⁦Grundschutz++⁩ ومعيار BSI ⁦300-1⁩: المنهجية وكتالوج التطبيق والطريق إلى الحصول على الشهادة

ثلاثة مكوّنات، ومنظومة قواعد واحدة

يتيح BSI ⁦Grundschutz++⁩ لإدخال نظام لإدارة أمن المعلومات. ويصف معيار BSI ⁦300-1⁩ المنهجية؛ وبحسب ما يعرضه BSI، تترك المنهجية لمن يطبّقونها هامشًا من المرونة في التصميم، مثلًا فيما يخص حجم المؤسسة ودرجة تعقيد منظومة المعلومات. ويُكمل كتالوج التطبيق المنهجية: فقد حوّل BSI جوانبها المعيارية إلى متطلبات، بحيث يضم الكتالوج جميع متطلبات ⁦Grundschutz++⁩ – متطلبات المنهجية وكذلك المتطلبات التقنية والتنظيمية. ويُتاح الكتالوج في مكتبة أحدث التقنيات، وهي المنصة التقنية التي ينشر عليها BSI المتطلبات والتدابير بصورة مركزية وقابلة للقراءة آليًا. ولأن المتطلبات متاحة بصيغة قابلة للقراءة آليًا، يصبح فحصها قابلًا للأتمتة؛ ووفقًا لـ BSI، من المقرر أن تدعم أدوات رقمية التنفيذ مستقبلًا.

ما الذي يحلّ ⁦GS++⁩ محلّه – وما الذي يبقى في الوقت الراهن

وفقًا لـ BSI، تحلّ مكتبة أحدث التقنيات محلّ IT-Grundschutz-Kompendium. وبوصفه تطويرًا لـ IT-Grundschutz، لم يعد كتالوج التطبيق يصف سوى متطلبات لا تستهدف حلولًا محددة لتقنية المعلومات؛ أما كتالوج النواة (Kernel)، الذي تنبثق منه المتطلبات التقنية والتنظيمية البالغ عددها 901، فلا يتضمن بحسب وصفه إلا متطلبات أمنية محايدة تجاه التقنيات والمصنّعين. ولذلك لا يوجد في كتالوج التطبيق مقابل خاص بالمنتج للوحدات المرتبطة بالمنتجات، كتلك التي تضمّنها Kompendium في إصدار 2023 مثلًا لـ «Windows Server 2012» أو «Clients unter macOS» ‏(أجهزة العملاء العاملة بنظام macOS)؛ إذ تسري على هذه الأنظمة المتطلبات المحايدة تجاه الحلول الخاصة بفئات الكائنات المستهدفة المناسبة. وبدلًا من 111 وحدة في عشر طبقات، ينقسم الكتالوج إلى 20 ممارسة؛ وتحدد فئات الكائنات المستهدفة المتطلبات التي تسري على أصل ما. لذا نرى أن أعداد المتطلبات في Kompendium وفي الكتالوج لا تقبل المقارنة إلا بصورة محدودة، كما أن BSI نفسه لا يعدّ مطابقته بين Kompendium و⁦GS++⁩ تقابلًا بنسبة 1:1، بل أداةً للاسترشاد؛ وهي موسومة بوصفها مسودة بحسب الوضع في 21/07/2026. ويبقى IT-Grundschutz في الوقت الراهن قابلًا للحصول على الشهادة: فوفق خطة المعالم الرئيسية تنتهي قابلية الحصول على الشهادة في 30/11/2031، أي بعد خمس سنوات من نشر ⁦GS++⁩. ومن المقرر أن يصبح تقديم طلبات الحصول على شهادة ISO 27001 على أساس ⁦GS++⁩ ممكنًا اعتبارًا من 01/01/2027، ومن المخطط أن تمتد مرحلة المتبنّين الأوائل من الربع الأول من 2027 حتى 31/12/2027. ويذكر BSI أنه يعدّل خطة المعالم الرئيسية باستمرار.

الطابع الإلزامي: الإدارة الاتحادية وجهات NIS-2

بالنسبة إلى جهات الإدارة الاتحادية، يفرض قانون BSI، بصيغته الجديدة الواردة في قانون تنفيذ NIS-2 الصادر في 2 ديسمبر 2025، حدًّا أدنى من المتطلبات مستمدًّا من معايير BSI، ومن IT-Grundschutz-Kompendium – ويُطلق عليهما القانون معًا اسم «IT-Grundschutz» – ومن المعايير الدنيا الاتحادية (Mindeststandards des Bundes). ويتعيّن إثبات استيفائه أمام BSI في موعد أقصاه خمس سنوات بعد دخول القانون حيّز النفاذ، أي وفق BSI في عام 2030؛ ومن يطبّق هذا الحد الأدنى من المتطلبات يستوفي بذلك في الوقت نفسه الاشتراطات القانونية لإدارة المخاطر، ما لم يذهب قانون تنفيذي صادر عن الاتحاد الأوروبي إلى أبعد من ذلك. ويكلّف القانون ذاته BSI بتحديث IT-Grundschutz بحلول 1 يناير 2026، ويحيل كتالوج التطبيق في بياناته الوصفية إلى هذه الاشتراطات الخاصة بالإدارة الاتحادية تحديدًا. أما الموعد الذي يُعدّ ⁦GS++⁩ اعتبارًا منه الصيغة المعتمدة بمفهوم هذا الالتزام، فلا يحدده صراحةً أيٌّ من المصادر الأولية التي جرى تحليلها لهذه الصفحة. وبالنسبة إلى الجهات البالغة الأهمية والجهات المهمة، لا يأتي قانون BSI على ذكر IT-Grundschutz: إذ ينبغي أن تلتزم تدابيرها بأحدث ما توصلت إليه التقنية، وأن تأخذ في الاعتبار المعايير الأوروبية والدولية ذات الصلة. ومن وجهة نظرنا، يمثّل ⁦GS++⁩ بالنسبة إليها طريقًا ممكنًا، لا طريقًا مفروضًا.

البنية: ستة فصول وأربعة ملاحق

الفئة المستهدفة، والنشأة، والإضافات المُعلن عنها

يحمل الإصدار 1.0 في سجل التغييرات تاريخ 20/10/2026 والملاحظة «النشر الأولي لأول إصدار قابل للتطبيق»؛ ويذكر السجل «S 13» بوصفه المؤلف، وهو بحسب الهيكل التنظيمي لـ BSI القسم «IT-Grundschutz und Mindeststandards» ‏(IT-Grundschutz والمعايير الدنيا). ووفق خطة المعالم الرئيسية، عُرض المعيار في 27/10/2026 في it-sa بمدينة نورنبرغ، وأُتيح لمجتمع المستخدمين لتطبيقه. والفئة المستهدفة هي في المقام الأول المتبنّون الأوائل، أي المؤسسات ذات الخبرة التي تُدخل ⁦GS++⁩ مبكرًا وتُسهم خبراتها في مواصلة تطويره. وقد طُوّرت المنهجية بالتعاون مع مجتمع Grundschutz، وجُرّبت في مؤسسات تجريبية مختارة؛ وامتدت المرحلة التجريبية من 1 أبريل حتى 31 أغسطس 2026. ولا يزال «⁦Leitfaden zur Methodik Grundschutz++⁩» ‏(الدليل الإرشادي لمنهجية ⁦Grundschutz++⁩) الصادر في هذه المرحلة متاحًا، غير أن المرجع المعتمد هو المعيار. وثمة أمور عدة لم يقم BSI حتى الآن إلا بالإعلان عنها: مفاهيم التدريب لممارسي ⁦GS++⁩ ومستشاري ⁦GS++⁩ بحلول 30/11/2026، ومثال تطبيقي يستند إلى الهيئة الحكومية النموذجية الافتراضية «BDIT» في ديسمبر 2026، ومفهوم قياس الأداء بحلول 26/02/2027، ومؤشرات أداء لكل متطلب من متطلبات ممارسات المنهجية بحلول 31/03/2027.

