Кратко

  • Статья 5 Executive Order 14028 даёт Cyber Safety Review Board два глагола: «рассматривать и оценивать» и «представлять рекомендации Secretary». Единственный глагол исполнения в этой статье относится к Secretary of Homeland Security и снабжён оговоркой «as appropriate».
  • Поэтому продукт совета — реестр доказательств, а не средство правовой защиты. Реестр становится обязательством только тогда, когда его превращает кто-то другой: закон, условие закупки или страховки, ссылка в суде.

Указ подписан 12 мая 2021 года и через пять дней опубликован в Federal Register как документ 2021-10460 (Executive Order 14028; публикация Белого дома). Статья 5 создаёт Cyber Safety Review Board: пункт 5(a) предписывает Secretary of Homeland Security его учредить, а 5(b) очерчивает поле работы — активность угроз, уязвимости, меры смягчения и ответные действия ведомств в значительных киберинцидентах, затрагивающих информационные системы гражданской исполнительной ветви федеральной власти или нефедеральные системы.

Ключевое предложение записано по-английски и коротко: «The Board shall review and assess». Рассмотреть и оценить. Не решить и не наказать. Пункты 5(d) и 5(h) сужают продукт ещё сильнее: рекомендации, консультации, сведения. В 5(d) стоит «provide recommendations to the Secretary». И только в 5(j) появляется глагол исполнения — с другим субъектом: «take steps to implement them as appropriate». Secretary рассматривает рекомендации и предпринимает те шаги, которые сочтёт уместными.

Я прочитал статью 5 в тексте Federal Register пункт за пунктом, с 5(a) по 5(j). В этой статье нет прямых формулировок, которые делали бы выводы или рекомендации совета обязательными для проверяемых лиц, и нет ни обязанности отчитываться, ни срока, ни названного последствия за неисполнение. Утверждение ограничено именно этим: в статье такого обязательства нет — не «в реальности его не существует». Оно может прийти из другого места, и как раз это и разбирает материал. Границы — статья 5, без последующих законов, контрактов и ведомственной практики.

Само ведомство описывает работу совета как совещательную и указывает, что его выводы и рекомендации не обязательны ни для частного сектора, ни для государственных органов (страница совета на CISA; страница ресурсов CISA). Характер этого материала нужно назвать прямо: обе страницы сохранены 12 ноября 2026 года как пересказы, составленные поставщиком, а не как читаемый текст страницы. Значит, это косвенный признак, и приводить его как слова ведомства нельзя. Формулировки пунктов — по тексту Federal Register.

Есть ещё оговорка, которую в таких спорах приводят охотно, — статья 11(d): указ не создаёт подлежащих судебной защите прав или благ (текст указа). Она про создание прав вообще и не равна прямому утверждению, что рекомендации совета необязательны. Путать эти две вещи — самая частая подмена смысла в этом разговоре. К границам доказательства относится и честная деталь: сама страница Federal Register предупреждает, что её XML-версия — неофициальный информационный ресурс, и советует сверяться с изданием govinfo. У меня короткие дословные фрагменты и синтез, а не полное воспроизведение указа.

Так что же это за документ? Если разложить структуру статьи 5, видно разделение администрирования и принуждения: оценка остаётся у совета, усмотрение — у Secretary, а проверяемая сторона стоит вне цепочки обязательств. Вывод расследования, который никого не может обязать, — это реестр: он фиксирует, что произошло, почему и кому надо меняться. У реестров есть цена: они превращают отдельные случаи в читаемый узор. Но реестр не средство правовой защиты. Защита начинается тогда, когда кто-то превращает запись в обязанность.

Пути такого превращения конкретны, и ни одного из них нет в статье 5. Закон делает рекомендацию правовой обязанностью, со сроком и санкцией. Условие закупки вписывает её в контракт и лишает заказа того, кто не исполняет. Страховой опросник делает её условием покрытия, где премия и франшиза отвечают на соблюдение. Суд использует её как доказательство. Накопленный архив дел делает единичный провал видимым как система. Ни один из этих путей совет сам не проходит, и ни один не помещается в одну статью указа.

Это не пренебрежение к совету. Способность восстановить причинную цепочку инцидента сама по себе редка, и многие регуляторы до неё не доходят. Проблема в бухгалтерии: «выяснить» читают как «решить», а публикацию отчёта — как закрытие дела. Самое приятное чувство после инцидента — хорошо написанный отчёт. Проверенная организация после его выхода работает как прежде, пока кто-нибудь не возьмёт этот отчёт и не сделает с ним что-то ещё.

В справочнике правительства США Cybersecurity and Infrastructure Security Agency одновременно держатель номерных ресурсов и центр безопасности (запись справочника). Совет находится под ней, и эта подчинённость легко читается как полномочие. Слово security в названии не означает, что в руках есть инструмент принуждения.

И последнее — границы проверки. Ни регламент совета, ни читаемый текст хотя бы одного отчёта в этот раз получить не удалось, поэтому здесь не приводится ни число рекомендаций, ни список адресатов, ни количество отчётов. В пределах пяти документов, которые я прочитал, — текста указа в Federal Register, двух страниц CISA, публикации Белого дома и главной страницы dhs.gov — официального заявления о составе совета или его нынешнем статусе не встретилось. Утверждение на этом заканчивается и не доказывает, что такого заявления не существует.