Новые меры и доработки основных положений законопроекта UK Cyber Security and Resilience Bill появились в ходе его прохождения через Палату лордов. Сегодня законопроект достиг очередного парламентского рубежа: в Палате лордов состоялось третье чтение. Эти события дополняют изменения, которые мы подробно описали в нашем блоге от 4 сентября.
По мере того как законопроект о кибербезопасности и устойчивости (CSR) развивается, организации сталкиваются с новыми вопросами о его сфере применения и потенциальном влиянии. Луиза Хортон (Louise Horton), руководитель по связям с государственными органами в NCC Group, разбирает последние обновления, включая изменение подхода к рискам поставщиков с сентября, роль искусственного интеллекта в законодательстве, вопросы, на которые следует обратить внимание советам директоров, а также дальнейшие шаги по принятию законопроекта.
Как изменился законопроект?
Многие детали реализации мер законопроекта еще предстоит уточнить; они будут представлены для обсуждения в ближайшие месяцы. Тем не менее на прошлой неделе правительство внесло ряд важных изменений. Практические аспекты отчетности об инцидентах постоянно обсуждались в связи с законопроектом. Отчетность об инцидентах, едва не приведших к последствиям (near miss), теперь станет добровольной для всех регулируемых секторов после изменений в правилах отчетности для дата-центров. От организаций по-прежнему будет ожидаться обмен информацией о таких случаях, но формат этого взаимодействия с регуляторами и Национальным центром кибербезопасности (NCSC) будет определен позже.
Регуляторы располагают разнообразной конфиденциальной информацией о кибербезопасности критической инфраструктуры и инцидентах. Принимая это во внимание, правительство установило прямые ограничения на обмен информацией между регуляторами и другими юрисдикциями, ограничив его странами Европейской экономической зоны, Швейцарией и альянсом «Пять глаз» (США, Канада, Австралия, Новая Зеландия). Вывод для бизнеса заключается в том, что порядок отчетности об инцидентах еще не урегулирован, информация о предотвращенных инцидентах по-прежнему важна, а киберустойчивость требует постоянного внимания и диалога с регуляторами, а не только возникновения крупных инцидентов.
Что произошло с концепцией рисков поставщиков от сентября?
Правительство вернуло режим рисков поставщиков, направленный на устранение рисков национальной безопасности, связанных с технологиями от сторонних поставщиков, с некоторыми дополнительными уточнениями относительно ответственности министров и путей парламентского контроля. Регулирующие акты, подпадающие под действие этого режима, потребуют одобрения обеими палатами парламента до вступления в силу, а с соответствующими представителями будут проводиться консультации, насколько это практически возможно. Вероятное использование этих полномочий остается неопределенным: министр подтвердил намерение правительства сосредоточиться на системе добровольных обращений и пообещал провести консультации перед полным внедрением обязательной схемы.
Лорды хотели, чтобы правительство зашло дальше в вопросах рисков иностранного участия, и внесли в законопроект поправку, требующую создания реестра государственных актеров, представляющих угрозу кибербезопасности Великобритании. Хотя сторонники выступали за реестр как за способ повышения прозрачности, правительство утверждало, что пошаговая оценка в каждом конкретном случае будет более точной, поскольку юрисдикция — не единственный показатель риска. Они могут попытаться исключить это положение, когда законопроект вернется в Палату общин. Предложение лордов о реестре имеет определенные параллели с реформами, изложенными в Законе о кибербезопасности 2.0 Европейского союза, где продолжаются аналогичные дебаты о способах оценки рисков поставщиков.
Регулирует ли правительство теперь искусственный интеллект посредством этого законопроекта?
Правительство четко обозначило свою обеспокоенность по поводу киберрисков, связанных с искусственным интеллектом, включая потерю контроля и потенциальные последствия для критической инфраструктуры. Оно представило новые положения, касающиеся сбоев в регулируемых услугах, вызванных использованием ИИ. На практике это означает, что при соблюдении строгих критериев национальной безопасности могут быть изданы предписания, требующие от организаций критической инфраструктуры изолировать системы, ограничить потоки данных или приостановить автоматизированные действия для локализации инцидента, связанного с потерей контроля.
