لماذا يمسّ NIS2 عملاءكم ومشاريعكم
لا يتوقف NIS2 عند الكيانات التي يستهدفها، بل يمتد إلى سلسلة توريدها. تُلزم المادة 21 كل كيان أساسي أو مهم بمعالجة أمن علاقاته مع مورّديه ومزوّدي خدماته المباشرين، مع مراعاة الثغرات الخاصة بكل منهم وجودة منتجاتهم وممارساتهم في التطوير الآمن. وعلى المستشفى أو شبكة الطاقة أو مشغّل النقل أو الإدارة العمومية إذن تقييم أمن كل مزوّد يلامس بنيته التحتية الرقمية وتوثيقه — مستضيف الموقع، ومنصة التطبيقات، وأدوات SaaS المدمجة.
وهكذا تدخل الوكالة التي تسلّم مشروعًا لعميل خاضع لـ NIS2 في النطاق بشكل غير مباشر: إذا لم تستطع تقديم ضمانات موثّقة بشأن الاستضافة المختارة، فلن يتمكن عميلها من الوفاء بالتزامه في التحكم في السلسلة. وإذا كانت الوكالة نفسها تدير البنية التحتية لعملائها، فقد تصبح مزوّد خدمات مُدارة، وهي فئة يستهدفها NIS2 مباشرة ابتداءً من الحجم المتوسط.
ما يفرضه NIS2 على أرض الواقع
- عشرة تدابير دنيا لإدارة المخاطر (المادة 21) — منها إدارة الحوادث، واستمرارية الأعمال، وأمن سلسلة التوريد، والتحكم في الوصول، والتشفير، والمصادقة متعددة العوامل.
- إنذار مبكر خلال 24 ساعة — يُبلَّغ فريق CSIRT أو السلطة المختصة بكل حادث جسيم خلال 24 ساعة من العلم به، مع بيان ما إذا كان يبدو كيديًا أو عابرًا للحدود.
- إخطار بالحادث خلال 72 ساعة — تقييم أولي للخطورة والأثر، ولمؤشرات الاختراق إن توفرت.
- تقرير نهائي خلال شهر — وصف مفصل، والسبب المرجح، وتدابير التخفيف؛ ويمكن طلب تقرير مرحلي في الأثناء.
- أمن موثّق لسلسلة التوريد — يُقيَّم كل مورّد مباشر وتُصاغ التزامات الأمن في العقود.
- تقييم منتظم لفعالية التدابير — اختبارات وتحليلات للثغرات وتمارين استمرارية على فترات محددة.
- حوكمة على مستوى الإدارة (المادة 20) — تعتمد هيئات الإدارة التدابير، وتشرف على تنفيذها، وتتابع تكوينًا إلزاميًا، ويمكن مساءلتها عن الإخلالات.
من يشمله التوجيه: الكيانات الأساسية والمهمة
يُطبَّق NIS2 على الكيانات العامة أو الخاصة في القطاعات المدرجة في ملحقيه، ابتداءً من الحجم المتوسط بمفهوم التوصية 2003/361/CE: 50 موظفًا فأكثر، أو أكثر من 10 ملايين يورو من رقم الأعمال السنوي ومن مجموع الميزانية. يغطي الملحق الأول أحد عشر قطاعًا عالي الحساسية: الطاقة، والنقل، والمصارف، والبنى التحتية للأسواق المالية، والصحة، ومياه الشرب، والمياه العادمة، والبنية التحتية الرقمية، وإدارة خدمات تكنولوجيا المعلومات بين الشركات، والإدارة العمومية، والفضاء. ويغطي الملحق الثاني سبعة قطاعات أخرى: الخدمات البريدية، وإدارة النفايات، والكيمياء، والأغذية، والتصنيع، والمزوّدين الرقميين (الأسواق الإلكترونية، ومحركات البحث، والشبكات الاجتماعية)، والبحث العلمي.