خمس خطوات للعملية، وأربع مراحل PDCA

المعيار يصف، أما الطابع الإلزامي فيكتسبه عبر الكتالوج: فقد حوّل BSI المحتويات المعيارية للمنهجية إلى متطلبات، ونظّمها في ممارسات المنهجية. وتسري هذه المتطلبات البالغ عددها 99 على جميع المؤسسات، ويتعيّن تطبيقها على كل منظومة معلومات؛ إذ «لا يُنص على اتباع إجراء فردي». أما مدى صرامة كل التزام على حدة فتحدده درجة الإلزام في كتالوج التطبيق: فمن بين متطلبات المنهجية البالغ عددها 99، هناك 80 متطلبًا «يجب» و19 متطلبًا «ينبغي»، ولا يوجد أي متطلب «يجوز». ولا يضع نص المعيار والكتالوج التركيز ذاته دائمًا في هذا الشأن. ففي مواضع عدة يصوغ المعيار توصيةً حيث يشترط الكتالوج «يجب»؛ أما في حالة الخطر المتبقي لمتطلبات «ينبغي» غير المنفّذة فالأمر معكوس. توصية VamiSec: خطّطوا وفق متطلبات الكتالوج، واستخدموا نص المعيار بوصفه شرحًا.

السياق والامتثال ونطاق التطبيق

يرصد تحليل السياق العوامل التي تؤثر في المؤسسة من الخارج – الجيوسياسية، والقانونية والتنظيمية مثل NIS-2 أو DORA، والتقنية مثل استخدام الذكاء الاصطناعي، والاقتصادية مثل الاعتماديات على سلاسل التوريد، والمجتمعية، وكذلك البيئية والمادية، مثل الموقع بمحاذاة نهر –، والعوامل الداخلية: الاستراتيجيات والأهداف، والهيكل، والعمليات الراسخة، وبيئة تقنية المعلومات دون جرد تفصيلي، وثقافة المؤسسة وموقفها من الأمن، إضافةً إلى نقص الموارد. وتُسهم إدارة الامتثال بسجل المتطلبات القانونية، والقوانين وكتالوجات المتطلبات، والأنظمة الداخلية، إضافةً إلى الالتزامات القانونية والتعاقدية؛ ويُؤخذ ما ينتج عن ذلك في الاعتبار عند إعداد حزمة المتطلبات. وتحدد الإدارة العليا للمؤسسة نطاق التطبيق: عمليات الأعمال، وذلك بصورة كاملة، والوحدات التنظيمية ذات الصلة في المؤسسة، والمواقع، والتطبيقات، وأنظمة تقنية المعلومات، فضلًا عن الحدود الفاصلة مع الشركاء ومقدّمي الخدمات الخارجيين، والمجالات المستثناة عند الاقتضاء. وتُرصد الأطراف المعنية، مثل العملاء ومقدّمي الخدمات والجهات الرقابية والعاملين أو هيئات تمثيل العاملين، مع توقعاتها؛ ويُحدَّد بالاتفاق مع الإدارة العليا أيّ الالتزامات الملزمة تدخل نظام ISMS بوصفها متطلبات.

عمليات الأعمال: بأبسط ما يمكن، وبالدقة اللازمة

يتعيّن تحديد عمليات الأعمال الواقعة ضمن نطاق التطبيق وتوثيقها؛ ويُقصد بها أيضًا الإجراءات الإدارية والإجراءات التخصصية. وهي الأساس لتحديد حاجة الحماية وحصر الأصول ودراسة المخاطر. ووفقًا للمعيار، يكفي للتوثيق أن تكون غاية العملية واضحة في ضوء أهداف المؤسسة. ومن المصادر خرائط العمليات وأنظمة الإدارة القائمة، مثل نظام إدارة استمرارية الأعمال (BCMS) أو نظام إدارة حماية البيانات (DSMS)، وفي الجهات الحكومية التكليفات القانونية. وإذا غابت مثل هذه النظرات العامة، يساعد التحليل المبسّط لعمليات الأعمال الوارد في ملحق المعيار، والمصمَّم عمدًا بوصفه حدًّا أدنى من المتطلبات: فلا يُشترط إدارة شاملة للعمليات ولا توثيق مفصّل لها.

1. 1
   فحص مسارات العمل

   تتكرر عملية الأعمال بانتظام أو عند وجود داعٍ، وتكون جوهرية لمهمة المؤسسة أو لما تقدّمه من خدمات، وتفضي إلى نتيجة قابلة للتتبع، وتتألف من عدة أنشطة مترابطة موضوعيًا. أما خطوات العمل المنفردة فليست عمليات أعمال؛ وينبغي تجنّب التقسيم المفرط في التفصيل.

2. 2
   الاستفادة من المصادر المتاحة

   الهياكل التنظيمية وخطط توزيع الاختصاصات، والمهام القانونية أو المنصوص عليها في النظام الأساسي، وسجل أنشطة المعالجة، ونظرات عامة على التطبيقات والأنظمة من قاعدة بيانات إدارة التهيئة (CMDB)، وسجلات العمليات، وأدوات ISMS، فضلًا عن نظرات عامة على العقود ومقدّمي الخدمات. وقد يكون الحديث مع الأشخاص المسؤولين مفيدًا بشكل خاص.

3. 3
   توثيق خمسة بيانات

   المعرّف، والاسم، والشخص أو الدور أو الوحدة التنظيمية المسؤولة موضوعيًا، والوصف الموجز، والتطبيقات الجوهرية. ويتعيّن أن يُظهر الوصف الموجز الغاية والنتيجة الجوهرية والإسهام في أهداف المؤسسة؛ أما الشكل – جدول، أو سجل عمليات، أو ويكي، أو أداة ISMS – فيُترك اختياره بحرية.

السياسة العليا لأمن المعلومات، والتنظيم الأمني، والاعتماد

السياسة العليا لأمن المعلومات هي الوثيقة المحورية لنظام ISMS: فهي تصف أهدافًا ملموسة وقابلة للقياس، مثلًا وفق SMART، والاستراتيجية، وتحدد التزام الإدارة العليا للمؤسسة ومسؤوليتها، وتعتمدها الإدارة العليا، ويتعيّن إبلاغها إلى جميع العاملين. ويُعدّ وجود تنظيم لأمن المعلومات بأدوار ومسؤوليات محددة «مطلوبًا إلزامًا». ويتعيّن تجنّب تضارب المصالح، مثلًا بين إدارة تقنية المعلومات ومسؤول أمن المعلومات (ISB) أو بين مسؤول حماية البيانات ومسؤول أمن المعلومات، كما يتعيّن إشراك مسؤول أمن المعلومات أو دور آخر من أدوار التنظيم الأمني في المشاريع ذات الصلة بالأمن. ويتعيّن ترسيخ إجراءات للتواصل الداخلي والخارجي ولضبط جميع الوثائق ذات الصلة بنظام ISMS على الأقل. وتقع المسؤولية عن نظام ISMS على عاتق الإدارة العليا للمؤسسة، و«لا يمكن تفويضها»؛ وتتلقى الإدارة العليا مذكرات قرار بشأن نطاق التطبيق، وحاجة الحماية، وترتيب عمليات الأعمال، والموارد، والسياسة العليا لأمن المعلومات. وفي الختام تُطلق المؤسسة دراسة المخاطر: شهية المخاطر ومعايير قبول المخاطر على المستوى الاستراتيجي، والإجراءات والمعايير على المستوى المنهجي، والأدوار بما فيها مالكو المخاطر على المستوى التنظيمي – وتُقرّ الإدارة العليا هذا الإطار.

