Законопроект предусматривает создание нового ведомства по кибербезопасности с широкими полномочиями.
В парламенте Индонезии началось рассмотрение масштабного законопроекта о кибербезопасности и киберустойчивости, который предполагает создание национального органа по кибербезопасности с широкими полномочиями, усиление государственного контроля над критической информационной инфраструктурой, а также введение новых требований к системам искусственного интеллекта (ИИ) и цифровым продуктам.
Документ, внесенный правительством в профильную комиссию Палаты представителей, формирует единую законодательную систему регулирования кибербезопасности как для государственных, так и для частных организаций. Владельцы объектов критической информационной инфраструктуры будут обязаны соблюдать национальные стандарты киберзащиты, регулярно проводить оценку рисков и независимые аудиты, внедрять планы обеспечения непрерывности работы и восстановления после инцидентов, а также направлять регулятору отчеты о состоянии защиты.
Предлагается создать Национальное агентство по кибербезопасности, которое будет подчиняться непосредственно президенту. Ведомство займется разработкой стандартов в сфере кибербезопасности, контролем за операторами инфраструктуры, координацией реагирования на киберинциденты и надзором за соблюдением требований законодательства по всей стране.
Кроме того, агентство получит право запрашивать информацию у операторов инфраструктуры, расследовать киберинциденты, проводить специальные операции в сфере кибербезопасности и ограничивать распространение интернет-контента, который власти сочтут киберугрозой или элементом кибератаки.
Законопроект обязывает операторов критической инфраструктуры уведомлять регулятора о выявленных киберинцидентах в течение 72 часов после их обнаружения. Агентство сможет оценивать, способны ли такие инциденты перерасти в общенациональный киберкризис. Для объектов критической инфраструктуры также вводятся ежегодные обязательные аудиты кибербезопасности, а результаты проверок могут публиковаться для повышения прозрачности.
Отдельный блок документа посвящен регулированию цифровых продуктов и технологий ИИ. Все цифровые продукты предлагается разделить на категории низкого, среднего и высокого риска. Продукты среднего и высокого уровня риска должны будут проходить государственную оценку перед выходом на рынок. Производителей также обяжут выявлять и устранять уязвимости, выпускать обновления безопасности и раскрывать информацию об исправленных недостатках.
Для систем ИИ вводятся требования по соблюдению принципов прозрачности, подотчетности, защиты персональных данных, соблюдения прав интеллектуальной собственности, инклюзивности и устойчивого развития. Разработчики должны будут уведомлять новое агентство о создании или внедрении таких систем. Операторам критической инфраструктуры разрешат использовать только те цифровые продукты, которые соответствуют новым требованиям кибербезопасности, а регулятор получит полномочия контролировать применение ИИ на таких объектах.
Представители отрасли в целом поддержали идею создания более сильного национального регулятора, однако призвали законодателей четко определить его полномочия и разграничить их с функциями уже существующих государственных структур, включая Национальное агентство по кибербезопасности и криптографии (BSSN), спецслужбы и полицию.
Эксперты также предупредили, что концентрация в одном ведомстве функций регулирования, надзора, сертификации, аудита и правоприменения может привести к конфликту интересов и правовой неопределенности для бизнеса. Кроме того, они предлагают закрепить дополнительные гарантии при доступе государства к интернет-трафику, защиту компаний, добровольно сообщающих о киберинцидентах, и привести законопроект в соответствие с действующим законодательством Индонезии о защите персональных данных.
Источник: MLex
