Кто-то говорит, что отчеты CIRCIA начинаются сейчас. Сначала проверьте статус правила
Разделите статут 2022 года, предлагаемое правило 2024 года и уведомления о нормотворчестве CISA 2026 года, прежде чем рассматривать 72-часовой или 24-часовой разговор как эффективную обязанность по отчетности.
Сигналы для наблюдения
- Оператор критической инфраструктуры запрашивает проект внедрения CIRCIA, но ссылается только на NPRM 2024 года.
- В сообщении говорится, что действуют 72-часовые или 24-часовые часы CIRCIA, без указания публикации окончательного правила и даты вступления в силу.
- В уведомлении мэрии CISA 2026 года содержатся вопросы по объему или нагрузке, которые могут изменить окончательное правило.
По состоянию на 14 августа 2026 года в официальной записи, проверенной для этой статьи, не было действующего окончательного правила CIRCIA. Федеральный реестр классифицирует документ CISA от 4 апреля 2024 года как предлагаемое правило. В уведомлении от 26 мая 2026 года по-прежнему содержалось ограниченное количество дополнительных предложений по уточнению объема и нагрузки этого предложения. Таким образом, часто повторяющиеся 72-часовые инциденты и 24-часовые периоды выплаты выкупа относятся к предложению, а не к уведомлению о дате вступления в силу окончательного правила.
Для платформы отчетности о киберинцидентах или директора по продажам поставщика консультационных услуг, наблюдающего за авторизованной критической инфраструктурой, Центром обмена информацией и анализа (ISAC) и группами CISO Telegram, этот статус меняет первый ответ. Сообщение о том, что «CIRCIA начинается в этом квартале», требует проверки источника, прежде чем оно станет проектом с крайним сроком. Пропуск этого соглашения на один день все равно может стоить семинара по требованиям, но изобретение даты вступления в силу может привести к неправильному охвату всего соглашения.
Текущее мероприятие — это продолжение нормотворчества, а не запуск окончательных правил.
CIRCIA — это Закон об отчетности о киберинцидентах в критической инфраструктуре от 2022 года. Этот закон предписывал Агентству по кибербезопасности и безопасности инфраструктуры (CISA) издать правила для охватываемых киберинцидентов и отчетности о выплате выкупа от затрагиваемых организаций.
4 апреля 2024 года CISA опубликовал CIRCIA Требования к отчетности NPRM. NPRM означает «Уведомление о предлагаемом нормотворчестве»: в нем представлен предлагаемый нормативный текст и содержится запрос на комментарии; это не последнее правило.
В документе Уведомление Федерального реестра от 26 мая 2026 г. описаны пересмотренные ратуши, которые дадут заинтересованным сторонам еще одну ограниченную возможность прокомментировать уточнение объема и нагрузки NPRM 2024 года. Это более позднее уведомление является убедительным свидетельством продолжающегося нормотворчества. Это не уведомление о дате вступления в силу.
Поместите каждое заявление о сроке в карточку статуса источника.
Используйте пять полей:
- Закон Орган:, предлагаемое правило, окончательное правило, правило сектора, закон штата, правило или контракт SEC;
- Статус документа: принят, предложен, окончателен, остановлен, изменен или вступил в силу;
- Охваченный актер и событие: кто сообщает и по какому факту запускает часы;
- Период времени: номер и единица измерения, в том числе при начале отсчета; и
- На сегодняшний день: дата последней проверки официального источника.
Эта карточка состояния источника является оригинальным вкладом статьи. Это предотвращает привязку правильного номера к предложению с неправильным юридическим статусом.
В этой статье на карточке написано: Закон CIRCIA, принятый в 2022 году; реализация NPRM, опубликованная 4 апреля 2024 г.; дополнительные предложения по нормотворчеству будут объявлены в 2026 году; В проверенной записи Федерального реестра по состоянию на 14 августа 2026 года окончательного правила не обнаружено.
Сохраните 72-часовые и 24-часовые значения в столбце предложения.
NPRM 2024 года предлагал сообщить CISA в течение 72 часов после того, как застрахованная организация обоснованно полагает, что произошел охватываемый киберинцидент, и в течение 24 часов после выплаты выкупа. Он также предложил предоставлять дополнительную отчетность в случае появления существенной новой или иной информации.
Эти цифры имеют значение для архитектуры продукта и планирования сценариев. Платформе отчетности может потребоваться время события, время предположения или определения, владелец юридического лица, время оплаты, статус подачи и последующая история дополнений. Но требование, помеченное предложением, не должно продаваться как действующий крайний срок CIRCIA.
Окончательное окончательное правило может изменить определения, область охвата объекта, исключения, содержимое отчета, детали процесса или нагрузку. Окончательный документ и его положения, вступившие в силу, необходимо прочитать после публикации.
Пример: 72-часовой запрос принадлежит другому режиму.
Рассмотрим этот иллюстративный составной диалог, а не реальный разговор с клиентом:
“Операция хочет, чтобы рабочий процесс CIRCIA был запущен до сентября. Они сказали 72 часа”.
“Мы общественная транспортная дочерняя компания. Юридический отдел также упомянул SEC, не знаю, какие часы.”
В ходе обсуждения указывается месяц, предлагаемый номер CIRCIA, статус публичной компании и транспортная дочерняя компания. Он не идентифицирует инцидент, решение о существенности, соответствующее правило перевозки, затрагиваемую организацию, выплату выкупа, контракт или официальную цитату.
Карточка состояния источника должна разделить запрос:
- CIRCIA: статус предложения на дату проверки; Определения охватываемых объектов и инцидентов еще не окончательны.
- SEC: отдельный анализ раскрытия информации публичными компаниями со своим собственным триггером и временем.
