ثلاثة مستويات للضمان
تتدرج المستويات Basic وSubstantial وHigh في عمق التدقيق ونموذج المهاجم – من الحماية الأساسية حتى المرونة في مواجهة الهجمات المتقدمة.
GRC · اعتماد الخدمات السحابية
EUCS الختم الأوروبي الناشئ لأمن الحوسبة السحابية
EUCS (European Cybersecurity Certification Scheme for Cloud Services) هو مخطط الاعتماد للخدمات السحابية الذي طوّرته ENISA والمخطط تطبيقه على مستوى الاتحاد الأوروبي. ولا يزال في مرحلة المسودة – ونُعدّكم له اليوم، مع BSI C5 كجسر متين.
مخطط مرشّحالحالة: مسودة، لم يُعتمد بعد كقانون
ENISA / CSAالأساس: قانون الأمن السيبراني الأوروبي EU Cybersecurity Act (اللائحة (EU) 2019/881)
أساسي (Basic) · جوهري (Substantial) · عالٍ (High)مستويات الضمان المخطط لها (Assurance Levels)
الصلة بـ NIS2رافعة فعلية لأدلة إثبات الأمن السحابي في NIS2/Data Act
ما هو EUCS – وما ليس هو (بعد)
EUCS هو المخطط الأوروبي المزمع لاعتماد الأمن السيبراني للخدمات السحابية (Cloud Services). وتُعدّه ENISA في إطار قانون الأمن السيبراني الأوروبي EU Cybersecurity Act (اللائحة (EU) 2019/881)، ومن المفترض أن يوحّد على مستوى الاتحاد الأوروبي المشهد المجزأ حاليًا لأدلة الإثبات السحابية الوطنية – مثل BSI C5 في ألمانيا وSecNumCloud في فرنسا. واستنادًا إلى ISO/IEC 27001 وISO/IEC 27017 والمخططات القائمة، من المقرر أن تنشأ ثلاثة مستويات للضمان: Basic وSubstantial وHigh.
مهم: لا يزال EUCS حتى الآن مخططًا مرشّحًا. ولم يُعتمد بعد كقانون تنفيذي من المفوضية الأوروبية، ويتأجل الجدول الزمني منذ سنوات، كما خُفّفت أو حُذفت في مسودات لاحقة (حتى 2024) متطلبات السيادة أو الحصانة المثيرة للجدل أصلًا للمستوى الأعلى. لذلك نتعامل مع EUCS على أنه «قيد الإعداد»، ونبني قدرتكم الحالية على الإثبات على BSI C5 المتين بالفعل.
المكوّنات الأساسية للمخطط
هكذا يُبنى EUCS في المسودة الحالية – وقد يتغير ذلك مع القانون النهائي.
كتالوج الضوابط
مجموعة شاملة من الأهداف الأمنية والضوابط عبر مجالات مثل الحوكمة والتشفير والتشغيل وإدارة الحوادث وسلسلة التوريد – مستمدة من معايير راسخة.
البناء على المعايير القائمة
مطابقة مع ISO/IEC 27001 وISO/IEC 27017 والمخططات الوطنية (BSI C5، SecNumCloud)، لكي تبقى أدلة الإثبات الموجودة قابلة لإعادة الاستخدام.
تقييم المطابقة
الاعتماد من خلال هيئات تقييم مطابقة معتمدة (Conformity Assessment Bodies)، بعمق تدقيق يختلف حسب المستوى (التقييم الذاتي مخطط له في المستوى الأدنى فقط).
الصلاحية والمراقبة
شهادات بمدة صلاحية محدودة ومراقبة مستمرة (Continuous Monitoring / Surveillance)، لإثبات الوضع الأمني على مر الزمن.
الشفافية ومراجعة الأقران
آليات نشر ومراجعة أقران (Peer Review) مخطط لها من أجل الاعتراف المتبادل بالشهادات على مستوى الاتحاد الأوروبي.
الجسر نحو NIS2 وDORA وISO 27001
لماذا يُعدّ EUCS ذا صلة بالشركات في منطقة DACH منذ اليوم – حتى دون قانون نهائي.
