Presiuni pentru responsabilitate la nivel executiv
Pe măsură ce guvernul britanic înaintează cu proiectul de lege privind securitatea cibernetică și reziliența (CSR), o coaliție tot mai mare de membri ai Camerei Lorzilor solicită o schimbare fundamentală în modul în care conducerea companiilor este trasă la răspundere pentru siguranța digitală. Miza principală este absența răspunderii civile personale pentru directori. Deși proiectul propune amenzi considerabile pentru organizații — care pot ajunge până la 17 milioane de lire sterline sau 4% din cifra de afaceri anuală — criticii susțin că sancțiunile financiare aplicate entității juridice sunt insuficiente pentru a genera o schimbare de mentalitate la nivel de consiliu de administrație.
Baronesele Kidron și Ludford au susținut amendamente care ar transforma securitatea cibernetică într-o responsabilitate obligatorie a board-ului. Argumentul lor se bazează pe premisa că schimbarea organizațională reală trebuie impusă de la cel mai înalt nivel. Prin introducerea răspunderii personale pentru directorii care dau dovadă de neglijență sau complicitate în fața eșecurilor de securitate, susținătorii consideră că legislația ar putea replica standardele stricte aplicate deja în sectorul serviciilor financiare. Lordul Clement-Jones a întărit această poziție, afirmând că cei care primesc compensații executive substanțiale pentru gestionarea infrastructurii naționale critice trebuie să își asume și responsabilitatea personală pentru securizarea acesteia.
Poziția guvernului privind amenzile corporative
Guvernul, reprezentat de ministrul securității cibernetice, baronesa Lloyd of Effra, s-a opus solicitărilor privind răspunderea individuală a executivilor. În schimb, miniștrii subliniază că regimul de aplicare a legii propus este deja robust. Baronesa Lloyd a argumentat că mixul dintre amenzile corporative severe și legislația secundară ulterioară privind guvernanța la nivel de consiliu va oferi o supraveghere adecvată. Conform guvernului, cadrul legislativ viitor — aliniat la Cyber Assessment Framework al Centrului Național pentru Securitate Cibernetică (NCSC) — va obliga consiliile de administrație să își asume responsabilitatea pentru escaladarea riscurilor și capacitatea de răspuns a organizațiilor.
Dezbaterea privind termenele de raportare
Dincolo de răspunderea executivă, proiectul de lege a declanșat o dezbatere aprinsă privind fezabilitatea logistică a cerințelor de raportare a incidentelor. Conform formei actuale, entitățile reglementate trebuie să trimită o notificare inițială a unui incident cibernetic în termen de 24 de ore și un raport cuprinzător în termen de 72 de ore. Criticii, inclusiv fostul ministru al securității, baronesa Neville-Jones, avertizează că această structură ar putea duce la un val de „raportare defensivă”, în care companiile vor inunda autoritățile de reglementare cu date despre anomalii tehnice minore pentru a se asigura că respectă legea, mascând astfel amenințările reale, cu impact major.
Lordul Clement-Jones a susținut aceste preocupări, sugerând că definiția actuală a unui „incident” — care include orice eveniment capabil să producă un efect advers — este mult prea vastă. Lorzii au avertizat că operatorii de servicii esențiale ar putea rămâne blocați în sarcini administrative, în loc să se concentreze pe îmbunătățirea securității reale. În ciuda acestor avertismente, guvernul menține că procesul de raportare în două etape și cu termen scurt este necesar pentru a permite NCSC să determine dacă o breșă are implicații mai largi asupra infrastructurii naționale.
Rafinarea răspunsului post-incident
Într-o abordare contrastantă, unele voci pledează pentru o raportare mai riguroasă și pe termen lung. Baronesa Harding, bazându-se pe experiența sa ca fost CEO al TalkTalk, a propus un termen de raportare extins, care să includă actualizări intermediare la 14 zile și un raport final la o lună după incident. Argumentul ei se bazează pe realitatea practică a răspunsului la incidente: primele 72 de ore sunt adesea caracterizate de o „ceață a războiului”, unde amploarea reală a atacului rămâne necunoscută. Prin extinderea ferestrei temporale, ea sugerează că firmele pot furniza date de calitate și utile organelor de aplicare a legii, ajutând la identificarea și prinderea atacatorilor, în loc să se concentreze doar pe gestionarea crizei de imagine inițiale.
De ce este important
Proiectul de lege CSR reprezintă o actualizare critică a vechilor reglementări NIS din 2018. În esență, acesta urmărește transformarea securității cibernetice dintr-o problemă tehnică de IT într-o chestiune de reziliență națională. Indiferent dacă legislația finală va include sau nu răspunderea personală, examinarea parlamentară în curs semnalează o schimbare în dorința politică de a responsabiliza direct conducerea companiilor pentru siguranța activelor digitale critice.