عند تحديد حاجة الحماية، يُقرَّر لكل عملية أعمال جرى حصرها ما حاجة الحماية التي تتطلبها فيما يتعلق بالقيم الأساسية: السرية والسلامة والتوافر. ويُستند في ذلك إلى المعلومات المعالَجة في العملية، والعامل الحاسم هو الأضرار التي قد تترتب على المساس بها. ويتعيّن تحديد حاجة الحماية لكل عملية على حدة وتوثيقها، وتعتمدها الإدارة العليا للمؤسسة. ويجعل كتالوج التطبيق من الإجراء ومن تحديد الفئة متطلبات «يجب»، ويُطبّقهما على «عمليات الأعمال أو المعلومات»؛ ويجري تحديد الفئة مع مراعاة أهداف الأعمال وبالتنسيق مع الإدارة العليا للمؤسسة. ووفقًا للنص الإرشادي، يتعيّن تحديد فئة العملية بأنها عالية إذا كانت تتهددها أضرار مالية أو أضرار بالسمعة تهدد وجود المؤسسة، أو آثار جسيمة على أهداف الأعمال أو الالتزامات القائمة، وكذلك إذا كانت تعالج معلومات مصنّفة بوصفها سرية بشكل خاص.

خمسة سيناريوهات للضرر بوصفها أداة مساعدة لفئة «عالية»

• مخالفة القوانين أو اللوائح أو العقود بعواقب تهدد وجود المؤسسة
• المساس بالحق في تقرير المصير المعلوماتي بما يؤدي إلى ضرر جسيم بالسمعة
• المساس بالسلامة الشخصية
• أثر سلبي داخلي أو خارجي يُلحق بسمعة المؤسسة ضررًا طويل الأمد
• آثار مالية بحجم يهدد وجود المؤسسة

وللمؤسسة أن تعرّف اختياريًا فئات إضافية خاصة بها، لكن يتعيّن عليها مطابقتها مع فئتي ⁦GS++⁩؛ ولكي يكون نظام ISMS قابلًا للحصول على الشهادة، يتعيّن دائمًا الالتزام بأحدث ما توصلت إليه التقنية في الفئة الأدنى. وعند التطبيق لأول مرة، يوصي المعيار بالبدء بأهم عملية أعمال في أعلى فئة لحاجة الحماية – وإن وُجدت عدة عمليات، تختار الإدارة العليا للمؤسسة – ثم فحص جميع عمليات نطاق التطبيق تدريجيًا. ويستند أحدث ما توصلت إليه التقنية الذي ينشره BSI إلى حالات المعالجة النموذجية. وفي الحالات غير النموذجية أو عند ارتفاع حاجة الحماية – وتُذكر في هذا السياق البيانات المصنّفة حكوميًا والفئات الخاصة من البيانات الشخصية وفق اللائحة العامة لحماية البيانات (DSGVO) – قد تلزم تدابير حماية إضافية.

من حاجة الحماية إلى المستوى الأمني

يحمل كل متطلب أحد مستويين أمنيين: «عادي (SdT)»، وهو المستوى الأمني القياسي، أو «مرتفع». ويتوقف اختيار المتطلبات على حاجة الحماية لعملية الأعمال قيد الدراسة. ووفقًا للمعيار، تتضمن متطلبات المستوى «مرتفع» درجة الإلزام «يجوز»، ويكون استيفاؤها اختياريًا؛ ويمكن الاستعانة بها في دراسة المخاطر لتحديد تدابير إضافية، مثلًا عند ارتفاع المخاطر. وفي الكتالوج المؤرخ 22/10/2026 ينطبق ذلك على 224 من أصل 227 متطلبًا بالمستوى «مرتفع»، فيما تحمل ثلاثة منها درجة الإلزام «ينبغي». ويقضي كتالوج التطبيق، في صورة متطلب «ينبغي»، بمراجعة التحديد الأولي للمستويات الأمنية إذا كان سياق المؤسسة مختلفًا – ولا سيما، وفق النص الإرشادي، عند وجود حاجة حماية عالية؛ ويمكن تغيير هذا التحديد أيضًا لأصول بعينها. ويذكر النص الإرشادي في الكتالوج صراحةً خفض المستوى من «مرتفع» إلى «عادي (SdT)» بوصفه داعيًا لإجراء دراسة للمخاطر.

نطاق التطبيق ومنظومة المعلومات

يحدّد نطاق التطبيق الامتداد الرسمي والتنظيمي لنظام إدارة أمن المعلومات (ISMS)، أما منظومة المعلومات فهي تمثيله الموضوعي والتقني. ويمكن أن يضم نطاق التطبيق منظومة معلومات واحدة أو أكثر؛ ويمكن لمنظومة المعلومات أن تشمل نطاق التطبيق بأكمله أو مجالات بعينها مقسَّمة وفق الهيكل التنظيمي أو عمليات الأعمال المشتركة أو التطبيقات. والأصول هي جميع العناصر ذات القيمة، المادية منها وغير المادية، اللازمة لعمليات الأعمال قيد الدراسة، مثل التطبيقات أو أنظمة تقنية المعلومات أو الغرف. ويضمن التحديد الواضح للحدود حصر جميع المعلومات والأصول والاعتماديات ذات الصلة؛ والأصول التي جرى حصرها شرط مسبق لحزمة المتطلبات. ويصوغ كتالوج تطبيق ⁦Grundschutz++⁩ ذلك في متطلبَين «يجب»: تحديد منظومة المعلومات بحدود مرسومة على نحو قابل للتتبع استنادًا إلى نطاق التطبيق، وتحديد واجهاتها مع العمليات الخارجية.

يمكن أن تشمل الأصول ذات الصلة على وجه الخصوص عمليات الأعمال، والمعلومات، والأنظمة والتطبيقات، ومكوّنات الشبكة والاتصالات، وأصول البنية التحتية والأصول المادية، فضلًا عن الأصول البشرية والتنظيمية. ويمكن للمؤسسة في التوثيق الاستناد إلى سجلات الأصول القائمة وبيانات الأنظمة المسجَّلة رقميًا؛ أما الواجهات مع العمليات والأنظمة الخارجية أو مع منظومات المعلومات الأخرى فيتعيّن توثيقها بشكل لا لبس فيه على الصعيد التنظيمي والتقني وعلى صعيد البنية التحتية. ويتبع ترتيب الحصر الأولويات المستمدة من تحديد حاجة الحماية، ويُسمح بتجميع الأصول ذات الخصائص المتشابهة والغرض المتشابه من الاستخدام. ويشترط كتالوج التطبيق بدرجة «يجب» تحديد جميع الأصول ذات الصلة لعمليات الأعمال قيد الدراسة؛ وفي دورة PDCA الأولى تكفي وفقًا للنص الإرشادي أصول عملية الأعمال الأهم. ولكل أصل ينص الكتالوج على تسمية فريدة، ووصف موجز يتضمن الغرض، والإسناد إلى عمليات الأعمال، ودور مسؤول أو مالك للأصل.

الاعتماديات: العمق بحسب حاجة الحماية

وفقًا للمعيار، يمكن لأغراض هذا التمثيل الاستفادة من مصادر قائمة مثل قواعد بيانات CMDB وسجلات الأصول وأدلة التشغيل ومخططات الشبكة أو خرائط الخدمات، تجنبًا لازدواجية العمل. والحاسم هو أن تكون الاعتماديات الجوهرية موثَّقة على نحو قابل للتتبع، لأن دراسة المخاطر عند حاجة الحماية العالية تنطلق من مستوى عملية الأعمال وتتبع مسار الموارد. أما العمليات ذات حاجة الحماية العادية، فيشترط المعيار لها نوعين من العلاقات على الأقل. وبعد ذلك تُسنَد الأصول إلى فئات الكائنات المستهدفة.

