с технологическими изменениями, возникающими угрозами и уроками, извлеченными из внедрения.

1.2.3 Воздействие

Этот новый режим создаст сильные стимулы как для регулирующих органов, так и для регулируемых субъектов для обеспечения эффективного надзора за рисками в цепочке поставок. Устраняя уязвимости в цепочке поставок и гарантируя, что ключевые поставщики соответствуют соответствующим стандартам безопасности, мы намерены снизить риск существенных сбоев в работе основных и цифровых услуг, повысить национальную киберустойчивость и укрепить доверие к критической инфраструктуре.

Мы по-прежнему привержены минимизации нормативной нагрузки на малый бизнес и обеспечению того, чтобы только небольшое количество критических МСП RDSP имели право на назначение в рамках этой меры. Узкие основания назначения, которые мы предлагаем, обеспечат это.

2. Расширение полномочий регулирующих органов и усиление надзора

Мы можем укрепить кибербезопасность Великобритании только в том случае, если наши регуляторы будут хорошо подготовлены к выполнению своих новых обязанностей, а мы , как правительство, будем иметь надежные данные о киберугрозе. Вот почему в Речи короля мы взяли на себя обязательство поставить регуляторов на более прочную основу для обеспечения внедрения основных мер кибербезопасности. Мы также взяли на себя обязательство улучшить отчетность об инцидентах, чтобы улучшить наше понимание угроз.

Меры, изложенные в этом разделе, направлены на обеспечение регулирующих органов необходимыми инструментами и ясностью целей для реализации амбиций правительства.

2.1 Технические и методические требования безопасности

2.1.1 Краткое изложение намерений

NCSC Cyber Assessment Framework ( CAF ) — это ресурс, который поддерживает OES и компании, предоставляющие цифровые услуги, для управления и оценки их киберрисков. Профили CAF поддерживают разработку целевых уровней киберустойчивости в секторах и для организаций в отношении определенных жизненно важных функций. Два типа профиля CAF — это базовый профиль и расширенный профиль. Они устанавливают принципы и цели, которым должны соответствовать организации для оценки и управления своей кибербезопасностью.

Правительство намерено установить эти принципы и цели на более прочной основе, сделав обязательным для фирм следовать передовой практике и облегчив им это. Это обеспечит фирмам возможность инвестировать в кибербезопасность с большей ясностью относительно того, что требуется, и упростит для регулирующих органов надзор за требованиями.

Хотя ожидания в отношении технических стандартов и методов были закреплены в законе в Положениях 2018 года, они касаются только компаний, предоставляющих цифровые услуги. Эта мера обновит эти требования, приблизив их к NIS2, а также, при необходимости, позволит распространить их на операторов основных услуг.

2.1.2 Как эта мера будет работать на практике

Законопроект предоставит государственному секретарю полномочия по принятию правил для обновления существующих требований. Государственный секретарь сможет осуществлять эти полномочия после консультаций с соответствующими органами.

Кроме того, это предоставит Государственному секретарю полномочия издавать кодекс практики, устанавливающий руководство о том, как должны быть удовлетворены нормативные требования. Часто можно достичь более чем односторонних результатов, поэтому предприятия и регулирующие органы выигрывают от дополнительной ясности.

Эта мера предоставит государственному секретарю полномочия по адаптации требований для каждого сектора по мере необходимости и соразмерности.

2.1.3.Воздействие

Эта мера позволит правительству установить четкие ожидания для компаний, предоставляющих цифровые услуги и оказывающих основные услуги в рамках законопроекта, чтобы обеспечить соблюдение соразмерных и актуальных требований безопасности, а также предоставить средства для обновления этих требований в ответ на меняющуюся картину угроз.

2.2 Улучшение отчетности об инцидентах

2.2.1 Краткое изложение намерений

Отчетность о существенных киберинцидентах дает регуляторам и NCSC лучшее представление об изменяющемся ландшафте угроз, что позволяет оказывать своевременную помощь при необходимости и повышать устойчивость. Многие существенные события остаются незарегистрированными в рамках текущей структуры, что ограничивает возможности выявления и оценки уязвимостей.

