توجيه NIS2 بالتفصيل: ما يحتاج مسؤولو أمن المعلومات (CISO) معرفته في 2026

لماذا يهم توجيه NIS2 الآن

حلّ توجيه NIS2 (التوجيه (EU) 2022/2555) محل توجيه NIS الأصلي في أكتوبر 2024، ووسّع بشكل كبير التزامات الأمن السيبراني لمؤسسات الاتحاد الأوروبي. بعد مرور عامين، انتقلت السلطات الرقابية الوطنية من مرحلة التوعية إلى التطبيق الفعلي. وقد فُرضت غرامات بالفعل في هولندا وبلجيكا وإيطاليا.

إذا كنت مسؤول أمن معلومات (CISO) في أي من القطاعات الثمانية عشر التي يغطيها NIS2 (الطاقة، النقل، المصارف، البنية التحتية للأسواق المالية، الصحة، مياه الشرب، مياه الصرف الصحي، البنية التحتية الرقمية، إدارة خدمات تقنية المعلومات والاتصالات، الإدارة العامة، الفضاء، الخدمات البريدية، إدارة النفايات، تصنيع الكيماويات، الأغذية، تصنيع الأجهزة الطبية، تصنيع الإلكترونيات، تصنيع المركبات، أو مزوّدي الخدمات الرقمية)، فإن مجلس إدارتك سيطرح ثلاثة أسئلة في 2026:

1. هل نحن مشمولون بنطاق التوجيه؟
2. ما الذي يتطلبه NIS2 منا فعلياً؟
3. ما مدى تعرّضنا للمخاطر في حال عدم الامتثال؟

يقدّم هذا المقال إجابات قابلة للدفاع عن الأسئلة الثلاثة.

من هو المشمول بالنطاق

يميّز NIS2 بين الكيانات الأساسية (الملحق الأول) والكيانات المهمة (الملحق الثاني)، مع أنظمة رقابية أكثر صرامة للكيانات الأساسية. تنطبق الفئتان عموماً على المؤسسات التي لديها 50 موظفاً على الأقل و10 ملايين يورو من الإيرادات السنوية على الأقل، رغم أن بعض القطاعات (البنية التحتية الرقمية، مزوّدي خدمات الثقة المؤهّلين، سجلات النطاقات العليا) لا تخضع لأي حد أدنى من الحجم.

ثلاثة أمور غالباً ما تفاجئ مسؤولي أمن المعلومات عند مراجعة النطاق لأول مرة:

• الشركات التابعة مشمولة. يمكن أن تكون شركة تابعة أوروبية متوسطة الحجم لعملاق تقني أمريكي مشمولة بالنطاق حتى لو لم تكن الشركة الأم كذلك.
• التصنيف القطاعي أوسع مما كان عليه في NIS1. أصبح مصنّعو الأجهزة الطبية والمركبات مشمولين صراحةً. وكذلك خدمات البريد والشحن السريع.
• يمكن للدول الأعضاء توسيع النطاق. قامت عدة دول، منها ألمانيا وفرنسا، بنقل التوجيه إلى تشريعاتها الوطنية بطريقة تشمل كيانات إضافية غير مدرجة في التوجيه الأوروبي.

إذا لم تتمكن من الإجابة بشكل قاطع عن سؤال "هل نحن مشمولون بالنطاق؟" بحلول نهاية الربع الثاني من 2026، فهذا في حد ذاته ملاحظة تستدعي المعالجة. وثّق تحليل النطاق، واحصل على موافقة الإدارة القانونية، وراجعه سنوياً.

الالتزامات الأمنية العشرة (المادة 21)

يفرض NIS2 حداً أدنى من تدابير إدارة المخاطر. وهي مصمَّمة عمداً لتكون قائمة على النتائج لا التوجيه التفصيلي، وهو أمر إيجابي لمسؤولي أمن المعلومات الذين يديرون بالفعل برامج ISO 27001 أو NIST CSF، لأن معظم الضوابط تُربط مباشرة. المجالات العشرة:

