Кратко

  • Положение Сингапура S 791/2026 действует с 30 октября: первый звонок — в течение 24 часов после того, как организация узнала об инциденте, письменное дополнение — в течение 72 часов, итоговый отчёт — через 30 дней после подачи дополнения.
  • Cybersecurity Act позволяет комиссару назначать организацию и систему письменным уведомлением, но не требует публиковать уведомление в официальной газете. Сроки видны, а круг обязанных организаций может оставаться неизвестным.

В этой системе есть точный календарь для отчёта и гораздо менее точная публичная картина того, кто по нему отчитывается.

Комиссар может назначить организацию, если она хранит чувствительную информацию в системе под своим контролем или использует такую систему для функции, сбой которой нанесёт значительный ущерб обороне, внешним связям, экономике, общественному здравоохранению, безопасности или общественному порядку Сингапура. Организация должна быть учреждена на основании письменного закона. Так описывает порог раздел 18 Cybersecurity Act.

Уведомление должно назвать организацию и систему, перечислить обязанности, указать курирующего должностного лица и объяснить, как подать возражение или апелляцию. Но раздел 18(4) разрешает не публиковать это уведомление в официальной газете. В просмотренных государственных материалах нет списка адресатов или отдельного публичного реестра; опубликованное уведомление или реестр CSA позволили бы проверить охват.

Сами сроки появились в Cybersecurity (Entities of Special Cybersecurity Interest) Regulations 2026, S 791/2026, вступившем в силу 30 октября. Организация, узнавшая о предусмотренном инциденте на своей системе особого кибернетического интереса, должна сообщить комиссару в течение 24 часов. Первый шаг — звонок. Если позвонить в разумный срок невозможно, разрешено отправить сообщение на указанный номер или письменную форму.

В первом сообщении надо указать систему, когда и как произошло событие, какие данные там хранятся и какие последствия уже заметны. Организация также сообщает, были ли нарушены доступность, конфиденциальность или целостность данных либо серьёзно затронуты её деловые операции, и называет подавшего сообщение. В течение 72 часов после того, как стало известно об инциденте, следует направить письменное дополнение: обновления, причину, воздействие на систему и принятые меры исправления — насколько это практически возможно. Итоговый отчёт подаётся в течение 30 дней после отправки дополнения; воскресенья и праздники входят в срок.

Если первые два сообщения отложить до последних допустимых часов, итоговый срок наступит примерно на 33-й день после получения сведений.

Регламент перечисляет не любые тревожные сигналы, а предписанные типы: несанкционированное проникновение, вредоносный код, перехват связи или захват сессии, отказ в обслуживании и иные действия, мешающие доступности или работе системы. Раздел 18F добавляет последствие: нарушение данных либо значительное влияние на операции организации. Часть 3C не применяется к организации в отношении систем, уже обозначенных как критическая информационная инфраструктура, принадлежащая провайдеру или третьей стороне. Это отдельный правовой маршрут, а не та же процедура CII.

Публичный текст показывает, когда и что сдавать, но не раскрывает список получателей уведомлений. CSA могла бы назвать организации и широкие классы систем, не публикуя чувствительные технические детали. Следующим доказательством станет опубликованное назначение или официальная политика раскрытия охваченной группы.

Источники