Законопроект обновит и улучшит текущие требования к отчетности об инцидентах для регулируемых субъектов за счет расширения критериев отчетности об инцидентах, обновления сроков отчетности об инцидентах, оптимизации отчетности и повышения требований к прозрачности для цифровых услуг и центров обработки данных. Работа правительства по программе-вымогателю, которая в настоящее время находится на стадии консультаций (заканчивается 8 апреля), дополнит законопроект, и как DSIT , так и Министерство внутренних дел продолжат сотрудничать, чтобы гарантировать, что любые будущие рамки будут согласованы и не будут создавать дублирования. Эти предложения направлены на то, чтобы поставить регуляторов на более прочную основу для реагирования на возникающие риски, помогая нам повысить нашу общую киберустойчивость.

2.2.2 Как эта мера будет работать на практике

Расширение критериев отчетности об инцидентах

Согласно действующим правилам NIS , для того, чтобы инцидент был подлежащим сообщению, он должен был привести к прерыванию непрерывности основной или цифровой услуги. Это слишком узкий охват, и о многих инцидентах, вызывающих беспокойство, не сообщается. Законопроект расширит это, чтобы охватить инциденты, которые могут оказать существенное влияние на предоставление основной или цифровой услуги, и инциденты, которые существенно влияют на конфиденциальность, доступность и целостность системы. Это будет включать в себя компрометацию конфиденциальности данных, атаки шпионского ПО, которые используют фирмы, предоставляющие цифровые услуги (включая MSP ), в качестве вектора для доступа к другим организациям, или другие инциденты, существенно влияющие на целостность системы.

Обновление времени сообщения об инцидентах

Законопроект введет двухэтапную структуру отчетности, которая потребует от регулируемых субъектов уведомлять своего регулятора, а также информировать NCSC о существенном инциденте не позднее, чем через 24 часа после того, как им станет известно об этом инциденте, после чего в течение 72 часов последует отчет об инциденте. Это первоначальное уведомление будет служить «ранним предупреждением», доводя инцидент до сведения регулятора раньше, чем это делается в настоящее время. На практике мы намерены сделать эту процедуру похожей на эквивалентные требования Директивы ЕС NIS2 и не более обременительной .

Оптимизация отчетности

Регулируемые организации должны будут сообщать об инциденте своему регулятору, а также одновременно информировать NCSC , гарантируя, что NCSC получит ту же информацию, что и регулятор в то же время. Эта информация будет способствовать пониманию ландшафта угроз как регуляторами, так и NCSC .

Повышение требований к прозрачности

Фирмы, предоставляющие цифровые услуги, и центры обработки данных, которые столкнулись со значительным инцидентом, должны будут оповестить клиентов, которых может коснуться этот инцидент. Это будет способствовать открытости и подотчетности среди услуг в сфере охвата.

2.2.3 Воздействие

Эта мера призвана повысить устойчивость Великобритании к кибератакам, обеспечивая оперативное информирование регулирующих органов об инцидентах в их критических секторах. Требования прозрачности повысят стандарты среди поставщиков услуг, а клиенты будут лучше информированы, когда услуга, на которую они полагаются, может быть затронута или иметь косвенный эффект на их бизнес. Мы уверены, что эти изменения еще больше укрепят устойчивость Великобритании к киберугрозам, уравновешивая необходимость повышения кибербезопасности с важностью эффективного управления расходами для регулируемой отрасли.

2.3 Улучшить полномочия Управления комиссаров по информации по сбору информации

2.3.1 Краткое изложение намерений

Управление комиссара по информации ( ICO ) является регулирующим органом для компаний, предоставляющих цифровые услуги (соответствующие поставщики цифровых услуг ( RDSP )), регулирующим онлайн-рынки, поисковые системы, облачные сервисы и — после принятия законопроекта — управляемые сервисы.

