भारत में साइबर सुरक्षा की घटनाओं की अनिवार्य रिपोर्टिंग

भारतीय कानून उन समूहों को निर्धारित करता है जिन्हें साइबर घटनाओं की सूचना देनी होगी। ये सूचनाएँ एक राष्ट्रीय एजेंसी, CERT-In, को दी जाती हैं। इस भाग में बताया गया है कि कौन इसके दायरे में आता है और किस कानून में यह प्रावधान है।

1.1 कौन-सा कानून सूचना देना अनिवार्य बनाता है?

यह कानूनी प्रावधान है धारा 70B जो सूचना प्रौद्योगिकी अधिनियम, 2000 का हिस्सा है। केंद्र सरकार ने भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (Indian Computer Emergency Response Team, CERT-In) को इस धारा के तहत नियुक्त किया। इसकी अधिसूचना 27 अक्टूबर 2009 की है।

CERT-In साइबर घटनाओं से निपटने वाली राष्ट्रीय एजेंसी है। इसके कार्यों में निम्नलिखित शामिल हैं।

• साइबर घटनाओं की जानकारी जुटाना, उसका विश्लेषण करना और उसे साझा करना।
• साइबर सुरक्षा घटनाओं के बारे में पूर्वानुमान और चेतावनियाँ देना।
• आपातकालीन उपाय करना और घटना से निपटने की कार्रवाई में समन्वय करना।
• दिशानिर्देश, परामर्श और श्वेत पत्र जारी करना।

1.2 किस अधिकार के तहत CERT-In आदेश दे सकता है?

धारा 70B(6) CERT-In को जानकारी माँगने और निर्देश देने का अधिकार देती है। वह सेवा प्रदाताओं, मध्यस्थों, डेटा सेंटरों, निगमित निकायों और किसी अन्य व्यक्ति से जानकारी माँग सकता है और उन्हें निर्देश दे सकता है।

दिनांक 28 अप्रैल 2022को CERT-In ने इस अधिकार का उपयोग किया। उसने सुरक्षा संबंधी कार्यप्रणालियों और साइबर घटनाओं की सूचना देने के बारे में निर्देश जारी किए। ये निर्देश जारी होने की तारीख से 60 दिन बाद लागू हुए।

1.3 निर्देशों का पालन किसे करना होगा?

CERT-In के अक्सर पूछे जाने वाले प्रश्नों (FAQs) में इनके दायरे में आने वाले समूह दिए गए हैं।

• सेवा प्रदाता और मध्यस्थ।
• डेटा सेंटर।
• निगमित निकाय।
• वर्चुअल प्राइवेट सर्वर (VPS), क्लाउड और VPN सेवा प्रदाता।
• वर्चुअल परिसंपत्ति सेवा प्रदाता, एक्सचेंज प्रदाता और वॉलेट की अभिरक्षा करने वाले।
• सरकारी संगठन।

अक्सर पूछे जाने वाले प्रश्नों में एक अपवाद स्पष्ट किया गया है। व्यक्तिगत नागरिक दायरे में नहीं आते इन निर्देशों के।

छह घंटे के भीतर सूचना देने के दायित्व में पाँच समूहों के नाम दिए गए हैं। ये हैं सेवा प्रदाता, मध्यस्थ, डेटा सेंटर, निगमित निकाय और सरकारी संगठन।

1.4 “निगमित निकाय” का क्या अर्थ है?

अक्सर पूछे जाने वाले प्रश्नों में सूचना प्रौद्योगिकी अधिनियम की धारा 43A का संदर्भ दिया गया है। एक निगमित निकाय (body corporate) का अर्थ कोई भी कंपनी है। इसमें फर्म, एकल स्वामित्व वाला व्यवसाय या व्यक्तियों का कोई अन्य संघ भी शामिल है। फर्म या संघ का व्यावसायिक या पेशेवर गतिविधियों में संलग्न होना आवश्यक है।

1.5 UPSC 2017 में इस विषय पर क्या पूछा गया था?

UPSC ने सिविल सेवा प्रारंभिक परीक्षा 2017 के प्रश्नपत्र में इस विषय पर प्रश्न पूछा था, GS प्रश्नपत्र I, Q85। प्रश्न जैसा छपा था, वह यहाँ दिया गया है।

