پیش‌نویس:لایحه امنیت سایبری و تاب‌آوری

این مقاله در حال ترجمه از ویکی انگلیسی است لطفا حذف نشود.
 مقدمه 
در تاریخ ۱۷ ژوئیه ۲۰۲۴، در مراسم افتتاحیه رسمی پارلمان اعلام شد که دولت حزب Labour، «لایحه امنیت سایبری و تاب‌آوری» (Cyber Security and Resilience Bill یا CS&R) را ارائه خواهد کرد. این قانون پیشنهادی با هدف به‌روزرسانی مقررات موجود «امنیت شبکه و اطلاعات ۲۰۱۸» که با نام UK NIS شناخته می‌شوند، تدوین شده است. با تقویت دفاع سایبری و افزایش تاب‌آوری بریتانیا در برابر حملات خصمانه، تضمین خواهد کرد که زیرساخت‌ها و خدمات حیاتی مورد اتکای شرکت‌های بریتانیایی UK، از طریق رفع آسیب‌پذیری‌ها، محافظت شوند و در عین حال اقتصاد دیجیتال بتواند رشد خود را حفظ کند.

این قانون دامنه مقررات موجود را گسترش خواهد داد و جایگاه نهادهای ناظر را تقویت خواهد کرد. همچنین الزامات گزارش‌دهی بیشتری را بر کسب‌وکارها تحمیل می‌کند تا درک دقیق‌تری از تهدیدات سایبری به دست آید. هدف آن تقویت دفاع سایبری بریتانیا و اطمینان از ایمن بودن زیرساخت‌های حیاتی و خدمات دیجیتالی است که شرکت‌ها به آن‌ها وابسته‌اند. این لایحه در سراسر بریتانیا اجرا و اعمال خواهد شد.

این قوانین جدید بخشی از تعهد دولت برای ارتقا و تقویت تدابیر امنیت سایبری بریتانیا و حفاظت از اقتصاد دیجیتال است. CS&R یک چارچوب نظارتی جامع را معرفی خواهد کرد که برای اجرای اقدامات سخت‌گیرانه امنیت سایبری در بخش‌های مختلف طراحی شده است. این چارچوب شامل الزام به رعایت استانداردها و رویه‌های تثبیت‌شده امنیت سایبری خواهد بود تا اطمینان حاصل شود که تدابیر اساسی ایمنی سایبری اجرا می‌شوند. در نهایت، کسب‌وکارها باید از طریق ممیزی‌ها و گزارش‌های منظم، پایبندی خود به این استانداردها را اثبات کنند. همچنین در این قانون، سازوکارهای احتمالی بازیابی هزینه‌ها پیش‌بینی شده است تا منابع لازم در اختیار نهادهای ناظر قرار گیرد و اختیارات لازم برای بررسی پیش‌دستانه آسیب‌پذیری‌های احتمالی فراهم شود.

لایحه «Cyber Security and Resilience (Network and Information Systems) Bill» نخستین قرائت خود را در تاریخ ۱۲ نوامبر ۲۰۲۵ در پارلمان بریتانیا پشت سر گذاشت. دومین قرائت آن در ژانویه ۲۰۲۶ برگزار شد. این لایحه سپس وارد مرحله بررسی در کمیته شد؛ مرحله‌ای که در آن، متن قانون تحت بازبینی بیشتری قرار می‌گیرد. کمیته عمومی بررسی لوایح از تمامی افرادی که «تخصص و تجربه مرتبط یا علاقه ویژه» نسبت به این لایحه دارند، خواست تا نظرات مکتوب خود را ارائه کنند.

 حقایق کلیدی 
حقایق کلیدی مطرح‌شده در سخنرانی پادشاه عبارت‌اند از:

i) مقررات فعلی امنیت سایبری UK NIS نقش اساسی در حفاظت از زیرساخت‌های حیاتی ملی بریتانیا ایفا می‌کنند؛ زیرا برای صنایعی که در ارائه خدمات ضروری مشارکت دارند، وظایف و الزامات امنیتی تعیین می‌کنند. این مقررات پنج بخش حمل‌ونقل، انرژی، آب آشامیدنی، سلامت و زیرساخت دیجیتال را پوشش می‌دهند و همچنین برخی خدمات دیجیتال از جمله بازارهای آنلاین، موتورهای جست‌وجوی اینترنتی و خدمات رایانش ابری را در بر می‌گیرند. در حال حاضر، ۱۲ نهاد ناظر مسئول اجرای این مقررات هستند.

