Кратко

  • правительство Швейцарии поручил DDPS подготовить к июню 2027 года отдельный законопроект, который объединит поручения по цифровым продуктам, важным данным, а также хостингу и облачным провайдерам.
  • Действующую обязанность сообщать о кибератаках на критическую инфраструктуру планируют перенести в новый закон. ISA продолжит регулировать безопасность информации внутри федеральной администрации; текста законопроекта и новых обязанностей пока нет.

Швейцария пока меняет предполагаемую законодательную конструкцию, а не вводит новые требования для компаний. На заседании 25 сентября правительство Швейцарии поручил DDPS подготовить к июню 2027 года проект федерального закона о кибербезопасности для консультаций. О решении сообщили 28 сентября. Это поручение подготовить законопроект, а не принятие закона или начало действия новых правил.

В проект хотят объединить три парламентских поручения. Инициатива 24.3810 требует создать правовую основу для устранения пробелов в проверках кибербезопасности цифровых продуктов. Инициатива 23.3002 касается защиты наиболее важных цифровых данных федеральных, кантональных и муниципальных органов, а также операторов критической инфраструктуры. Инициатива 25.3011 посвящена правам и обязанностям хостинговых и облачных провайдеров при противодействии киберугрозам и злоупотреблению их сервисами. Правительство рассматривает эти вопросы как взаимодополняющие уровни: продукты, данные и цифровую инфраструктуру.

Сначала предполагалось внести все три изменения в Information Security Act (ISA). Теперь речь идет об отдельном законе. В описании будущего проекта названы обязательные требования к производителям, импортерам и распространителям программного и аппаратного обеспечения, надзор за рынком и возможность запретить продажу небезопасных продуктов. Планируется также определить обязанности по защите важных цифровых данных и сотрудничеству с хостинговыми и облачными провайдерами в противодействии угрозам. Но пока не определено, какие именно продукты, данные и компании попадут под действие норм.

Часть реформы затрагивает правило, которое уже работает. С 1 апреля 2025 года охваченные требованиями органы и операторы критической инфраструктуры должны сообщать в National Cyber Security Centre (NCSC) о некоторых кибератаках в течение 24 часов после обнаружения; полный отчет можно дополнить в срок до 14 дней. правительство Швейцарии намерен перенести эту обязанность из ISA в новый закон. При этом ISA продолжит регулировать информационную безопасность внутри федеральных органов. Отраслевые правила, включая требования для телекоммуникаций и электроэнергетики, также останутся в силе.

Новый закон должен дополнить отраслевые нормы, а не заменить их. Единая законодательная основа может избавить от необходимости менять несколько законов при появлении общего требования. Но сосуществование норм создает вопрос о границах полномочий: надзор за продукцией, отраслевые регуляторы, данные кантонов и муниципалитетов, частные хостинговые системы могут оказаться связаны одним инцидентом или сервисом. В объявлении пока не сказано, кто будет разрешать такие пересечения.

правительство Швейцарии заявляет, что международные компании, уже подпадающие под Закон ЕС о киберустойчивости (CRA), не должны получить дополнительные швейцарские требования к соблюдению правил. Это заявленная цель до появления законопроекта. Не описаны ни механизм признания эквивалентности, ни исключения, ни порядок обжалования решений регулятора.

Следующий контрольный срок — июнь 2027 года, когда DDPS должен представить проект для консультаций. До публикации текста нет оснований утверждать, что запрет на небезопасные продукты или новые полномочия облачных провайдеров уже действуют. Реальный охват реформы станет понятнее по определениям важных данных и поставщиков, органу надзора, расходам, средствам защиты и взаимодействию с отраслевыми нормами.

Источники