भारत में, निम्नलिखित में से किनके लिए साइबर सुरक्षा की घटनाओं की रिपोर्ट करना कानूनी रूप से अनिवार्य है?
1. सेवा प्रदाता
2. डेटा केंद्र
3. निगमित निकाय
नीचे दिए गए कूट का उपयोग करके सही उत्तर चुनिए:
(a) केवल 1
(b) केवल 1 और 2
(c) केवल 3
(d) 1, 2 और 3

धारा 70B(6) और निर्देशों में तीनों समूहों का उल्लेख है। इसलिए उत्तर है (d) 1, 2 और 3.

निर्देशों में रिपोर्ट करने की समय-सीमा और घटनाओं की सूची दी गई है। समय-सीमा छह घंटे है। सूची में बीस प्रकार की घटनाएँ हैं।

2.1 किसी घटना की रिपोर्ट कितनी जल्दी करनी है?

निर्देशों के दायरे में आने वाली संस्था को घटना का पता चलने के 6 घंटे के भीतर रिपोर्ट करनी होगी। संस्था को घटना के बारे में “सूचित किए जाने” पर भी समय-सीमा शुरू हो जाती है।

CERT-In तीन माध्यमों से रिपोर्ट स्वीकार करता है।

• ईमेल: incident@cert-in.org.in.
• फोन: 1800-11-4949.
• फैक्स: 1800-11-6969.

समय पर रिपोर्ट करने से CERT-In को साइबर खतरों की जानकारी जुटाने में मदद मिलती है। इससे CERT-In को घटना से निपटने के प्रयासों में तालमेल बनाने में भी मदद मिलती है।

2.2 सूची में कौन-सी घटनाएँ शामिल हैं?

निर्देशों के अनुलग्नक I में साइबर सुरक्षा की घटनाओं के 20 प्रकार दिए गए हैं। इनमें से कुछ नीचे दिए गए हैं।

• अत्यंत आवश्यक नेटवर्क और प्रणालियों को निशाना बनाकर उनकी स्कैनिंग या जाँच-पड़ताल करना।
• आईटी प्रणालियों या डेटा तक बिना अनुमति पहुँच बनाना।
• किसी वेबसाइट का रूप या सामग्री बिगाड़ना।
• वायरस, वर्म, ट्रोजन, बॉट, स्पाइवेयर, रैनसमवेयर और क्रिप्टोमाइनर जैसे हानिकारक कोड से हमले।
• सेवा बाधित करने वाले डिनायल ऑफ सर्विस (DoS) और डिस्ट्रिब्यूटेड डिनायल ऑफ सर्विस (DDoS) हमले।
• पहचान की चोरी, नकली पहचान बनाकर धोखा देना (spoofing) और फिशिंग हमले।
• डेटा में सेंध (Data breach) और डेटा लीक (data leak).
• डिजिटल भुगतान प्रणालियों पर हमले।
• हानिकारक मोबाइल ऐप और नकली मोबाइल ऐप।
• सोशल मीडिया खातों तक बिना अनुमति पहुँच बनाना।

सूची में क्लाउड प्रणालियों, इंटरनेट ऑफ थिंग्स उपकरणों तथा कृत्रिम बुद्धिमत्ता और मशीन लर्निंग से जुड़ी प्रणालियों पर हमले भी शामिल हैं।

2.3 इन शब्दों का क्या अर्थ है?

अक्सर पूछे जाने वाले प्रश्नों में सूची के कुछ शब्दों का अर्थ समझाया गया है।

• A डेटा में सेंध (data breach) एक ऐसी साइबर घटना है जिसमें मालिक की जानकारी या अनुमति के बिना किसी प्रणाली से जानकारी चुरा ली जाती है या निकाल ली जाती है।
• A डेटा लीक (data leak) का अर्थ संवेदनशील या संरक्षित डेटा का किसी अविश्वसनीय परिवेश में पहुँच जाना है। कमजोर सुरक्षा उपायों या गलत सेटिंग जैसी अनजाने में हुई चूक से भी डेटा लीक हो सकता है।
• फिशिंग (Phishing) एक ऐसा हमला है जिसका उद्देश्य संवेदनशील निजी डेटा चुराना होता है।
• रैनसमवेयर (Ransomware) किसी कंप्यूटर प्रणाली तक पहुँच रोक देता है, अक्सर फाइलों को एन्क्रिप्ट करके, जब तक पैसे नहीं दिए जाते।

2.4 अगर छह घंटे में विवरण तैयार न हों तो क्या होगा?