ii) عوامل سایبری خصمانه به طور فزاینده‌ای بخش‌های حیاتی و زنجیره‌های تأمین بریتانیا را هدف قرار می‌دهند. حملات جدی و پرمخاطب اخیر که بیمارستان‌های لندن و وزارت دفاع را تحت تأثیر قرار دادند، همچنین حملات باج‌افزاری علیه British Library و Royal Mail، نشان داده‌اند که خدمات و نهادهای بریتانیایی در برابر حملات آسیب‌پذیر هستند.

iii) پیامدهای حملات سایبری علیه این بخش‌ها، خطرات جدی برای شهروندان بریتانیا، خدمات اساسی و اقتصاد کشور ایجاد می‌کند. برای مثال، در نتیجه حمله باج‌افزاری که در ژوئن ۲۰۲۴ نظام سلامت NHS در انگلستان را تحت تأثیر قرار داد، تعداد ۳٬۳۹۶ نوبت درمان سرپایی و ۱٬۲۵۵ عمل‌ غیراورژانسی در King's College Hospital، Guy’s Hospital و St Thomas’ Hospital در جنوب لندن به تعویق افتاد. برآورد شده است که هزینه جرایم سایبری در بریتانیا در سال ۲۰۲۳ حدود ۳۲۰ میلیارد دلار، معادل نزدیک به ۲۲۵ میلیارد پوند، بوده است.

iv) معتقد است (NCSC) National Cyber Security Centre که تهدیدهای ناشی از دولت‌های متخاصم و عوامل مورد حمایت دولت‌ها همچنان در حال افزایش است. Felicity Oswald، مدیرعامل NCSC، در سخنرانی اخیر خود در CyberUK هشدار داد که ارائه‌دهندگان خدمات ضروری در بریتانیا دیگر نمی‌توانند این تهدیدها را نادیده بگیرند.

v) دو بررسی پس از اجرای UK NIS نشان داده‌اند که مقررات اولیه تأثیر مثبتی داشته‌اند، اما روند پیشرفت به اندازه کافی سریع نبوده است. بررسی سال ۲۰۲۲ نشان داد که این مقررات «چارچوبی حیاتی برای افزایش تاب‌آوری کلی بریتانیا در برابر تهدیدات امنیت شبکه و سیستم‌های اطلاعاتی» هستند، اما برای همگام شدن با تهدیدات رو به رشد، به‌روزرسانی آن‌ها ضروری است. از زمان اجرای مقررات UK NIS در سال ۲۰۱۸، که پس از دستورالعمل EU NIS Directive 2016/1148 معرفی شدند، تنها اندکی بیش از نیمی از اپراتورهای خدمات ضروری، سیاست‌ها و فرآیندهای موجود خود را به‌روزرسانی یا تقویت کرده‌اند.

 پیامدها 
این لایحه، گزارش‌دهی اجباری حملات باج‌افزاری را معرفی خواهد کرد تا مقامات بتوانند درک بهتری از ماهیت تهدیدها به دست آورند و با گسترش نوع و ماهیت حوادثی که نهادهای تحت نظارت موظف به گزارش آن‌ها هستند، ما را از حملات احتمالی آگاه سازند. اگرچه جمع‌آوری این اطلاعات احتمالاً تاب‌آوری در برابر حملات را افزایش خواهد داد، اما بار اجرایی ناشی از این گزارش‌دهی ممکن است هزینه‌های اضافی برای کسب‌وکارها به همراه داشته باشد؛ هزینه‌هایی که علاوه بر خسارات ناشی از خود حادثه سایبری بر آن‌ها تحمیل می‌شود.

از آنجا که شیوه‌های کسب‌وکار مدرن به یکدیگر وابسته و به‌هم‌پیوسته هستند، سازمان‌ها باید اطمینان حاصل کنند که شرکا و تأمین‌کنندگان آن‌ها نیز از استانداردهای تعیین‌شده توسط CS&R پیروی می‌کنند.

