Documents

H.R. 4123, Federal Improvement in Technology Procurement Act (FIT Procurement Act)

Федеральные закупки технологий перестраивают через подготовку закупщиков и повышение порогов. Федеральный институт закупок за 18 месяцев запускает пилот практического обучения и межфункциональную программу по закупкам ИКТ — с разделами об облачных вычислениях, искусственном интеллекте и кибербезопасности; программу обучения по искусственному интеллекту передают от Административно-бюджетного управления Управлению общих служб. Отчисления в фонд обучения кадров растут с 5 до 7,5 %. Порог упрощённых закупок поднимается с 250 тыс. до 500 тыс. долларов, микрозакупок — с 10 тыс. до 25 тыс. Управление федеральной закупочной политики снимает барьеры для малого бизнеса.

PL 3743/2026 - Establishes the Legal Framework for Algorithmic Transparency in Tax Administration, sets governance standards for use of artificial intelligence systems and...

Отобрав налогоплательщика для проверки с помощью алгоритма, инспекция обязана его уведомить: назвать цель системы, в общих чертах методику и основные факторы, по которым дело попало в выборку, — насколько это не раскрывает налоговую тайну. Плательщик вправе запросить разъяснения и человеческий пересмотр. Начислять налог одним лишь автоматизированным решением без индивидуального анализа должностного лица запрещено; при расхождении машины и инспектора действует мотивированное решение последнего. До запуска каждой системы готовится отчёт об алгоритмическом воздействии (RIAT), при существенном изменении модели — новый; ведомства ведут техдокументацию, прослеживаемость решений, контроль смещений и независимый аудит.

A New Act for Increased Resilience among Critical Service Providers

Переносит в шведское право директиву (ЕС) 2022/2557 (CER): операторов важнейших услуг, отобранных по национальной оценке риска и признанных критическими, обяжут оценивать риски, принимать меры устойчивости и сообщать об инцидентах. Такой оператор считается существенным по закону о кибербезопасности (2025:1506). Вводится проверка персонала по итогам анализа должностей: запрос сведений о судимости и обмен ими между государствами ЕС. Надзорные органы выдают предписания и налагают штрафы; банки, инфраструктура финансового рынка и цифровая инфраструктура выведены из-под действия закона. Штрафы по закону о защитной безопасности для частных операторов повышаются. Вступление в силу — 1 января 2027 года.

PL 3695/2026 - Amends Decree-Law No. 2,848 of December 7, 1940 (Penal Code) to criminalize the offense of fraudulent manipulation of an artificial intelligence system and...

Вводит в Уголовный кодекс ст. 154-C: внедрение или сокрытие мошеннической команды, кода или метаданных, нарушающих работу системы ИИ при принятии решений, классификации, аутентификации или рекомендации, ради незаконной выгоды либо вреда, — лишение свободы от одного до двух лет и штраф. От двух до четырёх лет, если раскрыты персональные или охраняемые законом данные, ущерб превысил 40 минимальных зарплат, затронуты суд, торги, выборы, критическая инфраструктура. Треть сверху — за посягательство на детей, пожилых или госорганы. Санкционированные тесты, аудит и исследование уязвимостей ненаказуемы. Дело возбуждают по заявлению, кроме посягательств на публичный сектор.

Cyberfort Limited v The Lord Chancellor, [2026] EWHC 1760 (TCC)

Сняла автоматический запрет на заключение контракта, возникший при оспаривании закупки. Прежний подрядчик HMCTS по управляемым услугам кибербезопасности проиграл конкурс Accenture и подал иск, чем по правилу 95 Public Contracts Regulations 2015 заблокировал подписание нового контракта. По тесту American Cyanamid убытки признаны достаточным возмещением для истца (выручка 22,3 млн фунтов, рынок растущий), но не для ведомства, которое иначе не получит выбранную модель услуги с новыми KPI. Баланс интересов тоже за снятие: разбирательство тянулось бы до конца 2027 года. Суд оговорил: простой «спорности» довода о недостаточности убытков истцу мало, довод должен быть разумно обоснован.

Product and Service Defect Liability Law: extending coverage to software

Новый закон устанавливает ответственность производителей и продавцов за вред от недостатков товаров и услуг, включая программное обеспечение и цифровые продукты.

Закон переносит обновлённую Директиву ЕС об ответственности за продукцию: понятие товара охватывает электроэнергию, программное обеспечение и файл цифрового изготовления (digitāla izgatavošanas datne), а «связанная услуга» — цифровой сервис, без которого товар не может работать; при оценке недостатка учитываются требования кибербезопасности и способность товара обучаться после выхода на рынок. Отвечают производитель, изготовитель компонента, импортёр, поставщик услуг фулфилмента и дистрибьютор; пострадавший вправе требовать возмещения вреда жизни, здоровью, имуществу и за уничтоженные персональные данные, но не за сам дефектный товар. Закон не касается ядерного ущерба и бесплатного открытого ПО.

