NIS2: من المعنيّ ومن أين نبدأ؟
توسّع التوجيهة الأوروبية NIS2 بشكل كبير عدد المؤسسات الخاضعة لالتزامات الأمن السيبراني. إليك المعالم لتعرف ما إذا كنت معنيًا وكيف تستعد، دون أن يحلّ ذلك محلّ تحليل مختص.
فريق التحرير في Kayzen Security4 دقيقة قراءة
ما تنصّ عليه التوجيهة
اعتُمدت التوجيهة NIS2 في 14 ديسمبر 2022، وهي تحلّ محلّ توجيهة NIS لعام 2016. وتُلزم الكيانات المعنية باتخاذ تدابير لإدارة مخاطر الأمن السيبراني (المادة 21)، والإبلاغ عن الحوادث المهمّة (المادة 23)، وتُرتّب مسؤولية هيئات الإدارة التي يجب أن توافق على هذه التدابير وأن تتلقّى التدريب (المادة 20).
في فرنسا، يمرّ النقل إلى القانون الوطني عبر قانون ونصوص تطبيقية. ويجب التحقّق من مدى تقدّمها وتواريخ دخولها حيّز التنفيذ على موقع ANSSI وقت قراءتك هذا الدليل.
هل أنا معنيّ؟ المعايير الثلاثة
- القطاع: تُدرج التوجيهة 11 قطاعًا «بالغ الأهمية» (الملحق الأول: الطاقة، النقل، المصارف، الصحة، المياه، البنى التحتية الرقمية، الإدارة العامة، الفضاء…) و7 «قطاعات حيوية أخرى» (الملحق الثاني: الخدمات البريدية، إدارة النفايات، الكيمياء، الأغذية، تصنيع بعض المنتجات، المزوّدون الرقميون، البحث). وبالنسبة للقطاع المالي، تُطبَّق لائحة DORA (UE) 2022/2554 بالأولوية في إدارة المخاطر والإخطار بالحوادث.
- الحجم: كقاعدة عامة، الشركات المتوسطة (50 موظفًا على الأقل، أو رقم أعمال ومجموع ميزانية يتجاوزان 10 ملايين يورو) والكبيرة في هذه القطاعات؛ وقد يلزم جمع أعداد الموظفين والمبالغ الخاصة بالشركات المرتبطة أو الشريكة.
- استثناءات الحجم: بعض الكيانات مستهدفة أيًا كان حجمها، لا سيما مزوّدو شبكات أو خدمات الاتصالات الإلكترونية العامة، ومقدّمو خدمات الثقة، وسجلّات أسماء النطاقات من المستوى الأعلى، ومزوّدو خدمات DNS، وكذلك، بحسب التعيين الوطني، الكيان الوحيد الذي يقدّم خدمة أساسية في البلد.
- قد تكون الجماعات المحلية والإدارات مستهدفة بحسب النقل الوطني.
الكيانات الأساسية والكيانات المهمّة
يجب على الفئتين تطبيق الأنواع نفسها من التدابير، لكن الإشراف يختلف: رقابة مسبقة ممكنة للكيانات الأساسية، ولاحقة للكيانات المهمّة. كما تحدّد التوجيهة سقوفًا أعلى للعقوبات الإدارية بالنسبة للكيانات الأساسية. وتتوقّف المبالغ المطبّقة في فرنسا على قانون النقل.
تدابير المادة 21 باختصار
- تحليل المخاطر وسياسات الأمن.
- إدارة الحوادث.
- استمرارية الأعمال والنسخ الاحتياطية وإدارة الأزمات.
- أمن سلسلة التوريد.
- الأمن في اقتناء الأنظمة وتطويرها وصيانتها، بما في ذلك إدارة الثغرات.
- تقييم فعالية التدابير.
- النظافة السيبرانية الأساسية والتدريب.
- التشفير وعلم التعمية.
- أمن الموارد البشرية، والتحكّم في الوصول، وإدارة الأصول.
- المصادقة متعدّدة العوامل والاتصالات الآمنة.
الإبلاغ عن الحوادث المهمّة
تنصّ التوجيهة على إنذار مبكر خلال 24 ساعة من العلم بحادث مهمّ، وإخطار بالحادث خلال 72 ساعة، ثم تقرير نهائي في أجل أقصاه شهر بعد هذا الإخطار. وتُوجَّه هذه البلاغات إلى CSIRT أو إلى السلطة المختصة. وهذا يفترض معرفة كيفية اكتشاف الحادث وتوصيفه ومعرفة الجهة الصحيحة مسبقًا.
من أين نبدأ
- التحقّق من وضعك بالاستعانة بالخدمة الإلكترونية لـ ANSSI، وتأكيد التحليل لدى مختص.
- جرد أنظمتك وبياناتك ومزوّدي خدماتك.
- تطبيق تدابير النظافة الأساسية: التحديثات، المصادقة الثنائية، النسخ الاحتياطية غير المتّصلة، التحكّم في حسابات المسؤولين.
- كتابة إجراء لإدارة الحوادث والإبلاغ عنها.
- إشراك الإدارة، التي يجب أن توافق على التدابير وأن تتلقّى التدريب.
يلخّص هذا الدليل directive (UE) 2022/2555 لأغراض إعلامية. ولا يشكّل رأيًا قانونيًا: يجب التحقّق من خضوعك والتزاماتك مع مختص، استنادًا إلى نص النقل الساري ومعلومات ANSSI. يمكن لأداة مثل Kayzen أن تساهم في تدابير المادة 21، لكنها لا تجعل المؤسسة ممتثلة.
المصادر الرسمية
- ANSSI (علامة تبويب جديدة) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (علامة تبويب جديدة) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (علامة تبويب جديدة) — Agence nationale de la sécurité des systèmes d'information — guides et publications
تنشر الجهات المؤلفة المصادر المذكورة بلغتها الأصلية. لا ترتبط Kayzen بأي من هذه الجهات.
هذا الدليل إعلامي وعام. ولا يحلّ محلّ الاستشارة القانونية ولا تدخّل مختص في أمن المعلومات.