Целью является поддержка ICO в их способности проактивно выявлять киберриски и предпринимать соответствующие шаги для предотвращения неминуемых атак. Растущая угроза, создаваемая уязвимостями в цифровых услугах, с услугами, предоставляемыми в масштабе и в нескольких секторах, означает, что предыдущий реактивный подход ICO больше не считается достаточным по отношению к возникшим рискам. Основная цель этой меры заключается в улучшении способности ICO выявлять и смягчать киберриски до того, как они материализуются, тем самым предотвращая атаки и укрепляя сектор цифровых услуг от будущих угроз.

2.3.2 Как эта мера будет работать на практике

Законопроект будет решать текущие проблемы, предоставляя ICO больше информации, которая позволит ему определить наиболее важные фирмы, предоставляющие цифровые услуги. Это позволит ему принять проактивный, а не реактивный подход к оценке возможностей кибербезопасности цифровых услуг. Законопроект будет:

Повысить способность ICO собирать информацию, которая поможет им определить критичность регулируемых цифровых услуг и их подход, основанный на оценке риска. Это включает:
- расширенная обязанность для фирм, предоставляющих цифровые услуги, предоставлять информацию в ICO при регистрации,
- расширенные критерии для ICO , позволяющие им использовать имеющиеся у них полномочия для подачи информационных уведомлений о фирмах, предоставляющих цифровые услуги, и
- соответствующие информационные шлюзы для других субъектов, выходящих за рамки Регламента NIS , для обмена информацией с ICO
Ввести полномочия для ICO по принятию мер в случае отсутствия регистрации в ICO .

2.3.3 Воздействие

Принимая более проактивный надзорный подход к наиболее важным фирмам, предоставляющим цифровые услуги, ICO , вероятно, понесет дополнительные расходы, связанные с постоянным мониторингом этих организаций. Они будут включать расходы на сбор доказательств, проверку, анализ и обратную связь. Мы признаем, что это будет сложной и комплексной задачей, и намерены тесно сотрудничать с ICO , чтобы обеспечить надлежащую поддержку.

2.4 Улучшить механизмы возмещения расходов регулирующих органов

2.4.1 Краткое изложение намерений

Эффективный режим регулирования требует независимых, хорошо оснащенных регуляторов, которые способны полностью выполнять все свои функции и помогать защищать ключевые услуги, на которые опирается наша экономика. Текущие правила необходимо обновить, поскольку они ограничивают способность регуляторов возмещать издержки и создают проблемы с денежными потоками.

Правительство намерено улучшить режим возмещения расходов и ввести более современный, всеобъемлющий и гибкий режим в соответствии с другими аналогичными законами в Великобритании. Это позволит регулирующим органам устанавливать режим сборов, возмещения расходов или сочетание этих процессов для покрытия расходов на это регулирование, включая обеспечение соблюдения, и сократить необходимость перекладывать регуляторные издержки на налогоплательщика.

2.4.2 Как эта мера будет работать на практике

Законопроект предоставит регуляторам возможность устанавливать новые режимы сборов, позволяя взимать сборы, а также возмещать расходы посредством счетов-фактур. Он также разъяснит цель и сферу действия правил расходов и распространит этот режим на все виды деятельности, необходимые для выполнения функций регуляторов, включая правоприменение.

Эта мера введет:

Право запрашивать информацию у регулируемых субъектов, чтобы регулирующие органы могли устанавливать соответствующие сборы, пропорциональные регулируемым ими секторам;
Обязанность регулирующих органов опубликовать Заявление о принципах взимания платы, в котором излагаются принципы, методология и процесс сбора этих средств, как это принято во многих нормативных базах;
Обязанность регулирующих органов консультироваться со своими OES и фирмами, предоставляющими цифровые услуги, при установлении сборов, а также обязанность выпускать отчет об окончании цикла с указанием того, как используются эти средства;
Обязанность регулируемых субъектов уплачивать сбор.