संस्थाएँ उस समय उपलब्ध जानकारी दे सकती हैं। वे बाकी विवरण बाद में उचित समय के भीतर भेज सकती हैं।

अक्सर पूछे जाने वाले प्रश्नों (FAQs) के अनुसार, निम्न प्रकार की घटनाओं की सूचना छह घंटे के भीतर देना जरूरी है।

• बैकबोन नेटवर्क सहित सार्वजनिक सूचना अवसंरचना पर DoS, DDoS, घुसपैठ या रैनसमवेयर जैसी गंभीर घटनाएँ।
• डेटा में सेंध या डेटा लीक।
• बड़े पैमाने पर या बहुत बार होने वाली घटनाएँ।
• लोगों की सुरक्षा को प्रभावित करने वाली घटनाएँ।

2.5 क्या यह जिम्मेदारी किसी और को सौंपी जा सकती है?

नहीं। FAQs के अनुसार, जिस भी संस्था को किसी घटना का पता चलता है, उसे उसकी सूचना देनी होगी। सूचना देने की जिम्मेदारी न तो किसी और को सौंपी जा सकती है, न ही क्षतिपूर्ति के समझौते से इससे छूट मिल सकती है। किसी अनुबंध की गोपनीयता संबंधी शर्त इस जिम्मेदारी को खत्म नहीं करती।

FAQs यह भी बताते हैं कि सूचना देना कानून के तहत अनिवार्य है। IT अधिनियम की धारा 81 के कारण यह जिम्मेदारी अनुबंध की गोपनीयता संबंधी शर्त से ऊपर है।

सूचना देना निर्देशों का केवल एक हिस्सा है। निर्देशों में संस्थाओं को कंप्यूटर की घड़ियों का समय एक जैसा रखने, लॉग रखने और ग्राहकों के रिकॉर्ड रखने को भी कहा गया है।

3.1 कंप्यूटर की घड़ियों का समय एक जैसा रखना क्यों जरूरी है?

इन नियमों के दायरे में आने वाली सभी संस्थाओं को नेटवर्क टाइम प्रोटोकॉल (NTP) सर्वर से जुड़ना होगा। यह सर्वर राष्ट्रीय सूचना विज्ञान केंद्र (National Informatics Centre, NIC) या राष्ट्रीय भौतिक प्रयोगशाला (National Physical Laboratory, NPL)का होना चाहिए। वे ऐसा सर्वर भी इस्तेमाल कर सकती हैं जिसका समय इन दोनों सर्वरों से जुड़ी कड़ी के जरिए सत्यापित किया जा सके।

FAQs इसका कारण बताते हैं। एक साइबर घटना अक्सर कई प्रणालियों को प्रभावित करती है। सही समय दर्ज न होने पर घटनाओं का क्रम दोबारा समझना मुश्किल होता है।

3.2 लॉग कितने समय तक रखने होंगे?

इन नियमों के दायरे में आने वाली संस्थाओं को अपनी सभी सूचना और संचार प्रौद्योगिकी (ICT) प्रणालियों में लॉग दर्ज करना चालू रखना होगा। उन्हें लगातार पिछले 180 दिनोंके लॉग सुरक्षित रखने होंगे। घटना की सूचना देते समय या CERT-In के आदेश पर उन्हें लॉग सौंपने होंगे।

निर्देशों के अनुसार, लॉग “भारतीय अधिकार क्षेत्र के भीतर” रखने होंगे। FAQs में कुछ छूट दी गई है। उनके अनुसार, लॉग भारत के बाहर रखे जा सकते हैं, यदि उन्हें उचित समय के भीतर CERT-In को उपलब्ध कराया जा सके। FAQs में स्पष्ट है कि वे कानूनी दस्तावेज नहीं हैं।

3.3 डेटा सेंटर और VPN सेवा प्रदाता कौन-से रिकॉर्ड रखते हैं?

