مدونة الشبكة للأمن السيبراني في الاتحاد الأوروبي: قواعد قطاع الطاقة التي تُضاف فوق NIS2

نظامان وشبكة واحدة

تبدأ معظم النقاشات حول الأمن السيبراني في قطاع الطاقة الأوروبي وتنتهي عند NIS2. وهذا خطأ، لأنه منذ 13 يونيو 2024 يوجد صك ملزم ثانٍ خاص بالكهرباء تحديدًا: اللائحة (الاتحاد الأوروبي) 2024/1366، أي مدونة الشبكة للأمن السيبراني، التي تُختصر عادةً بالأحرف الإنجليزية NCCS. وقد بدأ تطبيقها في 2 يوليو 2025.

إن NIS2 توجيه أفقي تنقله كل دولة عضو إلى قانونها الوطني بطريقة مختلفة. أما NCCS فهي لائحة، ما يعني أنها تُطبَّق مباشرةً وبصورة متطابقة في جميع أنحاء الاتحاد، وتستهدف تحديدًا تدفقات الكهرباء العابرة للحدود. والمؤسسة التي تشغّل بنية تحتية للنقل أو التوزيع، أو أصول توليد كبيرة، أو تقدّم خدمات تقنية المعلومات والاتصالات (ICT) لهؤلاء المشغّلين، تقع على الأرجح ضمن نطاق كليهما - ولا يطلب الاثنان الأمور نفسها.

ما تضيفه NCCS ولا تتضمنه NIS2

الإضافات هيكلية لا شكلية. إذ تستحدث NCCS تصنيفًا للكيانات بحسب أثرها العابر للحدود على الكهرباء، وتقييمات للمخاطر على مستوى الاتحاد ضمن دورة متكررة متعددة السنوات، وضوابط دنيا للأمن السيبراني تُحدَّد على مستوى القطاع بدلًا من تركها للتقدير الوطني، ومتطلبات لشهادات الأمن السيبراني للمنتجات والخدمات في سلسلة الكهرباء، والتزامات بإدارة الأزمات العابرة للحدود تنطلق من افتراض أن حادثًا في بلد واحد يتحول إلى مشكلة تشغيلية في ثلاثة بلدان.

وإذا قُرئت هذه العناصر مجتمعةً، فإنها تدفع في اتجاه واحد: يُطلب من قطاع الكهرباء أن يقدّم أدلة قابلة للمقارنة عبر الحدود. فينبغي أن يتمكن مشغّل شبكة توزيع برتغالي ونظيره الهولندي من إثبات الضوابط نفسها، وبالمصطلحات نفسها، أمام جهات رقابية مختلفة. وهذا معيار أصعب بكثير من «إرضاء الجهة التنظيمية الوطنية الخاصة بك»، وهو يغيّر الشكل الذي يجب أن تكون عليه الأدلة.

مشكلة الشهادات

المتطلب الذي يحظى بأقل قدر من الاهتمام ويولّد أكبر قدر من العمل هو اعتماد المنتجات والخدمات بشهادات. فتوجيه NIS2 يطلب من الكيانات إدارة مخاطر سلسلة التوريد، أما NCCS فتتجه نحو التساؤل عمّا إذا كانت منتجات وخدمات بعينها في سلسلة الكهرباء حاصلة على شهادة معترف بها في الأمن السيبراني.

والفرق التشغيلي كبير. فإدارة مخاطر سلسلة التوريد أمر يمكن القيام به عبر الاستبيانات والبنود التعاقدية وسجلّ. أما إثبات أن المكونات المنشورة حاصلة على شهادة سارية فيتطلب أن تعرف، بصورة مستمرة، ما هو منشور فعلًا وما حالة اعتماده اليوم - لا ما كانت عليه عندما وقّع قسم المشتريات. فقوائم جرد الأصول تنحرف عن الواقع، والشهادات تنتهي صلاحيتها، والبرامج الثابتة يحدّثها المورّد دون أي طلب تغيير من جانبك.

