مقدمة
طوال معظم عام 2025 ومطلع عام 2026، ظل إنفاذ NIS2 نظرياً: توجيه بسقوف غرامات مرتفعة ومن دون أي سجل تطبيق سابق. وقد تغيّر ذلك هذا الصيف. فقد فُرضت الآن غرامات مؤكدة في أربع دول أعضاء على الأقل، وبلغ عدد الأوامر الرقابية الرسمية العشرات في ألمانيا وفرنسا وحدهما، وفي 8 يوليو 2026 أحالت المفوضية الأوروبية أيرلندا وإسبانيا وفرنسا وهولندا إلى محكمة العدل التابعة للاتحاد الأوروبي لعدم نقلها التوجيه بالكامل إلى قوانينها الوطنية. لم يعد NIS2 موعداً نهائياً للامتثال يُعرض على شريحة، بل أصبح نظام إنفاذ فعلياً قائماً.
الغرامات حتى الآن
- بلجيكا: نحو 185,000 يورو
- إيطاليا: نحو 450,000 يورو
- المجر: نحو 78,000 يورو
- ليتوانيا: نحو 52,000 يورو
النشاط الرقابي يسبق الغرامات
الغرامات مؤشر متأخر. أما الإشارة الأكثر مباشرة فهي حجم الأوامر الرقابية الرسمية الصادرة بالفعل: نحو 47 أمراً من BSI في ألمانيا و23 من ANSSI في فرنسا، التي تعمل بموجب إطارها القائم لعام 2018 بينما لا يزال النقل الرسمي لتوجيه NIS2 إلى القانون الوطني معلقاً. وتنشط برامج التدقيق الآن في 14 دولة عضواً على الأقل، وتستهدف الكيانات الأساسية أولاً. وعلى أي مؤسسة لم تُفرض عليها غرامة بعد ألا تعدّ ذلك دليلاً على امتثالها، بل مجرد إشارة إلى أن الجهة الرقابية المختصة بها لم تصل إليها بعد.
لماذا تواجه أربع دول أعضاء المحكمة
اشترط توجيه NIS2 نقله إلى القوانين الوطنية بحلول أكتوبر 2024. وبحلول مايو 2026، كانت نحو 21 إلى 23 دولة من أصل 27 دولة عضواً قد فعلت ذلك، ما ترك أقلية مستمرة (من بينها بعض أكبر اقتصادات الاتحاد الأوروبي) تعمل وفق أطر وطنية جزئية أو غير مكتملة. وإحالة المفوضية أيرلندا وإسبانيا وفرنسا وهولندا إلى محكمة العدل التابعة للاتحاد الأوروبي تصعيد رسمي لا مجرد لفتة رمزية: فهي تطلق إجراءً قانونياً قد يفضي في نهاية المطاف إلى عقوبات مالية على الدولة العضو نفسها، تُضاف إلى الالتزامات الواقعة أصلاً على الكيانات الخاضعة للتنظيم العاملة فيها، ولا تحل محلها.
ما يعنيه ذلك عملياً لأدلة الامتثال
المؤسسات التي تجنّبت الغرامات حتى الآن ليست تلك التي تملك أفضل السياسات على الورق: فقد طالت الغرامات كيانات أساسية ومهمة عجزت، عند التحقيق، عن تقديم أدلة مستمرة على الضوابط التي وصفتها وثائق سياساتها. فالتدقيق الرقابي لا يسأل عما إذا كانت هناك سياسة أمنية؛ بل يسأل عما إذا كانت المؤسسة قادرة على أن تثبت، بأدلة مختومة زمنياً، أن السياسة طُبّقت في التواريخ المهمة. وعند هذا الفارق تحديداً تتفوق أدلة الامتثال القابلة للتحقق آلياً والمُنتَجة باستمرار على ملف تدقيق يعكس لحظة زمنية واحدة.
مع انتقال إنفاذ NIS2 من النظرية إلى التطبيق الفعلي، باتت الغرامات تقع تحديداً في الفجوة بين سياسة الامتثال وأدلة الامتثال. اكتشف كيف تولّد ROOTKey أدلة NIS2 مستمرة وجاهزة للتدقيق.