NIS2: الإطار القانوني الأوروبي لـ الأمن السيبراني

يشمل NIS2 ثمانية عشر قطاعًا: أحد عشر قطاعًا ذا أهمية حرجة عالية في الملحق I (منها الطاقة والنقل والقطاع المصرفي والبنى التحتية للأسواق المالية والصحة ومياه الشرب والصرف الصحي والبنية التحتية الرقمية وإدارة خدمات تقنية المعلومات والاتصالات في قطاع B2B والإدارة العامة والفضاء) وسبعة قطاعات حرجة أخرى في الملحق II (منها خدمات البريد والتوصيل وإدارة النفايات والكيماويات والأغذية والصناعة التحويلية والخدمات الرقمية والبحث العلمي). ووفق قاعدة Size-Cap تدخل الشركات في هذه القطاعات من حيث المبدأ في نطاق التطبيق بدءًا من الحجم المتوسط – أي بدءًا من 50 موظفًا أو أكثر من 10 ملايين يورو في حجم المبيعات السنوي والميزانية العمومية السنوية، محسوبة وفق التوصية 2003/361/EG. وتُعدّ الشركات الكبيرة في قطاعات الملحق I (بدءًا من 250 موظفًا أو أكثر من 50 مليون يورو في حجم المبيعات وأكثر من 43 مليون يورو في الميزانية العمومية) في الغالب جهات أساسية، والبقية جهات مهمة. ويشمل القانون بعض مقدّمي الخدمات، مثل مقدّمي خدمات الثقة المؤهلين، بصرف النظر عن حجمهم.

ترسّخ المادة 20 الأمن السيبراني كمهمة إدارية: إذ يجب على هيئات الإدارة اعتماد إجراءات إدارة المخاطر وفق المادة 21 ومراقبة تنفيذها، ويمكن مساءلتها عن المخالفات. وتُلزم المادة 20 الفقرة 2 أعضاء هيئات الإدارة بالمشاركة في التدريبات، كي يتمكنوا من تحديد المخاطر وتقييم ممارسات إدارة المخاطر وآثارها على الخدمات المقدّمة؛ كما ينبغي تقديم تدريبات مماثلة للموظفين بانتظام. أما التطبيق الألماني في المادة 38 من BSIG فصياغته أشد: إذ يجب على الإدارات العليا تنفيذ الإجراءات بنفسها ومراقبة تنفيذها، وتتحمل المسؤولية وفق قواعد قانون الشركات عن الأضرار الناجمة عن تقصير، والمشاركة في التدريب مصاغة صراحةً كالتزام منتظم (المادة 38 الفقرة 3 من BSIG).

يجب على جميع الجهات اتخاذ إجراءات تقنية وتشغيلية وتنظيمية مناسبة ومتناسبة وفق نهج شامل لجميع المخاطر. وتحدد المادة 21 الفقرة 2 لذلك عشرة مجالات دنيا: مفاهيم تحليل المخاطر والأمن، والتعامل مع الحوادث الأمنية، واستمرارية الأعمال مع إدارة النسخ الاحتياطي والاستعادة والأزمات، وأمن سلسلة التوريد بما في ذلك العلاقات مع المورّدين المباشرين (البند d)، والأمن في اقتناء أنظمة تقنية المعلومات وتطويرها وصيانتها بما في ذلك إدارة الثغرات الأمنية، ومفاهيم تقييم فعالية الإجراءات، والنظافة السيبرانية والتدريب على الأمن السيبراني، والتشفير، وأمن الموارد البشرية مع التحكم في الوصول وإدارة الأصول، والمصادقة متعددة العوامل والاتصالات المؤمَّنة (بما فيها اتصالات الطوارئ). وتنقل المادة 30 الفقرة 2 من BSIG هذا الكتالوج إلى القانون الألماني بصياغة شبه حرفية.

يجب الإبلاغ عن الحوادث الأمنية الجسيمة على مراحل: إنذار مبكر دون تأخير، خلال 24 ساعة كحد أقصى من العلم بالحادث؛ وإبلاغ يتضمن تقييمًا أوليًا للخطورة والآثار ومؤشرات الاختراق خلال 72 ساعة كحد أقصى؛ وعند الطلب تقرير مرحلي عن تحديثات الحالة؛ وخلال شهر كحد أقصى من الإبلاغ تقرير ختامي بالأسباب ونوع التهديد وإجراءات المعالجة. وإذا كان الحادث لا يزال مستمرًا، يحل محل التقرير الختامي مبدئيًا تقرير عن التقدم. وفي ألمانيا تتلقى BSI البلاغات (المادة 32 من BSIG)؛ ويتعين على مشغّلي المنشآت الحرجة تقديم معلومات إضافية عن المنشأة المتأثرة وآثار تعطلها.

أقرّ البوندستاغ NIS2UmsuCG في 13 نوفمبر 2025؛ وهو ساري المفعول منذ 6 ديسمبر 2025 – بعد أكثر من عام بقليل من انقضاء مهلة التطبيق الأوروبية في أكتوبر 2024. وجوهره BSIG المعدّل: إذ يميّز بين الجهات بالغة الأهمية والجهات المهمة ومشغّلي المنشآت الحرجة (المادة 28 من BSIG)؛ ويقدّر المشرّع عدد الجهات المعنية بنحو 30,000 جهة. ويجب على الجهات المعنية التسجيل الذاتي لدى BSI خلال ثلاثة أشهر (المادة 33 من BSIG) – وبالنسبة للجهات التي كانت ضمن نطاق التطبيق عند دخول القانون حيز النفاذ، انقضت المهلة القانونية في 6 مارس 2026، وتنتهي مهلة إضافية أعلنتها BSI في 31 يوليو 2026. وللتقييم الذاتي توفر BSI فحصًا إلكترونيًا غير مُلزِم للخضوع للقانون؛ ولا يُنص على إخطار من السلطات، ويجب التحقق من الخضوع على مسؤولية الجهة نفسها.

ينص NIS2 بالنسبة للجهات الأساسية على غرامات تصل إلى 10 ملايين يورو أو 2% من حجم المبيعات السنوي العالمي، وبالنسبة للجهات المهمة تصل إلى 7 ملايين يورو أو 1.4% – ويُعتدّ في كل حالة بالمبلغ الأعلى. ويتبنى BSIG الألماني أطر الغرامات هذه (المادة 65 من BSIG). وإلى جانب ذلك تتمتع BSI بصلاحيات رقابية تمتد من طلب المعلومات حتى عمليات الفحص، علمًا بأن الرقابة على الجهات بالغة الأهمية أوسع منها على الجهات المهمة. يضاف إلى ذلك المسؤولية الشخصية للإدارات العليا وفق المادة 38 من BSIG، التي لا يمكنها التنصل من التزامها بالتنفيذ والمراقبة عبر التفويض.