بعد القراءة، ستتمكن من معرفة هل ينطبق عليك توجيه NIS2 وما الالتزامات المترتبة عليه.
التعريف
يحل محل توجيه NIS الأول ويُطبق عبر قوانين وطنية كان موعدها 17 أكتوبر 2024. ولأن كل دولة عضو تكتب قانونها، تختلف التفاصيل من بلد إلى آخر.
يدرج الملحقان I وII القطاعات، ومنها الطاقة والنقل والصحة والبنية التحتية الرقمية والغذاء وتصنيع منتجات معينة. وتُصنف الكيانات أساسية أو مهمة، وهو تمييز يؤثر أساساً في الإشراف والحد الأقصى للغرامات.
لماذا يهم
تنقل المادة 20 الموضوع إلى مجلس الإدارة. فعلى هيئة الإدارة أن توافق على التدابير وتشرف على تطبيقها وتتلقى التدريب، ويمكن مساءلتها عن الإخفاقات.
تحدد المادة 34 سقف الغرامات بما لا يقل عن 10 ملايين يورو أو 2% من رقم الأعمال العالمي للكيانات الأساسية، و7 ملايين يورو أو 1.4% للكيانات المهمة.
كيف يعمل
ابدأ بالنطاق: قطاعك وحجمك وقانونك الوطني. يشمل التوجيه عادة الشركات المتوسطة والكبيرة، بينما تدخل بعض الكيانات فيه أياً كان حجمها. وسجّل لدى السلطة الوطنية حيث يشترط القانون ذلك.
ثم طبّق تدابير المادة 21، التي تتبع نهجاً شاملاً لكل المخاطر ويُفترض أن تتناسب مع الخطر.
وأخيراً، نظّم الإبلاغ وفق المادة 23: إنذار مبكر خلال 24 ساعة، وإخطار خلال 72 ساعة، وتقرير نهائي خلال شهر.
حالة تطبيقية
يجد مصنّع أغذية يعمل لديه 300 موظف إنتاج الأغذية وتوزيعها في الملحق II، فيستنتج أنه كيان مهم. ويوافق مجلس إدارته على التدابير ويحضر التدريب.
ويكتسب إجراؤه للحوادث أمرين: شخصاً محدداً يقرر هل الحادث جسيم، وبيانات الاتصال بفريق الاستجابة الوطني CSIRT.
ممارسات جيدة
- اقرأ القانون الوطني إلى جانب التوجيه، لأن المواعيد والتسجيل تختلف.
- تدرّب على إنذار الـ24 ساعة. فهو أقصر مما يبدو حين تذهب الساعات الأولى في فهم ما حدث.
- إن كنت تطبق ISO/IEC 27001 أصلاً، فابنِ عليه وتحقق مما ينقص.
أخطاء شائعة
- الافتراض أن البقاء خارج توجيه NIS الأول يعني البقاء خارج NIS2. فقد اتسع النطاق كثيراً.
- ترك الأمر لقسم تقنية المعلومات، بينما تقع المسؤولية على الإدارة.
- تجاهله لأنك خارج نطاقه. فالعملاء المشمولون سينقلون متطلباتهم إليك عبر العقود.
- انتظار وقوع حادث لمعرفة من يبلّغ عنه.
أسئلة
- هل ينطبق NIS2 على الشركات الصغيرة؟
- عادة لا، لكن المادة 2 تُدخل بعض الكيانات أياً كان حجمها، مثل بعض مزودي البنية التحتية الرقمية أو المزود الوحيد لخدمة حيوية.
- ما الفرق بين الكيانات الأساسية والمهمة؟
- تخضع الكيانات الأساسية لإشراف استباقي وغرامات قصوى أعلى. أما المهمة فيُشرف عليها أساساً بعد وقوع الأمر. والتدابير واحدة.
- هل يكفي ISO 27001 للامتثال لـ NIS2؟
- يغطي جزءاً كبيراً من المادة 21. لكن مواعيد الإبلاغ عن الحوادث والتسجيل والقواعد الوطنية تحتاج إلى عناية مستقلة.
- هل توجد شهادة NIS2 رسمية؟
- لا ينشئ التوجيه شهادة عامة. ويجوز للدول الأعضاء أن تشترط مخططات أوروبية معينة للشهادات.
- ما الذي يُعد حادثاً جسيماً وفق NIS2؟
- وفق المادة 23، الحادث الذي سبّب أو قد يسبب اضطراباً تشغيلياً حاداً أو خسارة مالية، أو ضرراً كبيراً للآخرين.