الامتثال لـ NIS2: دليل عملي
حسب Paul Gillet · آخر تحديث 2026-10-17
NIS2 هو التشريع الأوروبي الرئيسي للأمن السيبراني: التوجيه (EU) 2022/2555. ولأنه توجيه، فإنه يُنفَّذ عبر القانون الوطني لكل دولة عضو، وكان من المقرر إنفاذه بحلول 17 أكتوبر 2024. الالتزامات الأساسية واحدة في كل مكان، لكن التسجيل والإشراف والعقوبات وبعض التفاصيل تختلف من دولة إلى أخرى، لذا تحقق دائمًا من القانون الوطني المعمول به في الدولة التي تزاول فيها نشاطك.
هل تقع ضمن النطاق؟
يشمل NIS2 الكيانات في 18 قطاعًا. يسرد الملحق الأول القطاعات عالية الأهمية: الطاقة، والنقل، والخدمات المصرفية، وبنية الأسواق المالية التحتية، والصحة، ومياه الشرب، والمياه العادمة، والبنية الرقمية، وإدارة خدمات تقنية المعلومات والاتصالات بين الشركات، والإدارة العامة، والفضاء. ويسرد الملحق الثاني قطاعات حرجة أخرى: خدمات البريد والشحن السريع، وإدارة النفايات، والكيماويات، والأغذية، والتصنيع (بما في ذلك الأجهزة الطبية والإلكترونيات والآلات والمركبات)، ومزودو الخدمات الرقمية، والبحث العلمي.
كقاعدة عامة، يقع الكيان ضمن النطاق إذا كان يعمل في أحد هذه القطاعات داخل الاتحاد الأوروبي وكان متوسط الحجم على الأقل (50 موظفًا أو أكثر، أو إيرادات سنوية وميزانية عمومية تتجاوز 10 ملايين يورو). وبعض الكيانات تقع ضمن النطاق مهما كان حجمها، مثل مزودي خدمات DNS، وسجلات النطاقات ذات المستوى الأعلى، ومزودي خدمات الثقة، ومزودي شبكات الاتصالات الإلكترونية العامة. ويُصنَّف الكيان بأنه أساسي أو مهم؛ ويجب على الكيانين الالتزام بالتدابير نفسها، لكن الإشراف والحد الأقصى للغرامات يختلفان.
ما يتطلبه NIS2
- الحوكمة (المادة 20): يجب على هيئات الإدارة الموافقة على تدابير إدارة المخاطر، والإشراف عليها، والخضوع لتدريب في الأمن السيبراني. ويمكن مساءلتها عن الإخفاقات.
- تدابير إدارة المخاطر (المادة 21): نهج يشمل جميع المخاطر، ويغطي (أ) تحليل المخاطر وسياسات الأمن؛ (ب) معالجة الحوادث؛ (ج) استمرارية الأعمال والنسخ الاحتياطي والتعافي من الكوارث وإدارة الأزمات؛ (د) أمن سلسلة الإمداد؛ (هـ) الأمن في الاقتناء والتطوير والصيانة، بما في ذلك معالجة الثغرات والإفصاح عنها؛ (و) تقييم فعالية هذه التدابير؛ (ز) النظافة السيبرانية الأساسية والتدريب؛ (ح) التشفير وتعمية البيانات؛ (ط) أمن الموارد البشرية والتحكم في الوصول وإدارة الأصول؛ و(ي) المصادقة متعددة العوامل أو المستمرة والاتصالات المؤمنة.
- الإبلاغ عن الحوادث (المادة 23): بالنسبة إلى الحادث الجسيم، يجب تقديم إنذار مبكر إلى CSIRT أو السلطة المختصة خلال 24 ساعة من العلم بالحادث، وإشعار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر واحد.
- التسجيل: يجب على معظم الكيانات التسجيل لدى السلطة الوطنية.
اللائحة التنفيذية
بالنسبة إلى بعض مزودي الخدمات الرقمية، أوضحت المفوضية تدابير المادة 21 في اللائحة التنفيذية (EU) 2024/2690: مزودو خدمات DNS، وسجلات TLD، وخدمات الحوسبة السحابية ومراكز البيانات، وشبكات توصيل المحتوى، ومزودو الخدمات المُدارة ومزودو الخدمات الأمنية المُدارة، والأسواق الإلكترونية، ومحركات البحث، ومنصات التواصل الاجتماعي، ومزودو خدمات الثقة. وملحقها أكثر تحديدًا بكثير من المادة 21 نفسها. ومتطلبات NIS2 في ControlMapping هي نقاط ذلك الملحق، مع العناوين الصادرة عن ENISA وربطها الرسمي من ENISA بـ ISO 27001 وNIST CSF 2.0. أما الكيانات الأخرى فتتبع قانونها الوطني، لكن الملحق وإرشادات ENISA للتنفيذ مرجع سليم لأي جهة.
الخطوات
- تأكد من النطاق والتصنيف بموجب القانون الوطني لكل دولة تعمل فيها، وسجّل حيثما يُشترط ذلك.
- أطلع هيئة الإدارة: يجب عليها الموافقة على التدابير وإتمام التدريب، لذا ابدأ من هنا.