Law Implementing Regulation (EU) 2024/1689 of the European Parliament and of the Council of June 13, 2024 Laying Down Harmonised Rules on Artificial Intelligence and Amending...

Распределяет полномочия по применению Регламента (ЕС) 2024/1689 внутри Германии. Федеральное сетевое агентство становится органом надзора за рынком и единой точкой контакта, ведёт реестр высокорисковых систем по п. 2 приложения III, содержит регуляторную песочницу для ИИ и принимает жалобы граждан. Свои участки достаются BaFin, BSI, уполномоченному по защите данных и Федеральному институту охраны труда. Закон описывает производство по административным штрафам и взаимодействие ведомств, но новых обязанностей для бизнеса не вводит — они идут прямо из регламента, применимого со 2 августа 2026 года. Администрации это стоит около 49 млн евро в год.

S. 3315, Health Care Cybersecurity and Resiliency Act of 2026

Частные организации сферы здравоохранения обяжут применять минимальный набор мер кибербезопасности, в том числе многофакторную аутентификацию. Министерство здравоохранения и социальных служб уточняет стандарты, при соблюдении которых штраф за нарушение приватности и защиты медицинских сведений смягчается, раз в два года обновляет план киберзащиты для собственного персонала, обучает кадры, консультирует сельские учреждения и назначает одного ответственного за координацию этой работы. Вместе с Агентством по кибербезопасности и защите инфраструктуры (CISA) готовится совместный план реагирования на крупные инциденты. Уведомляя пациентов об утечке медицинских данных, поставщики услуг и страховые планы обязаны указывать число пострадавших.

Notice of the People's Bank of China, National Administration of Financial Regulation and China Securities Regulatory Commission on Public Solicitation of Opinions on the...

Документ устанавливает требования к финансовым организациям по управлению киберрисками, защите данных и личной информации. Финансовые организации обязаны создать систему ответственности за безопасность, проводить оценку рисков не реже раза в год и иметь планы реагирования на инциденты. Для ключевых инфраструктур вводятся особые правила назначения ответственных лиц и проверки цепочки поставок. Акт регулирует обмен информацией между регуляторами и обязывает организации содействовать госорганам. За нарушения предусмотрены санкции вплоть до передачи материалов в правоохранительные органы.

Notice of the Cyberspace Administration of China on Public Solicitation of Opinions Again on the “Administrative Measures for Internet Information Services (Revised Draft for Comment)”

Управление по киберпространству КНР повторно вынесло на общественное обсуждение пересмотренный проект правил об управлении интернет-информационными услугами. Проект устанавливает требования к созданию и работе провайдеров услуг, включая лицензирование, использование сетей, безопасность, верификацию личности пользователей, модерацию контента и отчётность; вводит отдельную главу о платформах с обязанностями по правилам платформ, борьбе с сетевым насилием и учёту влиятельных аккаунтов, а также специальные положения об интеллектуальных информационных сервисах (идентификация ИИ-контента, алгоритмические рекомендации). За нарушения предусмотрены административные, гражданские и уголовные санкции, ведение реестра серьёзно недобросовестных субъектов и ограничения в доступе к услугам. Сбор замечаний — до 2 августа 2026 года.

GREAT NATIONAL ASSEMBLY OF TURKEY

Пакет поправок к десятку законов задевает и интернет-регулирование: медиасервисы с условным доступом и операторы интернет-платформ будут отчислять долю годовой чистой выручки в оборотный фонд Министерства культуры и туризма на поддержку кино, а право определять стратегию и политику по доменным именам переходит Управлению кибербезопасности, которое в не терпящих отлагательства случаях по основаниям статьи 22 Конституции назначает меры по запросу органов безопасности и разведки или по своей инициативе. Штрафы юридическим лицам в авиации вырастут впятеро, минимальная пенсия с июля 2026 года — 23 552 лиры. Принят как закон № 7590.

General Court of the EU, Case T-173/25: TESTA-ng III network procurement via negotiated procedure without a published notice

Проигравший оператор связи требовал отменить решение Комиссии от 16 декабря 2024 года о передаче Deutsche Telekom контракта DIGIT/2023/NP/0017 на защищённую межведомственную сеть TESTA-ng III по переговорной процедуре без публикации извещения. Суд иск отклонил: условия ст. 164(5)(f) Финансового регламента (ЕС, Евратом) 2018/1046 и п. 11.1(c) приложения I соблюдены — крайняя срочность вызвана непредвиденными и не зависящими от заказчика событиями: тремя определениями о запрете подписывать контракт и отменой конкурса 2019 года. Раз отступление прямо разрешено, публиковать извещение и приглашать других не нужно, значит прозрачность и равное обращение не нарушены.

