Нови регулаторни изисквания в Япония, Индия, Сингапур, Австралия и Тайван променят подхода към защитата на индустриалните системи и критичната инфраструктура. Анализ на OT-ISAC показва, че организациите трябва да разграничават действащите задължения от приетите, но все още невлезли в сила мерки, стратегиите и проектите за консултации.

От технически защити към управляем оперативен риск

Азиатско-тихоокеанският регион развива все по-разнообразна рамка за защита на критичната инфраструктура и оперативните технологии (OT), включително системите за индустриално управление (ICS). Според доклада APAC OT/CI Cyber Policy Intelligence Report, актуален към 20 октомври 2026 г., държавите съчетават задължителни технически изисквания, регулаторни проверки и необвързващи стратегически насоки.

Общата посока е към по-голяма отговорност на ръководството, систематична оценка на риска, контрол върху доставчиците, готовност за реакция при инциденти и възстановяване на оперативната дейност. Това означава, че защитата на индустриалните среди вече не се разглежда само като задача на техническите екипи.

OT-ISAC предупреждава, че приложимостта на отделните мерки зависи от държавата, сектора, правния статут на организацията и конкретните системи. Поради това операторите трябва да проверяват първичните нормативни актове и указанията на регулаторите, преди да приемат дадено развитие за задължително изискване.

Япония и Индия: нови базови изисквания за критичните системи

Япония въведе Единните стандарти за мерки за киберсигурност на критичната инфраструктура на 1 октомври 2026 г. Те бяха приети на 31 юли, а секторните указания към тях последваха на 11 септември.

Рамката установява обща основа за различните сектори, като акцентира върху участието на ръководството, управлението на риска в цялата организация и устойчивостта на веригата на доставки. Паралелно с това актуализираният план за защита на критичната инфраструктура насърчава подготовката за инциденти, непрекъснатото подобрение и обмена на информация между държавата и бизнеса.

Това обаче не означава въвеждане на единен набор от нови технически настройки за всички програмируеми логически контролери (PLC) и системи SCADA. Операторите трябва да съпоставят общите изисквания със секторните си задължения и да следят за допълнителни указания от компетентните министерства.

В Индия Централният орган по електроенергетика (CEA) е уведомил Правилата за киберсигурност в електроенергийния сектор от 2026 г. Те обхващат организации, които управляват OT, свързани с обединената електроенергийна система, както и информационни системи, физически или логически свързани с тези OT среди.

Общото влизане в сила е насрочено за 1 април 2027 г., като за отделни разпоредби може да има други срокове. Обхватът включва изключения и прагове за определени мощности при производство и съхранение на електроенергия. Затова приложимостта трябва да се определя според окончателния текст и ролята на конкретните активи, а не само според принадлежността към енергийния сектор.

За засегнатите оператори следващата стъпка е анализ на разликите между текущото състояние и изискванията, съчетан с план за доставчиците, мониторинга, одитите и възстановяването. При OT системите корекциите трябва да се съобразяват с безопасността, възможностите за изпитване и планираните прозорци за поддръжка.

Австралия: задължителни мерки за определени държавни системи

Австралия въведе две различни инициативи, които не бива да се смесват.

Директива PSPF Direction 002-2026 от 29 септември е задължителна за определени федерални държавни структури и системи със специално значение за правителството. До 31 март 2027 г. обхванатите организации трябва да инвентаризират остарелите технологии, да подготвят и поддържат план за управление на свързаните рискове и да документират изпълнението. За системите със специално значение е посочен по-ранен срок за докладване на инвентаризацията – 31 декември 2026 г.

Директивата не представлява общо задължение за всички частни оператори на критична инфраструктура. Когато обхванатите държавни среди включват индустриални системи, може да се наложи въвеждане на компенсиращи мерки и документиране на решенията за поддръжка или подмяна. Това не означава, че остарялото OT оборудване трябва да бъде незабавно актуализирано без оценка на безопасността.

На 15 октомври Австралийската дирекция за сигнали (ASD) представи ASD Essentials – насоки, които разширяват подхода Essential Eight с отделни раздели за корпоративни ИТ, OT и облачни среди. OT разделът разглежда критичните процеси, мрежовите граници, идентичностите, привилегирования достъп, управлението и реакцията при инциденти.

Насоките отчитат ограниченията на индустриалните среди, включително наследеното оборудване, изискванията за наличност и зависимостите между системите. Те обаче са необвързващи и не отменят действащите регулаторни задължения.

Сингапур и Тайван: по-строг надзор и конкретни секторни изисквания

В Сингапур Кодексът за киберсигурност на критичната информационна инфраструктура за 2026 г. беше издаден на 29 юли по силата на Закона за киберсигурността. Той се прилага към определените оператори на критична информационна инфраструктура (CII) и обхваща надзора от страна на управителните органи, устойчивостта, наблюдението на мрежите, откриването на инциденти и ученията.