डेटा सेंटर, VPS प्रदाता, क्लाउड सेवा प्रदाता और VPN सेवा प्रदाताओं को ग्राहकों के सही विवरण दर्ज करने होंगे। उन्हें ये विवरण 5 वर्षों तक रखने होंगे। यह अवधि पंजीकरण रद्द होने या वापस लिए जाने के बाद शुरू होगी। इन विवरणों में निम्न जानकारी शामिल है।

• ग्राहकों के सत्यापित नाम।
• सेवा लेने की अवधि और उसकी तारीखें।
• आवंटित IP पते।
• पंजीकरण के समय का ईमेल पता, IP पता और दर्ज समय।
• सेवा लेने का उद्देश्य।
• सत्यापित पता और संपर्क नंबर।
• ग्राहक संस्थाओं के स्वामित्व का स्वरूप।

FAQs यह भी बताते हैं कि यह नियम उद्यमों या कंपनियों के आंतरिक VPN पर लागू नहीं होता। यह आम जनता को “इंटरनेट प्रॉक्सी जैसी सेवाएँ” देने वाले प्रदाताओं पर लागू होता है।

3.4 वर्चुअल एसेट प्रदाताओं और संपर्क व्यक्तियों के लिए क्या नियम हैं?

वर्चुअल एसेट प्रदाताओं, एक्सचेंज प्रदाताओं और कस्टोडियन वॉलेट प्रदाताओं को अपने ग्राहक को जानें (KYC) संबंधी जानकारी और वित्तीय लेनदेन के रिकॉर्ड रखने होंगे। इन्हें रखने की अवधि है पाँच वर्ष.

इन नियमों के दायरे में आने वाली हर संस्था को एक संपर्क व्यक्ति (Point of Contact) भी नियुक्त करना होगा, जो CERT-In से संपर्क रखेगा। CERT-In के सभी संदेश उसी व्यक्ति को भेजे जाएँगे।

IT अधिनियम की धारा 70B(7) में सजा तय की गई है। जुर्माने की अधिकतम सीमा 2023 में बदल गई थी, इसलिए कई पुराने नोट्स अब सही नहीं हैं।

4.1 धारा 70B(7) क्या कहती है?

कोई सेवा प्रदाता, मध्यस्थ, डेटा सेंटर, निगमित निकाय या व्यक्ति CERT-In की माँगी गई जानकारी देने में विफल हो सकता है। वह CERT-In के किसी निर्देश का पालन करने में भी विफल हो सकता है। ऐसी विफलता पर अधिकतम कारावास की अवधि है एक वर्ष, या जुर्माना, या दोनों हो सकते हैं।

मई 2022 के CERT-In के अक्सर पूछे जाने वाले प्रश्नों (FAQs) में अधिकतम जुर्माना एक लाख रुपये बताया गया है। निर्देशों में कहा गया है कि पालन न करने पर धारा 70B(7) के तहत दंडात्मक कार्रवाई हो सकती है।

4.2 क्या जुर्माने की अधिकतम सीमा बदली थी?

हाँ। जन विश्वास (प्रावधानों का संशोधन) अधिनियम, 2023 ने धारा 70B(7) में “एक लाख” शब्दों की जगह “एक करोड़” कर दिया। यह बदलाव लागू हुआ था 30 नवंबर 2023.

इसलिए अब जुर्माने की अधिकतम राशि हो सकती है एक करोड़ रुपये। एक लाख बताने वाली पुरानी किताबों और नोट्स की जानकारी अब सही नहीं है।

4.3 क्या हर चूक पर सजा दी जाती है?

FAQs के अनुसार, इस शक्ति का इस्तेमाल उचित ढंग से किया जाएगा। इसका इस्तेमाल उन मामलों में होगा, जब निर्देशों का पालन न करना हो जानबूझकर.

4.4 क्या विदेशी कंपनियों को भी रिपोर्ट देनी होती है?