• تحليل المخاطر وسياسات أمن المعلومات: موثّقة، تُراجع سنوياً، ويعتمدها مجلس الإدارة.
• إدارة الحوادث: بما في ذلك إجراءات الكشف والاستجابة والتعافي.
• استمرارية الأعمال: إدارة النسخ الاحتياطي، التعافي من الكوارث، وإدارة الأزمات.
• أمن سلسلة التوريد: أمن العلاقات بين الكيان ومورّديه المباشرين.
• أمن الشبكات وأنظمة المعلومات: بما في ذلك إجراءات اقتناء الأنظمة وتطويرها وصيانتها.
• سياسات وإجراءات اختبار وتدقيق الأمن السيبراني: بما في ذلك تقييم الفعالية.
• ممارسات النظافة السيبرانية الأساسية والتدريب على الأمن السيبراني: للموظفين.
• سياسات التشفير: التشفير وإدارة المفاتيح.
• أمن الموارد البشرية، والتحكم في الوصول، وإدارة الأصول.
• المصادقة متعددة العوامل، والاتصالات الصوتية والمرئية والنصية الآمنة، وأنظمة الاتصال في حالات الطوارئ.

إذا كان لديك نظام إدارة أمن المعلومات (ISMS) فعّال وفق ISO 27001:2022، فأنت بالفعل تغطي 90% من المادة 21 من NIS2 بفضل الملحق A. وتؤكد ذلك جداول المطابقة التي نشرتها وكالة الاتحاد الأوروبي للأمن السيبراني (ENISA). يتطلب NIS2 تحديداً أن توثّق عملية الربط، وليس إعادة تنفيذ الضوابط.

مهل الإبلاغ عن الحوادث

هنا يفرض NIS2 ضغطاً حقيقياً على مركز العمليات الأمنية (SOC) ووظيفة الاستجابة للحوادث. يفرض التوجيه ثلاثة إشعارات متتالية ومتصاعدة إلى فريق الاستجابة لحوادث أمن الحاسوب الوطني (CSIRT) أو السلطة المختصة:

• الإنذار المبكر: خلال 24 ساعة. إخطار بأن هناك حادثاً *قد* يكون جارياً. تحديد ما إذا كان يبدو ناتجاً عن أفعال ضارة، وما إذا كان قد يكون له تأثير عابر للحدود.
• إشعار الحادث: خلال 72 ساعة. تقديم تقييم أولي للخطورة والتأثير ومؤشرات الاختراق.
• التقرير النهائي: خلال شهر واحد. وصف تفصيلي، السبب الجذري، إجراءات التخفيف المطبَّقة أو الجارية، والتأثير العابر للحدود.

نتيجتان عمليتان:

1. يحتاج دليل الاستجابة للحوادث لديك إلى مؤقتات صريحة خاصة بـ NIS2. معظم أدلة الاستجابة الحالية مضبوطة وفق مهلة الإبلاغ عن الخروقات البالغة 72 ساعة الخاصة بـ GDPR. يضيف NIS2 مؤقتاً بـ24 ساعة لحالة "قد يكون جارياً"، وهو أشد صرامة بكثير.
2. مفهوم الحادث الجوهري واسع التعريف. يعتبر التوجيه الحادث جوهرياً إذا تسبّب أو كان قادراً على التسبب في اضطراب تشغيلي حاد أو خسارة مالية، أو إذا أثّر (أو كان قادراً على التأثير) على أشخاص طبيعيين أو اعتباريين آخرين من خلال ضرر مادي أو غير مادي كبير. يُفضَّل الميل نحو الإبلاغ عند الشك.

أمن سلسلة التوريد: الجزء الذي يستهين به الجميع

تُلزم المادة 21(2)(د) الكيانات بمعالجة "أمن سلسلة التوريد، بما في ذلك الجوانب المتعلقة بالأمن في العلاقات بين كل كيان ومورّديه المباشرين أو مزوّدي الخدمات". بعبارة أخرى: يريد NIS2 رؤية أدلة على إدارة مخاطر المورّدين.

وهذا يعني:

• جرد موثّق للمورّدين مع تصنيف حسب مستوى المخاطر.
• تقييمات أمنية قبل إشراك المورّدين الحرجين.
• بنود تعاقدية تُلزم المورّدين بالحفاظ على الأمن والإبلاغ عن الحوادث.
• مراقبة مستمرة لوضع المخاطر لدى المورّدين، خاصة مزوّدي خدمات تقنية المعلومات والاتصالات الحرجين.