Этот режим призван гарантировать, что регулирующие органы будут работать по себестоимости и смогут выполнять свои функции в полном объеме.

2.4.3 Воздействие

Предлагаемые меры обеспечат финансовую независимость регулирующих органов и их способность эффективно выполнять свои обязанности, включая правоприменение, позволяя им активно привлекать средства. На практике мы ожидаем, что регулирующие органы будут разнообразно использовать эти полномочия и включат их в свои существующие процессы и правовые обязанности.

В целом мы ожидаем, что эта мера решит текущие проблемы с денежными потоками и предотвратит переложение финансового бремени нарушений нормативных требований на налогоплательщиков, тем самым способствуя созданию более прозрачной, надежной и прочной нормативной среды.

3. Обеспечение соответствия нормативно-правовой базы постоянно меняющемуся киберпространству.

Новые технологии и возникающие угрозы требуют гибких правил. Для национальной безопасности важно, чтобы наша нормативная база не была застойной. Мера, изложенная в этом разделе, гарантирует, что правительство не будет связано временными рамками первичного законодательства, если правила потребуют обновления в будущем.

3.1 Делегированные полномочия – обеспечение адаптации нормативной базы к возникающим угрозам

3.1.1 Краткое изложение намерений

В свете быстро меняющегося ландшафта киберугроз и технологий правительство должно иметь возможность обновлять правила, чтобы смягчать новые риски и извлекать выгоду из технологических достижений. Эта мера направлена на предоставление новых полномочий государственному секретарю, что позволит обновлять законодательную базу, чтобы гарантировать ее актуальность и эффективность.

3.1.2 Как эта мера будет работать на практике

С помощью законопроекта государственный секретарь будет добиваться полномочий по обновлению нормативной базы без необходимости принятия парламентского акта при соблюдении определенных гарантий. Такие полномочия могут быть использованы для включения новых секторов и подсекторов в сферу действия правил и внесения изменений в обязанности и функции регуляторов NIS . Делегированные полномочия позволят правительству после соответствующих консультаций вводить новые требования и обязанности для регулируемых субъектов, как более подробно описано выше в разделах «1.2 Укрепление безопасности цепочки поставок и предоставление регуляторам возможности назначать критически важных поставщиков» и «2.1 Технологические и методологические требования безопасности», если они считаются целесообразными и пропорциональными для наложения на цифровые компании или операторов основных услуг.

3.1.3 Воздействие

Предлагаемая мера обеспечит, что киберзаконодательство останется актуальным и эффективным, предоставляя механизм для своевременных обновлений. Это улучшит нормативно-правовую базу Великобритании, особенно в секторах, критически важных для национальной безопасности и экономической стабильности. Она также обеспечивает гибкость этих мер для адаптации и учета изменений в ландшафте CNI . В конечном счете, мера будет поддерживать и лучше поддерживать пропорциональность в регулировании и обеспечивать постоянную защиту основных услуг, тем самым принося пользу как правительству, так и общественности.

Дополнительные меры на рассмотрении

Киберландшафт постоянно развивается, и киберакторам приходится менять тактику, чтобы обойти защиту. Признавая это, мы изложили четыре меры, которые находятся на рассмотрении, которые являются дополнительными к обязательствам, принятым в Речи короля. Правительство рассмотрит наиболее подходящее законодательное средство для принятия этих мер в надлежащее время, которым может стать этот законопроект о кибербезопасности и устойчивости.

1. Включить центры обработки данных в сферу действия нормативно-правовой базы

1.1 Краткое изложение намерений

Центры обработки данных размещают и поддерживают технологии и данные, которые отвечают требованиям нашей цифровой жизни. Они лежат в основе почти всей экономической деятельности и инноваций, включая разработку ИИ и других технологий, предоставление государственных услуг и то, как мы взаимодействуем друг с другом. Поэтому нарушение или компрометация инфраструктуры центров обработки данных может иметь значительные негативные последствия для общественности, бизнеса, а также национальной и экономической безопасности.