H.R. 7266, Rural and Municipal Utility Cybersecurity Act

Программу грантов и технической помощи по кибербезопасности для сельских кооперативов, муниципальных и небольших частных энергокомпаний (продающих менее 4 млн МВт·ч в год) продлевают с ассигнованием 250 млн долларов на 2026–2030 финансовые годы. Минэнерго сможет распределять помощь не только на конкурсной, но и на внеконкурсной основе, обязано выработать критерии отбора. Приоритет получают те, у кого мало собственных ресурсов, кто владеет активами, критичными для надёжности энергосистемы, либо владеет или эксплуатирует оборонно-критическую электроинфраструктуру. Сведения, которыми обмениваются в программе, считаются переданными добровольно и не выдаются по FOIA и аналогичным законам штатов и муниципалитетов.

H.R. 7258, Energy Emergency Leadership Act

Министр энергетики обязан закрепить за помощниками министра новую группу функций — энергетическую безопасность и чрезвычайные ситуации: защиту и устойчивость энергетической инфраструктуры, новые угрозы, кибербезопасность, снабжение, планирование, реагирование и восстановление. По запросу штата, местных или племенных властей либо компании отрасли ведомство оказывает техническую помощь в предупреждении, обнаружении и отражении угроз энергобезопасности. Новый пункт (12) добавляется в § 203(a) Закона об организации Министерства энергетики (42 U.S.C. 7133(a)); работу министр ведёт во взаимодействии с профильными федеральными органами.

Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation (Europol), amending Regulation (EU)...

Отменяет Регламент (ЕС) 2016/794 и переучреждает Европол как информационный, оперативный и технологический хаб: агентство сводит разрозненные сведения о трансграничной преступности, раньше подключается к расследованиям государств-членов и даёт им технические возможности, недоступные поодиночке. Приложение 1 перечисляет составы, по которым Европол компетентен, — от терроризма и отмывания денег до компьютерных преступлений и нарушения ограничительных мер ЕС. Приложение 2 очерчивает категории лиц, чьи данные допустимо обрабатывать: подозреваемые, свидетели, потерпевшие, контакты и связи; при переводе в другую категорию лишние данные удаляются. Правки вносятся в Регламенты (ЕС) 2018/1726 и 2024/982.

9-8-8 Lifeline Cybersecurity Responsibility Act

Закон обязывает Администрацию по вопросам злоупотребления психоактивными веществами и психического здоровья защищать линию помощи 9-8-8 от киберугроз. Администратор сети должен сообщать в SAMHSA о выявленных инцидентах и уязвимостях, а местные кризисные центры — администратору сети; срок уведомления составляет 24 часа с соблюдением требований конфиденциальности. GAO проводит оценку рисков и уязвимостей линии и докладывает Конгрессу. Требования дополняют существующие нормы отчётности.

Directive on the European Investigation Order in criminal matters and the European Remote Participation Order (recast)

Переписывает Директиву 2014/41/ЕС и добавляет к следственному ордеру новый ордер на дистанционное участие. Уточняет, когда полученные доказательства можно использовать в другом деле и передавать дальше, что считать «телекоммуникациями» при перехвате без техпомощи другого государства, кто выступает выдающим органом и как получить согласие на использование ранее переданных полицейских сведений как доказательств. Допускает предварительное исполнение перехвата, контролируемых поставок и трансграничного наблюдения, разграничивая его со статьёй 40 Шенгенской конвенции. Подозреваемым, обвиняемым и потерпевшим открывается участие в заседании по видеосвязи из другой страны Союза.

PL 3254/2026 - Institutes Open Asset Brazil.

Создаётся национальный контур обмена данными и событиями об активах и правах требования: поднадзорные регуляторам инфраструктуры переходят на общие стандарты проверки принадлежности актива, его доступности и обременений. Единого государственного реестра не появляется. В охват входят дебиторская задолженность, ценные бумаги и долговые инструменты с их обеспечением, права на выкуп. Для классов активов, значимых по системному риску или концентрации рынка, участие обязательно, для прочих добровольно. Управляющая структура ведёт только технические стандарты и санкций не налагает; надзор остаётся за Центральным банком и Комиссией по ценным бумагам, обработка данных подчиняется LGPD.

Draft Law to Strengthen Cybersecurity

Расширяет полномочия Федерального ведомства по безопасности в информационной технике (BSI) и федеральной полиции. BSI сможет предписывать перенаправление вредоносного трафика не только операторам связи, но и другим центральным поставщикам услуг, реагировать на вредоносные домены и посылать группы реагирования при заранее заложенных бэкдорах (prepositioning); поставщиков цифровых услуг обяжут передавать клиентам его предупреждения. Федеральное управление уголовной полиции и федеральная полиция смогут запрещать работу ИТ-систем, перенаправлять и блокировать трафик, считывать, удалять и менять данные в системах, откуда исходит угроза по §§ 202a–202d, 263a, 303a и 303b УК ФРГ. Бизнесу это стоит около 10 млн евро в год.