يتقاطع هذا الالتزام بشكل كبير مع DORA (بالنسبة للكيانات المالية) ومع ما تقوم به بالفعل معظم برامج الأمن الناضجة. الفرق أن NIS2 يجعله إلزامياً قانوناً، ويمكن للسلطات الرقابية طلب إثباته.

الحوكمة ومسؤوليات هيئة الإدارة

تفرض المادة 20 التزامات مباشرة على هيئة الإدارة للكيانات المشمولة بالنطاق. يجب على كبار القادة (أعضاء مجلس الإدارة، المسؤولين التنفيذيين):

• الموافقة على تدابير إدارة مخاطر الأمن السيبراني.
• الإشراف على تنفيذها.
• تلقّي تدريب منتظم على الأمن السيبراني.

هذا هو أكبر تحوّل ثقافي أدخله NIS2 مقارنة بـNIS1. إذا كان مجلس إدارتك لا يتلقى إحاطات ربع سنوية عن الأمن السيبراني مع سجلات تدريب موثّقة، فإن ملاحظة رقابية بانتظارك.

العقوبات والمسؤولية الشخصية

الغرامات الإدارية القصوى بموجب NIS2:

• الكيانات الأساسية: حتى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.
• الكيانات المهمة: حتى 7 ملايين يورو أو 1.4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.

أدخلت عدة دول أعضاء بالإضافة إلى ذلك مسؤولية شخصية لكبار المديرين في حالات عدم الامتثال المتكرر. يمكن لهولندا وبلجيكا تعليق المسؤولين التنفيذيين عن دورهم في الإشراف على الأمن السيبراني. هذا تغيير هيكلي يحتاج مسؤولو أمن المعلومات إلى إحاطة مجالس إداراتهم به مباشرة.

قائمة تحقق عملية للاستعداد لـ NIS2

إذا كنت تريد الدخول إلى تفتيش رقابي وأنت مستعد، فإن الحد الأدنى من الحافظة يشمل:

• مذكرة تحديد نطاق تؤكد تصنيف الكيان والالتزامات المطبَّقة.
• سياسة أمن معلومات اعتمدتها هيئة الإدارة خلال الاثني عشر شهراً الماضية.
• سجل مخاطر يتضمن قرارات معالجة موثّقة.
• إجراءات استجابة للحوادث تتضمن مؤقتات إبلاغ صريحة خاصة بـ NIS2.
• خطة استمرارية أعمال مع تمرين تعافٍ مُختبَر واحد على الأقل سنوياً.
• جرد للمورّدين مع تصنيف حسب المخاطر وتقييمات أمنية للمورّدين الحرجين.
• سجلات تدريب للموظفين وهيئة الإدارة تغطي التوعية بالأمن السيبراني.
• دليل تشغيلي لاستمرارية العمليات لوظيفة الأمن السيبراني نفسها.

يمكن لـمنصة GRC مخصّصة أن تنتج هذه الحافظة كنتاج طبيعي للعمل الروتيني بدلاً من مشروع امتثال منفصل. هذا هو الفارق بين أن يكون NIS2 عملية إطفاء حرائق ربع سنوية، وأن يكون شيئاً تقوم به الوظيفة في الخلفية باستمرار.

خلاصة ختامية

يُعد NIS2 أحد التوجيهات القليلة التي تجعل كونك منظمة أمنية قوية يجعلك ممتثلاً تلقائياً. تصف معظم الالتزامات ما تقوم به بالفعل فرق الأمن الناضجة. التوقع الرقابي هو أن تتمكن من إثبات ذلك عند الطلب: مذكرة تحديد النطاق، السياسات، سجل المخاطر، سجلات الحوادث، أدلة المورّدين، سجلات التدريب، محاضر مجلس الإدارة. إذا كان بإمكانك تقديم هذا الملف خلال 48 ساعة عندما تطلبه سلطة ما، فأنت في وضع جيد. أما إذا لم تستطع، فالفجوة تكمن في الانضباط التشغيلي وليس في نقص القدرات، وهذا أمر يمكن إصلاحه خلال ربع سنة واحد.