تتحدد الفئة بالملحق وبالحجم معًا. فالكيانات الأساسية هي كيانات الملحق الأول التي تتجاوز سقوف المؤسسات المتوسطة (250 موظفًا فأكثر، أو أكثر من 50 مليون يورو من رقم الأعمال وأكثر من 43 مليون يورو من الميزانية)، إضافة إلى مقدمي خدمات الثقة المؤهلين وسجلات أسماء النطاقات العليا ومزوّدي خدمات DNS أيًا كان حجمهم. أما الكيانات المهمة فهي سائر الكيانات المشمولة في الملحقين — مثل مزوّد سحابة متوسط الحجم. ويمكن للدول الأعضاء أيضًا تعيين كيان أصغر إذا كان يؤدي دورًا حرجًا.
وفي جانب الاستضافة، يذكر الملحق الأول صراحةً مزوّدي خدمات الحوسبة السحابية، ومراكز البيانات، وشبكات توصيل المحتوى (CDN)، وخدمات DNS، إلى جانب مزوّدي الخدمات المُدارة وخدمات الأمن المُدارة. وكان على الدول الأعضاء وضع قائمة كياناتها الأساسية والمهمة في موعد أقصاه 17 أبريل 2025، وبحسب البلد قد يتم التسجيل لدى السلطة بتصريح من الكيان نفسه.
الكيانات الأساسية والكيانات المهمة: ما الذي يتغير
مرّر الجدول أفقيًا
| المعيار | الكيانات الأساسية | الكيانات المهمة |
|---|---|---|
| من هي | كيانات الملحق الأول فوق سقوف المؤسسات المتوسطة؛ سجلات TLD ومزوّدو DNS ومقدمو خدمات الثقة المؤهلون أيًا كان حجمهم؛ الكيانات التي تعيّنها الدولة | سائر كيانات الملحقين الأول والثاني ابتداءً من الحجم المتوسط، والكيانات التي تعيّنها الدولة |
| أمثلة في المجال الرقمي | مزوّد كبير للسحابة أو مراكز البيانات أو CDN؛ أي مزوّد DNS أو سجل TLD | مزوّد سحابة أو خدمات مُدارة متوسط الحجم؛ سوق إلكترونية، محرك بحث، شبكة اجتماعية |
| نظام الرقابة | رقابة مسبقة: تفتيش، وتدقيقات دورية وموجّهة، وطلبات معلومات دون حادث سابق | رقابة لاحقة: مراقبة تُطلقها مؤشرات على الإخلال |
| الغرامات القصوى | سقف لا يقل عن 10 ملايين يورو أو 2 % من رقم الأعمال السنوي العالمي، أيهما أعلى | سقف لا يقل عن 7 ملايين يورو أو 1.4 % من رقم الأعمال السنوي العالمي، أيهما أعلى |
| الإخطار بالحوادث | إنذار مبكر خلال 24 ساعة، إخطار خلال 72 ساعة، تقرير نهائي خلال شهر | الآجال نفسها: المادة 23 تشمل الفئتين |
| مسؤولية المسيّرين | مسؤولية بموجب المادة 20، مع إمكانية المنع المؤقت من ممارسة مهام الإدارة | مسؤولية بموجب المادة 20؛ لا ينص التوجيه على منع مؤقت |
ما لا يشمله NIS2 مباشرة
المنظمة التي يقل عدد موظفيها عن 50 ولا يتجاوز رقم أعمالها السنوي أو مجموع ميزانيتها 10 ملايين يورو — أي مؤسسة صغيرة بالمفهوم الأوروبي — تبقى مبدئيًا خارج نطاق التوجيه، مع استثناءات: مزوّدو DNS، وسجلات TLD، ومقدمو خدمات الثقة، وبعض شبكات الاتصالات الإلكترونية، أو كيان تعيّنه دولته لدوره الحرج. ولا يعفيها ذلك من أي التزام آخر: فاللائحة العامة لحماية البيانات والتنظيمات القطاعية تُطبَّق باستقلال.
في المقابل، إذا كانت مزوّدًا لكيان مشمول، يمكن لعميلها أن يفرض عليها تعاقديًا تدابير مماثلة بموجب أمن سلسلة التوريد. وهذه هي الحالة الأكثر شيوعًا لوكالة الويب: غير خاضعة لـ NIS2 مباشرة، لكنها ملزمة ببنود من يخضعون له.
