البنى التحتية الحيوية في الإطار القانوني الجديد

المنشآت الحيوية هي منشآت ذات أهمية كبيرة لتزويد عموم السكان بالخدمات، ومن شأن تعطّلها أو تضرّرها أن يؤدي إلى نقص كبير في الإمدادات أو إلى تهديد الأمن العام. ويوزّعها قانون KRITIS الإطاري، الذي تحيل إليه المادة 2 البند 22 من BSIG في تعريف المنشأة، على عشرة قطاعات: الطاقة، والنقل والمواصلات، والقطاع المالي، والضمان الاجتماعي والإعانة الأساسية للباحثين عن عمل، والرعاية الصحية، والمياه، والغذاء، وتقنية المعلومات والاتصالات، والفضاء، والتخلص من النفايات البلدية. ويحدد BSI-KritisV ما إذا كانت منشأة معيّنة حيوية استنادًا إلى فئات المنشآت والحدود القياسية؛ ويُعدّ 500,000 شخص يُزوَّدون بالخدمة حدًّا قياسيًا. وتظل اللائحة الحالية سارية مؤقتًا – إذ تتوفر منذ 26 مايو 2026 مسودة وزارية من BMI للائحة KritisV الجديدة وفق قانون KRITIS الإطاري، لم تكتسب بعد قوة قانونية.

أعاد قانون تنفيذ NIS2 صياغة قانون BSI اعتبارًا من 6 ديسمبر 2025 – دون مهل انتقالية عامة. ويُعدّ مشغّلو المنشآت الحيوية وفق المادة 28 من BSIG دائمًا جهات بالغة الأهمية، ومن ثمّ يتحمّلون جميع الالتزامات الأساسية لـ NIS2: إجراءات إدارة المخاطر وفق المادة 30 من BSIG، والتسجيل في غضون ثلاثة أشهر من التصنيف (المادة 33 من BSIG)، والإبلاغ عن الحوادث الأمنية الجسيمة إلى BSI – بإبلاغ أولي فوري، وفي موعد أقصاه 24 ساعة من العلم بها، وإبلاغ لاحق في غضون 72 ساعة، وإبلاغ ختامي في موعد أقصاه شهر واحد من الإبلاغ (المادة 32 من BSIG). وتُضاف إلى ذلك بالنسبة للمنشآت الحيوية التزامات إضافية تتجاوز متطلبات NIS2 العامة: أنظمة كشف الهجمات وأدلة إثبات منتظمة.

يتعيّن على مشغّلي المنشآت الحيوية إثبات تنفيذ إجراءاتهم وفق المادتين 30 و31 من BSIG أمام BSI من خلال عمليات تدقيق أمني أو فحوصات أو شهادات – لأول مرة بعد ثلاث سنوات من التصنيف الأول أو المتجدد، ثم كل ثلاث سنوات. وبذلك مُدِّدت دورة تقديم دليل الإثبات مقارنة بالوضع القانوني السابق (المادة 8a الفقرة 3 من BSIG بصيغته القديمة: كل سنتين)؛ ويحدد BSI الموعد المحدد لتقديم دليل الإثبات الأول. ويجب تقديم نتائج عمليات التدقيق أو الفحوصات أو الشهادات إلى BSI بما في ذلك أوجه القصور الأمنية المكتشفة خلالها؛ وفي حال وجود أوجه قصور يجوز لـ BSI طلب تقديم خطة معالجة ودليل إثبات على المعالجة.

منذ مايو 2023 يتعيّن على مشغّلي المنشآت الحيوية استخدام أنظمة لكشف الهجمات (SzA)؛ وهذا الالتزام مرسَّخ اليوم في المادة 31 من BSIG. ويجب أن تلتقط هذه الأنظمة المعايير والسمات المناسبة من التشغيل الجاري وتحللها بشكل مستمر وآلي، وأن تحدد التهديدات وتتجنبها باستمرار، وأن تتضمن إجراءات معالجة للاضطرابات الواقعة – وفق أحدث ما توصلت إليه التقنية ومع مراعاة مبدأ التناسب: إذ لا يجوز أن تكون التكلفة غير متناسبة مع عواقب التعطّل. والمرجع للتنفيذ والفحص هو الدليل الإرشادي لـ BSI بشأن استخدام أنظمة كشف الهجمات (الإصدار 1.1، بتاريخ 18.11.2024) بمتطلباته من فئات «يجب» و«ينبغي» و«يجوز» في مجالات التسجيل والكشف والاستجابة، إضافة إلى نموذج لدرجة التنفيذ من ست مراحل تدخل نتيجته في دليل الإثبات وفق المادة 39 من BSIG.

بموجب قانون KRITIS الإطاري النافذ منذ 17 مارس 2026، تنفّذ ألمانيا توجيه CER (EU) 2022/2557 وتُنشئ لأول مرة إطارًا قانونيًا موحّدًا على المستوى الاتحادي للحماية المادية للمنشآت الحيوية في عشرة قطاعات. ونقطة الاتصال المركزية هي المكتب الاتحادي للحماية المدنية والإغاثة من الكوارث (BBK). ويتعيّن على المشغّلين التسجيل في غضون ثلاثة أشهر من اعتبار منشأتهم حيوية – اعتبارًا من 17 يوليو 2026 على أقرب تقدير – عبر منصة تسجيل مشتركة لـ BBK وBSI (المادة 8 من KRITIS-DachG)، وإجراء تحليلات مخاطر خاصة عند الحاجة، وكل أربع سنوات على الأقل (المادة 12)، وتنفيذ إجراءات مرونة فنية وأمنية وتنظيمية مناسبة ومتناسبة وتوثيقها (المادة 13)، والإبلاغ عن الاضطرابات الجسيمة في غضون 24 ساعة (المادة 18). وبذلك تدخل إلى جانب تقنية المعلومات أيضًا الحماية الإنشائية والتحكم في الدخول والتكرار الاحتياطي وتنظيم إدارة الأزمات ضمن قائمة الالتزامات.

يتكامل BSIG وقانون KRITIS الإطاري: فـ BSIG ينفّذ توجيه NIS2 (EU) 2022/2555 ويعالج الأمن السيبراني، بينما يعالج القانون الإطاري المرونة المادية وفق CER. ويستند كلاهما إلى المفهوم نفسه للمنشأة الحيوية – إذ يتم تسجيل المنشآت الحيوية بشكل موحّد وفق المادة 8 من KRITIS-DachG، وهو ما تحيل إليه صراحةً المادة 33 الفقرة 2 من BSIG. وبذلك يشكّل مشغّلو المنشآت الحيوية مجموعة فرعية من الجهات الخاضعة لتنظيم NIS2 مع التزامات إضافية: كشف الهجمات، وأدلة الإثبات كل ثلاث سنوات، وإجراءات المرونة المادية. وفي الممارسة يُستحسن اعتماد نظام إدارة متكامل يدير ISMS واستمرارية الأعمال والحماية المادية معًا، بدلًا من التعامل مع كل إطار تنظيمي بشكل منفصل.