مقدمة
نقلت البرتغال توجيه NIS2 إلى قانونها الوطني من خلال المرسوم بقانون Decreto-Lei 125/2025، الذي منح المركز الوطني للأمن السيبراني (Centro Nacional de Cibersegurança، CNCS) صلاحية الإشراف على الكيانات الأساسية والمهمة. كان نقل التوجيه إلى القانون الوطني هو الجزء السهل. أما المرحلة الأصعب والأبعد أثرًا فهي تلك الجارية حاليًا في الولايات القضائية الأكثر نضجًا في مجال الإنفاذ داخل الاتحاد الأوروبي: جهات إشرافية تفتح فعليًا عمليات تدقيق لدى مؤسسات افترضت أن وثيقة سياسة موقّعة كافية. وينبغي للمؤسسات البرتغالية أن تتوقع أن يتبع برنامج التدقيق لدى CNCS النمط نفسه الذي بات واضحًا في ألمانيا وأماكن أخرى - ليس بحثًا عن مستندات ناقصة، بل بحثًا عن أدلة على أن الضوابط الموثّقة تعمل فعليًا.
ما الذي يمكن أن تتعلمه المؤسسات البرتغالية من السبّاقين
ألمانيا وفرنسا أكثر تقدمًا في النشاط الإشرافي الخاص بتوجيه NIS2، والنمط في الولايتين القضائيتين متسق: لا تستهدف عمليات التدقيق في المقام الأول المؤسسات التي ليست لديها أي سياسة أمنية على الإطلاق، بل تستهدف المؤسسات التي لديها سياسة لا يمكن إثباتها بالأدلة - خطة استجابة للحوادث لم تُختبر قط، وتقييم مخاطر أُنجز مرة واحدة ولم يُحدَّث أبدًا، ومراجعة لسلسلة التوريد قائمة كوثيقة ثابتة بدلًا من سجل يُحدَّث باستمرار. وبالنسبة إلى الكيانات الأساسية والمهمة في البرتغال، فإن الدرس العملي المستفاد من هذه الولايات القضائية السبّاقة هو سدّ هذه الفجوة تحديدًا الآن، قبل أن يصل إليها CNCS، بدلًا من اكتشافها أثناء عملية تدقيق جارية.
التدابير العشرة في المادة 21 التي سيُجري CNCS التدقيق على أساسها
- سياسات تحليل المخاطر وأمن نظم المعلومات
- إجراءات معالجة الحوادث
- استمرارية الأعمال وإدارة الأزمات، بما في ذلك النسخ الاحتياطي والتعافي من الكوارث
- أمن سلسلة التوريد، بما في ذلك العلاقات مع الموردين المباشرين ومقدمي الخدمات
- الأمن في اقتناء شبكات ونظم المعلومات وتطويرها وصيانتها
- سياسات وإجراءات لتقييم فعالية تدابير إدارة المخاطر
- ممارسات النظافة السيبرانية الأساسية والتدريب الأمني
- سياسات استخدام التشفير والتعمية، عند الاقتضاء
- أمن الموارد البشرية وسياسات التحكم في الوصول وإدارة الأصول
- استخدام المصادقة متعددة العوامل والاتصالات المؤمَّنة وأنظمة اتصالات الطوارئ المؤمَّنة، عند الاقتضاء
لماذا لن تكون عبارة «لدينا سياسة لذلك» كافية
يمكن استيفاء كل تدبير من التدابير العشرة المذكورة أعلاه على الورق بسياسة مكتوبة. وسيبحث تدقيق CNCS، شأنه شأن نظرائه في أماكن أخرى من الاتحاد الأوروبي، عن أدلة تشغيلية وراء كل منها: دليل على أن النسخ الاحتياطية تُختبر، لا أنها مجدولة فحسب؛ ودليل على أن تقييمات مخاطر سلسلة التوريد حُدِّثت عندما تغيرت العلاقات مع الموردين، لا أنها كُتبت مرة واحدة عند التعاقد معهم؛ ودليل على أن سياسات التحكم في الوصول تعكس من يملك صلاحية الوصول حاليًا، لا من كان يملكها عند صياغة السياسة. والمؤسسات القادرة على تقديم هذه الأدلة عند الطلب وبشكل مستمر تكون في موقف مختلف جذريًا أثناء التدقيق عن تلك التي تعيد بناءها تحت ضغط الوقت بعد أن يتواصل معها CNCS.
مع نضج البرنامج الإشرافي لدى CNCS، تكون المؤسسات الأفضل موقعًا هي تلك القادرة بالفعل على إثبات أن ضوابطها تعمل، لا الاكتفاء بوصفها. اكتشف كيف تزوّد ROOTKey المؤسسات البرتغالية بأدلة NIS2 مستمرة وجاهزة للتدقيق.