Кратко

  • Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023, подписанный 2 марта 2023 года, обязывает сообщать в ComReg о значимых инцидентах безопасности «без неоправданной задержки» — и не называет ни часа, ни дня.
  • Сроки в 24 часа, 72 часа и 30 календарных дней взяты не из закона, а из решения регулятора D08/24, опубликованного через 297 дней после вступления обязанности в силу.
  • У молчания две цены: до 5 000 евро в суммарном производстве и административный потолок — большее из 5 млн евро и 10 % ирландского оборота, который применяется лишь после подтверждения High Court.
  • Единственное число, которое сторонний читатель может проверить каждый год, — агрегат: 15 инцидентов в 2024 году против 16 в 2023-м, при том что потерянные часы пользователей выросли с 22 818 885 до 32 574 831.

9 июня 2023 года ирландский оператор публичных сетей электронных коммуникаций или общедоступных услуг электронных коммуникаций, столкнувшись со значимым инцидентом безопасности, стал обязан кому-то о нём рассказать. Этот кто-то — не National Cyber Security Centre, а Commission for Communications Regulation, ComReg. Принятый текст закона № 4 от 2023 года говорит это прямо в статье 11(1): уведомление регулятору «без неоправданной задержки». Статья 11(4) добавляет обязанность сообщать о ходе устранения и восстановления. Статья 12(1) требует также информировать потенциально затронутых пользователей о доступных мерах защиты или средствах правовой защиты и, когда уместно, о самой угрозе.

Это вся хронология, которая есть в законе. «Без неоправданной задержки» — формулировка, а не часы. И здесь ирландская цепочка становится интересной: часы появились позже, и поставил их не законодатель. Решение D08/24, опубликованное вместе с ComReg 24/23 и датированное 2 апреля 2024 года, задаёт пороги, требования к информации и этапы: первичный отчёт как можно скорее и в первые 24 часа, обновление в течение 72 часов, если инцидент не закрыт, уведомление об устранении и полный отчёт с анализом первопричин в течение 30 календарных дней с момента отчёта о значимом инциденте. Пункт 140 того же документа привязывает этот 24-часовой интервал к моменту обнаружения инцидента оператором, а не к моменту его возникновения.

Между вступлением обязанности в силу и этой публикацией — 297 дней. Это моя арифметика по двум опубликованным датам: 9 июня 2023 года, которое назначает статья 2 S.I. No. 299 of 2023 (принят 6 июня 2023 года), и 2 апреля 2024 года с обложки ComReg 24/23. Этот разрыв и описывает характер цепочки: сначала обязанность, намного позже секундомер. Сам закон прошёл путь от подписания до вступления в силу за 99 дней, а распоряжение о вступлении в силу фиксирует публикацию извещения 13 июня 2023 года. Финальная парламентская редакция — Bill № 86c от 2022 года, она же фиксирует прохождение обеих палат 22 февраля 2023 года (Oireachtas).

Цена молчания тоже не одно число. Статья 11(8)(a) делает нарушение обязанности по статье 11 преступлением, наказуемым в суммарном производстве штрафом класса A. Суммы нет в законе о связи — она в статье 3 Fines Act 2010, где штраф класса A определён как штраф, не превышающий 5 000 евро. Это законный максимум для суммарного производства, а не фиксированный тариф и не наблюдённая санкция по конкретному делу.

Вторая цена лежит в административной процедуре и относится к другому порядку величин. Статьи 11(7) и 60(1)(a) связывают обязанности статьи 11 с частью 7; статьи 90(2) и 91(1)(a)–(b) предусматривают предписания об устранении и денежные санкции; статья 94(5)(a) задаёт потолок для юридического лица — большее из 5 млн евро и 10 % ирландского оборота за финансовый год, завершившийся в году, непосредственно предшествующем году последнего нарушения. Статья 92(1) требует подтверждения High Court по статье 109 до вступления административной санкции в силу, а статья 90(3) запрещает уголовное преследование за поведение, уже рассмотренное как установленное нарушение. Статья 63(3) допускает административный путь, если ComReg отказывается от суммарного преследования или после передачи дела без уголовного производства. Руководство по процедуре adjudication 25/03a описывает весь маршрут — передачу уполномоченным должностным лицом с согласия Комиссии, набор санкций от прекращения или устранения до денежных штрафов, возвратов и компенсаций, публикацию подтверждённых решений с исключениями и изъятиями — и в пункте 8.2 подтверждает, что без High Court ничего не действует.