FAQs के अनुसार, साइबर घटना की रिपोर्ट देने के मामले में निर्देश सभी संस्थाओं पर लागू होते हैं। भारत में उपयोगकर्ताओं को सेवाएँ देने वाले सेवा प्रदाताओं को एक संपर्क व्यक्ति (Point of Contact) नियुक्त करना होगा। यह शर्त तब भी लागू होती है, जब भारत में उनका कोई कार्यालय या अन्य भौतिक उपस्थिति न हो।

डेटा उल्लंघन की रिपोर्ट केवल CERT-In को ही नहीं दी जाती। डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम रिपोर्ट देने का एक और दायित्व जोड़ता है। धारा 70A महत्वपूर्ण अवसंरचना के लिए एक दूसरी एजेंसी का प्रावधान करती है।

5.1 DPDP अधिनियम डेटा उल्लंघन के बारे में क्या कहता है?

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 की धारा 8(6) का विषय है व्यक्तिगत डेटा का उल्लंघन। डेटा न्यासी (Data Fiduciary) को सूचना देनी होगी डेटा संरक्षण बोर्ड (Data Protection Board) और हर प्रभावित डेटा प्रधान (Data Principal) को। सूचना का प्रारूप और तरीका नियमों में तय किया जाता है।

अधिनियम के अनुसार, व्यक्तिगत डेटा के उल्लंघन में बिना अनुमति डेटा का प्रसंस्करण, अनजाने में खुलासा, डेटा का खो जाना या ऐसी अन्य घटनाएँ शामिल हैं। इन घटनाओं से व्यक्तिगत डेटा की गोपनीयता, अखंडता या उपलब्धता प्रभावित होनी चाहिए।

5.2 2025 के नियम क्या जोड़ते हैं?

DPDP नियम, 2025 का नियम 7 सूचना देने का समय तय करता है। डेटा न्यासी को हर प्रभावित व्यक्ति को सूचना देनी होगी बिना देरी के। उसे बोर्ड को भी बिना देरी के सूचना देनी होगी और उल्लंघन का शुरुआती विवरण देना होगा।

इसके बाद दूसरा चरण आता है। निर्धारित समय-सीमा है 72 घंटे, या बोर्ड की अनुमति से इससे अधिक समय। इस अवधि के भीतर डेटा न्यासी को बोर्ड को नई और विस्तृत जानकारी भेजनी होगी।

नियम 13 नवंबर 2025 की तारीख वाले राजपत्र में प्रकाशित हुए थे। PIB की विज्ञप्ति के अनुसार, नियम 14 नवंबर 2025 को अधिसूचित किए गए थे। नियम 7 लागू होगा अठारह महीने बाद, राजपत्र में प्रकाशन की तारीख से।

5.3 DPDP अधिनियम के तहत कितना जुर्माना है?

PIB के अनुसार, डेटा उल्लंघन की सूचना बोर्ड या प्रभावित व्यक्तियों को न देने पर जुर्माने की अधिकतम राशि हो सकती है ₹200 करोड़। उचित सुरक्षा उपाय न रखने पर सबसे अधिक जुर्माना लगता है, जिसकी अधिकतम राशि ₹250 करोड़ है।

5.4 कौन-सा निकाय महत्वपूर्ण अवसंरचना की सुरक्षा करता है?

IT अधिनियम की धारा 70A के तहत बनाया गया था राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र (National Critical Information Infrastructure Protection Centre, NCIIPC)। यह महत्वपूर्ण सूचना अवसंरचना की सुरक्षा करता है।

PIB की सूची के अनुसार, इस व्यवस्था में अन्य निकाय भी शामिल हैं।

• राष्ट्रीय सुरक्षा परिषद सचिवालय के अंतर्गत राष्ट्रीय साइबर सुरक्षा समन्वयक।
• CERT-In द्वारा संचालित राष्ट्रीय साइबर समन्वय केंद्र (National Cyber Coordination Centre)।
• गृह मंत्रालय द्वारा स्थापित भारतीय साइबर अपराध समन्वय केंद्र (I4C)।

कुछ कंप्यूटर प्रणालियाँ इतनी जरूरी होती हैं कि उनके ठप होने से देश को नुकसान पहुँच सकता है। IT अधिनियम इन्हें संरक्षित प्रणालियाँ कहता है। बिजली, बैंकिंग, दूरसंचार और परमाणु संयंत्र इनके सामान्य उदाहरण हैं।

