В Великобритании хотят заставить разработчиков программ отвечать за последствия кибератак, если причиной взлома стали недостатки их продуктов. Правительство впервые официально допустило пересмотр правил, при которых основные убытки обычно несут покупатели ПО, а не его создатели.
Предложение появилось в бюджете страны на 2026 год, опубликованном 28 октября. Власти намерены провести консультации в 2027 году и выяснить, кто должен нести ответственность за инциденты, связанные с небезопасными технологиями. Пока речь не идёт о принятом законе. Не определены ни будущие санкции, ни критерии, по которым разработчика можно будет признать виновным.
Причины для пересмотра подхода вполне материальны. После атаки на Jaguar Land Rover в 2025 году остановились заводы и пострадали поставщики. Аналитики оценили возможный ущерб британской экономике в 1,9 млрд фунтов. При этом сам факт масштабного взлома не означает, что его вызвала уязвимость стороннего ПО или что конкретный разработчик обязан возместить потери.
Национальный центр кибербезопасности NCSC уже несколько лет призывает менять экономические стимулы. По мнению технического директора центра Олли Уайтхауса, производители умеют создавать защищённые продукты, однако рынок недостаточно вознаграждает за безопасность. Сейчас компании могут продавать программное обеспечение, а расходы на последствия его недостатков ложатся на клиентов.
Британское законодательство уже предъявляет базовые требования к производителям подключённых устройств. С 2024 года закон PSTI, в частности, запрещает слабые пароли по умолчанию и требует раскрывать срок поддержки безопасности. Теперь власти могут рассмотреть расширение регулирования на программные продукты, хотя конкретного решения ещё нет.
Параллельно юридическая комиссия Англии и Уэльса изучает, следует ли считать программное обеспечение и системы ИИ продукцией в рамках закона о защите потребителей 1987 года. Консультации начались 8 октября и завершатся 14 января 2027 года. Среди открытых вопросов остаются компенсации пострадавшим, обязательные стандарты разработки и способы доказать связь между дефектом и взломом.
Евросоюз продвинулся дальше. Его Cyber Resilience Act уже требует уведомлять регуляторов об активно эксплуатируемых уязвимостях, а основные нормы заработают в декабре 2027 года. За серьёзные нарушения предусмотрены штрафы до 15 млн евро или 2,5% мирового годового оборота. В Британии аналогичные меры пока лишь обсуждаются, причём крупные поставщики ПО выступают против дополнительной ответственности.
В бюджете также предусмотрено 154 млн фунтов на киберзащиту. Из них 70 млн направят на центр NERV для поиска уязвимостей с помощью ИИ, ещё 60 млн получит проект Cyber Shield. Отдельные 40 млн выделят подразделению, которое займётся опасными действиями автономных ИИ-агентов. Когда появится проект правил для разработчиков, власти пока не уточняют.
