Summary

  • В докладе от 22 июля 2026 года GAO зафиксировало 117 федеральных правил, действовавших по состоянию на июнь с требованиями к кибербезопасности частных компаний в девяти секторах критической инфраструктуры. Их установили 37 ведомств. Восемьдесят правил содержали хотя бы один из трёх видов обязательной инициативной отчётности; 48 касались инцидентов.
  • Определения событий, пороги, сроки, состав сведений и адреса могут пересекаться или противоречить друг другу. Число 80 показывает потенциальное наложение типов требований, а не 80 повторных отчётов одной компании.
  • За координацию отвечало Office of the National Cyber Director, ONCD. Национальная киберстратегия вышла в марте 2026 года, но к июлю план её выполнения с распределёнными задачами не был опубликован.

Пока техника сдерживает атаку, юристы ищут начало срока

Сигнал об атаке приходит раньше полной истории. Команда проверяет подозрительный доступ, отделяет заражённое оборудование и решает, какие сервисы нельзя остановить. Надзорному органу важны ранние сведения, особенно если угроза касается других операторов. Оба дела необходимы. Проблема возникает в точке, где каждое ведомство задаёт собственное определение инцидента и собственный момент для запуска часов. Сотрудники вынуждены сверять несколько юридических календарей, пока технический ещё заполняется.

Аудит GAO от 22 июля 2026 года даёт масштаб. Среди девяти секторов критической инфраструктуры GAO нашло 117 уже действовавших федеральных правил с кибертребованиями для частных организаций. Правила исходили от 37 ведомств. В 80 из 117 требовалось инициативно подавать хотя бы одну категорию сведений: данные об инцидентах, планы или другую техническую информацию, результаты проверок и оценок. Инцидентных правил было 48, правил о планах и технических сведениях — 52, о проверках и оценках — 25. Одно правило может относиться к нескольким категориям. В этих 80 правилах насчитали не менее 125 требований по типам.

Сорок восемь правил об инцидентах исходили от 27 ведомств. Оригинальный доклад перечисляет расхождения, которые не уложить в один шаблон: что считается событием, насколько оно должно быть серьёзным, когда начинается срок, какие сведения надо указать и как отправить сообщение. Когда факты меняются по мере расследования, разные формы закрепляют разные версии одного инцидента. Потом исправлениям тоже нужен маршрут.

GAO провело классификацию потенциального дублирования. Оно сравнило виды требуемых сообщений, но не доказало, что каждая из 80 норм вынуждает одну компанию повторять одинаковый отчёт. GAO не посчитало потерянное на реальном инциденте время или сумму издержек. Для такой оценки нужен конкретный случай: один оператор, его виды деятельности, применимые правила, порог каждого правила, срок и ведомство-получатель. Только тогда можно отделить важное требование, связанное с особой ответственностью органа, от лишней второй копии.

Финансовая компания видит пересечение первой

GAO описало 15 действующих правил сообщения о киберинцидентах в финансовом секторе. Отдельная компания может подпадать под несколько из них в зависимости от того, чем занимается. Банковский, фондовый, товарный и потребительский надзор интересуются разными последствиями. Оператор, совмещающий виды деятельности, должен сопоставить их требования, пока расследует само вторжение. Каждое ведомство видит свою часть случая; компания отвечает за согласование целого.

На момент аудита межотраслевое правило по закону Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA, оставалось проектом. Оно не входило в 117 действующих правил. CISA рассматривало исключение для существенно сходных сообщений, которое позволяло бы одной подачей исполнить два обязательства. Такая возможность станет рабочей лишь тогда, когда окончательный текст определит круг организаций, обязательные поля, порядок передачи между ведомствами и квитанцию, которую каждое из них признаёт. Одно окно приёма без признанного подтверждения не останавливает остальные часы.

Дублирующий труд встречается и вдали от срочных сообщений. Подрядчик нескольких федеральных ведомств может неоднократно предоставлять похожие планы безопасности или материалы проверок. В транспортном секторе организация в зависимости от деятельности может быть обязана подавать планы безопасности по семи федеральным правилам или меньшему их числу. Ведомство получает один файл; компания ведёт версии, объясняет различия и хранит подтверждения отправки. Расходы на совмещение требований скрыты в бюджете оператора, а не органа, создавшего запрос.

Дирижёр назначен, партитуры всё ещё нет

Конгресс возложил на ONCD координацию согласования федеральных киберправил. Работа Cyber Incident Reporting Council легла в основу восьми рекомендаций Министерства внутренней безопасности США в 2023 году: среди них единые определения отчётного события, сроков и условий запуска обязанности. Межведомственный форум регуляторов обсуждал сближение. Опубликованная в марте 2026 года национальная киберстратегия тоже обещала уменьшать лишнюю нагрузку и согласовывать требования; к июлю её план реализации ещё не был опубликован.

Проверенная GAO хронология показывает цену обещаниям. Форум бездействовал с конца 2024 года. К маю 2026-го Министерство внутренней безопасности не сообщило, что сделало с восемью рекомендациями. GAO запросило сведения у ONCD в сентябре 2025-го и июне 2026-го и не получило ответа к концу июня. К июлю план реализации новой стратегии не был опубликован. Кто сводит определения, кто разрешает конфликт сроков, кто удостоверяет, что сообщение принято двумя ведомствами, — эти решения не превратились в публичную инструкцию.

Следующее доказательство можно изложить в таблице. Для каждого правила: на кого оно распространяется, какой факт его запускает, с какого момента идёт срок, какие поля обязательны, куда отправлять данные, разрешено ли использовать уже поданный отчёт и какое подтверждение сохранять. Нужен хозяин этой таблицы, отвечающий за изменения. Учение с организацией, работающей в двух секторах, проверит её под нагрузкой. Отдельно измерят время технической защиты и время на административную передачу; оба результата будут важнее ещё одной диаграммы ведомств.

Государству нужны своевременные сообщения. Людям, охраняющим сервис, нужен понятный порядок отправки. Вашингтон может требовать ответа быстро, если сначала сверит собственные часы.

Источники: страница доклада GAO; полный оригинальный доклад.