Особено значение за индустриалните среди има контролът върху взаимосвързаните системи – например връзките между OT, корпоративните услуги за идентификация, дистанционната поддръжка и демилитаризираните зони между ИТ и OT мрежите.

Отделно, парламентът прие на 7 октомври Закона за цифровата инфраструктура. Предвидени са режими за сигурност и устойчивост на големи центрове за данни и облачни доставчици, но към 20 октомври окончателните правила за прилагане, началната дата и лицензионните процедури все още не са потвърдени. Следователно законът не трябва да се представя като вече действащо лицензионно задължение.

В Тайван Министерството на цифровите въпроси публикува на 16 септември базова рамка за защита на системите за управление при доставчици на критична инфраструктура в секторите на комуникациите и радиоразпръскването. Изискванията трябва да влязат в сила на 1 януари 2027 г. и обхващат определени оператори, включително системи, разработени вътрешно или възложени на външни изпълнители.

Когато технически или архитектурни ограничения не позволяват прилагането на дадена мярка, операторите могат да поискат одобрение за алтернативни контроли, подкрепени с доказателства. Това е особено важно за специализирано и наследено оборудване, при което стандартното обновяване може да създаде оперативен риск.

Китай и други регионални инициативи

В Китай ревизираните мерки за надзор и инспекции на киберсигурността, издадени на 6 август, влязоха в сила на 1 октомври 2026 г. Те уреждат онлайн и проверки на място за спазването на съществуващи задължения в областта на киберсигурността, данните и информационната сигурност. Според анализа това е промяна в надзорния и контролния процес, а не нов универсален технически стандарт за PLC и SCADA системи.

Виетнам също развива националната си рамка. Сред новите инструменти са архитектура за национална киберсигурност, индекс за оценка на киберсигурността и проект на стандарт за базови изисквания към сигурността на IoT устройствата. Тези инициативи обаче не създават автоматично общи задължения за всички частни индустриални системи. При проекта за IoT стандарт е необходимо да се изчака окончателното приемане и да се провери реалният обхват.

В Сингапур националната стратегия за киберсигурност за 2026 г. и насоките за миграция към квантово-устойчива криптография също очертават бъдещи приоритети. За определените оператори на CII са посочени етапи за планове за миграция до 31 март 2027 г., включване на квантово-устойчиви изисквания в новите обществени поръчки от 2028 г. и завършване на миграцията до края на 2031 г. За останалите организации са посочени отделни ориентири, които не трябва да се смесват с графика за CII.

Какво трябва да направят операторите сега

Независимо от различията между националните режими, анализът на OT-ISAC очертава няколко практически приоритета:

• Потвърдете приложимостта. Определете кои закони, правила и кодекси важат за организацията, конкретния сектор и съответните активи. Разграничете действащите задължения от бъдещите мерки, стратегиите и проектите за консултации.
• Направете анализ на разликите. Съпоставете текущите контроли с конкретните приложими изисквания и документирайте несъответствията, изключенията и необходимите коригиращи действия.
• Инвентаризирайте OT активите и зависимостите. Включете наследените системи, дистанционния достъп, връзките с корпоративните ИТ среди, облачните услуги и външните доставчици.
• Определете отговорници и срокове. Свържете всяко изискване с отговорен екип, доказателства за изпълнение и план за отстраняване на пропуските.
• Проверете готовността за инциденти и възстановяване. Подгответе процедури, учения и планове за непрекъсваемост, като отчетете безопасността и допустимото прекъсване на индустриалните процеси.
• Управлявайте наследеното оборудване според риска. Оценете поддръжката от производителя, възможностите за актуализация и компенсиращите контроли, без да предприемате промени, които могат да застрашат безопасността или наличността.
• Следете нормативните промени. Назначете отговорни лица за наблюдение на окончателните текстове, подзаконовите актове и указанията на регулаторите, особено когато са обявени конкретни срокове за 2026 и 2027 г.

Регулаторното съответствие става част от оперативната устойчивост

Докладът на OT-ISAC показва, че няма единен модел за защита на индустриалните системи в Азия и Тихоокеанския регион. Някои държави въвеждат задължителни технически и организационни мерки, други засилват надзора, а трети очертават бъдещи приоритети чрез стратегии и проекти.

За операторите основното предизвикателство е да превърнат тези промени в приложими и доказуеми действия, без да смесват правно задължение с препоръка. Ефективният подход изисква не само актуални технически контроли, но и ясна отговорност на ръководството, видимост върху доставчиците, документирани решения и изпитана способност за възстановяване на критичните услуги.