والكيانات التي تتعامل مع ذلك جيدًا تعامل سجل الأصول المنشورة بوصفه سجلًا حيًا قابلًا للتحقق، لا جدول بيانات تجري مطابقته كل ثلاثة أشهر. وقد وصفنا المشكلة الهيكلية نفسها في سياق الخدمات المالية في دليلنا حول إدارة مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات في DORA، وشكل الحل مطابق تمامًا وإن اختلفت الجهة التنظيمية.

إدارة الأزمات العابرة للحدود تغيّر مسألة الأدلة

في حادث يقتصر على ولاية قضائية واحدة، تكون الأدلة حوارًا بين المشغّل والجهة الرقابية الوطنية التابع لها، يجري بعد وقوع الحادث، بلغة مشتركة وفي سياق قانوني مشترك. أما في حادث كهربائي عابر للحدود، فيجب أن تنتقل الأدلة: إلى جهة رقابية وطنية ثانية تعتمد نقلًا مختلفًا للتوجيه، وإلى ENTSO-E وهياكل التنسيق الإقليمية، وربما إلى نزاع بين أطراف تجارية حول علاقة السببية.

والأدلة التي تنتقل جيدًا تتمتع بخاصية محددة: يمكن أن يتحقق منها طرف لا يثق بالمؤسسة التي أنتجتها. والسجلات المصدَّرة من نظام SIEM الخاص بالمشغّل نفسه لا تتمتع بهذه الخاصية، لا لأنها غير صحيحة، بل لأنه لا توجد وسيلة لدى طرف ثالث للتمييز بين نسخة مصدَّرة لم تُعدَّل ونسخة جرى انتقاؤها. أما السجلات القابلة للتحقق بصورة مستقلة فتتمتع بها، ولهذا فإن البعد العابر للحدود في NCCS يدفع القطاع بهدوء نحو السلامة التشفيرية، سواء استخدم النص هذه اللغة أم لم يستخدمها.

تسلسل عملي للاستعداد

1. تحقق مما إذا كان كيانك يندرج ضمن تصنيف الأثر في NCCS، وعند أي مستوى - فهذا يحدد تقريبًا كل ما يليه
2. قارن أدلة الضوابط التي لديك أصلًا لـ NIS2 بمتطلبات NCCS وحدّد الثغرات، بدلًا من إطلاق برنامج موازٍ
3. أنشئ سجلًا حيًا للأصول المنشورة يغطي مكونات التقنيات التشغيلية (OT) وتقنية المعلومات (IT) في سلسلة الكهرباء، بما في ذلك حالة الشهادات وإصدار البرامج الثابتة
4. حدّد أدلة الحوادث التي يجب أن يكون بالإمكان مشاركتها مع جهة رقابية في دولة عضو أخرى، وتأكد من أنها قابلة للتحقق دون تعاونك
5. اختبر مسار الإخطار العابر للحدود قبل أن تحتاج إليه، واحتفظ بأدلة الاختبار

لمكاملي الأنظمة الذين يخدمون قطاع الطاقة

تمثّل NCCS فرصة جيدة على نحو غير معتاد لمكاملي الأنظمة والموزعين الذين يعملون مع شركات المرافق. فالنظام جديد بما يكفي لكي لا تكون الفرق الداخلية قد بنت خبرة فيه بعد، ومحدد بما يكفي لكي لا تغطيه الاستشارات العامة في NIS2، وكثيف الأدلة بما يكفي لكي لا ينتهي العمل عند التقييم.

إذا كنت تقدّم خدمات الأمن السيبراني أو الامتثال لقطاع الكهرباء الأوروبي، فإن برنامج مكاملي ROOTKey موجود تحديدًا لهذا النمط من التعاون. وإذا كنت تشغّل البنية التحتية بنفسك، فإن أسرع طريقة لترى كيف تبدو طبقة أدلة قابلة للتحقق مطبّقة على سجلاتك هي أن تجربها على سجل أصول واحد.