الممارسات: ترتيب موضوعي في ثلاث فئات

وفقًا للمعيار، تخدم الممارسات تحسين الفهم: فهي تجمع المتطلبات موضوعيًا وتنقسم إلى الفئات المنهجية والتنظيمية والتقنية. وتشكّل ممارسات المنهجية الست، بما تضمه من 99 متطلبًا، الإطارَ الإداري، ولا تحمل أي فئة للكائنات المستهدفة. أما الممارسات التنظيمية الثماني والتقنية الست فتضم 901 متطلب؛ وتبدأ كل منها بالمجموعة الفرعية «الأساسيات» ثم تتفرع موضوعيًا – وتضم مجتمعةً 103 مجموعات فرعية، في حين يضم الكتالوج بأكمله 140. وتوضّح تعريفات BSI لكل ممارسة الحدود الفاصلة بينها، ومن ذلك أن ممارسة الرصد والتقييم تقابل مرحلة Check في دورة PDCA، وأن ممارسة التحسين تختتم الدورة وتفتتح في الوقت ذاته دورة جديدة، وأن ممارسة الكشف تترك التعامل مع الأحداث المكتشَفة لممارسة معالجة الحوادث الأمنية.

ثمة نمط يساعد على القراءة: لا تتضمن الممارسات التقنية والتنظيمية الـ14 سوى 69 متطلبًا «يجب»، وجميعها في المجموعة الفرعية «الأساسيات». وهي تشكّل في كل ممارسة الإطار الإجرائي نفسه – ترسيخ الإجراءات والقواعد، وتوثيقها، وإسناد المهام المرتبطة بها، وإبلاغ المسؤولين، ومراجعة القواعد بانتظام وعند وجود سبب يستدعي ذلك؛ وفي ممارسة التوعية يحلّ محلَّ المراجعة متطلب «ينبغي» لقياس النجاح. أما المتطلبات الـ832 المتبقية في هذه الممارسات فهي من نوع «ينبغي» أو «يجوز»، وتنتمي متطلبات «يجوز» دون استثناء إلى المستوى الأمني «مرتفع». ومن وجهة نظرنا، يصبح «ينبغي» بذلك المقياس الفعلي في ⁦GS++⁩: إذ يتعيّن وزن أي انحراف بعناية وتعليله تعليلًا وجيهًا، ويستتبع عدم الاستيفاء الدائم دراسةً للمخاطر.

فئات الكائنات المستهدفة: العقد الأم والعقد الفرعية

تُسمّى العقد الأعلى في التسلسل الهرمي العقدَ الأم، والعقد التابعة لها العقدَ الفرعية. وغالبًا ما يكون للمتطلبات في المستوى الأعلى من كل فرع طابع مفاهيمي، مثل «ترسيخ الإجراءات»؛ وكل فئة معرَّفة في ملحق المعيار، ومعظمها مزوَّد بأمثلة إضافية، ويمكن إسناد كل أصل جرى تحديده إلى فئة واحدة على الأقل. والحاسم هو الوراثة: إذ يتعيّن أن تُسنَد إلى الأصل أيضًا جميع الفئات الأعلى مرتبة، ولا تنتج متطلباته إلا من الفئة المباشرة والفئات الأعلى مرتبة مجتمعةً. وهكذا ترث خدمة SaaS المسجَّلة بوصفها خدمة سحابية متطلباتِ «الاستعانة بمصادر خارجية» و«الخدمات» و«المشتريات» – 9 متطلبات مباشرة يضاف إليها 29 و31 و39، أي 108 متطلبات إجمالًا. ويجعل كتالوج التطبيق الإسناد والوراثة والتوحيد متطلباتٍ «يجب»: فالإسناد يجري على أساس وظيفي، أي بحسب الدور الذي يؤديه الأصل في عملية الأعمال، والمتطلبات التي تسري أكثر من مرة لا تُدرَج إلا مرة واحدة، أما الأصول التي يصعب إسنادها فتُحلَّل في إطار دراسة المخاطر.

ثلاثة أنواع من المتطلبات

يعرض المعيار الطريق إلى الحزمة في صورة سلسلة: عملية أعمال ذات حاجة حماية عادية أو عالية، فالأصول، ففئات الكائنات المستهدفة، فالمتطلبات، فحزمة المتطلبات – وعند حاجة الحماية العالية، دراسة المخاطر. ولكل أصل تنشأ اشتراطات تنظيمية وتقنية وبشرية وأخرى متعلقة بالبنية التحتية؛ أما المتطلبات التي تسري على عدة أصول من الفئة نفسها فلا ترد في الحزمة إلا مرة واحدة. وفيما يخص المتطلبات دون فئة للكائنات المستهدفة، يختلف النصّان: فالمعيار يشترط إدراجها إلزاميًا، في حين ينص النص الإرشادي للكتالوج على اتخاذ قرار بشأن صلة كل متطلب، وعلى استبعاد المتطلبات غير ذات الصلة مع التعليل. توصية VamiSec: اتّباع المعيار وإدراجها جميعًا، وتسجيل المتطلبات التي لا يوجد مكوّنها في منظومة المعلومات في خطوة التنفيذ بالحالة «غير قابل للتطبيق» مع تعليل موثَّق – وبذلك يبقى النهج قابلًا للتتبع وفق كلا النصين.

المخططات النموذجية: منصوص عليها، لكنها لم تُنشر بعد

المخطط النموذجي (Blaupause) وفقًا للمعيار كتالوج جاهز من المتطلبات، مفصَّل خلافًا لكتالوج التطبيق على مقاس سيناريوهات استخدام محدَّدة، ويُجري انتقاءً مسبقًا، ويحدّد المعلمات سلفًا. ويمكن إسناد المخططات النموذجية إلى مجموعات من الأصول أو إلى أصول منفردة والجمع بينها؛ ويتعيّن توثيق الاختيار بما في ذلك الإصدار، وكذلك الإسناد والتكييف، على نحو قابل للتتبع، وسدّ الثغرات بمخططات نموذجية أو متطلبات إضافية، ومراجعة الاختيار عند حدوث تغييرات في منظومة المعلومات أو في المخططات النموذجية المتاحة. وقد توجد مخططات نموذجية إلزامية لمؤسسات بعينها؛ ولا يذكر المعيار ما هي. وبحسب الوضع في 29/10/2026، لا يحمل أي مُخرَج في مكتبة أحدث التقنيات (Stand-der-Technik-Bibliothek) تسمية «مخطط نموذجي». ومن بين ما نُشر ملفُّ التعريف (profile) «Stand der Technik WLAN» ‏(أحدث ما توصلت إليه التقنية للشبكات اللاسلكية المحلية) الذي يضم 48 متطلبًا مختارًا وثلاث معلمات محدَّدة سلفًا مثل «WPA3»، وملفُّ تعريف لأمن سلسلة التوريد يضم 146 متطلبًا دون معلمات محدَّدة سلفًا؛ ولا يذكر BSI ما إذا كانا يُعدّان مخططات نموذجية. وقد عرض BSI مفهومًا للمخططات النموذجية على مجموعة عمل مجتمعية بوصفه نسخة ألفا للتعليق عليه، وهو غير متاح للعموم.

المتطلبات الخاصة وقرارات التصميم

إذا تعذّر تمثيل أصل ما تمثيلًا كافيًا بالمتطلبات القائمة، أو نشأت التزامات من إدارة الامتثال أو من تحليل أصحاب المصلحة، فإن المعيار يصوغ توصيةً بتطوير متطلبات تكميلية؛ أما كتالوج التطبيق فيجعل كلا الأمرين متطلبًا «يجب». وبالنسبة إلى الأصول التي لا تتوفر لها متطلبات مناسبة، ينص النص الإرشادي على توثيق الأصول المعنية، وتعليل عدم كفاية متطلبات ⁦GS++⁩، وصياغة متطلبات جديدة مرتبطة بأهداف الحماية عند الاقتضاء، وإدراجها بصورة ثابتة في الحزمة، وإرسالها إلى BSI. ولا يحدّد المعيار بدقة «الصيغة التي ينص عليها ⁦GS++⁩» للمتطلبات الخاصة؛ ومن وجهة نظرنا، يُعدّ قالب الجملة الذي بُنيت وفقه جميع متطلبات الكتالوج خيارًا مناسبًا: الممارسة، وفئة الكائنات المستهدفة عند الاقتضاء، ودرجة الإلزام، والنتيجة، واختياريًا تحديدٌ للنتيجة، وفعلٌ إجرائي – مثل “المعلومات والأصول لأنظمة تقنية المعلومات «ينبغي» توثيق احتياجات الصيانة لمكوّنات الأنظمة والبنية التحتية اللازمة للتشغيل”. ويستخدم الكتالوج 27 فعلًا إجرائيًا، أكثرها تكرارًا «ترسيخ» و«توثيق» و«تفعيل»، ويذكر لـ961 متطلبًا نوعًا موصى به من التوثيق.

