Еврокомиссия предлагает новые правила оценки рисков поставщиков ИКТ — Cyprus Mail
Кипрское издание Cyprus Mail пишет, что Европейская комиссия в январе 2026 года представила план обновления Акта ЕС о кибербезопасности, известного как CSA2. Предложение предусматривает механизм оценки и управления рисками в цепочках поставок информационно-коммуникационных технологий в критически важных секторах на уровне ЕС.
CSA2 должен модернизировать систему добровольной киберсертификации и усилить роль Агентства ЕС по кибербезопасности ENISA. В рамках нового механизма ЕС сможет проводить скоординированные оценки рисков для отдельных цепочек поставок ИКТ, определяя ключевые ИКТ-активы, субъекты угроз, риски, уязвимости и возможные меры реагирования.
Оценка стран и поставщиков
Если такая оценка укажет на серьезный и структурный нетехнический риск со стороны третьей страны, Еврокомиссия сможет провести отдельную оценку этой страны и определить ее как страну, вызывающую обеспокоенность в сфере кибербезопасности. После этого Комиссия сможет определять поставщиков ИКТ-компонентов, связанных с такой страной через место учреждения, контроль или собственность, и включать их в перечень поставщиков с высоким уровнем риска.
Для субъектов, определенных как основные или важные в соответствии с директивой NIS2, это может означать запрет на использование, установку или интеграцию компонентов таких поставщиков в определенные ключевые ИКТ-активы. Также может предусматриваться поэтапный вывод из эксплуатации компонентов, которые уже используются. Отдельные ограничения могут применяться к киберсертификации, государственным закупкам и финансированию ЕС.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Правила для телекоммуникаций
Для телекоммуникационных сетей предлагаются более строгие требования. Компоненты поставщиков, признанных высокорисковыми, должны быть поэтапно выведены из ключевых функций мобильных, фиксированных и спутниковых сетей. По данным материала, срок такого вывода в целом понимается как около трех лет с момента внесения поставщика в опубликованный перечень.
Авторы отмечают, что оценка рисков может учитывать не только технические характеристики продукции, но и место учреждения компании, структуру ее собственности и контроль. Поставщики, включенные в перечень высокорисковых, не смогут получать европейскую киберсертификацию, а действующие сертификаты могут быть отозваны без неоправданной задержки.
По оценке отраслевой ассоциации GSMA, замена оборудования, на которое распространятся ограничения, в мобильных, фиксированных и транспортных сетях Европы может стоить от 30 до 40 млрд евро. GSMA также оценивает возможное повышение цен на оборудование примерно на четверть из-за сокращения конкуренции между поставщиками.