التدابير العشرة في المادة 21
تفرض المادة 21 من التوجيه على الكيانات الأساسية والمهمة تدابير تقنية وتشغيلية وتنظيمية «ملائمة ومتناسبة»، قائمة على مقاربة تشمل كل المخاطر وتحمي أيضًا البيئة المادية للأنظمة. وتحدد قائمة دنيا من عشرة مجالات تغطي دورة حياة الأمن كاملة: من تحليل المخاطر إلى إدارة الحوادث، مرورًا باستمرارية الأعمال وسلسلة التوريد. ويجب أن يكون كل تدبير متناسبًا مع درجة تعرض الكيان وحجمه والخطورة المحتملة للحوادث، وموثّقًا لإثباته أمام سلطات الرقابة. وعلى الكيان الذي يكتشف قصورًا أن يتخذ دون تأخير غير مبرر التدابير التصحيحية اللازمة.
التدابير الدنيا العشرة (المادة 21، الفقرة 2)
- سياسات تحليل المخاطر وأمن نظم المعلومات
- إدارة الحوادث
- استمرارية الأعمال: إدارة النسخ الاحتياطية، والتعافي من الكوارث، وإدارة الأزمات
- أمن سلسلة التوريد، بما في ذلك العلاقات مع المورّدين ومزوّدي الخدمات المباشرين
- الأمن في اقتناء الأنظمة وتطويرها وصيانتها، بما في ذلك معالجة الثغرات والإفصاح عنها
- سياسات وإجراءات لتقييم فعالية تدابير إدارة المخاطر
- الممارسات الأساسية للنظافة السيبرانية والتكوين في الأمن السيبراني
- سياسات وإجراءات استخدام التشفير، وعند الاقتضاء التعمية
- أمن الموارد البشرية، وسياسات التحكم في الوصول، وإدارة الأصول
- المصادقة متعددة العوامل أو المستمرة، والاتصالات الصوتية والمرئية والنصية الآمنة، وأنظمة اتصالات الطوارئ الآمنة، حسب الحاجة
التدابير التي تمسّ استضافتكم مباشرة
من بين التدابير العشرة، يُترجم أربعة منها بشكل شبه مباشر إلى خيارات في البنية التحتية. وبالنسبة للفاعلين الرقميين، حددت المفوضية المتطلبات التقنية في اللائحة التنفيذية (EU) 2024/2690 المؤرخة في 17 أكتوبر 2024. وهي تُطبَّق على مزوّدي خدمات DNS، وسجلات TLD، ومزوّدي السحابة ومراكز البيانات وCDN، ومزوّدي الخدمات المُدارة وخدمات الأمن المُدارة، والأسواق الإلكترونية، ومحركات البحث، والشبكات الاجتماعية، ومقدمي خدمات الثقة. وإن لم تكونوا منهم، تبقى المرجع التشغيلي الأدق لمعرفة ما سينتظره المدقق من مستضيفكم — ومنكم إذا كنتم تديرون البنية التحتية لعملائكم.
أربعة تدابير مترجمة إلى خيارات استضافة
- الاستمرارية والنسخ الاحتياطية (المادة 21، الفقرة 2، البند c): تطلب اللائحة التنفيذية خطط نسخ احتياطي تتضمن مهلة الاستعادة، وإثبات اكتمال النسخ، وتخزينها خارج شبكة النظام وعلى مسافة كافية من الموقع الرئيسي لتنجو من أي كارثة، وفحوص سلامة منتظمة، واختبارات استعادة مسجّلة. والمزوّد الذي لا يتيح نسخًا خارجية ولا إثباتًا للسلامة لا يساعدكم على الوفاء بهذا الالتزام.
- التشفير (المادة 21، الفقرة 2، البند h): تحدد سياسة مكتوبة البروتوكولات والخوارزميات وممارسات إدارة المفاتيح، للبيانات أثناء النقل وفي حالة السكون. اختيار التشفير يعود إليكم، لكن على مستضيفكم أن يتيح لكم تطبيقه: TLS على كل نقاط الدخول، وأقراص مشفّرة، ومفاتيح تحت سيطرتكم.
