من ISO 27001 إلى NIS2: خطة عملية لسد الفجوات
إذا كنت تدير بالفعل نظام إدارة أمن المعلومات ISMS وفق ISO 27001، فإن NIS2 يُعد امتدادًا له وليس برنامجًا جديدًا. فيما يلي ترتيب عملي للأعمال، مبني على الأجزاء التي لا تغطيها ISO.
بالنسبة لمنظمة حاصلة بالفعل على ISO 27001، يُعد NIS2 في معظمه امتدادًا لها. تربط خريطة ENISA كل تدبير تقني في اللائحة التنفيذية لـ NIS2 بـ ISO 27001، ويوضح التحليل النقطة بالنقطة لدينا كيفية ذلك. لكن «الربط» لا يعني «الإنجاز»، والأجزاء التي لا تغطيها ISO هي بالضبط ما يتحقق منه المنظِّمون أولًا. هذا هو ترتيب العمل الذي نوصي باتباعه.
من أصل 49 نقاط المتطلبات في NIS2، يُطابق 49 (100%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا. افتح تقرير الفجوات →
المرحلة 1: التأكيد والتسجيل (الأسابيع من 1 إلى 4)
- تأكيد النطاق والتصنيف وفق القانون الوطني لكل دولة في الاتحاد الأوروبي تقدّم فيها خدماتك: القطاع والحجم، وهل أنت جهة أساسية أو مهمة.
- التسجيل لدى السلطة المختصة حيثما يُشترط ذلك. تختلف المواعيد والصيغ من دولة إلى أخرى.
- مقارنة النطاقات: قد تغطي شهادة ISO جزءًا من المنظمة فقط، بينما يغطي NIS2 الكيان بأكمله. خطّط لتوسيع نطاق نظام إدارة أمن المعلومات.
المرحلة 2: الحوكمة (الأشهر من 1 إلى 2)
- إطلاع الهيئة الإدارية على واجباتها بموجب المادة 20: الموافقة على التدابير والإشراف عليها وإتمام التدريب. وثّق الموافقة والتدريب.
- إضافة NIS2 إلى نظام إدارة أمن المعلومات: أدرجه ضمن المتطلبات القانونية (A.5.31)، وضمّنه في تقييم المخاطر، وأضف مراجع NIS2 إلى بيان قابلية التطبيق.
المرحلة 3: الإبلاغ (الأشهر من 1 إلى 3)
- بناء إجراء الإبلاغ عن الحوادث الجسيمة: من يقرر الجسامة، ومن يُبلغ فريق CSIRT أو السلطة، وكيف تفي بالإنذار المبكر خلال 24 ساعة والإخطار خلال 72 ساعة والتقرير النهائي خلال شهر. يغطي منشورنا حول بناء هذا الإجراء الخطوات بالتفصيل.
- اختبِره، بما في ذلك خارج ساعات العمل.
المرحلة 4: تعميق التدابير التقنية (الأشهر من 2 إلى 6)
- إجراء المقارنة متطلبًا بمتطلب باستخدام تقرير فجوات ISO 27001 → NIS2، وضع علامة على كل نقطة بأنها مستوفاة أو مستوفاة جزئيًا أو غير مستوفاة.
- ترتيب الفجوات المعتادة حسب الأولوية: أمن سلسلة الإمداد (معايير الموردين وشروط العقود)، ومعالجة الثغرات والإفصاح المنسّق عنها، وسياسة التشفير، وتقييم الفعالية (Article 21(2)(f)).
- إدراج تفاصيل NIS2 ضمن ضوابط ISO القائمة بدلًا من إنشاء ضوابط موازية.
المرحلة 5: إثبات فعالية التنفيذ (مستمر)
- تضمين NIS2 في التدقيق الداخلي ومراجعة الإدارة.
- الاحتفاظ بأدلة الفعالية: المقاييس ونتائج الاختبارات وملاحظات التدقيق، لأن المشرفين يطلبون إثبات أن التدابير تعمل، لا مجرد وجودها.
- متابعة الإرشادات الوطنية: لا تزال السلطات تنشر توقعاتها وقوالبها.
من يقوم بماذا
تتطلب خطة كهذه أكثر من مدير نظام إدارة أمن المعلومات:
- الهيئة الإدارية: توافق على التدابير، وتُتمّ التدريب، وتتلقى تقارير دورية.
- الشؤون القانونية أو الامتثال: تؤكد النطاق وفق القانون الوطني، وتتولى التسجيل، وتتابع الإرشادات الوطنية.
- عمليات الأمن: تملك إجراء الإبلاغ، وقرار الجسامة، والتمارين.
- المشتريات: تُدرج معايير اختيار الموردين والبنود الأمنية في العقود.
- الهندسة وتقنية المعلومات: تسدّ الفجوات التقنية مثل الإفصاح عن الثغرات والتشفير ومقاييس الفعالية.
- مدير نظام إدارة أمن المعلومات: يُنسّق العمل، ويحافظ على الربط والأدلة محدَّثة، ويُشرف على التدقيق الداخلي.
تسمية هذه الأدوار منذ البداية يتفادى أشيع إخفاق: برنامج NIS2 يُدار بالكامل من فريق الأمن، وهو لا يستطيع اعتماد تدابيره بنفسه أو إعادة صياغة عقود المشتريات.
أهم النقاط
- بالنسبة للمنظمات الحاصلة على ISO، يُعد NIS2 امتدادًا وليس برنامجًا جديدًا.
- ابدأ بالنطاق والتسجيل وواجبات الإدارة والإبلاغ.
- ثم عمّق أمن سلسلة الإمداد ومعالجة الثغرات والتشفير.
الفخ الذي يجب تجنبه
معاملة NIS2 كتمرين توثيقي. غالبًا ما تملك المنظمات الحاصلة على ISO السياسات بالفعل؛ وسيسأل المشرفون عما إذا كان إجراء الإبلاغ يعمل في الساعة 2 صباحًا، وهل تلقّت الإدارة التدريب فعلًا، وهل شروط الموردين موجودة في عقود حقيقية. ابدأ بالجهد هناك أولًا.
راجع دليل NIS2 ومقارنة ISO 27001 مقابل NIS2 للحصول على الصورة الكاملة.
الأسئلة
كم يستغرق الانتقال من ISO 27001 إلى NIS2؟
يعتمد ذلك على النطاق والفجوات المكتشفة، ولأن معظم التدابير التقنية مرتبطة، فإن العمل يتركز أساسًا في الحوكمة والإبلاغ وأمن الموردين وتعميق ضوابط محددة، وغالبًا ما يستغرق بضعة أشهر لا برنامجًا جديدًا متعدد السنوات.
هل أحتاج إلى إعادة الاعتماد على ISO 27001 من أجل NIS2؟
لا. يُقيَّم الامتثال لـ NIS2 من قبل السلطة الوطنية المختصة، لا من قبل جهة منح الشهادات. إدراج متطلبات NIS2 ضمن نظام إدارة أمن المعلومات يعني أن عمليات التدقيق القائمة ستتحقق منها أيضًا.
هل خريطة ENISA ملزمة؟
لا. خريطة ENISA للوائح التنفيذية مقابل ISO 27001 وNIST CSF 2.0 هي إرشادات. وتقرر السلطات الوطنية الامتثال وفق القانون الوطني.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.