- أجرِ تقييم فجوات وفق المادة 21، أو وفق ملحق اللائحة التنفيذية إن كانت تنطبق عليك. وإن كنت تحمل شهادة ISO 27001، فابدأ من مقارنة ISO 27001 → NIS2.
- نفّذ التدابير الناقصة، مع أن أمن سلسلة الإمداد ومعالجة الثغرات يتطلبان عادةً أكبر قدر من العمل الجديد.
- ضع إجراء الإبلاغ: حدد من يقرر ما إذا كان الحادث جسيمًا، ومارس الالتزام بمواعيد 24 ساعة و72 ساعة، بما في ذلك خارج ساعات العمل.
- احتفظ بأدلة الفعالية (المادة 21(2)(f)): عمليات التدقيق والاختبارات والمقاييس التي تُظهر أن التدابير تعمل.
هل تجعلك ISO 27001 ممتثلًا لـ NIS2؟
ليس بمفردها، لكنها تقطع شوطًا كبيرًا. يربط ربط ENISA كل نقطة من اللائحة التنفيذية ببنود ISO 27001 أو ضوابط الملحق A، لذلك تملك المنظمة الحاصلة على شهادة ISO معظم التدابير التقنية والتنظيمية. ما لا توفره ISO: مواعيد الإبلاغ، وتدريب الإدارة ومسؤوليتها، والتسجيل، والمتطلبات التقنية المحددة التي تفصّلها بعض نقاط الملحق بتفصيل أكبر مما في الملحق A. والسلطة الوطنية، لا جهة الاعتماد، هي من يقرر ما إذا كنت ممتثلًا.
الإشراف والعقوبات
تشرف السلطات الوطنية على الكيانات الأساسية بشكل استباقي (عمليات تدقيق، وتفتيش، وفحوص أمنية)، وعلى الكيانات المهمة بعد وقوع الأمر، عادةً عقب حادث أو شكوى. والحد الأقصى للغرامات لا يقل عن 10 ملايين يورو أو 2% من الإيرادات السنوية العالمية للكيانات الأساسية، وعن 7 ملايين يورو أو 1.4% للكيانات المهمة، أيهما أعلى.
كيف يساعدك هذا الموقع
كل نقطة من متطلبات NIS2 هنا ترتبط بـ ISO 27001 وNIST CSF 2.0 عبر ربط ENISA، ومن خلالهما بالأطر الأخرى. ويوضح الجدول أدناه مدى تغطية كل إطار تملكه لـ NIS2.
لديك إطار آخر بالفعل؟
عدد متطلبات NIS2 التي يُربط بها كل إطار قد تتبعه بالفعل. افتح تقرير فجوات للاطلاع على القائمة متطلباً بمتطلب.
| إذا كان لديك بالفعل | متطلبات NIS2 المربوطة | ذو صلة فضفاضة فقط | لا يوجد ربط | |
|---|---|---|---|---|
| ISO 27001 | 49 من 49 | 0 | 0 | تقرير الفجوات → · مقارنة |
| SOC 2 | 47 من 49 | 1 | 1 | تقرير الفجوات → · مقارنة |
| NIST CSF 2.0 | 45 من 49 | 3 | 1 | تقرير الفجوات → · مقارنة |
| PCI DSS | 45 من 49 | 3 | 1 | تقرير الفجوات → |
| 800-53 | 45 من 49 | 3 | 1 | تقرير الفجوات → |
| DORA | 44 من 49 | 5 | 0 | تقرير الفجوات → |
| CMMC | 40 من 49 | 8 | 1 | تقرير الفجوات → |
| CIS v8.1 | 34 من 49 | 7 | 8 | تقرير الفجوات → |
| HIPAA | 34 من 49 | 13 | 2 | تقرير الفجوات → |
| GDPR | 29 من 49 | 9 | 11 | تقرير الفجوات → |
| CPS 234 | 21 من 49 | 6 | 22 | تقرير الفجوات → |
| Essential Eight | 17 من 49 | 8 | 24 | تقرير الفجوات → |
| Cyber Essentials | 16 من 49 | 3 | 30 | تقرير الفجوات → |
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. تُحسب الأعداد من البيانات نفسها المستخدمة في تحليل الفجوات؛ والمطابقة تعني متطلبات مرتبطة، ولا تعني أن أحدها يستوفي الآخر.
الأسئلة
متى بدأ تطبيق NIS2؟
كان على الدول الأعضاء تطبيق قوانينها الوطنية لـ NIS2 اعتبارًا من 18 أكتوبر 2024. وتأخرت عدة دول، لذا تحقق من الوضع في الدولة التي تعمل فيها.
ما هي مواعيد الإبلاغ عن حوادث NIS2؟
إنذار مبكر خلال 24 ساعة من العلم بحادث جسيم، وإشعار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر واحد.
هل ينطبق NIS2 على الشركات خارج الاتحاد الأوروبي؟
نعم، قد ينطبق. فبعض مزودي الخدمات الرقمية الذين يقدمون خدماتهم في الاتحاد الأوروبي دون مقر فيه ملزمون بتعيين ممثل في إحدى الدول الأعضاء.
ليست نصيحة قانونية أو في الامتثال. راجع النص الرسمي ومدقق الحسابات أو المقيّم أو الجهة التنظيمية قبل الاعتماد عليه.