- التحكم في الوصول والمصادقة متعددة العوامل (المادة 21، الفقرة 2، البندان i وj): تُحمى واجهات الإدارة (لوحة الاستضافة، SSH، وحدات التحكم في المحاكاة الافتراضية) بـ MFA وتخضع لمبدأ أقل الصلاحيات. على المستضيف توفير MFA على لوحته، أما إعداد SSH فمن مسؤوليتكم.
- التسجيل والكشف (إدارة الحوادث، المادة 21، الفقرة 2، البند b): تشترط اللائحة التنفيذية سجلات محفوظة ومنسوخة احتياطيًا طوال فترة محددة مسبقًا، محمية من أي وصول أو تعديل غير مصرح به، وساعات متزامنة لربط الأنظمة ببعضها، ومراجعة منتظمة مع عتبات إنذار. فمدة الاحتفاظ، والتصدير إلى SIEM أو منصة مركزية، وسلامة السجلات متطلبات ملموسة.
ما يجب أن يستوفيه خادم VPS أو الخادم المخصص عمليًا
إليكم كيف تُترجم هذه التدابير إلى إعدادات على خادم VPS أو خادم مخصص.
النسخ الاحتياطية. تبقى قاعدة 3-2-1 الممارسة الجيدة: ثلاث نسخ من البيانات، على وسيطين مختلفين، إحداها خارج الموقع. وعلى خادم VPS يعني ذلك على الأقل لقطات منتظمة، إضافة إلى نسخة احتياطية للتطبيق تُصدَّر إلى تخزين كائنات مستقل، متوافق مع S3 مثلًا — وأداة مثل Restic تفعل ذلك مع تشفير البيانات. ويتحدد التواتر وفق RPO (Recovery Point Objective): بالنسبة لمعظم تطبيقات الويب الحرجة، 24 ساعة حد أقصى. وثّقوا كل اختبار استعادة وكرّروه مرة كل ثلاثة أشهر على الأقل.
التشفير. TLS على كل نقاط الدخول (HTTPS، وSMTP مع STARTTLS، وواجهات API)، بإعداد يرفض الإصدارات المتقادمة (SSLv3، TLS 1.0، TLS 1.1)؛ TLS 1.2 كحد أدنى وTLS 1.3 يُفضَّل. وفي حالة السكون، شفّروا الأقراص التي تحمل بيانات حساسة — LUKS لنظام ملفات Linux، والتشفير الأصلي لقاعدة البيانات حين يتوفر. وأتمتوا تجديد الشهادات (ACME أو Let's Encrypt أو ما يعادلهما) لتفادي انتهاء الصلاحية دون رقابة.
الوصول وMFA. عطّلوا مصادقة SSH بكلمة المرور — المفاتيح فقط، مع PasswordAuthentication no في sshd_config. ولواجهات الإدارة عالية القيمة (لوحة الاستضافة، وحدات التحكم في المحاكاة الافتراضية)، استخدموا MFA عبر تطبيق TOTP أو مفتاح مادي FIDO2. وامنحوا حسابات الخدمة مفاتيح خاصة قابلة للإلغاء واحدًا واحدًا، ودقّقوا قائمة صلاحيات الوصول النشطة بانتظام. ويجمع مضيف bastion لـ SSH هذه الصلاحيات وإمكانية تتبعها في مكان واحد.
السجلات. احفظوا سجلات التطبيقات (Nginx، Apache، PHP-FPM، قواعد البيانات) وسجلات النظام (auth، النواة، systemd) في مكان لا يستطيع التطبيق نفسه تعديله. وحدّدوا كتابيًا مدة احتفاظ تناسب مخاطركم وآجال الكشف لديكم، وأطول لسجلات المصادقة والإدارة. ويحفظ التصدير إلى حل مركزي (syslog بعيد، Loki، Elasticsearch) سلامتها إذا اختُرق الخادم.
الاستعداد للامتثال لـ NIS2
تحديد ما إذا كنتم أنتم أو عملاؤكم ضمن النطاق
حدّدوا قطاع نشاط كل عميل في الملحقين الأول والثاني، ثم طبّقوا عتبات الحجم (عدد الموظفين، رقم الأعمال، الميزانية). وتحدد قوانين النقل الوطنية والسلطات المختصة في كل دولة النطاق الدقيق وإجراءات التسجيل. وإذا كنتم مزوّدين لكيان مشمول، فأعيدوا قراءة عقدكم: يمكن لعميلكم أن يفرض عليكم متطلبات أمنية مماثلة.
