Уведомления о кибератаках в Швейцарии и CRA: разные обязанности операторов и производителей продуктов

Что это

Состояние на 25 октября 2026 года. Швейцарский Закон об информационной безопасности (ISA) и постановление о кибербезопасности устанавливают обязанность уведомлять о кибератаках для операторов критической инфраструктуры, подпадающих под их действие; она действует с 1 апреля 2025 года. При ведении плана трансграничных уведомлений заново проверяйте актуальную сферу действия и исключения в Швейцарии, инструкции ведомства по уведомлениям и рекомендации по CRA. Страница швейцарского ведомства о правовых основаниях.

Получатель в Швейцарии — Федеральное ведомство по кибербезопасности, BACS; в его англоязычных рекомендациях используется название National Cyber Security Centre (NCSC). CRA, в свою очередь, касается подпадающих под него продуктов, предоставляемых на рынке ЕС. Его обязанности производителей по уведомлению действуют с 11 сентября 2026 года. Нахождение в Швейцарии не выводит производителя из-под этих правил рынка продуктов: статья 14(7) прямо предусматривает порядок выбора получателя для производителей без основного места деятельности в ЕС. Регламент, статьи 2 и 14.

Почему это важно

Следующее сравнение разграничивает роли, описанные двумя режимами:

Вопрос	Уведомления по швейцарскому ISA	Уведомления производителей по CRA
На кого распространяется?	Операторы, подпадающие под установленную законом сферу действия с учётом исключений постановления	Производители подпадающих под регламент продуктов, поставляемых на рынок ЕС
Что служит основанием для оценки?	Кибератака, отвечающая установленным критериям, на охваченную инфраструктуру	Активная эксплуатация уязвимости продукта или серьёзный инцидент безопасности продукта
Первый срок	В течение 24 часов после обнаружения	Без промедления, не позднее чем через 24 часа с момента получения сведений
Получатель и канал	NCSC через опубликованные им каналы уведомления	Координирующая CSIRT и ENISA через SRP

Эти различия следуют из швейцарского FAQ и рекомендаций Еврокомиссии по уведомлениям. Поэтому роли компании как оператора и производителя требуют отдельной оценки, даже если одно событие даёт свидетельства, относящиеся к обеим.

Как применять

• Проверьте сферу действия швейцарских правил, прежде чем полагаться на отраслевую принадлежность. ISA определяет охваченные органы власти и организации; постановление предусматривает исключения. Швейцарский FAQ говорит, что NCSC может выдать организации официальное решение о том, распространяется ли на неё обязанность. Не превращайте общий отраслевой пример в окончательную классификацию.
• Примените швейцарские критерии атаки. Ведомство перечисляет угрозы работоспособности критической инфраструктуры, изменение или утечку информации, атаки, остававшиеся незамеченными в течение длительного времени, а также шантаж, угрозы или принуждение. Само по себе обнаружение слабого места в ПО не равнозначно кибератаке, отвечающей этим критериям.
• Зафиксируйте швейцарское уведомление и дополните его. Ведомство требует первоначальный отчёт в течение 24 часов, даже если сведения неполны. Процедура даёт 14 дней после первоначальной подачи на дополнение отчёта; FAQ уточняет, что речь о календарных днях. Форму уведомления предоставляет Cyber Security Hub; ведомство также описывает альтернативную подачу по шаблону электронной почты. Швейцарская процедура уведомления.
• Независимо оцените обязанность по продуктам в ЕС. Швейцарский производитель, поставляющий подпадающий под регламент продукт, должен применять основания статьи 14. Если у него нет основного места деятельности в ЕС, установленный законом порядок рассматривает уполномоченного представителя, импортёра, дистрибьютора, затем пользователей, используя наибольшее соответствующее число продуктов или пользователей в рамках каждого применимого критерия. Сохраните обоснование выбора координирующей CSIRT.
• Ведите отдельный отсчёт сроков и храните подтверждения. На практике удобно связать обе оценки необходимости уведомления с одними свидетельствами, но отдельно сохранять каждого получателя, подачу, срок и последующие действия. Уведомления по CRA также имеют 72-часовой этап и разные точки отсчёта итоговых отчётов для уязвимостей и инцидентов; швейцарский срок дополнения отчёта не может их заменить.

Подводные камни

Не следует считать, что подтверждение подачи швейцарского уведомления означает выполнение обязанности уведомить по CRA. Приведённые правила устанавливают разные основания и получателей. Аналогично, не считайте любое швейцарское предприятие критической инфраструктурой или любой внутренний ИТ-инцидент серьёзным инцидентом продукта. На приведённых страницах швейцарских рекомендаций не указана дата редакции; перед повторным использованием проверьте их актуальную формулировку, а также решение, относящееся к конкретной организации, если оно есть.