После речи короля в сентябре 2024 года центры обработки данных были обозначены как CNI . В знак признания этого правительство взяло на себя обязательство ввести пропорциональный регулирующий надзор. Включение центров обработки данных в сферу действия правил усилит и выровняет согласованность защиты в секторе, обеспечит платформу для безопасного роста и инвестиций и предоставит правительству и назначенному регулятору рычаги для управления сектором перед лицом меняющегося ландшафта угроз в соответствии с другими коммунальными службами CNI .

1.2 Как эта мера будет работать на практике

Инфраструктура данных будет классифицироваться как соответствующий сектор, а центры обработки данных — как существенная услуга. На основе отзывов, полученных в ходе консультаций 2023 года , правительство намерено включить центры обработки данных в сферу регулирования независимо от характера предлагаемых ими услуг и их собственности.

Центры обработки данных в Великобритании будут подпадать под действие при мощности 1 МВт или выше, если только это не корпоративный центр обработки данных, который будет подпадать под действие только при мощности 10 МВт или выше. ^{[сноска 5]} Эксплуатация центра обработки данных (соответствующего пороговым значениям в Великобритании) потребует выполнения обязанностей. Это будет включать уведомление и предоставление определенной информации, наличие соответствующих и соразмерных мер по управлению рисками и сообщение о существенных инцидентах.

Масштаб будет корректироваться с течением времени при определенных условиях с учетом изменений на рынке и ландшафта рисков.

1.3 Воздействие

Включая центры обработки данных в сферу действия, правительство стремится усилить защиту CNI и всего, что она поддерживает и обеспечивает. Внешнее заказное исследование (2024) показывает, что в настоящее время в Великобритании имеется 224 центра обработки данных colocation, которыми управляют 68 операторов. Из них около 182 сторонних сайтов и 64 оператора попадут в сферу действия. Мы ожидаем, что количество корпоративных центров обработки данных в сфере действия полных обязанностей будет относительно небольшим.

Эта мера призвана сбалансировать безопасность и устойчивость с потребностью в росте и инвестициях, признавая, что они поддерживают друг друга. Поэтому мы не намерены и не ожидаем, что ответственные операторы понесут значительные расходы на соблюдение, но мы предоставим полную оценку воздействия при принятии законодательства.

2. Опубликовать заявление о стратегических приоритетах для регулирующих органов.

2.1 Краткое изложение намерений

Поскольку этот законопроект о кибербезопасности и устойчивости расширит сферу регулирования, включив в нее новые секторы, согласованность между различными регуляторами и согласованность подхода между секторами становятся все более важными для регуляторов и более широкого рынка. Вот почему мы рассматриваем новую меру, чтобы обеспечить четкую и согласованную структуру регулирования кибербезопасности для двенадцати регуляторов и их секторов.

Правительство рассматривает возможность введения новых полномочий для Государственного секретаря по публикации Заявления о стратегических приоритетах. Эта мера опирается на успешные модели других режимов регулирования, таких как телекоммуникации и онлайн-безопасность, для установления единого набора целей и ожиданий по внедрению правил.

2.2 Как эта мера будет работать на практике

Новая мера будет включать новую обязанность для регуляторов, связанную с целями, содержащимися в заявлении. Цели, изложенные в заявлении о стратегических приоритетах, будут разрабатываться в консультации с секторами и регуляторами периодически.

Мы предлагаем, чтобы Государственный секретарь консультировался с регулирующими органами перед публикацией Заявления о стратегических приоритетах, а после его публикации Заявление должно быть представлено в Парламент для проведения проверки.

Опубликованное Заявление будет обновляться раз в три-пять лет и будет сопровождаться требованием к регулирующим органам ежегодно отчитываться о ходе выполнения задач, содержащихся в Заявлении.

