مجال بحثي · الأطر التنظيمية

الرصد التنظيمي: من المصدر الأولي إلى ضابط قابل للتدقيق

تتقاطع ⁦NIS2⁩ وDORA وCyber Resilience Act وEU AI Act في إدارة المخاطر وسلسلة التوريد والإبلاغ – وتتغيّر مواعيد بعض المهل. ويقرأ Vami Research المصادر الأولية، ويفصل بين الالتزام والإرشاد والمسودة، ويتابع المهل، ويترجم المتطلبات إلى ضوابط وأدلة إثبات. ومن ذلك ينشأ الأساس لهندسة GRC الوكيلية (Agentic GRC Engineering).

⁦NIS2⁩
DORA
Cyber Resilience Act
EU AI Act
BaFin: الذكاء الاصطناعي وICT
مخاطر الأطراف الثالثة (EBA)
KRITIS

حدّدوا موعد محادثة أولية إلى المنشورات

دراسات معمّقة: 8
أوراق بيضاء: 7
حلول: 2

السياق

كثافة التنظيم تتطلّب تأطيرًا واضحًا

يسري قانون الاتحاد الأوروبي وتطبيقه الألماني في تتابع متقارب: فـ DORA قابلة للتطبيق منذ 17 يناير 2025، وقانون تنفيذ ⁦NIS2⁩ نافذ منذ 6 ديسمبر 2025، وقانون KRITIS الإطاري منذ 17 مارس 2026. ومنذ 2 أغسطس 2026 تسري التزامات الشفافية في AI Act، ومنذ 11 سبتمبر 2026 التزامات الإبلاغ في Cyber Resilience Act. ويُضاف إلى ذلك إرشادات الجهات الرقابية وأدلتها الإرشادية، مثل إرشادات EBA بشأن مخاطر الأطراف الثالثة ودليل BaFin الإرشادي للذكاء الاصطناعي.

وفي الممارسة يكون الوضع القانوني هو الحاسم. فدليل BaFin الإرشادي للذكاء الاصطناعي غير ملزم صراحةً، وللائحة KRITIS الجديدة تتوفر منذ 26 مايو 2026 مسودة وزارية لم تكتسب قوة قانونية، ولن يُحدَّد موعد بدء تطبيق إرشادات EBA إلا بنشر الترجمات. ومن يخلط بين الالتزام والتفسير والمسودة يخطط في وقت مبكر جدًا أو متأخر جدًا.

نقرأ المصادر الأولية ونوثّق الخلاصات الأساسية بمواضعها في النصوص؛ ونشير إلى تقييماتنا الخاصة بوصفها كذلك. ومن ذلك تنشأ دراسات معمّقة، بعضها مع أدوات تفاعلية، والأوراق البيضاء من سلسلة Reality Check حول ⁦NIS2⁩ وDORA وCRA وAI Act، إضافةً إلى مجموعات ضوابط يخدم من خلالها إجراءٌ مطبَّق مرة واحدة عدةَ أطر تنظيمية.

أسئلة بحثية

أسئلة مفتوحة من الممارسة العملية

01
ما الذي يُعدّ التزامًا ملزمًا – وما الذي يُعدّ إرشادًا أو مسودة أو توصية خاصة؟
نهجنا
نبيّن لكل مصدر وضعه، ونفصل باستمرار بين ما تشترطه اللائحة والمعايير التقنية، وما تصفه الجهات الرقابية بوصفه ممارسة مجرَّبة، وما نوصي به إضافةً إلى ذلك. مثال BaFin: لا يُنشئ الدليل الإرشادي بشأن الذكاء الاصطناعي التزامات جديدة – فالالتزامات تنشأ مباشرةً عن DORA والمعايير التقنية.
02
كيف تتابعون المهل التي تتغيّر مواعيدها – كما في AI Act؟
نهجنا
نتابع موعد بدء التطبيق والمهل الانتقالية ومهل الإبلاغ لكل إطار تنظيمي في المصدر الأولي. فقد أرجأ Digital Omnibus التزامات الأنظمة عالية المخاطر بالنسبة للأنظمة المستقلة إلى 2 ديسمبر 2027، وبالنسبة للأنظمة المدمجة في المنتجات إلى 2 أغسطس 2028. وتسري التزامات الشفافية منذ 2 أغسطس 2026؛ ولا تملك مهلة حتى 2 ديسمبر 2026 للوسم القابل للقراءة آليًا سوى الأنظمة التوليدية القائمة.
03
كيف تطبّقون ⁦NIS2⁩ وDORA وCRA وAI Act دون بناء الإجراء نفسه عدة مرات؟
نهجنا
نربط المتطلبات بإطار ضوابط مشترك – مثل ⁦ISO/IEC 27001⁩ أساسًا وDORA طبقةً إضافية (Overlay)، بمنهجية مخاطر واحدة وأدلة إثبات مشتركة. ويصبح ذلك قابلًا للقراءة آليًا عبر OSCAL: إذ يستخدم Framework Composer في VamiGRC مجموعة ضوابط واحدة لعدة معايير، وصولًا إلى بيان قابلية التطبيق.
04
ما الالتزامات السارية بالفعل على أنظمة الذكاء الاصطناعي ووكلاء الذكاء الاصطناعي في المؤسسات الخاضعة للتنظيم؟
نهجنا
منذ 2 فبراير 2025 يسري التزام الإلمام بالذكاء الاصطناعي، ومنذ 2 أغسطس 2026 تسري التزامات الشفافية التي تشمل أيضًا الوكلاء الذين يتواصلون مع العملاء. وفي القطاع المالي تندرج أنظمة الذكاء الاصطناعي فضلًا عن ذلك ضمن إدارة مخاطر تقنية المعلومات والاتصالات وفق DORA. ونبدأ بجرد كامل لأنظمة الذكاء الاصطناعي وتحديد الدور بوصفكم مزوّدًا أو جهة مشغّلة، يليهما تحليل للفجوات.

