NIS2 والأمن السيبراني للشركات
NIS2: هل تعنيك؟
هي التوجيه الأوروبي الخاص بأمن الشبكات: يسري في الاتحاد كله، وكل دولة تُدرجه في قانونها. من يقع ضمن نطاقه عليه التسجيل واعتماد تدابير لإدارة المخاطر والإبلاغ عن الحوادث خلال مُهَل تُحسب بالساعات لا بالأيام. وتُحسب الغرامات كنسبة من حجم الأعمال. والمفاجئ للأغلبية: الأمر لا يخص الشركات الكبيرة وحدها. يشمل النطاق القطاعات التي يسمّيها التوجيه — الطاقة والنقل والصحة والمياه والبنية الرقمية والأغذية وأنواع من التصنيع — ويمتد إلى سلسلة التوريد. فإن كنت تورّد لشركة معنية، تتحوّل التزاماتها إلى شروط تعاقدية عليك: لذلك يكتشف كثيرون الأمر عبر استبيان يرسله عميل، لا عبر إشعار رسمي. وما إذا كان يطالك يعتمد على قطاعك وحجمك وبلدك ومن تخدم — وهذا لا تحسمه صفحة على الإنترنت.
من تشمله القاعدة، وكيف يعرف ذلك
تقسّم القاعدة الجهات المعنية إلى مجموعتين: جهات أساسية وجهات مهمة. ما يحدّد ذلك هو القطاع — الطاقة والنقل والصحة والبنوك والبنية التحتية الرقمية والمياه والنفايات والأغذية والصناعة والبريد والكيماويات والفضاء والخدمات الرقمية والإدارة العامة — وحجم الشركة. ولا يقرّر ذلك صاحب النشاط بنفسه: الوكالة الوطنية للأمن السيبراني (ACN) تدرج الجهات في قائمة وتُبلغها بذلك. ومن تشمله القاعدة يسجّل في بوابة الوكالة، ويُجدَّد التسجيل كل سنة بين 1 يناير و28 فبراير. هذه الصفحة تشرح القاعدة ولا تقرّر إن كانت تخصّك: ذلك يُحسم على بياناتك أنت، مع الوكالة ومع من يتابع شأنك القانوني.
المواعيد التي تهمّ
التوجيه الأوروبي هو 2022/2555. وفي إيطاليا طُبِّق بالمرسوم التشريعي 138 الصادر في 4 سبتمبر 2024، النافذ منذ 16 أكتوبر 2024، ومنه تبدأ مواعيد محدّدة. منذ يناير 2026 على الجهات المعنية أن تعرف كيف تميّز الحادث الجسيم وتبلّغ عنه الوكالة: إنذار مبكر خلال 24 ساعة، والإبلاغ الفعلي خلال 72 ساعة، وتقرير نهائي خلال شهر. وثمّة موعد قريب: بحلول 31 أكتوبر 2026 يجب أن تكون تدابير الأمن الأساسية التي حدّدتها الوكالة نافذة فعلاً لا مخطّطة. ومن ذلك اليوم يجوز للوكالة أن تبدأ التفتيش.
إذا كنت مورّداً لشركة تشملها القاعدة
هذا هو الجزء الذي يفاجئ الجميع تقريباً، وهو يطال شركات أكثر بكثير مما تضمّه القائمة نفسها. يطلب NIS2 ممّن تشمله القاعدة تأمين سلسلة التوريد لديه: حصر مورّدي تقنية المعلومات المهمّين، ومراجعة بنود العقود، ومتابعتهم مع الوقت. قد لا تكون مدرجاً في قائمة الوكالة وتصلك مع ذلك استمارة، أو بند جديد عند التجديد، أو طلب بأن تُثبت كيف تحفظ البيانات التي تُسلَّم إليك. ليس القانون هو من يخاطبك، بل عميلك، فهو مسؤول عن تلك البيانات حتى في الجزء الموجود عندك. ومن لا يعرف الإجابة يُستبدَل، وغالباً عند التجديد ودون نقاش.
ما الذي يُخاطَر به
تُحسب الغرامات على أساس الإيرادات لا بتعرفة ثابتة: حتى 10 ملايين يورو أو 2% من الإيراد السنوي العالمي للجهات الأساسية، وحتى 7 ملايين أو 1.4% للجهات المهمة، ويُطبَّق المبلغ الأعلى. لكن هناك أثر أثقل من المال: المسؤولية تقع على أجهزة الإدارة، التي عليها اعتماد التدابير ومراقبة تنفيذها، ويمكن في الحالات الجسيمة إيقافها مؤقتاً عن مهامها القيادية. ليست غرامة تُحال إلى قسم تقنية المعلومات.
اعثر على محترف موثّق
لا تبيع Boutique Hacker اختبارات: بل تصل من يحتاج إلى الأمن بمحترفين شهاداتهم العملية موثّقة. يُتفق على العمل وعرض السعر والعقد مباشرة مع العضو المختار، وفق قواعد الاشتباك الخاصة بالشبكة.