مقدمة
نقلت ألمانيا توجيه NIS2 إلى قانونها الوطني قبل كثير من نظرائها في الاتحاد الأوروبي، وباتت وكالتها الاتحادية للأمن السيبراني، BSI، أوضح مؤشر مبكر على الكيفية التي يجري بها إنفاذ NIS2 فعليًا على أرض الواقع حين تمتلك جهة إشرافية تفويضًا قانونيًا نافذًا. وقد صدر بالفعل نحو 47 أمرًا رسميًا بموجب تطبيق ألمانيا لتوجيه NIS2، وهو حجم يكشف عن أنماط الإنفاذ المرجّحة في بقية الاتحاد الأوروبي أكثر مما كشفته أي غرامة منفردة حتى الآن.
ما الذي يعنيه «الأمر الرسمي» فعلًا
يأتي الأمر الإشرافي الرسمي خطوةً قبل الغرامة. وهو يُلزم عادةً الكيان الخاضع للتنظيم بمعالجة ثغرة محددة جرى رصدها، كتدبير غائب من تدابير إدارة المخاطر، أو عملية غير مكتملة للإبلاغ عن الحوادث، أو متطلب لم يُعالَج من متطلبات أمن سلسلة التوريد، وذلك خلال مهلة محددة، على أن تكون الغرامة نتيجةً لعدم الامتثال للأمر نفسه لا للثغرة الأصلية. ويشير العدد الكبير من الأوامر مقارنةً بالغرامات المؤكدة إلى أن الجهات الإشرافية الألمانية تستخدم، حتى الآن، سلّم الإنفاذ كما صُمِّم: رصد الثغرات، والأمر بمعالجتها، وحصر الغرامات في الكيانات التي تُخفق في سدّها بعد أن تُؤمَر بذلك.
ما الذي تستهدفه الأوامر فعليًا
- إجراءات غير مكتملة أو غير مُختبَرة للاستجابة للحوادث والإبلاغ عنها
- تقييم غير كافٍ لمخاطر سلسلة التوريد والأطراف الثالثة
- تدابير غائبة أو غير ملائمة لإدارة المخاطر في الفئات العشر المحددة في المادة 21 من NIS2
- فجوات بين سياسة الأمن الموثقة والممارسة التشغيلية القابلة للإثبات
الثغرة المتكررة: السياسة موجودة، والدليل غائب
يعكس النمط الذي يبرز من نشاط الإنفاذ المبكر في ألمانيا ما ظهر بالفعل في العدد القليل من الغرامات المؤكدة في أماكن أخرى من الاتحاد الأوروبي: نادرًا ما تُؤاخَذ المؤسسات لأنها لا تملك أي سياسة على الإطلاق، بل تُؤاخَذ لعجزها عن أن تثبت، بالأدلة، أن سياسة موثقة كانت تعمل فعلًا كما هو موصوف في التواريخ المهمة. فخطة مكتوبة للاستجابة للحوادث لم تُختبَر قط، أو تقييم لمخاطر سلسلة التوريد موجود كوثيقة ثابتة بدلًا من سجل يُحدَّث باستمرار، يبدوان على الورق مطابقين تمامًا لبرنامج يُدار جيدًا، إلى أن يطلب المدقق أدلة بدلًا من وصف.
ما يعنيه ذلك للمؤسسات في الولايات القضائية الأقل نضجًا في الإنفاذ
يتقدّم النضج الإشرافي في ألمانيا على جزء كبير من الاتحاد الأوروبي، ما يجعل نمط الإنفاذ فيها معاينة مسبقة مفيدة لا شأنًا ألمانيًا خاصًا. وينبغي للمؤسسات العاملة في ولايات قضائية يكون فيها الإشراف على NIS2 أحدث عهدًا أو أقل نشاطًا أن تقرأ حجم الأوامر في ألمانيا بوصفه معاينة مسبقة لما يُرجَّح أن تركّز عليه عمليات التدقيق التي ستخضع لها هي نفسها لاحقًا، لا دليلًا على أن ولايتها القضائية أكثر أمانًا.
موجة الإنفاذ في ألمانيا معاينة مسبقة لا حالة شاذة، والفجوة التي تواصل رصدها تقع بين السياسة الموثقة والممارسة القابلة للإثبات. اكتشف كيف تحوّل ROOTKey سياسة الامتثال إلى أدلة مستمرة وجاهزة للتدقيق.