جرد الأصول والمورّدين
أدرجوا الأنظمة والتطبيقات وخدمات الأطراف الثالثة التي تعالج بيانات حرجة، والمزوّدين الذين يصلون إلى البنية التحتية (المستضيف، الإدارة الخارجية، المطوّرون الخارجيون، المُدمِجون). ولكل منهم، وثّقوا التزامات الأمن المتاحة — موقع البيانات، الشهادات، إجراءات الحوادث — ومستوى تحكمكم في صلاحيات وصوله.
حصر كل واجهات الإدارة المكشوفة
لوحة الاستضافة، SSH، RDP، واجهات قواعد البيانات (phpMyAdmin، Adminer)، وحدات المراقبة، واجهات API للإدارة: أدرجوا كل شيء. ولكل واجهة، تحققوا من تفعيل MFA، ومن تقييد الوصول حسب IP متى أمكن، وسجّلوا تاريخ آخر تدقيق للحسابات النشطة.
تدقيق سياسة النسخ الاحتياطي
أجيبوا عن الأسئلة التالية: ما تواتر النسخ الاحتياطية؟ أين تُخزَّن — في مركز البيانات نفسه أم في موقع مستقل؟ هل هي مشفّرة؟ هل استعدتم خدمة بالكامل خلال الأيام التسعين الأخيرة؟ هل لديكم RPO وRTO محددان لكل خدمة حرجة؟
اختبار إعدادات TLS والشهادات
افحصوا نطاقاتكم بـ SSL Labs أو
testssl.sh: لا SSLv3 ولا TLS 1.0 أو 1.1، ولا خوارزميات متقادمة (RC4، MD5، SHA-1 في الشهادات). صحّحوا أي تقييم أدنى من A. وأدرجوا الشهادات المستخدمة في الإنتاج مع تواريخ انتهائها، وتحققوا من أتمتة التجديد، ثم احذفوا مفاتيح SSH اليتيمة (حسابات معطلة، مزوّدون سابقون).التحقق من الاحتفاظ بالسجلات وسلامتها
حدّدوا موقع كل ملف سجل (auth، nginx/apache، التطبيق، قاعدة البيانات) وقيسوا مدة الاحتفاظ الفعلية. وتحققوا من أن حساب التطبيق لا يملك صلاحية الكتابة في سجلات المصادقة، ومن تزامن الساعات، وأعدّوا تصديرًا إلى تخزين ثانوي إن لم يكن موجودًا.
إرساء إدارة الحوادث
حدّدوا مسار الكشف والتصعيد والإخطار: من يقرر أن الحادث جسيم، ومن يرسل الإنذار المبكر خلال 24 ساعة، ومن يصوغ الإخطار خلال 72 ساعة والتقرير النهائي خلال شهر، وعبر أي قناة يُتواصل مع فريق CSIRT أو السلطة الوطنية. واستعدوا لإعادة بناء مجرى الأحداث انطلاقًا من السجلات.
اختيار مزوّدين ذوي التزامات موثّقة
فضّلوا مستضيفين تقع خوادمهم في الاتحاد الأوروبي، ويقدمون وثائق أمنية (ISO 27001 أو ما يعادلها)، وتحدد عقودهم المسؤوليات بوضوح عند وقوع حادث. واشترطوا بنودًا حول مهلة الإخطار وقناته، وتقاسم مسؤوليات النسخ الاحتياطي، وقابلية نقل البيانات، والوصول إلى السجلات في حال التحقيق.
الاختبار والتحقق بانتظام
خطّطوا لاختبارات اختراق وتحليلات ثغرات وتمارين استمرارية على فترات محددة. واحتفظوا بالتقارير وأدلة التصحيح: فهي العناصر الوثائقية المنتظرة عند أي رقابة NIS2، وأساس تقييم الفعالية الذي تشترطه المادة 21.
