موعد نهائي يقترب بهدوء
تحتسب المؤسسات البرتغالية الخاضعة لـ Decreto-Lei n.º 125/2025 (المرسوم بقانون رقم 125/2025) أيام العمل منذ 23 يونيو 2026، حين فتح المركز الوطني للأمن السيبراني (Centro Nacional de Cibersegurança) منصة التسجيل الخاصة به. وقد مُنحت الكيانات العاملة بالفعل 60 يوم عمل لتعريف نفسها والتسجيل. وتُغلق هذه النافذة في منتصف سبتمبر 2026، أي في حدود 15 سبتمبر بحسب حسابنا، فيما تخضع الكيانات التي بدأت نشاطها بعد فتح المنصة لمهلة أقصر مدتها 30 يوم عمل.
أما استمارة التسجيل نفسها فيمكن إنجازها في فترة بعد الظهر. وما تستهين به معظم الفرق هو كل ما يبدأ لحظة الضغط على زر الإرسال. فالتسجيل إقرار أمام جهة إشرافية بأنك ضمن النطاق، وهو يحوّل توجيهًا كان يبدو مجردًا إلى علاقة إشرافية مع جهة تنظيمية محددة باتت تملك بيانات الاتصال الخاصة بك وتصنيفك القطاعي وسببًا لطرح الأسئلة.
ما الذي يطلبه التسجيل فعليًا
إن التقديم عبر MyCiber هو في جوهره إقرار بالهوية والنطاق. توقّع أن تقدّم بيانات كيانك القانوني، والقطاع والقطاع الفرعي اللذين يُدخلانك في النطاق، وما إذا كنت تعتبر نفسك كيانًا أساسيًا أو كيانًا مهمًا، والدول الأعضاء التي تقدّم فيها خدماتك، وجهة اتصال معيّنة لشؤون الأمن.
ويحمل حقلان من هذه الحقول وزنًا أكبر مما يبدو. فتصنيف الكيان الأساسي مقابل الكيان المهم يحدد الحد الأقصى لتعرّضك للغرامات، إذ يصل إلى 10 ملايين يورو أو 2% من إجمالي حجم الأعمال السنوي العالمي للكيانات الأساسية، مقابل 7 ملايين يورو أو 1.4% للكيانات المهمة، كما يحدد ما إذا كنت ستخضع لإشراف مسبق أو لإشراف لاحق فقط بعد وقوع حادث. أما حقل الخدمات العابرة للحدود فيحدد ما إذا كان عليك توقّع عمليات تفتيش منسّقة من أكثر من جهة إشرافية وطنية. ولا يُعدّ أيٌّ من الحقلين خانة يُؤشَّر عليها باستخفاف.
التسجيل لقطة لحظية. أما الإشراف فمستمر.
إن عدم التطابق الذي يفاجئ المؤسسات زمنيّ بطبيعته. فأنت تسجّل مرة واحدة، وتصف مؤسستك كما هي في يوم ثلاثاء من سبتمبر. ثم يجري الإشراف بشكل مستمر على مؤسسة تتغير كل أسبوع: موردون جدد، وأنظمة جديدة، وأشخاص جدد بصلاحيات وصول جديدة، وبيانات جديدة تتدفق إلى أماكن جديدة.
وعندما بدأ CNCS أولى أنشطته التدقيقية في وقت سابق من هذا العام، كان النمط الذي وصفناه في تحليلنا لما يتحقق منه CNCS فعليًا ثابتًا: فالجهات الإشرافية أقل اهتمامًا بوجود وثيقة سياسة من عدمه، وأكثر اهتمامًا بكثير بقدرة المؤسسة على إظهار ما حدث، ومتى حدث، ومن وافق عليه. السياسة ادعاء. والتدقيق طلبٌ لأدلة على أن هذا الادعاء كان صحيحًا بشكل مستمر، لا في اليوم الذي كُتب فيه فحسب.
