خريطة متفاوتة
بحلول مايو 2026، كانت 23 دولة من أصل 27 دولة عضوًا قد نقلت توجيه NIS2 إلى قوانينها الوطنية. وتضم المجموعة المتبقية إسبانيا التي نقلته جزئيًا، إلى جانب بلغاريا وبولندا وسلوفينيا. وقد أحالت المفوضية الأوروبية سبع دول أعضاء إلى محكمة العدل بسبب عدم نقل التوجيه.
بالنسبة إلى مؤسسة تعمل في بلد واحد، هذه مجرد معلومة عابرة. أما بالنسبة إلى مؤسسة تعمل في ستة بلدان، فهي مشكلة تخطيط لا حل واضحًا لها، لأن مشهد الالتزامات يختلف فعلًا بحسب المكان الذي تنظر إليه، ويتغير وفق جدول زمني لا يتحكم فيه أحد.
المواقف الثلاثة الممكنة وكلفة كل منها
تختار الكيانات متعددة الجنسيات عمومًا أحد ثلاثة مناهج، ولكل منها نمط إخفاق خاص به.
انتظار القانون المحلي. موقف يمكن الدفاع عنه، لكنه يزداد إزعاجًا. فالتزامات التوجيه لا تظهر من العدم عند إقرار قانون وطني - بل تأتي مقترنة بمهل تنفيذ، وقد وجدت المؤسسات التي بدأت عند النقل باستمرار أن المهلة المتاحة أقصر مما توقعت. كما أنه يتركك بلا شيء تقدمه إذا وقع حادث في الأثناء في ولاية قضائية يكون فيها جوهر التوجيه حاضرًا على الساحة السياسية، حتى لو لم يكن القانون قد دخل حيز النفاذ بعد.
الامتثال لخط الأساس الذي يحدده التوجيه في كل مكان. الأبسط تشغيليًا، مع قدر طفيف من الشمول الزائد. تنفّذ متطلبات التوجيه على مستوى الاتحاد بأكمله، وتقبل أن بعض الولايات القضائية ستطلب في النهاية أكثر قليلًا أو أقل قليلًا. ومعظم المؤسسات الكبيرة التي نراها تعتمد هذا النهج.
الامتثال لأشد معيار وطني في كل مكان. الأكثر أمانًا والأعلى كلفة. وهو منطقي لعدد صغير من الكيانات الخاضعة لتنظيم صارم، ويصعب تبريره في غير ذلك، لأن أشد نقل للتوجيه في أي نقطة بعينها لا يعود إلى البلد نفسه في كل النقاط.
أين تختلف عمليات النقل فعليًا
يحقق التوجيه من المواءمة أكثر مما يُنسب إليه، وتتركز الاختلافات في مجموعة من المواضع يمكن توقعها. وإذا كنت تبني برنامجًا متعدد الولايات القضائية، فهذه هي الحقول التي ينبغي تتبعها لكل بلد على حدة بدلًا من افتراض إجابة واحدة.
تختلف آليات تحديد الكيانات وتسجيلها اختلافًا كبيرًا - من يسجّل، وعلى أي منصة، وضمن أي مهلة، وهل الجهة الإشرافية هي التي تحدد الكيانات أم أن الكيان يحدد نفسه بنفسه. وتتفاوت قنوات الإبلاغ عن الحوادث وعتباته حول إيقاع مشترك. وتختلف الهياكل الإشرافية، إذ تركّز بعض الدول الإشراف في سلطة وطنية للأمن السيبراني، بينما توزعه دول أخرى على الجهات التنظيمية القطاعية. كما تتفاوت إجراءات العقوبات والتطبيق العملي لمسؤولية هيئات الإدارة تفاوتًا ملموسًا. وقد وسّعت عدة دول نطاق التطبيق إلى ما يتجاوز الحد الأدنى الذي يفرضه التوجيه، فأدخلت قطاعات أو عتبات حجم لم يكن التوجيه يشترطها.
والخبر السار أن توقعات الضوابط الأساسية متسقة إلى حد كبير. فالاختلاف يكمن في الواجهة مع الجهة الإشرافية، لا في جوهر ما يتعين عليك فعله.
لماذا تصمد قاعدة أدلة واحدة أمام هذه الاختلافات
تنبع الخلاصة العملية من هذه النقطة الأخيرة. فإذا كانت الضوابط متسقة إلى حد كبير والواجهات مختلفة، فإن ما يكلف بناؤه لكل ولاية قضائية هو الواجهة، وما يكلف بناؤه مرة واحدة هو الأدلة.
وهذا يعني مقاومة الميل التنظيمي الطبيعي نحو صوامع امتثال على مستوى كل بلد. فشركة تابعة بولندية تبني مستودع أدلة خاصًا بها لأن القانون البولندي لم يدخل حيز النفاذ بعد، وشركة تابعة برتغالية تبني مستودعًا آخر لأن CNCS بدأ عمليات التدقيق، تنتجان صورتين غير مكتملتين ووظيفة على مستوى المجموعة عاجزة عن الإجابة عن سؤال بشأن أي منهما.
أما قاعدة الأدلة الواحدة التي تسجل ما حدث ومتى وبموجب سلطة من - والقابلة للاستعلام حسب الكيان والولاية القضائية والجهة الإشرافية - فتستجيب لمتطلبات البرتغال اليوم ولمتطلبات بولندا حين يحين دورها. وقد قدّمنا حجة مطابقة من حيث البنية بشأن الأنظمة التنظيمية المتداخلة بدلًا من الولايات القضائية المتداخلة في مقال بناء طبقة أدلة واحدة للكيانات المالية الخاضعة لتنظيم مزدوج.
- الاحتفاظ بجدول حالة لكل ولاية قضائية يغطي وضع النقل، والجهة الإشرافية، وآليات التسجيل، وقناة الإبلاغ، ومراجعته شهريًا بدلًا من سنويًا
- بناء الضوابط وفق خط الأساس الذي يحدده التوجيه، والتعامل مع الاختلافات الوطنية بوصفها إعدادات تُضاف فوقه، لا بوصفها برامج منفصلة
- الاحتفاظ بالأدلة مركزيًا مع اعتماد الولاية القضائية سمةً من سماتها، بحيث يمكن الرد على طلب الجهة الإشرافية دون عملية لجمع البيانات
- تحديد أي من كياناتك سيكون أول من يخضع للإشراف، واستخدام تلك الولاية القضائية لاختبار نموذج المجموعة تحت الضغط
- متابعة إجراءات المخالفة، إذ إن الإحالة إلى محكمة العدل تسبق عادةً تحركًا وطنيًا سريعًا
- البرتغال هي حاليًا الولاية القضائية الأكثر إفادة للمتابعة، إذ إن التسجيل والنشاط الإشرافي قائمان فعليًا كلاهما - راجع تغطيتنا للبرتغال
- يقدم موقف ألمانيا في الإنفاذ أوضح مؤشر على شكل العلاقة الإشرافية الناضجة - راجع داخل موجة إنفاذ NIS2 في ألمانيا
- تُرصد صورة الإنفاذ على مستوى الاتحاد، بما في ذلك الغرامات الأولى، في متتبع إنفاذ NIS2
إذا كانت أدلة مجموعتك موزعة حاليًا على أماكن بعدد شركاتك التابعة، فإن توحيدها يتطلب جهدًا أقل مما يبدو. يمكنك البدء بكيان واحد وولاية قضائية واحدة، أو الاطلاع على كيفية هيكلة عمليات النشر متعددة الكيانات في صفحة ROOTKey للمؤسسات.