NIS2 وسلسلة التوريد السحابية
تشترط NIS2 السيطرة على المخاطر في سلسلة التوريد. وسيصبح ختم سحابي موحّد مثل EUCS دليل الإثبات البديهي لمزوّدي الخدمات السحابية – ويُسَدّ ذلك اليوم عبر BSI C5 كمعيار معترف به للإفادة السحابية.
DORA والأطراف الثالثة في تقنية المعلومات والاتصالات
بالنسبة للمؤسسات المالية، تتناول DORA إدارة مقدّمي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة. وتوفّر الشهادات السحابية (EUCS مستقبلًا، وBSI C5 اليوم) أدلة منظّمة لتقييمات المزوّدين.
ISO/IEC 27001 كأساس
يبني EUCS على ISO/IEC 27001 و27017. ويُعدّ نظام ISMS المُطبَّق فعليًا الأساس الأكثر كفاءة للارتقاء لاحقًا إلى أحد مستويات EUCS دون ازدواجية في العمل.
BSI C5 كجسر في الوقت الراهن
إلى أن يدخل EUCS حيّز التنفيذ، يظل BSI C5 دليل الإثبات المتين القائم على الإفادة (Testat) للأمن السحابي في منطقة DACH – وأفضل نقطة انطلاق لنضج لاحق وفق EUCS.
هكذا نعمل معًا
مسار عملي من تحديد الوضع الراهن إلى الجاهزية لـ EUCS.
01
1 · النطاق وتحليل الفجوات
نحدد الخدمة السحابية المعنية ومستوى الضمان المستهدف والمسافة إلى أدلة الإثبات القائمة (ISO 27001، BSI C5).
02
2 · الجسر عبر BSI C5
نُرسي أو نُعزّز إفادة BSI C5 لديكم كدليل إثبات متين اليوم، ونوثّق الضوابط بحيث تكون قابلة للربط مع EUCS.
03
3 · مطابقة الجاهزية لـ EUCS
نطابق ضوابطكم مع مسودة EUCS الحالية، ونحدد الفجوات لكل مستوى، ونرتّب أولويات الاستكمال.
04
4 · المراقبة والتحديث
نُعدّ مراقبة مستمرة ونتابع العملية التشريعية، لكي تكونوا جاهزين للاعتماد دون تأخير عند صدور المخطط النهائي.
المصادر والموضوعات ذات الصلة
المصادر الأساسية للمخطط والخدمات المناسبة من VamiSec.
المصادر الأساسية
خدمات مناسبة
الأسئلة الشائعة حول EUCS
إجابات واضحة حول الحالة والأهمية العملية.
هل أصبح EUCS قانونًا ساريًا بالفعل؟
لا. EUCS مخطط مرشّح ولم يُعتمد حتى الآن كقانون تنفيذي من المفوضية الأوروبية. وقد تأجل الجدول الزمني مرارًا؛ ونُشير إليه على أنه «قيد الإعداد».
ما مستويات الضمان المخطط لها؟
تنص المسودة الحالية على ثلاثة مستويات ضمان (Assurance Levels): Basic وSubstantial وHigh. وهي تتدرج في عمق التدقيق ونموذج المهاجم.
ماذا عن متطلبات السيادة؟
خُفّفت أو حُذفت في مسودات لاحقة (حتى 2024) متطلبات السيادة أو الحصانة المثيرة للجدل أصلًا للمستوى الأعلى. ويبقى النص النهائي قيد الانتظار.
ما الذي يمكنني فعله اليوم؟
اعتمدوا على BSI C5 كإفادة سحابية متينة وعلى نظام ISMS وفق ISO/IEC 27001 مُطبَّق فعليًا. فكلاهما قابل للربط مع EUCS ويحميكم من ازدواجية العمل.
ما العلاقة بين EUCS وNIS2 وDORA؟
يشترط الإطاران السيطرة على المخاطر السحابية ومخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات. وسيصبح ختم سحابي موحّد مثل EUCS دليل الإثبات البديهي – ويُسَدّ ذلك اليوم عبر BSI C5.
الجاهزية لـ EUCS دون طيران أعمى
نرتقي بأدلة الإثبات السحابية لديكم اليوم إلى مستوى BSI C5 ونبقيها قابلة للربط مع EUCS – لتكونوا مستعدين بمجرد دخول المخطط حيّز التنفيذ.