Anh quốc tranh luận về trách nhiệm cá nhân của lãnh đạo trong dự luật an ninh mạng
"UK peers debated the Cyber Security and Resilience Bill, focusing on whether senior executives should face personal civil liability when security failures occur through consent, connivance, or neglect. The government opposed that change, instead citing proposed board-level governance requirements and maximum fines of £17 million or 4% of annual turnover, with reporting rules requiring an initial notice within 24 hours and a fuller report within 72 hours."
Tăng áp lực tuân thủ với báo cáo sự cố 24/72 giờ và khả năng mở rộng trách nhiệm quản trị ở cấp lãnh đạo; doanh nghiệp cần chuẩn bị quy trình phản ứng và lưu vết đầy đủ.
Có thể làm tăng chi phí tuân thủ và khối lượng báo cáo, nhưng cũng thúc đẩy quản trị rủi ro rõ ràng hơn ở cấp hội đồng quản trị.
Các nghị sĩ Anh đã thảo luận về Cyber Security and Resilience Bill, tập trung vào câu hỏi liệu senior executives có nên chịu trách nhiệm dân sự cá nhân khi vi phạm an ninh xảy ra do consent, connivance hoặc neglect hay không. Một số đề xuất muốn đưa trách nhiệm này lên cấp board-level governance để thúc đẩy thay đổi từ cấp lãnh đạo.
Chính phủ cho rằng cơ chế hiện tại đã đủ mạnh với mức phạt tối đa £17 million hoặc 4% doanh thu hằng năm, cùng các yêu cầu quản trị an ninh và khả năng phục hồi sẽ được ban hành bằng secondary legislation. Theo kế hoạch, các tổ chức thuộc phạm vi điều chỉnh phải gửi thông báo ban đầu trong 24 giờ và báo cáo đầy đủ trong 72 giờ sau sự cố.
Một số nghị sĩ lo ngại định nghĩa sự cố quá rộng có thể làm tăng gánh nặng báo cáo và khiến cơ quan quản lý quá tải. Dự luật cũng được so sánh với EU NIS2 directive, vốn có các yêu cầu về trách nhiệm của quản lý cấp cao nhưng cách triển khai khác nhau giữa các nước.
Khuyến nghị cho doanh nghiệp là rà soát cơ chế leo thang sự cố, phân định rõ trách nhiệm của hội đồng quản trị, và chuẩn bị quy trình thu thập bằng chứng để đáp ứng các mốc báo cáo ngắn.