تتخذ المؤسسة قرارات التصميم عبر المعلمات: وهي عناصر متغيرة مثل «بانتظام»، تُبيّن للمدققين وللجهات المطبِّقة هوامش التقدير المتاحة، ويمكن استخدامها في الفحص المؤتمت. وتُحدَّد بشكل ملموس أثناء إعداد الحزمة أو بعده؛ ويشترط كتالوج التطبيق بدرجة «يجب» إسناد قيم محدَّدة، وفقًا للنص الإرشادي مثل «يوميًا» أو «أسبوعيًا» أو «شهريًا» بدلًا من «بانتظام»، أو الأشخاص والأدوار الذين تُسند إليهم كل ممارسة تقنية وتنظيمية المهامَ في مجموعتها الفرعية «الأساسيات». ويضم الكتالوج 223 معلمة في 210 متطلبات. ولا يحدّد ملف التعريف الخاص بكتالوج التطبيق منها سوى اثنتين: المعيار الخاص بنظام ISMS، وهو «⁦BSI Grundschutz++⁩»، والمعيار الخاص بنظام إدارة استمرارية الأعمال (BCMS)، وهو «⁦BSI-Standard 200-4⁩»؛ أما جميع القيم الأخرى فتحددها المؤسسة، ما لم يفرضها مخطط نموذجي.

حالة التنفيذ: ثلاث قيم، تُفحص بالكامل

يجب فحص حالة التنفيذ الراهنة لكل متطلب في حزمة المتطلبات فحصًا كاملًا. ويعرف المعيار ثلاث قيم: «مستوفى» و«غير مستوفى» و«غير قابل للتطبيق». والقيمة الثالثة مقيَّدة بشروط: إذ يمكن اعتبار المتطلب «غير قابل للتطبيق» إذا تعذّر استيفاؤه من الناحية الوظيفية أو إذا لم يكن المكوّن الذي يستند إليه موجودًا في منظومة المعلومات؛ ويتعيّن توثيق التعليل. وينبغي أن يتبع تحديدُ الحالة إجراءً منظَّمًا يمكن أن يمتد من المقابلات ومراجعات المستندات إلى فحوص التهيئة المؤتمتة وعمليات المسح التقنية؛ ويتعيّن البدء بفحص المتطلبات ذات المستوى الأمني «عادي (SdT)». وفي كتالوج تطبيق ⁦Grundschutz++⁩ يُعدّ فحص الحالة متطلبًا «يجب»، كاملًا ومنتظمًا، على أن تحدد المؤسسة الفاصل الزمني بوصفه معلمة. أما النص الإرشادي هناك فلا يعرف سوى «منفَّذ» و«غير منفَّذ»، ويضيف قاعدة لا يذكرها المعيار: لا يُعدّ المتطلب منفَّذًا إلا إذا نُفِّذت أيضًا جميع المتطلبات المرتبطة به بعلاقة اعتمادية.

خطة التنفيذ: كل تدبير مرتبط بمتطلبه

تنشأ من حزمة المتطلبات خطة تنفيذ منظَّمة. وهي تحدد لكل متطلب تدابير ملموسة وترتّبها حسب الأولوية؛ ويذكر المعيار أمثلةً لمعايير الترتيب، منها جهد المتطلب الذي يستند إليه التدبير، وأوجه التآزر بين التدابير، ومستوى المخاطر، والأهمية الاستراتيجية، والمكاسب السريعة (Quick Wins) ذات الفعالية العالية. ويوصي المعيار من حيث المبدأ بتنفيذ متطلبات العقد الأم أولًا. ويجب أن يتضح بجلاء لكل متطلب ما التدابير المسندة إليه؛ وإذا عالج تدبير ما عدة متطلبات، فيتعيّن بيان جميع حالات الإسناد، وكذلك الاعتماديات. ولكل تدبير يتعيّن تسجيل ما يلي على الأقل: المتطلب المرتبط به، وتاريخ التنفيذ أو المراجعة، والشخص القائم بالتوثيق أو بالمراجعة. وينبغي توثيق المسؤوليات والمواعيد النهائية الواقعية بشكل مناسب، مثلًا في نظام لإدارة المشاريع أو نظام للتذاكر؛ وتوافق الإدارة العليا للمؤسسة على هذا النهج لأنها هي التي يتعيّن عليها توفير الموارد. ويجب متابعة التقدم باستمرار، ويتعيّن منع أي تضارب محتمل في المصالح بين التنفيذ ومتابعة التقدم من خلال توزيع ملائم للأدوار.

أدلة الإثبات والفحص المؤتمت والسجل التاريخي

يتعيّن إسناد أدلة الإثبات المستخدمة في التقييم إسنادًا لا لبس فيه إلى التدبير المعني، كي يمكن تتبّع التنفيذ. وفي الفحوص المؤتمتة، تندرج في التوثيق الأداة المستخدمة وتوقيت الفحص والنتيجة؛ وإذا أنشأت الأداة تقرير فحص، فإنه يُسنَد إلى التدبير وإلى المتطلب. وإذا تغيّر الإسناد أو وضع التنفيذ أو نتيجة الفحص، يتعيّن تحديث التوثيق، ولأغراض قابلية التتبع يوصي المعيار بسجل تاريخي يتضمن على الأقل التوقيت والشخص المسؤول والأداة المستخدمة. أما المحتويات التي تتضمنها خطة التنفيذ عادةً، فيعدّدها النص الإرشادي الخاص بالموافقة على تخطيط التنفيذ: من وصف المتطلب، والكائن المستهدف، والجهة المسؤولة، والمواعيد النهائية والأولويات، مرورًا بالمخاطر مع تعليلها، والموارد والاعتماديات، وصولًا إلى تاريخ الموافقة وتوقيع مالك المخاطر. وللنتائج المقروءة آليًا للفحوص، تنص مكتبة أحدث التقنيات (Stand-der-Technik-Bibliothek) على طبقة مستقلة للتقييم (Assessment Layer)؛ ولم يُنشر فيها أي مُخرَج حتى الآن.

متى تلزم دراسة خاصة للمخاطر

يستند كتالوج التطبيق إلى دراسة عامة للمخاطر أجراها BSI، تنطلق من وضع تهديدات نموذجي مفترض؛ ولذلك لا يتعيّن على المستخدمين، عند حاجة الحماية العادية، إجراء دراسة خاصة بهم للمخاطر. وتلزم دراسة صريحة للمخاطر إذا كانت لعملية أعمال حاجة حماية عالية في هدف حماية واحد على الأقل، أو إذا كان أصلٌ ذو صلة بمنظومة المعلومات غير مغطًّى بما يكفي بفئات الكائنات المستهدفة ومتطلباتها، أو إذا كان متطلب «ينبغي» قابل للتطبيق لن يُستوفى في المستقبل المنظور أو لن يُستوفى نهائيًا. وفي كتالوج التطبيق صيغت هذه المسبّبات في صورة متطلبات «يجب»: دراسة مخاطر مخصّصة لعمليات الأعمال أو المعلومات ذات حاجة الحماية العالية، ودراسة للمخاطر كلما اشترطتها المنهجية. ويذكر النص الإرشادي المرافق لذلك أيضًا خفض المستوى الأمني من «مرتفع» إلى «عادي (SdT)»، وهو داعٍ لا يذكره المعيار نفسه. وتختار المؤسسة بنفسها الإجراء المتّبع في التحديد والتقييم والمعالجة، على سبيل المثال على أساس ISO/IEC 27005 أو ISO 31000 أو معيار BSI ⁦200-3⁩، ما دامت المعايير الدنيا لدراسة المخاطر مستوفاة. ويُراد بهذه المعايير، من بين أمور أخرى، أن تجعل الطريقة قابلة للمقارنة وللتحقق منها في إطار الحصول على الشهادة.