Это иллюстрирует то, как новые технологии меняют киберрегулирование, а не создают основу для искусственного интеллекта общего назначения. Как отмечается в пятом выпуске нашего обзора Global Cyber Policy Radar, безопасность ИИ все больше интегрируется в существующие подходы к кибер- и цифровому регулированию, а не рассматривается исключительно через отдельные законы об ИИ. Для организаций практическим приоритетом является оценка и обеспечение интеграции ИИ в существующие схемы киберустойчивости, включая способность сдерживать сбои и поддерживать предоставление основных услуг.
Дискуссии о регулировании ИИ продолжатся и после принятия этого законопроекта наряду с инвестициями в способности Великобритании управлять рисками в сфере ИИ. В своем бюджетном пакете1 правительство объявило о выделении дополнительных 120 млн фунтов стерлингов на тестирование, исследования и технические стандарты Института безопасности ИИ (AISI), 60 млн фунтов стерлингов на Национальный киберщит и 70 млн фунтов стерлингов на Национальный центр выявления уязвимостей и работы с угрозами в реальном времени. Инвестиции и законодательные дебаты указывают на более широкий подход: использование ИИ для экономического роста и киберобороны при одновременном развитии возможностей и надзора для управления связанными с ним рисками.
Пэры в Палате лордов хотели, чтобы правительство пошло дальше, добиваясь наделения Института безопасности ИИ (AISI) установленными законом полномочиями по получению доступа к передовым моделям, проведению аудитов перед развертыванием, установлению стандартов и проверке развертывания в сфере основных услуг. Эти поправки, касающиеся ИИ, не вошли в законопроект, но были расширены обязанности правительства по проведению обзоров. Обзор должен изучить надлежащие полномочия AISI или другого органа в отношении передовых систем ИИ в основных видах деятельности, а также более широкую сферу секторов, подпадающих под киберрегулирование, и структуру регуляторной модели. Это требование о проведении обзора все еще может измениться, когда законопроект вернется в Палату общин. Тем не менее, поскольку правительство указало, что в любом случае сфера применения регулирования находится на стадии активного рассмотрения, сектора критической инфраструктуры должны продолжать следить за общим курсом и создавать системы устойчивости, способные адаптироваться к меняющимся ожиданиям.
Что потребуется сделать советам директоров?
Ответственность советов директоров приобретает более четкие очертания по мере того, как правительство раскрывает подробности планируемых обязательных требований безопасности и устойчивости. Ожидается, что они будут включать надзор со стороны совета директоров за системами безопасности и устойчивости (в качестве рекомендуемого метода предлагается Структура кибероценки NCSC), а также привлечение квалифицированных и аккредитованных специалистов с высоким уровнем ответственности. Организациям следует начать подготовку с уточнения ответственности за киберриски и обеспечения того, чтобы советы директоров получали содержательные данные об устойчивости.
Что произойдет дальше?
Законопроект вернется в Палату общин, где депутаты рассмотрят вопрос о согласии с поправками, что может привести к процедуре взаимных согласований между Палатой общин и Палатой лордов до достижения соглашения по окончательному тексту. Законопроект должен завершить свой парламентский путь и стать законом (то есть Актом) примерно в конце этого года или в начале 2027 года. Консультации по деталям реализации посредством вторичного законодательства также, вероятно, начнутся в ближайшие пару месяцев. Вторичному законодательству также потребуется пройти через парламент до того, как оно будет окончательно доработано и вступит в силу, однако оно будет подвергаться меньшему контролю и иметь меньше возможностей для внесения поправок по сравнению с основными положениями Законопроекта.
В целом соблюдение требований обычно не требуется в момент вступления закона в силу, и Правительство подтвердило, что перед тем, как регуляторы повысят требования к соблюдению, будет предоставлен период для адаптации бизнеса. Тем не менее, поскольку график продолжает меняться, компаниям следует начать подготовку к изменениям уже сейчас.