2.3 Воздействие

Заявление послужит важнейшим инструментом для оптимизации ролей, обязанностей и ожиданий, гарантируя, что все регулирующие органы во всех соответствующих секторах будут последовательно внедрять правила. Требования к отчетности убедят министров, общественность и парламент в том, что соответствующие меры принимаются во всех секторах.

3. Силы направления

Мы предлагаем новые исполнительные полномочия для правительства, которые позволят ему быстро и решительно реагировать на киберугрозы, обеспечивая быструю и эффективную защиту.

Расширение полномочий правительства для эффективного реагирования имеет решающее значение для национальной безопасности. Следующие полномочия усилят нашу способность защищать критически важную инфраструктуру и основные услуги, укрепляя устойчивость страны в экономике с цифровой основой.

Предоставьте Государственному секретарю полномочия отдавать распоряжения регулируемому субъекту о принятии мер, когда это необходимо для обеспечения национальной безопасности.

3.1 Краткое изложение намерений

Мы предлагаем предоставить Государственному секретарю новые полномочия давать указания регулируемым организациям, требуя от них принятия мер по устранению угроз и инцидентов, затрагивающих их системы, в случаях, когда существует значительная угроза национальной безопасности.

В настоящее время правительство не имеет полномочий предписывать регулируемым организациям бороться с киберугрозами, даже если это считается необходимым для обеспечения национальной безопасности. Растущая угроза, исходящая от субъектов с высоким потенциалом и враждебных государств, означает, что это пробел, который может эксплуатироваться с возрастающей регулярностью и воздействием, подвергая риску работу критической инфраструктуры Великобритании.

Эта новая мера позволит правительству вмешиваться напрямую для защиты сетей, когда это необходимо для национальной безопасности.

3.2 Как эта мера будет работать на практике

Мы рассматриваем возможность наделения государственного секретаря полномочиями выдавать указания регулируемому субъекту в отношении конкретного киберинцидента или угрозы, требуя от субъекта предпринять действия для устранения инцидента или угрозы. Государственный секретарь сможет выдавать указания только в случае необходимости и соразмерности по соображениям национальной безопасности.

В тех случаях, когда это осуществимо и не ставит под угрозу национальную безопасность, субъекту будет предоставлена возможность сделать заявления до получения им указания.

После его опубликования в парламент будет направлено распоряжение о проведении общественного контроля, если только это не будет представлять угрозу национальной безопасности.

Государственный секретарь будет отвечать за мониторинг и обеспечение соблюдения указаний. Мы рассматриваем соответствующий режим обеспечения полномочий, признавая важность соблюдения указания по соображениям национальной безопасности. Мы также рассмотрим прецеденты, установленные Законом о телекоммуникациях (безопасности) 2021 года.

3.3 Воздействие

Полномочия по управлению регулируемыми организациями гарантировали бы, что правительство сможет быстро реагировать на инциденты и угрозы, несущие существенные риски для национальной безопасности, защищая критически важную инфраструктуру от сложных киберугроз.

Предоставьте Государственному секретарю полномочия отдавать распоряжения регулирующему органу о принятии мер, когда это необходимо для обеспечения национальной безопасности.

3.4 Краткое изложение намерений

Мы рассматриваем возможность наделения государственного секретаря новыми полномочиями давать указания регулирующему органу по соображениям национальной безопасности, требуя от него при выполнении своих функций гарантировать принятие мер во всех его секторах.

Действующая система требует от регулируемых субъектов принятия «соответствующих и соразмерных» мер для защиты от киберугроз, а регулирующие органы выпускают руководства для своих секторов, чтобы помочь им интерпретировать эту обязанность. Однако в настоящее время правительство не имеет возможности требовать от регулирующих органов, например, выпускать руководства, в которых говорится, что «соответствующие и соразмерные» меры безопасности, вероятно, потребуют определенных уровней мониторинга и тестирования сети. Это представляет собой пробел, если правительство считает, что требуются более строгие меры безопасности из-за ухудшающегося ландшафта угроз.