الأدوار والاعتمادات: من يعتمد ماذا

التهديدات الأولية: حلقة الوصل بين استنباط BSI والتحليل الخاص

تصف التهديدات الأولية الـ47، من G 0.1 إلى G 0.47، أي من الحريق إلى الآثار الجانبية الضارة للهجمات المدعومة بتقنية المعلومات، أحداثًا أو ظروفًا أو أفعالًا أساسية على مستوى مجرّد. وهي محايدة تجاه المنتجات والتقنيات، ومتوافقة مع المعايير الدولية، ومُسندة إلى القيم الأساسية: السرية والسلامة والتوافر، وتستهدف أخطارًا واقعية؛ ولا يُعدّ تدبير أمني غائب أو منفّذ على نحو غير كافٍ، من حيث المبدأ، تهديدًا أوليًا. ولها في ⁦GS++⁩ وظيفتان: فهي أحد الأسس التي استنبط منها BSI متطلبات الكتالوج، وهي نقطة انطلاق للمستخدمين في دراسات المخاطر الخاصة بهم. ويظهر هذا الارتباط في الكتالوج. فمتطلبات النواة (Kernel) الـ901 تحمل معرّفات G0، وترد فيها التهديدات الـ47 جميعها، أما متطلبات ممارسات المنهجية فلا تحمل أيًّا منها. وفي حالة متطلبات «ينبغي» غير المستوفاة بصورة دائمة تتعيّن مراعاة التهديدات المُسندة إليها؛ وعمليًا يبدأ تحليل مثل هذه الفجوة إذن من معرّفات G0 الخاصة بالمتطلب المعني.

تقييم الأداء: إلزامي، لكن دون اشتراطات موحّدة حتى الآن

يلزم تقييم الأداء لمراجعة فعالية نظام إدارة أمن المعلومات (ISMS) وأهدافه. ولأن تطوير اشتراطات موحّدة لذلك في ⁦GS++⁩ لم يُنجَز بعد، فللمؤسسات حرية تصميمه؛ وينبغي أن تُعرض النتائج على الإدارة العليا للمؤسسة بصورة قابلة للتتبّع. غير أن حرية التصميم لا تعني أنه اختياري: إذ يشترط كتالوج التطبيق، في صورة متطلبات «يجب»، إجراءات وقواعد لقياس أداء نظام ISMS وتقييمه، ومراجعة خطة التنفيذ وتحديثها بانتظام، وفحصًا منتظمًا لمعرفة ما إذا كانت المتطلبات لا تزال محدّثة. ويعتزم BSI، وفق خطة المعالم الرئيسية، سدّ هذه الفجوة المنهجية في 2027: إذ يُفترض أن يكون مفهوم قياس الأداء مدمجًا في المنهجية وقابلًا للتطبيق بحلول 26/02/2027، وأن تكون لكل متطلب من متطلبات ممارسات المنهجية مؤشرات أداء بحلول 31/03/2027.

التدقيق ومراجعة الإدارة والرصد

يخدم التدقيق الداخلي، وفق المعيار، غرض الرقابة الذاتية: فتركيزه لا ينصبّ على كشف حالات عدم المطابقة، بل على إبراز فرص التحسين. وعند التخطيط يتعيّن أولًا تحديد أهداف برنامج التدقيق؛ وينبغي أن تراعي، من بين أمور أخرى، متطلبات أمن المعلومات، وكفاءة الكشف ومعالجة الحوادث الأمنية، والمخاطر المحدّدة، والعمليات، ومستوى نضج نظام ISMS، ونتائج عمليات التدقيق السابقة. ويتعيّن تحديد مخاطر برنامج التدقيق ذاته وتقييمها، بما في ذلك تدابير الحفاظ على السرية في التدقيق. وينبغي أن يتحدّد النطاق ووتيرة التكرار وفق عدد أنظمة المعلومات والمواقع والأشخاص المعنيين، ودرجة تعقيد نظام ISMS، وأهمية المخاطر؛ ويمكن أن تُجرى عمليات التدقيق في الموقع أو عن بُعد أو بالجمع بينهما، وينبغي أن يضمن اختيار فريق التدقيق الموضوعية والحياد. وفي مراجعة الإدارة تفحص الإدارة العليا للمؤسسة، استنادًا إلى تقرير الإدارة، ما إذا كان نظام ISMS ملائمًا وكافيًا وفعّالًا، مع مراعاة نتائج التدقيق، وتقييم الأداء، والحوادث الأمنية، وحالة معالجة المخاطر، والتغييرات في المؤسسة أو في وضع التهديدات، وحالة القرارات السابقة. ولأغراض الرصد يتعيّن ترسيخ ثلاثة إجراءات، يُضاف إليها التحقق المنتظم من صلاحية المتطلبات:

• كشف الحوادث الأمنية مع تحديدها والإبلاغ عنها مبكرًا، بدءًا من الإجراءات اليدوية وصولًا إلى أنظمة الكشف المؤتمتة، تبعًا لحجم المؤسسة ودرجة تعقيدها.
• التعامل مع الثغرات: تحديدها وتقييمها ومعالجتها ومتابعتها بصورة منهجية، مع إعادة إدخال النتائج في دراسة المخاطر.
• تسجيل التهديدات المستجدة والاستجابة لها، مع إعادة إدخال النتائج في دراسة المخاطر كذلك.
• التحقق من صلاحية المتطلبات عند حدوث تغييرات في منظومة المعلومات، أو في مكتبة أحدث التقنيات (Stand-der-Technik-Bibliothek)، أو في المخططات النموذجية المستخدمة، أو في منهجية ⁦GS++⁩، بالتنسيق مع الوحدات التنظيمية المختصة، ومع تعديل حزمة المتطلبات عند الاقتضاء.

التحسين: من الملاحظة إلى خطة التصحيح والتحسين

إذا لم تُستوفَ المتطلبات بالقدر المقرّر، فثمة انحراف. وتُسجَّل حالات عدم المطابقة بصورة منهجية ويُبحث في أسبابها، لا المباشرة منها فحسب، بل الكامنة وراءها أيضًا. ويشمل ذلك تقدير مدى احتمال تكرارها ومدى جسامة عواقب هذا التكرار، والنظر في حالات مماثلة في مجالات أخرى، والتساؤل عمّا إذا كان ثمة ضعف بنيوي في نظام ISMS. وتنشأ فرص التحسين، من بين مصادر أخرى، من وضع التهديدات، وفعالية خطة التنفيذ، ونتائج التدقيق، والحوادث الأمنية، ومقترحات العاملين؛ وينبغي تقييمها وفق خفض المخاطر، وحجم الموارد المطلوبة، والأهمية الاستراتيجية، وأوجه التآزر، والاستدامة. ويتعيّن إدراج مقترحات التصحيح والتحسين في خطة للتصحيح والتحسين تُرتَّب أولوياتها وفق الموارد والمكاسب السريعة (Quick Wins) وأكبر إمكانات التحسين، وتُضمَّن في خطة التنفيذ. ثم يفحص التقييم، بمعايير قابلة للقياس أو باختبارات أو بعمليات تدقيق، ما إذا كانت التدابير فعّالة. وتُطلق الثغرات المكتشفة وأوضاع التهديدات المتغيّرة دورة جديدة من دراسة المخاطر، فتكتمل الحلقة عائدةً إلى خطة التنفيذ في خطوة التنفيذ.

