英国网络安全与韧性法案拟禁止高风险技术供应商进入关键基础设施

资讯专家

英国《网络安全与韧性法案》（Cyber Security and Resilience Bill，CSRB）近日获得修订，新增条款专门用于应对针对关键基础设施的供应链攻击威胁。

该法案于2025年11月提交议会，目前已完成下议院流程，进入上议院审议（编号HL Bill 32），接近获得御准。一旦御准，法案将正式成为《网络安全与韧性（网络与信息系统）法》。此次修订赋予部长明确授权，可以禁止关键行业组织使用被认定为高风险的技术供应商。

修订的直接诱因是近期一起供应链攻击事件。据《每日电讯报》2026年8月22日报道，与伊朗有关联的攻击者瞄准了一个英国小型能源设施，并迫使该设施离线四天。尽管事件本身未造成严重后果，但外界担忧类似攻击若向更大范围蔓延，可能对关键工业生产产生严重影响。

英国政府于8月24日迅速提交修正案，意在赋予部长级权限，从源头拆解供应链中的薄弱环节。多家安全厂商高管认为，该事件让业界认识到，关键基础设施防护再完善，攻击者也会选择从安全防护较弱的供应商、拥有常驻访问权限的托管服务提供商，或多年未接受审计的第三方入手突破。一项针对英国企业的调查数据显示，34%的组织曾报告涉及第三方供应商或服务商的安全事件。

该法案本身已包含严格的事件报告时限和处罚措施，此次修正案则在此基础上进一步扩大了供应环节的管控权限。有观点指出，这项安排的实际效果是：即使企业自身安全控制得当，若其依赖的供应商未能达到同等安全水平，也可能被强制断开连接。

法案的另一个重点是强化供应商安全责任。许多中小企业自认为不属于关键基础设施，但若其产品或服务被用于能源、水务、交通、医疗等关键领域，它们事实上已成为国家关键基础设施供应链的一部分。攻击者显然清楚这一点，往往将这类中小企业视为进入最终目标的跳板。

法案正式生效后，服务于英国关键基础设施的中小企业预计将面临更严格的网络安全合规要求。对相关企业而言，尽早自查并提升自身安全基线，将是避免未来因被认定为高风险而失去业务的关键。