Додаткові вимоги Закону про кібербезпеку 2018 року
Читати PDF-версію (3 сторінок)
Закон про кібербезпеку 2018 року (Cybersecurity Act 2018) заснував Агентство з кібербезпеки (Cyber Security Agency) і запровадив режим критичної інформаційної інфраструктури. За цим режимом визначені власники систем, без яких неможливо надавати життєво важливі послуги, мають дотримуватися кодексів практики, повідомляти про інциденти і проходити аудити.1 Банківська справа та фінанси належать до сектору життєво важливих послуг, але системи до критичної інформаційної інфраструктури відносить Уповноважений щодо кожної окремо, і на криптобіржі це не поширено. Зміни 2024 року розширили дію Закону на системи, що становлять тимчасовий інтерес із погляду кібербезпеки, суб’єкти особливого інтересу з погляду кібербезпеки та базову цифрову інфраструктуру, як-от хмарні послуги й послуги центрів обробки даних. Через своїх постачальників криптобізнес зачіпають і ці норми, хоч і опосередковано.2
Отже, для криптоплатформи чинними вимогами кібербезпеки є вимоги MAS. Настанови з управління технологічними ризиками (Technology Risk Management Guidelines) і Повідомлення про управління технологічними ризиками встановлюють стандарти та обов’язки щодо звітування. Повідомлення про кібергігієну (Cyber Hygiene Notice) запроваджує базові засоби контролю для всіх ліцензованих фінансових установ.3 Закон про неправомірне використання комп’ютерів 1993 року (Computer Misuse Act 1993) встановлює кримінальні правопорушення щодо несанкціонованого доступу та модифікації. Вони застосовуються до хакерів незалежно від того, чи є потерпілий визначеним власником інфраструктури.4
Примітки
- Cybersecurity Act 2018, частина 3 (критична інформаційна інфраструктура), зокрема ст. 7 (визначення), 10 (обов’язок звітувати), 14 (повідомлення про інциденти) і 15 (аудити). ↩
- Cybersecurity (Amendment) Act 2024, ухвалений 7 травня 2024 року, який доповнив Cybersecurity Act 2018 частинами 3A–3C. ↩
- MAS Notice on Cyber Hygiene і MAS Technology Risk Management Guidelines (січень 2021 р.). Їхнє застосування до ліцензіатів DPT розглянуто в частині L, розділі VII. ↩
- Computer Misuse Act 1993, ст. 3–5. Правопорушення описано в частині N, розділі I. ↩
Лише для загального ознайомлення. Ця стаття не є юридичною чи податковою консультацією, не замінює консультації щодо конкретної справи й не створює відносин між адвокатом і клієнтом. Вона відображає правове становище станом на жовтень 2026.