درجات الإلزام والمستويات الأمنية والارتباط بفئات الكائنات المستهدفة

مستويات الجهد: ما يتوقعه BSI من عمل

ما الذي تغيّر منذ أبريل 2026

تطال هذه التحولات بالدرجة الأولى ممارسات المنهجية: فهناك حُذفت مجموعات فرعية أو دُمجت، وعشرة من المتطلبات الاثني عشر المحذوفة مصدرها المنهجية، ورُفعت خمسة من متطلبات المنهجية من «ينبغي» إلى «يجب». وإجمالًا غيّر أحد عشر متطلبًا درجة إلزامه؛ فإلى جانب هذه الخمسة ارتفعت أربعة من «يجوز» إلى «ينبغي»، وانخفض متطلب واحد من «ينبغي» إلى «يجوز» وآخر من «يجب» إلى «ينبغي». ومعظم المتطلبات المضافة حديثًا من ممارسة إدارة الصلاحيات. وأهم من أي رقم منفرد في الواقع العملي هو الاستنتاج الكامن وراء ذلك: معرّفات ID تتبع الموضع ويمكن أن تتغيّر بين إصدارات الكتالوج، أما الثابت فهو معرّف UUID. ومن شأن مقارنة معرّفات ID وحدها أن تُظهر عددًا من المتطلبات الجديدة والمحذوفة أكبر بكثير مما هو موجود فعلًا. لذلك إذا كنتم تبنون حالة التنفيذ أو المطابقات أو بيانات قابلية التطبيق على معرّفات ID للمتطلبات، فينبغي لكم مقارنة كل إصدار جديد من الكتالوج عبر معرّفات UUID؛ ومن وجهة نظرنا تُعدّ هذه وظيفة أساسية لكل أداة خاصة بـ ⁦GS++⁩. وفي ما يلي لمحة عن أرقام أخرى:

• أكبر الممارسات: KONF بـ157 متطلبًا، وBES بـ109، وBER بـ92، وSENS بـ87، وDET بـ82، وGEB بـ75؛ وتضم ممارسات المنهجية الست مجتمعةً 99 متطلبًا، منها 80 بدرجة «يجب» و19 بدرجة «ينبغي».
• أكثر أنواع التوثيق تكرارًا: سجل تاريخ التهيئة بـ183 ذكرًا، ومفهوم تشغيل تقنية المعلومات بـ116، ومعايير الشراء بـ70، ومفهوم الكشف بـ61، وتعليمات العمل وخطة التدريب بـ60 ذكرًا لكل منهما.
• التسمية الأكثر تكرارًا للمعلمات هي «بانتظام»، إذ ترد 68 مرة؛ ولا يحدّد ملف التعريف (profile) الخاص بكتالوج التطبيق سوى معلمتين من المعلمات الـ223، أما سائرها فتحدّدها المؤسسة بدقة.
• أكثر التهديدات الأولية تكرارًا: G 0.18 بـ385 إسنادًا، وG 0.23 بـ142، وG 0.30 بـ130، وG 0.36 بـ110، وG 0.19 بـ98، وG 0.39 بـ95.
• بفعل الوراثة على امتداد فئات الكائنات المستهدفة يتّسع نطاق المتطلبات لكل أصل: فالأصل المنتمي إلى فئة «الخدمات السحابية» تُسند إليه مباشرةً 9 متطلبات، وتبلغ مع الفئات الأعلى «الاستعانة بمصادر خارجية» و«الخدمات» و«المشتريات» 108 متطلبات.
• قالب الجملة: 27 فعلًا إجرائيًا مختلفًا، أكثرها تكرارًا «ترسيخ» في 137 متطلبًا، و«توثيق» في 100، و«تفعيل» في 78.

مكتبة أحدث التقنيات

تُعدّ مكتبة أحدث التقنيات، وفق BSI، المنصة التقنية التي تُتاح عليها جميع المتطلبات والتدابير بصورة مركزية؛ وهي تخلف IT-Grundschutz-Kompendium، ويُعدّ كتالوج تطبيق ⁦Grundschutz++⁩ جزءًا منها. والمستودع BSI-Bund/Stand-der-Technik-Bibliothek متاح للعموم، وفق BSI، منذ 29/09/2025، ويخضع لترخيص CC BY-SA 4.0. ومنذ التحوّل إلى بنية الطبقات في 27/07/2026 ينشر BSI التحديثات في صورة نشر متواصل مؤتمت («rolling publication») على فترات متفاوتة، وكان آخرها، حتى تاريخ تحرير هذا النص في 29/10/2026، بتاريخ 23/10/2026. وتعتمد المكتبة صيغة OSCAL، أي Open Security Controls Assessment Language الصادرة عن NIST الأمريكي؛ ويعلّل BSI هذا الاختيار بأنه يُغنيه عن تطوير حل وطني خاص به ويزيد التوافق مع معايير الأمن الدولية. ومن الناحية الرسمية لا تزال صفحة BSI ‏«Stand der Technik» ‏(أحدث ما توصلت إليه التقنية) تصف المكتبة بأنها في المرحلة التجريبية.

ما يتضمنه كل متطلب

• معرّف ID ومعرّف UUID: وفق دليل المؤلفين الصادر عن BSI لمكتبة أحدث التقنيات، يتبع معرّف ID الموضع ويمكن أن يتغيّر عند إعادة الهيكلة، في حين يبقى معرّف UUID مرتبطًا بمعنى المتطلب. وبين أبريل وأكتوبر 2026 حصل 157 متطلبًا على معرّف ID جديد.
• قالب جملة يتألف من الممارسة، وفئة الكائنات المستهدفة عند الاقتضاء، ودرجة الإلزام، والنتيجة، والفعل الإجرائي. ووفق دليل المؤلفين ذاته يتعيّن أن تُصاغ الأحكام بحيث يستطيع طرف ثالث مستقل أن يتحقق بـ«نعم» أو «لا» مما إذا كانت مستوفاة.
• البيانات الوصفية: المستوى الأمني، ومستوى الجهد، وكذلك، حيثما أُسندت، فئات الكائنات المستهدفة، ونوع التوثيق، والكلمات المفتاحية؛ وتحمل متطلبات النواة إضافةً إلى ذلك قيم صلة من 0 إلى 2 للسرية والسلامة والتوافر والأصالة، وكذلك معرّفات G0 الخاصة بالتهديدات الأولية.
• المعلمات بوصفها نصًا بفراغات لقرارات التصميم، مثل «بانتظام». ويمكن لملفات التعريف أن تحدّد القيم أو أن تضيّق نطاقها؛ ولا يحدّد ملف التعريف الخاص بكتالوج التطبيق سوى معلمتين، منهما «⁦BSI Grundschutz++⁩» معيارًا لنظام إدارة أمن المعلومات (ISMS).
• روابط إلى المتطلبات ذات الصلة والمتطلبات المسبقة، إضافةً إلى نصوص إرشادية تشرح المتطلب وتقدّم أمثلة على التنفيذ.

المطابقات: جسور إلى ISO/IEC 27001 وإلى IT-Grundschutz-Kompendium

ولأغراض القراءة يوصي ملف README في مستودع BSI بأداة Stand-der-Technik-Viewer ‏(عارض أحدث التقنيات)، وهي تطبيق متصفح صادر عن المنظمة المجتمعية bsi-community. وتعرض الأداة الكتالوجات وتعريفات المكوّنات والمطابقات على جانب العميل، وتتيح التصفية حسب سمات مثل المستوى الأمني والجهد وفئة الكائنات المستهدفة ودرجة الإلزام والتهديد، وتضيف تلقائيًا الفئات الأعلى عند اختيار فئة من فئات الكائنات المستهدفة. ووفق ما أفاد به BSI يعمل عدد كبير من مصنّعي أدوات IT-Grundschutz على دمج بيانات OSCAL. ويجدر أن تكون الحدود واضحة: فكتالوجات OSCAL، وفق BSI، لا تؤتمت أي تنفيذ ولا تحلّ محلّ الفحص المتخصّص في الموقع، وطبقة التقييم (Assessment Layer) لا تزال فارغة، ولم يُنشر حتى الآن أي مخرَج يحمل تسمية المخطط النموذجي (Blaupause). أما ملفا التعريف الخاصان بأمن سلسلة التوريد بـ146 متطلبًا وبـ WLAN بـ48 متطلبًا فهما اختياران من النواة؛ ولا يصفهما BSI بأنهما مخططان نموذجيان.