Между 5 000 евро и 5 млн евро — коэффициент 1 000. Это расстояние между двумя законными пределами, а не наблюдённый штраф, и оно точно описывает конструкцию: быстрый и дешёвый путь наказывает молчание суммой, на которую крупный оператор не обернётся; дорогой путь требует собрать дело, получить судебное подтверждение и опубликовать его.

И одного имени нет. В принятом тексте, который я читал для этой статьи, National Cyber Security Centre не упоминается. Статья 5 определяет CSIRT как ведомственное подразделение реагирования на инциденты, а статья 16(1)(a) позволяет ComReg консультироваться с ним, сотрудничать, обмениваться информацией и получать его помощь. Ничего сверх этого в документе ему общих функций не назначает. Собственная страница CSIRT-IE на сайте NCSC описывает команду как подразделение внутри NCSC, помогающее своим Constituents реагировать на инциденты на национальном уровне и обслуживающее прежде всего государственные органы и поставщиков критической национальной инфраструктуры, и перечисляет мониторинг, предупреждения, реагирование, анализ рисков и участие в сети CSIRT. Это недатированное организационное описание, которое не ссылается на закон 2023 года как на источник перечисленных обязанностей.

Остаётся число, которое действительно можно проверить извне. Статья 11(9) требует ежегодной сводки о полученных уведомлениях и принятых мерах — министру, Европейской комиссии и ENISA. Страница Network Incidents на сайте ComReg подтверждает эту сводку, называет ComReg 24/23 и D08/24 рамкой отчётности и направляет операторов на портал Data.ComReg. Сами числа живут в годовых отчётах. Отчёт за 2023 год, ComReg 24/53, фиксирует 16 уведомлений в 2023 году против 12 в 2022-м и 22 818 885 потерянных часов пользователей. Отчёт за 2024 год, ComReg 25/42R, датированный 1 июля 2025 года, фиксирует 15 инцидентов в 2024-м против 16 в 2023-м и 32 574 831 потерянных часов пользователей.

Разница между этими двумя суммами часов — 9 755 946, примерно на 43 % больше. Это моя арифметика по двум опубликованным итогам, и растягивать её не стоит: отчёты не утверждают, что итог часов пользователей собран только из инцидентов, о которых уведомили ComReg. Поэтому деление часов на число инцидентов дало бы величину, которую не подтверждает ни один документ. Материал подтверждает направление: инцидентов на один меньше, потерянных часов — значительно больше.

Сама рамка тоже не стоит на месте. Консультация 25/84, датированная 5 декабря 2025 года, предлагает изменения в связанных с погодой шаблонах отчётности, в частоте и сроках отчётности и в географической оценке значимости — по опыту шторма Éowyn. Это предложения: окончательного решения я не установил, а обложка документа одновременно помечает версию как FINAL, что не превращает консультацию в действующее предписание.

Два конкретных ограничения, только по прочитанному. Страница Network Incidents не показывает отдельные подачи операторов и отметки о получении, а в защищённый портал поставщиков я не входил; ссылка на портал не доказывает, что поданное стало публичным. И в проверенном наборе — закон, D08/24, руководство по adjudication и два годовых отчёта — я не установил ни одного преследования, санкции или подтверждённого High Court решения против названного оператора по статье 11.

Одно число противоречит тексту закона, и его стоит назвать вместе с источником: вакансия главы Adjudication Unit на сайте ComReg описывает административные денежные санкции до 10 млн евро или 10 % оборота. Принятый текст говорит о 5 млн. Причину расхождения я не установил и не использую эту цифру как действующий потолок.

Что эта статья добавляет к уже опубликованному на той же записи справочника, конкретно. Два прежних материала по этому объекту — от 21 октября 2026 года о правительственном рабочем процессе в Великобритании, где один комментарий исполнял код, и от 10 октября 2026 года о швейцарском плане отдельного закона о кибербезопасности — ирландскую цепочку не проверяют: обязанность, её адресата, часы, сделанные регулятором, разделённую цену и агрегат, который сторонний читатель действительно может прочитать. Именно это проверяется здесь.

Что изменило бы классификацию, тоже конкретно. Преследование по статье 11, подтверждённое и опубликованное решение adjudication или годовой отчёт с разбивкой по операторам и моментам уведомления превратили бы агрегат в проверяемую отчётность. Пока этого нет, у Ирландии есть инструмент, есть цена и есть счётчик; чего нет в прочитанном материале — способа узнать, кто опоздал.

Запись справочника National Cyber Security Centre фиксирует объект, о котором написана эта статья.