در اتحادیه اروپا، دستورالعمل اولیه امنیت شبکه و اطلاعات (NIS Directive 2016/1148) در حال به‌روزرسانی به Directive 2022/2555 است که با نام EU NIS 2 شناخته می‌شود. EU NIS 2 تغییرات گسترده‌ای را در قوانین موجود امنیت سایبری اتحادیه اروپا در حوزه شبکه‌ها و سیستم‌های اطلاعاتی ایجاد می‌کند. انتظار می‌رود CS&R مقررات فعلی UK NIS 2018 را به چارچوبی مشابه چارچوب اتحادیه اروپا نزدیک کند.

این لایحه تاکنون هیچ اطلاعاتی درباره مجازات‌های ناشی از عدم رعایت الزامات یا نوع درخواست‌هایی که نهادهای ناظر داده‌ها ممکن است از سازمانی که دچار حادثه امنیت سایبری شده است داشته باشند، ارائه نکرده است. با این حال، Peter Kyle، وزیر امور Department for Science, Innovation and Technology بریتانیا، در آوریل ۲۰۲۵ اعلام کرد که برای کوتاهی در اقدام در برابر تهدیدهای مرتبط، جریمه‌هایی معادل ۱۰۰ هزار پوند در روز در نظر گرفته خواهد شد.

 واکنش‌ها 
Jon Ellison، مدیر National Resilience در NCSC، اظهار داشت که این لایحه پیشنهادی «لحظه‌ای تاریخی در مقابله با تهدید فزاینده علیه سامانه‌های حیاتی بریتانیا» محسوب می‌شود. او در ادامه افزود که این لایحه «گامی حیاتی به سوی یک نظام نظارتی جامع‌تر و متناسب با دنیای پرآشوب کنونی ما» خواهد بود.

Ciaran Martin، رئیس پیشین NCSC، به همراه سایر کارشناسان از این پیشنهاد قانونی استقبال کردند. او در شبکه‌های اجتماعی نوشت که این قانون پیشنهادی منطقی به نظر می‌رسد و الزامات اجباری گزارش‌دهی، گام‌هایی مهم و مثبت محسوب می‌شوند.

Matt Hull، نماینده CyberUp Campaign، اظهار داشت که این سازمان مشتاقانه منتظر به‌روزرسانی تاب‌آوری سایبری بریتانیا توسط دولت، به‌ویژه اصلاح Computer Misuse Act 1990، است. هرگونه به‌روزرسانی این قانون می‌تواند به متخصصان سایبری کمک کند تا از بریتانیا محافظت کنند، از اقتصاد دیجیتال صیانت نمایند و زمینه رشد بالقوه صنعت امنیت سایبری را فراهم آورند.

 بیانیه سیاست امنیت سایبری و تاب‌آوری 
در آوریل ۲۰۲۵، بیانیه سیاست CS&R منتشر شد که اقدامات قطعی و پیشنهادی در نظر گرفته‌شده برای گنجاندن در این لایحه را تشریح می‌کند. در این بیانیه آمده است: «انقلاب دیجیتال در حال متحول کردن زیرساخت‌های حیاتی ملی (CNI) و خدمات عمومی ضروری ماست. این تحول، فرصتی استثنایی فراهم می‌کند تا مردم و کشور ما از رفاه بیشتری برخوردار شوند. با این حال، ممکن است آسیب‌پذیری‌های جدید و خطرناکی نیز به همراه داشته باشد... در این بیانیه سیاست، پیشنهادهای قانونی مربوط به این لایحه را مطرح می‌کنم. همچنین اذعان دارم که فضای سایبری با سرعتی تصاعدی در حال تغییر است و در مدت زمانی کوتاه، اتفاقات زیادی ممکن است رخ دهد. این بیانیه چندین اقدام تکمیلی را برای مقابله با تهدیدهایی که اکنون با آن‌ها مواجه هستیم، پیشنهاد می‌کند.»