ما الذي يجب الاحتفاظ به بدءًا من يوم التسجيل
تعامل مع تاريخ التسجيل على أنه بداية فترة الأدلة لديك. فمن ذلك اليوم فصاعدًا، ينبغي تسجيل ما يلي بصيغة يمكنك تسليمها إلى طرف ثالث دون الحاجة إلى تعديلها أولًا:
- كل تغيير في إقرار النطاق الذي قدّمته، مثل شركة تابعة جديدة أو دولة عضو جديدة أو إعادة تصنيف، مع تاريخ سريان التغيير لا تاريخ ملاحظتك له
- تقييمات المخاطر ومراجعاتها، كلٌّ منها بختم زمني بحيث يمكن إعادة بناء تسلسل تفكيرك
- التغييرات في سجل الموردين والأطراف الثالثة لتقنية المعلومات والاتصالات، بما في ذلك الإلحاق وتغييرات العقود وإنهاء العلاقة
- سجلات كشف الحوادث وفرزها والإبلاغ عنها، مع إظهار نقطة بدء احتساب المهلة، إذ يعمل النظام البرتغالي، على غرار التوجيه، وفق إيقاع الإنذار المبكر ثم التقرير الكامل
- قرارات الوصول إلى الأنظمة التي تحتوي على بيانات خاضعة للتنظيم: من مُنح ماذا، ومن قِبَل مَن، ومتى أُلغي ذلك
- نتائج اختبارات استمرارية الأعمال والتعافي، بما في ذلك الاختبارات التي فشلت
الفرق بين السجلات والأدلة
كل مؤسسة تحتفظ بالفعل بسجلات: سجلات الأنظمة، والتذاكر، وجداول البيانات، ومحاضر الاجتماعات. لكن المشكلة أن السجل الذي تتحكم فيه هو سجل كان بإمكانك تغييره، والجهة الإشرافية تدرك ذلك. وعندما يسأل المدقق عما إذا كان تقييم المخاطر سابقًا لحادث ما، فإن وثيقة داخلية تحتوي على حقل تاريخ قابل للتعديل لا تحسم المسألة.
وهنا يكفّ التحقق التشفيري عن كونه ترفًا تقنيًا ليصبح اختصارًا عمليًا. فإذا كان كل سجل يحمل إثباتًا قابلًا للتحقق بشكل مستقل على أنه كان موجودًا بحالة محددة في لحظة محددة، فإن النقاش حول ما إذا كان قد عُدّل ينتهي قبل أن يبدأ. وقد كتبنا عن آليات ذلك في دليلنا حول مسارات التدقيق التشفيرية، ولم يتغير الإطار العملي: فالهدف ليس إثبات أنك جدير بالثقة، بل جعل الثقة غير ضرورية للحجة.
إذا لم تسجّل بعد
- تأكد من النطاق أولًا ثم من التصنيف، فالخطأ في القطاع أصعب تداركًا من الخطأ في الفئة
- عيّن جهة اتصال أمنية ستظل متاحة بعد اثني عشر شهرًا، وسجّل صندوق بريد وظيفيًا بدلًا من صندوق شخصي
- لا تنتظر بلوغ جاهزية داخلية مثالية قبل التسجيل، فالتسجيل المتأخر إخفاق إشرافي في حد ذاته، وهو منفصل عن أي فجوة أمنية كامنة
- أجرِ فحصًا للفجوات مقارنةً بالتدابير التقنية والتنظيمية الواردة في المرسوم قبل الموعد النهائي، حتى لا يكون أول تواصل لك مع الجهة الإشرافية هو أيضًا أول تقييم ذاتي صادق تجريه
للاطلاع على شرح أوفى لما يتطلبه المرسوم بما يتجاوز التسجيل، راجع تحليلنا لما يعنيه Decreto-Lei n.º 125/2025 للمؤسسات البرتغالية. وإذا أردت معرفة موقع مؤسستك حاليًا من مجموعة ضوابط NIS2، فإن محاكي NIS2 من ROOTKey سيقدّم لك عرضًا للفجوات في غضون بضع دقائق.
وإذا كانت المشكلة الأعمق أن أدلتك موجودة في أنظمة تفضّل عدم تسليمها إلى مدقق دون تعديل، فهذه مشكلة قابلة للحل. يمكنك البدء اليوم في بناء طبقة أدلة قابلة للتحقق.