مزوّد الاستضافة جزء من سلسلة توريد NIS2
بالنسبة لعميل خاضع لـ NIS2، ليس المستضيف مزوّدًا كغيره. فموقع الخوادم داخل الاتحاد الأوروبي، والالتزامات التعاقدية في مجال الأمن، وإجراءات الإخطار بالحوادث الموثّقة، كلها تزن مباشرة في تقييم امتثاله. واتفاقية مستوى الخدمة الخاصة بالتوفر لا تغطي هذه الجوانب: يجب التفاوض عليها صراحةً.
واختيار مستضيف قادر على تقديم هذه العناصر يسهّل مسعى عميلكم ويعزز مكانة وكالتكم كشريك موثوق. وإذا كان عميلكم ينتمي أيضًا إلى القطاع المالي، تضيف لائحة DORA متطلباتها التعاقدية الخاصة: راجعوا ما تفرضه DORA على عقود تكنولوجيا المعلومات.
الامتثال: خارطة طريق من ثلاث مراحل
الامتثال لـ NIS2 ليس مشروعًا ظرفيًا بل برنامج مستمر لإدارة المخاطر. وبالنسبة لمنظمة في بدايتها، فإن ثلاث مراحل واقعية.
المرحلة 1 — التأطير (من شهر إلى شهرين). تأكيد الانتماء إلى النطاق، وتحديد الأنظمة والخدمات المعنية (نطاق NIS2 ليس بالضرورة نظام المعلومات بأكمله)، وتعيين مرجع للأمن وتحديد الأدوار. وإعداد خريطة للأصول الحرجة وأول تحليل مخاطر موثّق. ورصد أخطر الثغرات: غياب MFA، ونسخ احتياطية غير خارجية، وغياب التسجيل المركزي.
المرحلة 2 — التدابير التقنية ذات الأولوية (من شهرين إلى أربعة أشهر). نشر MFA على كل واجهات الإدارة. وإرساء النسخ الاحتياطية الخارجية أو تعزيزها مع اختبار للاستعادة. وتدقيق إعدادات TLS وتصحيحها. وتجميع السجلات مركزيًا مع مدة احتفاظ محددة كتابيًا. ومراجعة صلاحيات المزوّدين، وتحديث العقود، وصياغة إجراء الإخطار بالحوادث.
المرحلة 3 — البرنامج المستمر. دمج الأمن في دورة التطوير (مراجعات الشيفرة، إدارة التبعيات، اختبارات اختراق سنوية). وتنظيم تمارين لاستمرارية الأعمال. وتكوين الفرق في النظافة السيبرانية — والإدارة أيضًا، إذ التكوين إلزامي لها. وتوثيق إدارة الأزمات واختبارها. ومراجعة تحليل المخاطر مرة في السنة على الأقل أو بعد أي تغيير كبير في البنية التحتية.
NIS2: قيد يعزّز ثقة عملائكم
ليس NIS2 تنظيمًا مجردًا: فهو يحوّل إلى التزامات ممارسات تعترف معظم الفرق التقنية بجدواها منذ سنوات — نسخ احتياطية موثوقة، وصلاحيات وصول مضبوطة، وسجلات قابلة للاستغلال، وإجراءات موثّقة. والجديد أنها تصبح واجبة وقابلة للتحقق ومعرّضة للعقوبة. ويُلزم التوجيه الدول بأن تقرر، عن الإخلال بالمادتين 21 و23، غرامات يبلغ سقفها 10 ملايين يورو أو 2 % من رقم الأعمال السنوي العالمي على الأقل للكيانات الأساسية، و7 ملايين يورو أو 1.4 % على الأقل للكيانات المهمة.
وبالنسبة للوكالات التي تسلّم مشاريع لهذه الكيانات، فهذه أيضًا حجة تجارية ملموسة: القدرة على إثبات أن الاستضافة المختارة تستجيب لما يشترطه التوجيه — موقع البيانات، والأمن، وإدارة الحوادث — تميّز العرض الجاد عن العرض العام. فالكيانات الخاضعة لـ NIS2 تحتاج إلى مزوّدين يفهمون قيودها ويتيحون لها توثيق خياراتها. وإذا كنتم تنشرون برمجيات أيضًا، فإن قانون المرونة الإلكترونية يُضاف إلى NIS2 دون أن يحل محله: راجعوا ما يغيّره CRA لوكالتكم.