- Транспорт: возможные отраслевые обязательства, требующие конкретного оператора и правил.
- Договор: любой срок уведомления клиента или страховщика, который может быть более коротким и независимым.
Коммерческая потребность может быть реальной — команда может законно хотеть, чтобы одна запись об инциденте направлялась на несколько часов, определенных правилами. Фраза «CIRCIA активна» по-прежнему не поддерживается.
Отсутствие окончательного правила CIRCIA не означает «отсутствие отчетности».
У организаций уже могут быть обязанности по уведомлению о происшествиях в соответствии с отраслевыми правилами, законами штата о нарушениях, правилами раскрытия информации SEC, государственными контрактами, условиями страхования или соглашениями с клиентами. CISA также принимает добровольную отчетность. Эти маршруты не следует переименовывать в CIRCIA, чтобы проект выглядел актуальным.
Более безопасным вариантом является запись инцидентов с учетом правил: сохраните наблюдаемые факты один раз, а затем позвольте уполномоченным юридическим лицам и ответственным за соблюдение требований сопоставить их с каждым применимым триггером. Поставщик платформы никогда не должен обещать, что одно общее поле серьезности будет определять существенность, охват или отчетность по режимам.
Отдельный пример восстановления официального источника раскрытия информации см. в SEC Руководство по раскрытию информации об инцидентах. лестница из официального источника объясняет, почему скриншот или репост не могут заменить текущий основной документ.
Что посмотреть дальше
Статусная карта меняется только тогда, когда ее меняет официальное событие. Следите за документом Федерального реестра, определенным как окончательное правило, окончательным нормативным текстом, датой вступления в силу, датами поэтапного соответствия и обновленным руководством по внедрению CISA. Запишите точные даты публикации и доступа.
TOP Prospect может обнаруживать ссылки на эти события из групп Telegram, к которым пользователь намеренно подключается и имеет право доступа, сохранять источники и время сообщений, объединять повторные упоминания и ранжировать их для просмотра. Он не может объявить правило эффективным, интерпретировать освещение событий, подать отчет об инциденте или связаться с автором сообщения. Цены и варианты доступа касается раскрытия информации, а не юридической отчетности.
Ключевые факты
- CIRCIA был принят в 2022 году и предписывает CISA внедрить охватываемую отчетность о киберинцидентах и выплатах выкупа в соответствии с правилами.
- Документ Федерального реестра от 4 апреля 2024 года помечен как предлагаемое правило.
- Предлагаемые сроки составляют 72 часа для покрытого киберинцидента и 24 часа для выплаты выкупа.
- В уведомлении от 26 мая 2026 года продолжился вклад заинтересованных сторон в уточнение объема и нагрузки NPRM.
- В официальных источниках, проверенных 14 августа 2026 года, не было опубликованного окончательного правила CIRCIA.
- Другие обязанности по сообщению о происшествиях и раскрытию информации могут применяться независимо.
- Возможное окончательное правило и его текст с датой вступления в силу, а не групповое сообщение, изменят карточку состояния.
FAQ
Было ли окончательное правило CIRCIA опубликовано к 14 августа 2026 года?
В материалах Федерального реестра, проверенных 14 августа 2026 года, документ CIRCIA от 4 апреля 2024 года был показан в качестве предлагаемого правила, а в уведомлениях 2026 года продолжаются запросы на получение информации по этому NPRM. Эта проверка источника не обнаружила опубликованного окончательного правила CIRCIA.
Являются ли бессмысленными предлагаемые 72-часовой и 24-часовой периоды?
Нет. Это важные проектные предположения из NPRM: 72 часа для покрытого киберинцидента и 24 часа для выплаты выкупа. Их следует называть предложенными до тех пор, пока действующее окончательное правило не установит оперативные требования.
Означает ли отсутствие окончательного правила CIRCIA, что у организации нет обязанностей по информированию об инцидентах?
Нет. Отраслевые правила, раскрытие информации SEC, законы штата, условия договорных уведомлений и добровольная отчетность CISA могут существовать независимо. Каждому требованию нужен свой собственный авторитет и триггер.
Проверка официальных источников начинается со статуса документа.
Начните с типа документа Федерального реестра, даты публикации и текста даты вступления в силу, затем сверьтесь с текущими нормативными материалами CISA и режимом, специфичным для организации.
Напишите дату рядом с крайним сроком. В противном случае предложенная цифра может незаметно превратиться в ложную дату вступления в силу.
Часто задаваемые вопросы
Было ли окончательное правило CIRCIA опубликовано к 14 августа 2026 года?
В материалах Федерального реестра, проверенных 14 августа 2026 года, документ CIRCIA от 4 апреля 2024 года был показан в качестве предлагаемого правила, а в уведомлениях 2026 года по-прежнему требуется информация по этому NPRM. Эта проверка источника не обнаружила опубликованного окончательного правила CIRCIA.
Являются ли бессмысленными предлагаемые 72-часовой и 24-часовой периоды?
Нет. Это важные проектные предположения из NPRM: 72 часа для покрытого киберинцидента и 24 часа для выплаты выкупа. Их следует называть предложенными до тех пор, пока действующее окончательное правило не установит оперативные требования.
Означает ли отсутствие окончательного правила CIRCIA, что у организации нет обязанностей по информированию об инцидентах?
Нет. Отраслевые правила, раскрытие информации SEC, законы штата, условия договорных уведомлений и добровольная отчетность CISA могут существовать независимо. Каждому требованию нужен свой собственный авторитет и триггер.
Какой официальный источник следует проверить в первую очередь?
Начните с типа документа Федерального реестра, даты публикации и текста даты вступления в силу, затем сопоставьте CISA с текущими нормотворческими материалами и режимом, специфичным для организации.
Источники и дополнительное чтение
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.
