أصبح للبرتغال قانونها الخاص بتوجيه NIS2. هل أنتم مستعدون؟
نقلت البرتغال توجيه NIS2 الصادر عن الاتحاد الأوروبي إلى قانونها الوطني من خلال المرسوم بقانون رقم 125/2025 (Decreto-Lei 125/2025)، الذي نُشر في أواخر عام 2025. وعلى غرار توجيه NIS2 نفسه، يُرسي النقل البرتغالي التزامات في مجال الأمن السيبراني على الكيانات الأساسية والمهمة العاملة في البرتغال.
ويتبع التطبيق البرتغالي إطار NIS2 عن كثب، لكنه يتضمن خصوصيات على المستوى الوطني: السلطة الوطنية المعيّنة (CNCS - Centro Nacional de Cibersegurança)، وترتيبات إشرافية خاصة بكل قطاع، ومتطلبات تسجيل وطنية تتجاوز ما يفرضه التوجيه نفسه.
وبالنسبة إلى المؤسسات البرتغالية التي كانت تعمل بالفعل على تحقيق الامتثال لتوجيه NIS2 استنادًا إلى نص توجيه الاتحاد الأوروبي، فإن النقل الوطني يغيّر بعض الجداول الزمنية ويضيف متطلبات إدارية. أما المؤسسات التي لم تكن قد بدأت بعد، فإن القانون الوطني يزيل أي غموض بشأن ما إذا كانت الالتزامات تنطبق عليها ومتى.
يتناول هذا المقال ما يتطلبه النقل البرتغالي، وأوجه اختلافه عن التوجيه الأساسي، والخطوات العملية التي يجب على المؤسسات البرتغالية اتخاذها الآن.
مَن يشملهم النقل البرتغالي
يشمل النقل البرتغالي لتوجيه NIS2 القطاعات نفسها التي يشملها توجيه الاتحاد الأوروبي، مع تصنيف الكيانات إلى كيانات أساسية وكيانات مهمة:
الكيانات الأساسية (التزامات أكثر صرامة، وإشراف استباقي):
- الطاقة (الكهرباء، والنفط، والغاز، والتدفئة والتبريد المركزيان، والهيدروجين)
- النقل (الجوي، والسككي، والمائي، والبري)
- الخدمات المصرفية والبنية التحتية للأسواق المالية
- الرعاية الصحية (المستشفيات، والمختبرات، ومصنّعو المستحضرات الصيدلانية، ومصنّعو الأجهزة الطبية)
- إمدادات المياه والصرف الصحي
- البنية التحتية الرقمية (نقاط تبادل الإنترنت IXP، ومزوّدو خدمات DNS، وسجلات نطاقات TLD، والحوسبة السحابية، ومراكز البيانات، وشبكات CDN، وشبكات الاتصالات الإلكترونية)
- إدارة خدمات تقنية المعلومات والاتصالات (MSP وMSSP)
- الإدارة العامة (الحكومة المركزية والإقليمية)
- الفضاء
الكيانات المهمة (رقابة أخف، وإشراف لاحق):
- خدمات البريد والشحن السريع
- إدارة النفايات
- المواد الكيميائية، والأغذية
- تصنيع المنتجات الحرجة
- مزوّدو الخدمات الرقمية (الأسواق الإلكترونية، ومحركات البحث، وشبكات التواصل الاجتماعي)
- مؤسسات البحث
تُعفى عمومًا المؤسسات التي يقل عدد موظفيها عن 50 موظفًا ويقل رقم أعمالها السنوي عن 10 ملايين يورو، ما لم تقدّم خدمات حرجة. وبالنسبة إلى المؤسسات التي تنتمي إلى مجموعة أكبر، تُحتسب عتبات الحجم على مستوى المجموعة.
الالتزامات الرئيسية بموجب النقل البرتغالي
بالنسبة إلى الكيانات المشمولة، يفرض المرسوم بقانون 125/2025 الالتزامات الجوهرية التالية:
التسجيل لدى CNCS. يجب على الكيانات التسجيل لدى Centro Nacional de Cibersegurança في غضون 3 أشهر من دخولها نطاق التطبيق. ويجوز لـ CNCS أيضًا أن يحدد بصورة استباقية الكيانات التي ينبغي لها التسجيل وأن يُخطرها بذلك.
تدابير إدارة المخاطر. تفرض متطلبات النقل البرتغالي المكافئة للمادة 21 تدابير تقنية وتنظيمية متناسبة مع المخاطر. وتشمل هذه التدابير سياسات بشأن تحليل المخاطر، ومعالجة حوادث أمن المعلومات، واستمرارية الأعمال، وأمن سلسلة التوريد، والتحكم في الوصول والمصادقة، والتشفير.
الإبلاغ عن الحوادث. يجب إبلاغ CNCS بالحوادث الجسيمة في غضون 24 ساعة (تنبيه أولي)، و72 ساعة (إخطار أكثر تفصيلًا)، و30 يومًا (تقرير نهائي). ويتبع تعريف «الجسيمة» عتبات ENISA.
العناية الواجبة في سلسلة التوريد. يجب على الكيانات تقييم مخاطر الأمن السيبراني في سلاسل التوريد الخاصة بها ومعالجتها، ولا سيما ما يتعلق بالموردين المباشرين ومقدمي الخدمات.
يتيح تقييم الجاهزية للامتثال لتوجيه NIS2 من ROOTKey للمؤسسات البرتغالية إجراء تقييم ذاتي لوضعها الحالي مقارنةً بهذه المتطلبات في أقل من 15 دقيقة. ابدأوا تقييمكم اليوم.
ما يضيفه النقل البرتغالي إلى التوجيه الأساسي
يتضمن التطبيق الوطني في البرتغال عدة عناصر تتجاوز الحد الأدنى من متطلبات التوجيه:
المواءمة مع الاستراتيجية الوطنية للأمن السيبراني. يجب على الكيانات مواءمة ممارساتها الأمنية مع إرشادات الإطار الوطني الصادرة عن CNCS، والتي تتجاوز متطلبات إدارة المخاطر العامة الواردة في المادة 21.
إرشادات خاصة بكل قطاع. أصدر CNCS أو يُعدّ حاليًا إرشادات تقنية خاصة بأكثر القطاعات حساسيةً (الطاقة، والخدمات المصرفية، والرعاية الصحية، والبنية التحتية الرقمية). وينبغي للكيانات العاملة في هذه القطاعات متابعة منشورات CNCS للاطلاع على المتطلبات الخاصة بقطاعاتها.
صلاحيات التدقيق والإشراف. يتمتع CNCS بصلاحيات إجراء عمليات تفتيش ميدانية، وطلب الوثائق، وفرض عمليات تدقيق من أطراف ثالثة على الكيانات الأساسية. أما بالنسبة إلى الكيانات المهمة، فيكون الإشراف في الغالب لاحقًا ويستند إلى الشكاوى.
العقوبات. تواجه الكيانات الأساسية غرامات تصل إلى 10 ملايين يورو أو 2% من رقم الأعمال السنوي العالمي (أيهما أعلى). وتواجه الكيانات المهمة غرامات تصل إلى 7 ملايين يورو أو 1.4% من رقم الأعمال السنوي العالمي.
للاطلاع على صورة شاملة لما يعنيه الامتثال لتوجيه NIS2 في مختلف الولايات القضائية، راجعوا دليلنا حول ما يعنيه أول موعد نهائي للتدقيق بموجب NIS2 للمؤسسات الأوروبية.