المفهوم الخاطئ الأكثر شيوعًا حول NIS2 في السوق
السؤال الذي يسمعه فريق المؤسسات في ROOTKey من مختصي الامتثال أكثر من أي سؤال آخر هو: «لدينا ISO 27001. هل يغطي ذلك NIS2؟»
الإجابة المختصرة: لا. تُعد شهادة ISO 27001 رصيدًا مهمًا في أي برنامج للامتثال لـ NIS2، وهي تدل على نهج ناضج في إدارة أمن المعلومات. لكنها لا تغطي الالتزامات التنظيمية التي تفرضها NIS2، والمؤسسات التي تفترض أنها تغطيها ستواجه فجوات - بعضها جوهري.
هذا ليس انتقادًا لـ ISO 27001 - فهو لا يزال الإطار الأكثر صرامة المعترف به دوليًا لإدارة أمن المعلومات. بل هو توضيح لما تشترطه NIS2 ولا يشترطه ISO 27001.
إن فهم الفروق سيوفّر على فرق الامتثال وقتًا كبيرًا، إذ يركّز الجهد على الفجوات الحقيقية بدلًا من تكرار عمل أُنجز بالفعل.
ما يجمع بين ISO 27001 وNIS2
إن التداخل الكبير بين الإطارين يعني أن المؤسسات الحاصلة على شهادة ISO 27001 تتمتع بأسبقية واضحة في الامتثال لـ NIS2:
إدارة المخاطر. يشترط كلاهما تحديد المخاطر وتقييمها ومعالجتها بشكل منهجي. وتتوافق خطط معالجة المخاطر في ISO 27001 توافقًا وثيقًا مع التدابير الأمنية الواردة في المادة 21 من NIS2.
الضوابط التقنية. تغطي ضوابط الملحق A من ISO 27001 التحكم في الوصول، والتشفير، والأمن المادي، وأمن العمليات، وأمن الاتصالات - وكلها مطلوبة بموجب NIS2.
التوثيق. تتوافق متطلبات التوثيق في ISO 27001 (السياسات والإجراءات والسجلات) مع ما تشترطه NIS2 من إثبات وجود تدابير مناسبة مطبّقة.
استمرارية الأعمال. يتضمن ISO 27001 التخطيط لاستمرارية الأعمال (الملحق A.17)، وهو ما يقابل اشتراط NIS2 لتدابير استمرارية الأعمال وإدارة الأزمات.
العلاقات مع الموردين. يغطي الملحق A.15 من ISO 27001 أمن الموردين، وهو ما يتوافق مع متطلبات NIS2 الخاصة بأمن سلسلة الإمداد.
بالنسبة إلى المؤسسات التي لديها برنامج ناضج لـ ISO 27001، تتطلب هذه المجالات تحديث الوثائق ومطابقة الفجوات بدلًا من البناء من الصفر.
ما تشترطه NIS2 ولا يشترطه ISO 27001
تندرج فجوات NIS2 الحقيقية لدى المؤسسات الحاصلة على شهادة ISO 27001 ضمن ثلاثة مجالات رئيسية:
1. الإبلاغ عن الحوادث إلى السلطات. تشترط NIS2 الإبلاغ الإلزامي عن الحوادث الجسيمة إلى السلطات الوطنية المختصة ضمن أطر زمنية محددة (إنذار أولي خلال 24 ساعة، وإخطار مفصّل خلال 72 ساعة، وتقرير نهائي خلال 30 يومًا). ويتضمن ISO 27001 متطلبات لإدارة الحوادث، لكنه لا يحدد أي جدول زمني إلزامي للإبلاغ التنظيمي. وهذه عملية تشغيلية يجب بناؤها خصيصًا لـ NIS2.
2. مساءلة هيئة الإدارة (المادة 20). تجعل NIS2 هيئة الإدارة في الكيان مسؤولة صراحةً عن اعتماد تدابير إدارة مخاطر الأمن السيبراني. ويمكن تحميل أعضاء الإدارة المسؤولية الشخصية عن المخالفات، ويجب عليهم الخضوع لتدريب منتظم في الأمن السيبراني. ويشترط ISO 27001 التزام الإدارة، لكنه لا ينص على مسؤولية شخصية لأعضاء هيئة الإدارة.
3. التسجيل لدى السلطات الوطنية المختصة. تُلزم NIS2 الكيانات الواقعة ضمن نطاقها بالتسجيل لدى السلطة الوطنية التابعة لها. أما شهادة ISO 27001 فتتضمن مدققًا من طرف ثالث، لكنها لا تتضمن أي تسجيل لدى جهة تنظيمية.
4. خصوصيات سلسلة الإمداد. على الرغم من أن ISO 27001 يغطي أمن الموردين، فإن البند (د) من الفقرة 2 من المادة 21 من NIS2 يُلزم الكيانات بمعالجة «نقاط الضعف الخاصة بكل مورد مباشر ومقدم خدمة» ومراعاة «الجودة الإجمالية لمنتجات مورديها وممارساتهم في مجال الأمن السيبراني». وهذا أكثر تحديدًا من إدارة العلاقات مع الموردين في ISO 27001.
بالنسبة إلى المؤسسات في البرتغال، يتناول دليلنا حول NIS2 في البرتغال والمرسوم بقانون Decreto-Lei 125/2025 الخصوصيات الوطنية التي تنطبق إضافةً إلى هذه المتطلبات الأساسية.
أسرع طريق إلى الامتثال لـ NIS2 انطلاقًا من أساس ISO 27001
بالنسبة إلى المؤسسات الحاصلة على شهادة ISO 27001، يركّز المسار الأكثر كفاءة نحو الامتثال لـ NIS2 على الفجوات الحقيقية:
الأولوية 1: إجراء الإبلاغ عن الحوادث. ابنوا سير عمل الإبلاغ وفق مهل 24 ساعة و72 ساعة و30 يومًا واختبروه. حدّدوا من يطلق الإبلاغ داخل المؤسسة، ومن يوافق عليه، وأي سلطة وطنية تتلقاه.
الأولوية 2: تدريب الإدارة وتوثيق المساءلة. تأكدوا من أن هيئة الإدارة تلقت تدريبًا رسميًا في الأمن السيبراني. ووثّقوا ذلك. وتأكدوا من أن هيئة الإدارة اعتمدت رسميًا تدابير إدارة المخاطر وأن هذا الاعتماد مسجّل.
الأولوية 3: التسجيل لدى السلطة الوطنية المختصة. أكملوا التسجيل ضمن المهلة المطلوبة بعد تحديد وضع الكيان.
الأولوية 4: تحديث تدقيق سلسلة الإمداد. راجعوا تقييمات الموردين الحالية في ضوء الخصوصيات الواردة في البند (د) من الفقرة 2 من المادة 21 من NIS2. وحدّثوا عقود الموردين لتشمل متطلبات أمنية متوافقة مع NIS2.
يستغرق تقييم الجاهزية للامتثال لـ NIS2 نحو 15 دقيقة، ويقارن وضعكم الحالي بالمجالات الأربعة ذات الأولوية كلها. ويغطي دليل NIS2 للمؤسسات إطار الامتثال الكامل. ابدأوا تقييمكم اليوم.