این قانون با هدف تقویت دفاع سایبری بریتانیا و ایمن‌سازی زیرساخت‌های حیاتی و خدمات دیجیتال ضروری تدوین شده است و در نتیجه، سطح حفاظت از CNI را افزایش خواهد داد. این بیانیه، برنامه‌هایی برای گسترش چارچوب نظارتی به‌منظور پوشش دادن نهادهای بیشتر، توانمندسازی نهادهای ناظر و بهبود نظارت ارائه می‌دهد. این برنامه‌ها شامل تقویت نظام گزارش‌دهی حوادث، افزایش توانایی‌های گردآوری اطلاعات توسط ICO و بهبود سازوکارهای بازیابی هزینه نهادهای ناظر است. همچنین این لایحه به ضرورت ایجاد یک چارچوب نظارتی انعطاف‌پذیر برای همگام شدن با چشم‌انداز همواره در حال تحول تهدیدات سایبری می‌پردازد.

CS&R در پی آن است که دامنه سازمان‌هایی را که ملزم به بهبود ارزیابی‌های ریسک خود هستند گسترش دهد و اقدامات امنیت سایبری را برای حدود ۱۰۰۰ سازمان تقویت کند. این اقدامات موجب افزایش حفاظت از داده‌ها و امنیت شبکه خواهند شد و احتمالاً اپراتورهای مراکز داده و ارائه‌دهندگان خدمات مدیریت‌شده را نیز در بر خواهند گرفت. این پیشنهادها همچنین شامل اعطای ابزارهای بیشتر به نهادهای ناظر برای ارتقای استانداردهای امنیتی، الزام به ارائه گزارش‌های تفصیلی درباره حوادث و اعطای اختیار به دولت برای به‌روزرسانی چارچوب‌های نظارتی متناسب با تحول تهدیدات و فناوری‌ها هستند.

این بیانیه، نمایی تفصیلی از تغییرات برنامه Cyber Essentials ارائه می‌دهد؛ از جمله به‌روزرسانی تعریف نرم‌افزار، اصلاح آسیب‌پذیری‌ها و بازنگری اصطلاحات مرتبط با دورکاری. مشخصات آزمون Cyber Essentials Plus نیز با افزودن شاخص‌های جدید راستی‌آزمایی، تأیید تفکیک بر اساس زیرمجموعه‌ها و تأیید نمونه‌برداری به‌روزرسانی خواهد شد. این بیانیه همچنین مراحلی را که سازمان‌ها از سال ۲۰۲۵ به بعد باید برای دریافت گواهی Cyber Essentials طی کنند، تشریح می‌کند. این مراحل شامل تغییراتی در الزامات زیرساخت فناوری اطلاعات، از جمله معرفی سازوکارهای احراز هویت بدون گذرواژه (passwordless authentication)، خواهد بود.

 روند زمانی 

مقاله اصلی: Act of Parliament (United Kingdom)

 ۱۷ ژوئیه ۲۰۲۴ – این لایحه اعلام شد.
 ۱ آوریل ۲۰۲۵ – بیانیه سیاست امنیت سایبری و تاب‌آوری (Cyber Security and Resilience Policy Statement) منتشر شد.
 ۱۲ نوامبر ۲۰۲۵ – قرائت اول: لایحه به پارلمان معرفی شد.
 ۶ ژانویه ۲۰۲۶ – قرائت دوم لایحه برگزار شد.
 ۲۲ ژانویه ۲۰۲۶ – سند NISR Keeling Schedule که تغییرات پیشنهادی لایحه CS&R را نشان می‌دهد، منتشر شد.
 ۲۴ فوریه ۲۰۲۶ – مجموعه کامل هفت مرحله بررسی کمیته تا تاریخ ۲۴ فوریه ۲۰۲۶ (آخرین نسخه موجود) منتشر شد.

 همچنین ببینید 

 Cyber Resilience Act – مقررات اتحادیه اروپا با هدف بهبود امنیت سایبری و افزایش تاب‌آوری سایبری.
 Deepfake – محتوای رسانه‌ای واقع‌گرایانه‌ای که به‌صورت مصنوعی تولید یا دست‌کاری شده است.
 GDPR – مقررات عمومی حفاظت از داده‌ها (General Data Protection Regulation).
 Malware – بدافزار؛ از جمله نمونه‌های آن می‌توان به ویروس‌های رایانه‌ای ، جاسوس‌افزارها (Spyware) و تبلیغ‌افزارها (Adware) اشاره کرد.

 منابع