الاستنتاجات

ما نخلص إليه

01
التزامات الشفافية سارية منذ 2 أغسطس 2026 – على وكلاء الذكاء الاصطناعي أيضًا
أنظمة الذكاء الاصطناعي التي تتواصل مباشرةً مع البشر يجب أن يكون واضحًا أنها ذكاء اصطناعي، ولا يكفي تنبيهٌ في دليل الاستخدام وحده وفق مسودة إرشادات المفوضية الصادرة في 8 مايو 2026. ويجب وسم المخرجات التوليدية، بما فيها مخرجات الأنظمة الوكيلية، بصورة قابلة للقراءة آليًا.
المرجع: التزامات الشفافية في AI Act
02
الذكاء الاصطناعي في ظل DORA لا يحتاج إلى هيكل موازٍ
دليل BaFin الإرشادي الصادر في 18 ديسمبر 2025 غير ملزم ولا يُنشئ التزامات جديدة. وهو يصنّف أنظمة الذكاء الاصطناعي بوصفها أنظمة شبكات ومعلومات بمفهوم DORA: فالنماذج وبيانات التدريب والمكتبات تنتمي إلى جرد الأصول، وحوادث الذكاء الاصطناعي إلى عملية الإبلاغ القائمة. وتكمن الرافعة في الدمج في إطار إدارة مخاطر تقنية المعلومات والاتصالات.
المرجع: دليل BaFin الإرشادي للذكاء الاصطناعي
03
تقارب في مخاطر الأطراف الثالثة: EBA تتبنّى منطق DORA
بموجب ⁦EBA/GL/2026/09⁩ الصادرة في 18 سبتمبر 2026 تنقل EBA تعريف DORA للوظيفة الحرجة أو المهمة إلى خدمات ⁦Non-ICT⁩. ويجوز دمج السجل والسياسة ودور الرقابة مع نظائرها في DORA. ويأتي موعد بدء التطبيق مع الترجمات؛ وتسري حينئذٍ فترة انتقالية مدتها سنتان بالنسبة للوظائف الحرجة أو المهمة.
المرجع: إرشادات EBA بشأن مخاطر الأطراف الثالثة 2026: ما يجب أن تعرفه المؤسسات المالية الآن عن مزوّدي الخدمات من خارج تقنية المعلومات والاتصالات
04
تفحصون بأنفسكم ما إذا كان ⁦NIS2⁩ يشملكم – فلن يصلكم إشعار
قانون تنفيذ ⁦NIS2⁩ نافذ منذ 6 ديسمبر 2025؛ ويشمل وفق تقديرات المشرّع نحو 30,000 جهة. وبالنسبة للجهات المشمولة منذ دخوله حيّز النفاذ، انتهت مهلة التسجيل في 6 مارس 2026، وانتهت المهلة الإضافية التي أعلنها BSI في 31 يوليو 2026. والتسجيل المتأخر يُنهي المخالفة الجارية، لكنه لا يُصلح ما مضى.
المرجع: NIS2

المنهجية

كيف نعمل

تتبع منهجيتنا مسار المتطلب: من المصدر الأولي، مرورًا بالوضع والمهلة، حتى الضابط مع دليل الإثبات.

قراءة المصادر الأولية

تحليل الأعمال القانونية والمعايير التقنية والإرشادات والتقارير النهائية (Final Reports) في نصوصها الأصلية، وتوثيق الخلاصات الأساسية بمواضعها.

بيان الوضع

الفصل الدائم في العرض بين الالتزام والممارسة الرقابية والمسودة والتوصية الخاصة.

رادار المهل

متابعة موعد بدء التطبيق والمهل الانتقالية ومهل الإبلاغ لكل إطار تنظيمي – بما في ذلك التأجيلات مثل تلك الناتجة عن Digital Omnibus.

ربط الضوابط (Control Mapping)

ربط الالتزامات بإطار ضوابط مشترك، بحيث يخدم إجراء واحد عدة أطر تنظيمية – بصورة قابلة للقراءة آليًا عبر OSCAL.

Reality Checks لمسؤولي أمن المعلومات (CISO)

أوراق بيضاء حول ⁦NIS2⁩ وDORA وCRA وAI Act مع خرائط طريق للتطبيق – بما في ذلك الذكاء الاصطناعي الوكيلي بوصفه خطرًا جديدًا لتقنية المعلومات والاتصالات في ظل DORA.

الأدوات والكفاءة

تجعل الأدوات التفاعلية مثل ⁦Scope-Navigator⁩ و⁦Register-Builder⁩ الإرشاداتِ قابلة للتطبيق؛ وترسّخ التدريبات العملية ومسارات تعلّم VamiAcademy لكل دور المعرفةَ.

هكذا تبدؤون

1القراءة والتصنيفتحليل المصدر الأولي، وتحديد الوضع والجهات المخاطَبة والمهل، وتمييزها عن الالتزامات القائمة.
2الترجمة إلى ضوابطترجمة الالتزامات إلى ضوابط وعمليات وأدلة إثبات، ودمجها مع الأطر التنظيمية القائمة بدلًا من بناء هياكل موازية.
3التشغيل والإثباتتطبيق الضوابط مرة واحدة، وتحديث أدلة الإثبات باستمرار؛ وفي VamiGRC يتولّى وكلاء الذكاء الاصطناعي المهام الروتينية وفق قواعد الموافقة، ويراجع فريقكم مسودات الإبلاغ.

المنشورات