साइबर सुरक्षा: भारत (2026)
भारत के पास कोई एक समर्पित व्यापक साइबर सुरक्षा कानून नहीं है। दायित्व एक खंड-खंड व्यवस्था पर निर्भर करते हैं: आईटी अधिनियम 2000 (जिसने CERT-In और NCIIPC का निर्माण किया और महत्वपूर्ण-आधारभूत संरचना की सुरक्षा का आधार बनाता है), CERT-In के सभी संस्थाओं पर समान रूप से लागू होने वाले 2022 के बाध्यकारी घटना-रिपोर्टिंग निर्देश, RBI, SEBI और IRDAI से क्षेत्र-विशिष्ट व्यवस्थाएँ, और नए अधिसूचित DPDP ढांचे के तहत उल्लंघन-सूचना दायित्व। प्रस्तावित राष्ट्रीय साइबर सुरक्षा रणनीति को अंतिम रूप नहीं दिया गया है, इसलिए इस व्यवस्था को एक एकीकृत व्यापक कानून के बजाय क्षेत्रीय/पैचवर्क के रूप में वर्णित करना अधिक उचित है।
प्राथमिक ढांचा
सूचना प्रौद्योगिकी अधिनियम, 2000 (विशेष रूप से धाराएँ 70/70A/70B) CERT-In और NCIIPC के साथ; CERT-In के 28 अप्रैल 2022 के निर्देश; क्षेत्र नियामक (RBI, SEBI, IRDAI)। कोई भी एकल NIS2-शैली का व्यापक साइबर सुरक्षा कानून लागू नहीं है; राष्ट्रीय साइबर सुरक्षा रणनीति अभी भी अंतिम रूप से तैयार नहीं हुई है।
मुख्य बिंदु
वैधानिक आधार (आईटी अधिनियम 2000)
सूचना प्रौद्योगिकी अधिनियम, 2000 मुख्य विधान है। धारा 70B CERT-In को राष्ट्रीय नोडल घटना-प्रतिक्रिया एजेंसी के रूप में स्थापित करती है, जबकि धाराएँ 70/70A NCIIPC को महत्वपूर्ण सूचना अवसंरचना की सुरक्षा करने का अधिकार देती हैं। कोई अलग समग्र साइबर सुरक्षा अधिनियम नहीं है।
अनिवार्य 6-घंटे की घटना रिपोर्टिंग (CERT-In 2022)
CERT-In के 28 अप्रैल 2022 के निर्देश (सूचना प्रौद्योगिकी अधिनियम की धारा 70B(6) के अंतर्गत) सभी सेवा प्रदाताओं, मध्यस्थों, डेटा केंद्रों, निगमित निकायों और सरकारी निकायों से यह अपेक्षा करते हैं कि वे सूचीबद्ध साइबर घटनाओं के बारे में पता चलने के 6 घंटों के भीतर रिपोर्ट करें, और ICT लॉग्स को 180 दिनों तक बनाए रखें।
आलोचनात्मक अवसंरचना (NCIIPC)
NCIIPC (NTRO के अंतर्गत) बैंकिंग, दूरसंचार, ऊर्जा, सरकारी और अन्य क्षेत्रों में महत्वपूर्ण सूचना अवसंरचना (CII) के लिए नोडल एजेंसी है, और यह नामित CII की सुरक्षा के लिए जानकारी मांगने तथा निर्देश जारी करने का अधिकार रखता है।
वित्तीय-क्षेत्र के नियम (आरबीआई / सेबी)
बैंकों के लिए RBI का साइबर सुरक्षा ढांचा (2016) घटना प्रतिक्रिया और ऑडिट को अनिवार्य करता है, जिसमें महत्वपूर्ण घटनाओं की रिपोर्ट CIMS पोर्टल के माध्यम से की जाती है (प्रारंभिक रिपोर्ट 6 घंटों के भीतर, मूल कारण विश्लेषण 21 दिनों के भीतर)। SEBI का CSCRF (20 अगस्त 2024 के परिपत्र) विनियमित संस्थाओं पर एक श्रेणीबद्ध साइबर-लचीलापन ढांचा लागू करता है।
डेटा-उल्लंघन सूचना (DPDP)
डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 तब लागू हुआ जब MeitY ने 13-14 नवंबर 2025 को DPDP नियम, 2025 की अधिसूचना जारी की। उल्लंघन प्रावधान लगभग 18 महीने बाद लागू होंगे (2027 के मध्य तक पूर्ण अनुपालन), जिनके तहत प्रभावित व्यक्तियों को बिना देरी के और डेटा संरक्षण बोर्ड को सूचित करना आवश्यक होगा।
अभी तक कोई एकीकृत व्यापक कानून नहीं
भारत एकल NIS2-शैली के साइबर सुरक्षा कानून के बजाय सूचना प्रौद्योगिकी अधिनियम के ओवरलैपिंग प्रावधानों, CERT-In निर्देशों और क्षेत्रीय नियामकों पर निर्भर करता है; एक राष्ट्रीय साइबर सुरक्षा रणनीति तैयार की गई है, लेकिन वह अभी तक अंतिम रूप नहीं ले पाई है।
यह पृष्ठ सुविधा के लिए अनुवादित है; अंग्रेजी संस्करण ही प्रामाणिक है और यह कानूनी सलाह नहीं है।