إجراء الإبلاغ عن الحوادث وفق مهلتي 24 و72 ساعة في NIS2
تبدأ مواعيد الإبلاغ في NIS2 عند علمك بوقوع حادث جسيم، لا عند بداية أسبوع العمل. إليك كيفية بناء إجراء يفي بهذه المواعيد.
تحدد المادة 23 من NIS2 ثلاثة مواعيد للإبلاغ عن الحوادث الجسيمة. إنذار مبكر خلال 24 ساعة من لحظة العلم بالحادث، وإشعار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر. يتطلب ISO 27001 ومعظم الأطر إدارة الحوادث، لكن لا يوجد أي منها يلزمك بإخطار جهة تنظيمية ضمن هذا الجدول الزمني. إليك كيفية بناء إجراء يفي بذلك.
التقارير الثلاثة
| التقرير | الموعد | المحتوى |
|---|---|---|
| الإنذار المبكر | 24 ساعة من لحظة العلم | ما إذا كان الحادث يُشتبه في كونه خبيثًا، وما إذا كان يمكن أن يكون له أثر عابر للحدود |
| إشعار الحادث | 72 ساعة من لحظة العلم | تحديث، وتقييم أولي للجسامة والأثر، ومؤشرات الاختراق متى توفرت |
| التقرير النهائي | شهر واحد بعد الإشعار | وصف تفصيلي، والسبب الجذري المرجح، والتخفيف المطبق والجاري، والأثر العابر للحدود |
ويجوز للجهة المختصة أيضًا طلب تحديثات مرحلية. وإذا كان الحادث لا يزال مستمرًا عند انقضاء شهر، فقدّم تقرير تقدم وتقريرًا نهائيًا خلال شهر من معالجته.
الخطوة 1: تحديد معيار "الجسامة" لمنظمتك
اختبار المادة 23(3) واسع النطاق: اضطراب تشغيلي شديد أو خسارة مالية، أو ضرر كبير للآخرين. وبالنسبة لبعض مزودي الخدمات الرقمية، تحدد اللائحة التنفيذية معايير أكثر تحديدًا. حوّلها إلى قائمة قصيرة للقرار يستطيع مسؤول المناوبة تطبيقها في دقائق، مع أمثلة، واذكر بوضوح أنه عند الشك ترسل الإنذار المبكر.
الخطوة 2: حدد الأشخاص
- من يقرر الجسامة (ومن ينوب عنه في أي وقت).
- من يقدم التقرير إلى CSIRT أو الجهة المختصة، مع إمكانية الوصول إلى بوابة الإبلاغ مُختبرة مسبقًا.
- من يعتمد المحتوى، دون أن يتحول الاعتماد إلى عنق زجاجة. فالإنذار المبكر يحتاج إلى قدر يسير من التفاصيل.
- من يُبلغ الإدارة العليا، وهي مسؤولة بموجب المادة 20.
الخطوة 3: اربطه بعملية الحوادث لديك
أضف نقطة قرار للإبلاغ إلى خطة الاستجابة للحوادث القائمة: عند الفرز، اطرح السؤال "هل يمكن أن يكون هذا حادثًا جسيمًا؟"، وابدأ سجل المهلة من هناك. سجّل وقت العلم بالحادث بعناية، فهو اللحظة التي تُقاس منها كل المواعيد.
الخطوة 4: نسّق المهل الأخرى
غالبًا ما يُفعّل الحادث الجسيم أكثر من التزام واحد:
- اللائحة العامة لحماية البيانات (GDPR): إخطار سلطة الإشراف خلال 72 ساعة إذا تعرّضت البيانات الشخصية للخرق (المادة 33).
- العقود: شروط إخطار العملاء، وغالبًا ما تكون 24 إلى 72 ساعة.
- أنظمة أخرى: شركات الدفع فيما يخص بيانات البطاقات، والجهات التنظيمية القطاعية، وDORA للكيانات المالية.
ينبغي أن يتولى منسق واحد إدارة هذه القائمة، حتى لا تفوت أي مهلة لأن فريقًا آخر افترض أنها من مسؤوليته.
الخطوة 5: القوالب والتطبيق العملي
أعدّ قوالب لكل من التقارير الثلاثة تتضمن الحقول المطلوبة، ومعبأة مسبقًا ببيانات الشركة. ثم نفّذ تمرينًا مرة واحدة سنويًا على الأقل، ويُفضّل أن يبدأ مساء يوم جمعة، واقس زمنه.
سيناريو تطبيقي
لاختبار الإجراء، نفّذ تمرينًا قصيرًا على هذا النحو، ويُفضّل أن يبدأ متأخرًا من مساء يوم جمعة:
- الساعة 0: ترصد المراقبة نشاط تشفير غير معتاد على خادم ملفات يدعم خدمة موجهة للعملاء.
- الساعة 2: يؤكد مهندس المناوبة وجود برمجية فدية على عدة خوادم، والخدمة متدهورة لدى بعض العملاء.
- نقطة القرار: هل الحادث جسيم؟ طبّق قائمة التحقق وسجّل القرار والوقت.
- قبل الساعة 24: قدّم إنذارًا مبكرًا باستخدام القالب، مع الإشارة إلى نشاط خبيث مشتبه به وأثر عابر للحدود محتمل.
- قبل الساعة 72: قدّم الإشعار مع تقييم أولي ومؤشرات الاختراق.
- المهل المتوازية: هل تُفعّل البيانات الشخصية إشعار GDPR؟ وهل تشترط العقود إخطار العملاء؟
قِس زمن كل خطوة. الفجوات التي تكتشفها (من يملك صلاحية الوصول إلى البوابة، ومن يستطيع الاعتماد، وأين توجد القوالب) هي نقاط الضعف الحقيقية في الإجراء.
احتفظ بالسجلات
سجّل كل حادث قيّمته من حيث الجسامة، بما في ذلك الحوادث التي قررت عدم الإبلاغ عنها، مع المبررات. فالمشرفون سيسألون عن كيفية اتخاذك للقرار، لا عمّا أبلغت عنه فحسب.
تقارن صفحتا الاستجابة للحوادث والإبلاغ في الموضوع المتطلبات عبر الأطر المختلفة، ويغطي دليل NIS2 بقية اللائحة.
الأسئلة
ما الحادث الذي يُعد جسيمًا بموجب NIS2؟
بموجب المادة 23(3)، هو حادث تسبب أو يمكن أن يتسبب في اضطراب تشغيلي شديد أو خسارة مالية للكيان، أو أثّر أو يمكن أن يؤثر في آخرين بإحداث ضرر مادي أو غير مادي كبير. وتحدد اللائحة التنفيذية حدودًا أكثر تحديدًا لبعض مزودي الخدمات الرقمية.
إلى من تُبلغ بموجب NIS2؟
فريق الاستجابة لطوارئ الحاسوب الوطني (CSIRT) أو الجهة المختصة المعيّنة بموجب قانون NIS2 في دولتك العضو. وتعتمد بعض الدول نقطة إبلاغ واحدة.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.