شهادة النظام: ما هو ثابت وما لم يُحسم بعد

ما هو ثابت: اعتبارًا من 01/01/2027 يمكن تقديم طلبات الحصول على شهادة ISO 27001 على أساس ⁦GS++⁩. وفي بيانه بشأن نشر المعيار، يصف BSI نظام إدارة أمن المعلومات (ISMS) المنفَّذ وفق ⁦Grundschutz++⁩ بأنه قابل للحصول على الشهادة اعتبارًا من 2027 ومتوافق مع ISO/IEC 27001. أما ما لم يُحسم بعد فهو إجراء الفحص: إذ لم يُنشر أي مخطط تدقيق خاص بـ ⁦GS++⁩. ووفق برنامج BSI الخاص بـ it-sa، كان قد أُعلن عن محاضرة تلقيها جهة منح الشهادات لدى BSI يوم 28/10/2026 بعنوان «⁦Ausblick auf die Zertifizierung nach Grundschutz++⁩» ‏(نظرة مستقبلية على الحصول على الشهادة وفق ⁦Grundschutz++⁩)، وكان يُفترض أن تعرض التصوّرات الحالية بشأن مخطط التدقيق، بما في ذلك التحديات المتعلقة بموضوعات الفحص ومعايير الفحص. أما الوثائق السارية الخاصة بشهادة ISO 27001 على أساس IT-Grundschutz، أي أساس الفحص 4.8 ومخطط منح الشهادات 2.2 ومخطط التدقيق 2.5 بتاريخ 01/02/2026، فتحيل إلى ISO/IEC 27001:2022 ومعيار BSI ⁦200-2⁩ وIT-Grundschutz-Kompendium إصدار 2023. ويتضمن المعيار نفسه مؤشرات على ممارسة الفحص المستقبلية: فإذا تراكمت حالات عدم الاستيفاء الدائم لمتطلبات «ينبغي»، فقد يُرصد في إطار الحصول على الشهادة انحراف جوهري؛ كما يُراد للمعايير الدنيا أن تجعل منهجية المخاطر قابلة للمقارنة والتحقق، لأغراض منها الحصول على الشهادة.

التدريب وشهادات الأشخاص: ممارس ⁦GS++⁩، ومستشار ⁦GS++⁩، وقائد فريق تدقيق ⁦GS++⁩

ويعيد BSI كذلك تنظيم تأهيل الأشخاص. فمن المقرر أن تصدر في 30/11/2026 مفاهيم التدريب الخاصة بتأهيل ممارسي ⁦GS++⁩ ومستشاري ⁦GS++⁩. واعتبارًا من 01/01/2027 يمكن تقديم طلبات الحصول على شهادة مستشار ⁦GS++⁩ وشهادة قائد فريق تدقيق ⁦GS++⁩؛ وفي الربع الأول من 2027 يبدأ لمستشاري IT-Grundschutz وقادة فرق التدقيق الحاصلين على شهادة مسبقًا تدريبٌ تكميلي منفصل للحصول على شهادة مستشار ⁦GS++⁩ أو قائد فريق تدقيق ⁦GS++⁩ بحسب الحال. ولا تذكر خطة المعالم الرئيسية المحتويات ولا الحجم ولا شروط القبول. ويترتب على ذلك، من وجهة نظرنا، قاعدة فحص بسيطة للمناقصات والعروض: قبل 01/01/2027 لا يمكن لأحد أن يكون حاصلًا على شهادة مستشار ⁦GS++⁩ أو قائد فريق تدقيق ⁦GS++⁩؛ أما مؤهلات BSI القائمة فتتعلق بـ IT-Grundschutz.

ما الذي يتعين على كل فئة مراعاته

الوضع في 29/10/2026. يواصل BSI تحديث خطة المعالم الرئيسية؛ والمرجع هو أسس منح الشهادات بحسب آخر ما نُشر منها. وVamiSec ليست جهة منح شهادات، كما أن شهادات الأشخاص في ⁦GS++⁩ لا تبدأ إلا في 2027.

المسار A: من IT-Grundschutz

المسار B: من ISO/IEC 27001

خطة البدء لمدة 90 يومًا

1. 1
   الأيام 1–15 · BSI ⁦300-1⁩ الفصلان 2.3 و2.10 · GC.1.2، GC.6.1، GC.8.1توضيح التفويض ونطاق التطبيق والهدف

   تؤكد الإدارة العليا للمؤسسة المشروع، وتحدّد نطاق التطبيق، وتخصّص الموارد، وتقرّر ما إذا كان سيُسعى في 2027 إلى الحصول على شهادة ISO 27001 على أساس ⁦GS++⁩. ويُعيَّن فريق أساسي يضم مسؤول أمن المعلومات (ISB) والمسؤولين عن العمليات وتقنية المعلومات.

2. 2
   الأيام 16–30 · الفصلان 2.5 و2.6 · GC.7.1.1، GC.7.1.2عمليات الأعمال وحاجة الحماية

   توثيق عمليات الأعمال ضمن نطاق التطبيق، واستخدام التحليل المبسّط لعمليات الأعمال الوارد في الملحق 2 حيث لا توجد خريطة للعمليات. واختيار أهم عملية ضمن أعلى فئة من فئات حاجة الحماية، والحصول على موافقة الإدارة العليا على حاجة الحماية «عادية» أو «عالية» لكل هدف من أهداف الحماية.

3. 3
   الأيام 31–50 · الفصل 3 · STM.2.1.2 إلى STM.2.1.5، STM.5.1الأصول وفئات الكائنات المستهدفة وحزمة المتطلبات

   وفق النص الإرشادي للكتالوج تكفي في الدورة الأولى أصول أهم عملية أعمال. إسناد الأصول إلى فئات الكائنات المستهدفة مع الفئات الأعلى منها، وإدراج متطلبات المنهجية والمتطلبات غير المرتبطة بفئة كائنات مستهدفة، وإزالة التكرارات، وتحديد قيم المعلمات.

4. 4
   الأيام 51–70 · الفصل 4.1 · UMS.1.1حصر حالة التنفيذ

   البدء بمتطلبات المستوى الأمني «عادي (SdT)»، وتوثيق «مستوفى» أو «غير مستوفى» أو «غير قابل للتطبيق» لكل متطلب مع التعليل. وتُستخدم النتائج القائمة من فحص IT-Grundschutz أو من بيان قابلية التطبيق قيمةً ابتدائية، لا نتيجةً.

5. 5
   الأيام 71–85 · الفصلان 2.11 و4.2 · الملحق 3إعداد دراسة المخاطر

   الحصول على اعتماد الإدارة العليا للمؤسسة لشهية المخاطر ومعايير قبول المخاطر والإجراء والأدوار؛ وبدء دراسات المخاطر للعمليات ذات حاجة الحماية العالية، وللأصول غير المغطاة بما يكفي، ولمتطلبات «ينبغي» غير المستوفاة بصورة دائمة.

6. 6
   الأيام 86–90 · الفصول 4.3 إلى 4.5 و5.3 · UMS.2.1، RISK.1.10، PERF.4.1خطة التنفيذ وتقرير الإدارة الأول

   ترتيب التدابير حسب الأولوية بدءًا بالعقد الأم، وتحديد المسؤولين والمواعيد النهائية، والحصول على اعتماد مالكي المخاطر لتخطيط التنفيذ، وعرض الوضع والمخاطر المتبقية وعملية الأعمال التالية على الإدارة العليا في تقرير الإدارة.

النقاط المفتوحة: ما سيقدّمه BSI لاحقًا