• धारा 70: सरकार किसी कंप्यूटर संसाधन को अधिसूचना जारी करके संरक्षित प्रणाली घोषित कर सकती है।
• NCIIPC: राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र (National Critical Information Infrastructure Protection Centre) इन प्रणालियों की सुरक्षा करता है। इसकी स्थापना धारा 70A के तहत 16 जनवरी 2014 की अधिसूचना से हुई थी। यह राष्ट्रीय तकनीकी अनुसंधान संगठन (NTRO) के अधीन है।
• CERT-In: धारा 70B के तहत साइबर घटनाओं से निपटने वाली राष्ट्रीय एजेंसी। यह रिपोर्ट प्राप्त करती है और चेतावनियाँ जारी करती है।

भारत की साइबर संस्थाओं पर PIB के विवरण में इन एजेंसियों की सूची दी गई है। देखें साइबर सुरक्षा संस्थाओं पर PIB की विज्ञप्ति.

• [Precedent] जुलाई 2026 की खबरों में बताया गया कि रैनसमवेयर समूह (World Leaks) ने “KKNP” नाम से चिह्नित लगभग 19,000 फाइलें ऑनलाइन डाली थीं। ये फाइलें Yotta Data Services पर होस्ट किए गए Reliance Infrastructure के सर्वर से आई थीं। Reliance को 2018 में कुडनकुलम की इकाइयों 3 और 4 की साझा सुविधाओं का ठेका मिला था। NPCIL ने कहा कि फाइलें केवल शीतलन और वेंटिलेशन जैसी पारंपरिक सहायक संयंत्र प्रणालियों से जुड़ी हैं। ये परमाणु संरक्षा या सुरक्षा प्रणालियाँ नहीं हैं। इसका मतलब: ठेकेदार के सर्वर से डेटा लीक होना बताता है कि महत्वपूर्ण क्षेत्रों में साइबर घटनाओं की तुरंत रिपोर्ट देना क्यों जरूरी है। (स्रोत: The News Minute) (स्रोत: The Federal)

और पढ़ें: कुडनकुलम की साइबर घटनाएँ: 2019 और 2026.

CERT-In द्वारा दर्ज की गई घटनाओं की संख्या 2022 से हर साल बढ़ी है। परीक्षाओं में आँकड़ों से ज्यादा कानूनी प्रावधान पूछे जाते हैं।

6.1 CERT-In कितनी घटनाएँ दर्ज करता है?

PIB हर साल उन घटनाओं की कुल संख्या बताता है जिनकी “CERT-In को रिपोर्ट दी गई और जिन्हें उसने दर्ज किया”।

• 2022: 13,91,457 घटनाएँ।
• 2023: 15,92,917 घटनाएँ।
• 2024: 20,41,360 घटनाएँ।
• 2025: PIB के बाद के एक विशेष लेख के अनुसार, CERT-In ने 29.44 लाख से अधिक घटनाओं से निपटा।

2025 में CERT-In ने 1,530 चेतावनियाँ, सुरक्षा कमजोरियों पर 390 नोट और 65 परामर्श भी जारी किए।

6.2 परीक्षक किन बातों में भ्रमित करते हैं?

इन बातों का ध्यान रखें।

• सभी तीनों समूह 2017 के प्रश्न में शामिल हैं, केवल एक या दो नहीं।
• समय सीमा है 6 घंटे CERT-In के लिए। 72 घंटे की समय सीमा DPDP के तहत बोर्ड को विस्तृत रिपोर्ट देने के लिए है।
• साइबर घटनाओं से निपटने वाली एजेंसी CERT-In (धारा 70B) है। महत्वपूर्ण अवसंरचना की सुरक्षा करने वाली एजेंसी NCIIPC (धारा 70A) है।
• सजा एक साल तक की कैद, या अधिकतम जुर्माना है एक करोड़ रुपये, या दोनों।
• व्यक्तिगत नागरिक पर रिपोर्ट देने की बाध्यता लागू नहीं होती।