Legislation · Switzerland · June 19, 2026

Аэропорты и авиакомпании получат право сверять личность пассажиров и персонала с ранее собранными биометрическими данными (распознавание лиц) при контроле доступа. Проверки благонадёжности охватят больше категорий работников, впервые — сферу кибербезопасности, по новым требованиям ЕС. Аудиторские и инспекционные отчёты Федерального управления гражданской авиации, сообщения пилотов о происшествиях и материалы бюро расследований выводятся из-под закона о гласности ради «культуры добросовестности» (Just Culture). Дела об авиапроисшествиях передаются Прокуратуре Конфедерации, возрастной потолок вертолётных пилотов поднят до 65 лет, режим работы аэропортов Цюриха и Женевы закрепляется законом.

Notice of the Cyberspace Administration of China on Public Consultation on the Draft Provisions on Promoting Interoperable and Mutually Recognized Application of Distributed...

Управление по киберпространству КНР вынесло на общественное обсуждение проект правил применения распределённых цифровых удостоверений (DID) на базе блокчейна. Документ определяет понятия DID, национальной блокчейн-сети, цепочки идентификации и ролей участников; устанавливает порядок регистрации с верификацией через уполномоченные органы для граждан, организаций, устройств и нерезидентов, а также выпуск и проверку проверяемых учётных данных. Регулируются подключение к цепочке, стандарты криптографии, добровольность использования, выборочное раскрытие сведений и хранение важных данных в Китае; для лиц младше 14 лет требуется согласие родителей. Проект поощряет отраслевые сценарии — от финансов и налогов до транспорта и таможни — и вводит обязанности операторов цепочки, органов верификации, поставщиков услуг и эмитентов.

Measures for the Assessment of Network Data Security Risks

Документ устанавливает порядок оценки рисков безопасности сетевых данных в Китае. Важные обработчики данных обязаны проводить оценку ежегодно и направлять отчёт регулятору в течение 20 рабочих дней, а при существенных изменениях — внепланово; отчёты хранятся не менее трёх лет. Оценку можно выполнять самостоятельно или через аккредитованную организацию, которой запрещено субподрядить работу и повторно проверять одного клиента более двух лет подряд. За невыполнение предусмотрены меры вплоть до приостановки обработки важных данных.

H.R. 8880, Small Business Cybersecurity Assistance Evaluation Act of 2026

Счётной палате (GAO) поручают изучить федеральные программы, ресурсы и сервисы, помогающие малым предприятиям выявлять киберриски, оценивать готовность к ним, планировать защиту и восстановление после атак, социальной инженерии и мошенничества, а также искать на это финансирование. В отчёт войдут самые частые атаки на малый бизнес, перечень таких программ, оценка осведомлённости о них и причин разной востребованности, их согласованность и результативность, пробелы в базовых понятиях кибербезопасности и рекомендации по улучшению. Результаты уходят в комитеты по малому бизнесу обеих палат; дополнительных ассигнований закон не требует.

H.R. 2659, Strengthening Cyber Resilience Against State-Sponsored Threats Act

В течение 120 дней после вступления закона в силу Министерство внутренней безопасности через CISA создаёт межведомственную рабочую группу по противодействию поддерживаемым государством киберакторам КНР, включая Volt Typhoon. Председательствует директор CISA, заместителем идёт директор ФБР; в состав входят представители отраслевых агентств по управлению рисками из меморандума NSM-22. Ведомства обязаны передавать группе аналитику, проверки и аудиты; к секретным сведениям допускают только при наличии допуска. Первый доклад Конгрессу — через 540 дней, далее ежегодно пять лет, с закрытым брифингом в течение 30 дней; несекретное резюме публикуется на сайте министерства.

C-8 , 45th Parliament, 1st session Monday, May 26, 2025, to present

Получил королевскую санкцию 15 июня 2026 года и вошёл в Свод законов Канады 2026 года как глава 9. Сам текст норм о кибербезопасности на странице не приводится — дан только ход рассмотрения: внесение 18 июня 2025 года, второе чтение и передача в Постоянный комитет по общественной безопасности и национальной безопасности, доклад с поправками 11 марта 2026 года, третье чтение 26 марта 2026 года, прохождение Сената без поправок. Из сопутствующих материалов упомянуты заявление о соответствии Хартии и требование уполномоченного по вопросам приватности усилить контроль за полномочиями кабинета министров.