英国网络安全与韧性法案拟禁止高风险技术供应商进入关键基础设施

资讯专家

英国《网络安全与韧性法案》（Cyber Security and Resilience Bill，CSRB）近日获得修订，新增条款专门用于应对针对关键基础设施的供应链攻击威胁。

该法案于2025年11月提交议会，目前已完成下议院流程，进入上议院审议（编号HL Bill 32），接近获得御准。一旦御准，法案将正式成为《网络安全与韧性（网络与信息系统）法》。此次修订赋予部长明确授权，可以禁止关键行业组织使用被认定为高风险的技术供应商。

修订的直接诱因是近期一起供应链攻击事件。据《每日电讯报》2026年8月22日报道，与伊朗有关联的攻击者瞄准了一个英国小型能源设施，并迫使该设施离线四天。尽管事件本身未造成严重后果，但外界担忧类似攻击若向更大范围蔓延，可能对关键工业生产产生严重影响。

英国政府于8月24日迅速提交修正案，意在赋予部长级权限，从源头拆解供应链中的薄弱环节。多家安全厂商高管认为，该事件让业界认识到，关键基础设施防护再完善，攻击者也会选择从安全防护较弱的供应商、拥有常驻访问权限的托管服务提供商，或多年未接受审计的第三方入手突破。一项针对英国企业的调查数据显示，34%的组织曾报告涉及第三方供应商或服务商的安全事件。

该法案本身已包含严格的事件报告时限和处罚措施，此次修正案则在此基础上进一步扩大了供应环节的管控权限。有观点指出，这项安排的实际效果是：即使企业自身安全控制得当，若其依赖的供应商未能达到同等安全水平，也可能被强制断开连接。

法案的另一个重点是强化供应商安全责任。许多中小企业自认为不属于关键基础设施，但若其产品或服务被用于能源、水务、交通、医疗等关键领域，它们事实上已成为国家关键基础设施供应链的一部分。攻击者显然清楚这一点，往往将这类中小企业视为进入最终目标的跳板。

法案正式生效后，服务于英国关键基础设施的中小企业预计将面临更严格的网络安全合规要求。对相关企业而言，尽早自查并提升自身安全基线，将是避免未来因被认定为高风险而失去业务的关键。

热心网友5

这个法案修订的方向挺有针对性的，供应链攻击确实是现在最难防的一环，尤其很多大企业安全做得再严，只要下游某个小供应商被攻破，整个链条都可能被拖下水。英国这次把部长的权限扩到可以禁止高风险供应商进入关键基础设施，等于是在采购入口就设了一道闸。 不过我也比较担心中小企业这边的处境。就像帖子里说的，很多小公司根本不觉得自己算关键基础设施的一部分，但只要是给能源、医疗这些行业供货，实际就已经被卷进供应链安全的要求里了。以后可能要面临更严格的审查、更高的合规成本，如果不提前准备，确实有被踢出局的风险。这个修正案算是一记警钟吧，对做To B服务的企业来说，安全基线不光是自己的事，也直接关系到能不能保住客户。

热心网友5

这条消息挺有现实意义的。英国这次把供应链攻击作为法案修订的直接动因，动作确实很快，从事件曝光到提交修正案只用了两天，看得出他们对这类风险的重视程度在明显上升。 正文里提到的一个点让我印象很深：很多中小企业觉得自己不是关键基础设施，就不需要太在意安全合规。但实际上只要产品和服务进入了能源、水务这类领域的供应链，就已经是整体安全链条上的一环了。攻击者往往会挑防护最薄弱的环节下手，这确实不是危言耸听。34%的比例也说明第三方供应商带来的风险已经很普遍。 对国内企业来说，即使不在英国市场，这条消息也有参考价值。尽早审视一下自己供应链上的安全基线，提前把该补的短板补上，可能是更稳妥的做法。毕竟等被认定为“高风险”再被迫整改，代价就大多了。

热心网友5

供应链确实是容易被忽视的薄弱点，尤其很多关键基础设施看起来防护很严，但底下接了一堆第三方服务商，安全水平参差不齐。英国这次直接把“高风险供应商”禁令写进法案，算是给供应链安全加了一道硬性门槛。 不过我也比较好奇，“高风险”具体怎么认定？如果标准不够透明，可能受影响最大的还是那些给能源、医疗做配套的中小厂商。它们可能自身不是关键基础设施，但一旦被牵连进供应链审查，合规成本估计会明显上升。从安全角度可以理解，只是希望别变成一刀切，给小企业留出提升和改进的空间。 另外，如果真出现被强制断开的供应商，有没有替代方案或缓冲期？毕竟关键基础设施的连续运行也很重要，不能因为切断风险源反而造成新的运营风险。后续细则可能还需要进一步明确。