Кратко

  • Часть 1 Bill C-8 изменила Telecommunications Act и вступила в силу с получением королевской санкции.
  • Часть 2 учредила Critical Cyber Systems Protection Act, однако последняя консолидированная редакция помечает его как не вступивший в силу.

Принятие закона не запускает все его нормы одновременно

Bill C-8 получил королевскую санкцию 15 июня 2026 года. Он изменил Telecommunications Act и одновременно принял отдельный Critical Cyber Systems Protection Act (CCSPA). У двух частей разные сроки. Часть 1 действует с момента санкции. Часть 2 должна вступить в силу в один или несколько дней, которые назначит Governor in Council. В консолидированном тексте Justice Laws, актуальном на 21 сентября 2026 года, часть 2 всё ещё отмечена как не вступившая в силу.

Это различие определяет текущие обязанности телеком-операторов. Часть 1 позволяет Governor in Council ограничить использование продуктов и услуг определённого поставщика или потребовать удалить его продукты из сети. Министр промышленности может требовать планы защиты, оценку уязвимостей и их устранение, стандарты, проверку закупок и резервные системы. Распоряжение должно быть необходимым и разумным с учётом серьёзности угрозы. Нужно учитывать эксплуатационные и финансовые последствия, непрерывность услуг и частную жизнь.

CCSPA рассчитан на операторов, которые будут назначены по классам. Он предусматривает программы кибербезопасности, снижение рисков цепочки поставок и сообщения об инцидентах. Включение телекоммуникаций в число жизненно важных услуг не назначает автоматически каждого поставщика. Срок сообщения об инциденте — до 72 часов, но конкретный срок должна установить нормативная база. Пока часть 2 не действует, это не текущий таймер для всех компаний связи.

У директив есть предусмотренные каналы уведомления и контроля

Директива по части 1 может запрещать раскрывать факт её существования или часть содержания. Секретность не включается автоматически. Перед этим необходимо оценить риск срыва цели директивы, необходимость ограничения, возможность сузить его, последствия для прозрачности и подотчётности и позицию затронутого поставщика.

Если директива не засекречена, указанные в ней лица должны получить уведомление в течение семи дней. Если запрет на раскрытие есть, министр обязан в течение 90 дней уведомить National Security and Intelligence Committee of Parliamentarians и National Security and Intelligence Review Agency. Ежегодный доклад парламенту должен раскрывать число и характер распоряжений, их отмены, число затронутых поставщиков, исполнение и объяснение необходимости, разумности и пользы директив. Также сообщается, сколько раз распоряжение имело преимущество перед решением CRTC. После представления публикуется краткое изложение доклада.

Такая схема позволяет оценивать использование полномочий, не требуя немедленной публикации каждой чувствительной детали. Практическая проверка — выходят ли доклады вовремя, объясняют ли влияние на клиентов и операторов и показывают ли, когда директива изменила регуляторное решение.

Безопасность сети не отменяет правовых ограничений

Telecommunications Act запрещает приказывать перехватывать частные сообщения. В CCSPA есть сходное ограничение, а действие Privacy Act сохраняется. Распоряжения могут затрагивать сети, закупки и устранение уязвимостей, но их нельзя описывать как общее разрешение на перехват коммуникаций.

Bill C-8 нужно читать по двум часам: директивы для телекоммуникаций уже возможны; обязанности по программам защиты и инцидентам для назначенных операторов ждут вступления в силу и назначения. Компаниям следует готовиться к принятой конструкции, не выдавая будущие требования за действующее право. Правительству ещё предстоит ясно обозначить дату запуска, охваченные классы и компетентного регулятора.

Note 73 Heng Lu используется лишь как редакционная линза: важно различать тех, кого затрагивает решение, и органы, уполномоченные его принимать, а затем искать доказательства применения этой власти. Юридические факты основаны на канадском тексте закона.

Источники