Эта мера призвана устранить этот пробел, предоставляя государственному секретарю полномочия давать указания регулирующим органам рекомендовать своим секторам принимать более строгие меры кибербезопасности, если это необходимо для национальной безопасности.

3.5 Как эта мера будет работать на практике

У государственного секретаря будут полномочия выдавать указания регуляторам. Полномочия будут использоваться только в случае необходимости для национальной безопасности и когда воздействие указания будет считаться пропорциональным.

Мы бы установили требования для регулирующих органов, получающих указание представлять отчеты Государственному секретарю, описывая, как они выполнили указание.

Государственный секретарь не сможет давать указания другим государственным секретарям или правительствам автономных образований.

3.6 Воздействие

Право давать указания регулирующим органам послужит важным инструментом для обеспечения большей устойчивости целых секторов к угрозам кибербезопасности в периоды повышенного риска.

Заключение

Изменения в глобальной политике и развитие технологий означает, что Великобритания сталкивается с большими вызовами своей кибербезопасности, чем когда-либо прежде. Предложения, которые мы выдвинули в этом заявлении, направлены на решение этих проблем, предоставляя надежные меры для реагирования на меняющийся ландшафт угроз.

Очевидно, что сейчас самое время обновить устаревшие структуры Великобритании, устранить пробелы в текущем регулировании и обеспечить, чтобы все соответствующие субъекты были включены в сферу действия правил. Благодаря этим мерам мы обеспечим защиту нашей критической инфраструктуры и услуг – чтобы люди по всей Великобритании могли на них положиться.

Наши предложения обеспечат защиту критической инфраструктуры от враждебных субъектов, обеспечивая безопасность основных служб, таких как NHS и поставщиков энергии. Улучшенные стандарты и регулирование также будут способствовать созданию безопасных сетей и систем, которые необходимы для роста бизнеса и инноваций.

Этот законопроект о кибербезопасности и устойчивости является одним из важнейших инструментов в более широком подходе правительства к решению проблемы угрозы, создаваемой кибератаками, отражая нашу приверженность защите цифровой экономики посредством более широкого спектра мер и инициатив. Он отражает приверженность правительства защите цифровой экономики посредством более широкого спектра мер и инициатив.

Организации, которые предоставляют услуги, считающиеся критически важными для экономики и общества в целом. Они включают в себя критически важную национальную инфраструктуру (вода, транспорт, энергетика) и другие важные услуги, такие как здравоохранение и цифровая инфраструктура. ↩
Охваченные компании могут включать, помимо прочего, компании, предлагающие такие услуги, как управляемые ИТ-услуги, управление ИТ-инфраструктурой и приложениями, удаленная ИТ-поддержка, интеграция и управление системами (SIAM), управляемые услуги безопасности, такие как поставщики управляемых услуг безопасности ( MSSP ), управляемый центр безопасных операций ( SOC ), управление информацией и событиями безопасности ( SIEM ), реагирование на инциденты, управление угрозами и уязвимостями, а также аутсорсинг соответствующих бизнес-процессов. ↩
Под «соответствующими поставщиками цифровых услуг» мы подразумеваем поставщиков вида цифровых услуг, определенных в Положении NIS 2018 года 1(2). В настоящее время это относится к онлайн-рынкам, онлайн-поисковым системам и облачным вычислительным сервисам. В будущем это также будет включать поставщиков управляемых услуг, как только они будут включены в сферу действия нормативной базы через законопроект. ↩
Исследование поставщиков управляемых услуг в Великобритании ↩
Корпоративные центры обработки данных — это центры, которые эксплуатируются предприятием исключительно для удовлетворения и управления ИТ-потребностями бизнеса. ↩

Прокомментировать

Возврат к списку

Визы в UK на 10 лет! Работаем с британскими визами 15 лет.

Подать заявку

Бесплатные консультации https://t.me/wikivisa_chat