بعد القراءة، ستتمكن من مراجعة تدابير التوجيه سطراً سطراً وتدوين الفجوة والمسؤول والدليل.
التعريف
تدرج الفقرة 2 من المادة 21 عشرة تدابير في البنود من (a) إلى (j): تحليل المخاطر وسياسات الأمن؛ والتعامل مع الحوادث؛ واستمرارية الأعمال مع النسخ الاحتياطي وإدارة الأزمات؛ وأمن سلسلة التوريد؛ والأمن في الاقتناء والتطوير والصيانة، بما في ذلك معالجة الثغرات؛ وتقييم الفعالية؛ والنظافة السيبرانية والتدريب؛ والتشفير؛ وأمن الموارد البشرية والتحكم في الوصول وإدارة الأصول؛ والمصادقة متعددة العوامل مع الاتصالات المؤمّنة.
لماذا يهم
يتحول نص قانوني طويل إلى بنود يمكن إسنادها والتحقق منها وعرضها على السلطة.
ومع ذلك يتطلب كل بند حسن تقدير. فالفقرة 1 من المادة 21 تربط التدابير بمدى تعرض الشركة وحجمها وجسامة الحوادث المحتملة، فقد يعني السطر نفسه عملاً مختلفاً لشركتين.
كيف يعمل
تأكد من وضع الكيان وفق القانون الوطني. واحصل على موافقة هيئة الإدارة على التدابير، وحدد موعد تدريبها.
راجع التدابير العشرة. ودوّن لكل منها ما هو موجود، وما يثبته، وما ينقص، ومن المسؤول، والموعد.
جهّز الإبلاغ في النهاية: معايير الحادث الجسيم، وشخصاً مناوباً، وجهة الاتصال لدى CSIRT أو السلطة، ورسائل معدة مسبقاً لمراحل 24 ساعة و72 ساعة وشهر.
حالة تطبيقية
البند (d)، سلسلة التوريد. لدى الشركة 12 مورّداً حيوياً. سبعة عقود تتضمن بنوداً أمنية، وجرى تقييم ثلاثة مورّدين خلال الأشهر الاثني عشر الماضية.
يتبقى خمسة عقود وتسعة تقييمات. ويتولى مدير المشتريات ذلك قبل نهاية الربع الثالث. وستكون قائمة المورّدين والبنود الموقعة هي الأدلة، ويشير السطر حالياً إلى «مطبق جزئياً».
ممارسات جيدة
- ضع نص التوجيه بجانب شرحك الخاص، كي يتمكن المراجع من التحقق من التفسير.
- أضف متطلبات قانونك الوطني كسطور إضافية.
- اطلب دليلاً واحداً لكل سطر.
- أجرِ تمريناً على الإبلاغ وقِس وقته من أول إنذار.
أخطاء شائعة
- التأشير على سطر لأن سياسة ما موجودة. فالسلطة ستسأل عما يحدث فعلياً.
- نسيان المادة 20، إذ تميل القائمة التي يعدها قسم تقنية المعلومات إلى التوقف عند التدابير التقنية.
- إغفال التسجيل لدى السلطة، فهو خارج المادة 21 ويسهل أن يفوت.
- بدء عدّ الساعات الأربع والعشرين عند انتهاء التحقيق. فالمهلة تبدأ من لحظة العلم بالحادث.
أسئلة
- كم تدبيراً تدرج المادة 21؟
- عشرة، في البنود من (a) إلى (j) من فقرتها الثانية.
- هل المصادقة متعددة العوامل إلزامية في NIS2؟
- يذكر البند (j) من الفقرة 2 من المادة 21 حلول المصادقة متعددة العوامل أو المصادقة المستمرة، حيثما كان ذلك مناسباً.
- ما مواعيد الإبلاغ الثلاثة في NIS2؟
- إنذار مبكر خلال 24 ساعة من العلم، وإخطار خلال 72 ساعة، وتقرير نهائي خلال شهر من الإخطار.
- هل يجب على المديرين تلقي تدريب NIS2؟
- نعم. تلزم الفقرة 2 من المادة 20 أعضاء هيئات الإدارة بتلقي التدريب، وتشجع الكيانات على تقديمه لموظفيها.
- هل توجد قواعد أكثر تفصيلاً لمزودي الخدمات الرقمية؟
- نعم. تحدد اللائحة التنفيذية (EU) 2024/2690 متطلبات تقنية لبعض مزودي الخدمات الرقمية، مثل مزودي الحوسبة السحابية والخدمات المُدارة.