الجانب الهادئ من النظام
هيمنت مهلة التسجيل بموجب Decreto-Lei n.º 125/2025 على النقاش داخل فرق الأمن البرتغالية طوال ثلاثة أشهر، وهذا مفهوم - فالمهل تركّز الانتباه. لكنه أمر مؤسف بعض الشيء أيضًا، لأن التسجيل هو أقل ما يتطلبه النظام جهدًا.
ما يبدأ الآن هو التزام مستمر يتألف من ثلاثة مكونات تختلف في طبيعتها كثيرًا عن مجرد تقديم ملف: وتيرة للإبلاغ عن الحوادث تُقاس بالساعات، وحكم لمساءلة هيئات الإدارة يترتب عليه أثر شخصي، وعلاقة رقابية يمكن ممارستها بصورة استباقية تجاه الكيانات الأساسية بدلًا من الاقتصار على ما بعد وقوع خلل.
إذا كنتم قد سجلتم خلال الأسبوعين الماضيين، فهذا هو المقال الذي ينبغي تسليمه إلى من أصبح مسؤولًا عن هذا الالتزام.
مهل الإبلاغ
استبدلت NIS2 التزامات الإخطار بالحوادث المبهمة في التوجيه الذي سبقها بوتيرة محددة ومرحلية. وبإيجاز: إنذار مبكر خلال 24 ساعة من العلم بحادث جسيم، ثم إخطار أكثر تفصيلًا خلال 72 ساعة يتضمن تقييمًا أوليًا لدرجة الخطورة والأثر، ثم تقرير نهائي خلال شهر واحد.
ثلاثة تفاصيل تشغيلية تحدد ما إذا كانت المؤسسة قادرة فعلًا على الوفاء بذلك.
أولًا، تبدأ المهلة من لحظة العلم بالحادث، لا من لحظة احتوائه. والفرق التي تميل بطبيعتها إلى فهم الحادث قبل الإبلاغ عنه ستفوّت نافذة الـ 24 ساعة في الحوادث التي يستغرق توصيفها أكثر من يوم، وهي معظم الحوادث الخطيرة.
ثانيًا، وصف الحادث بأنه «جسيم» هو تقدير، والتقديرات يجب أن تُسجَّل. فقرار اعتبار حادث ما غير جسيم هو قرار قد تفحصه الجهة الرقابية لاحقًا، والمؤسسة التي لا تستطيع أن تُثبت متى اتخذت ذلك القرار وعلى أي أساس تكون في موقف أضعف من مؤسسة وُثِّق قرارها بشأن العتبة في الوقت الفعلي.
ثالثًا، يجب أن تكون التقارير الثلاثة متسقة فيما بينها. فالإخطار الصادر خلال 72 ساعة الذي يناقض الإنذار المبكر الصادر خلال 24 ساعة يثير تساؤلات عن أيهما كان دقيقًا، والتقرير النهائي الذي يُسقط بصمت ادعاءً سابقًا يثير تساؤلات أكثر.
مساءلة الإدارة ليست إجراءً شكليًا
أحكام NIS2 المتعلقة بهيئات الإدارة هي الجزء الذي يغيّر السلوك في مجالس الإدارة بمجرد أن يقرأها أحدهم بعناية. إذ يجب على هيئات الإدارة اعتماد تدابير إدارة مخاطر الأمن السيبراني والإشراف على تنفيذها، ويمكن تحميلها المسؤولية الشخصية عن الإخفاقات. كما يُشترط عليها الخضوع للتدريب.
والنتيجة العملية أن اعتماد مجلس الإدارة لتدابير الأمن يصبح عملًا موثقًا بالأدلة لا مجرد إجراء شكلي في سجل المحاضر. فإذا سألت الجهة الرقابية متى اعتمدت هيئة الإدارة تدابير إدارة المخاطر الحالية، وما الذي عُرض عليها، وما الذي قررته، فيجب أن تكون الإجابة أكثر تحديدًا من سطر في المحضر.
هذا طلب معقول، لكن تقديمه بأثر رجعي أمر عسير. والمؤسسات التي تستبق ذلك تسجّل قرارات مجلس الإدارة الأمنية بالطريقة نفسها التي تسجّل بها أي قرار آخر خاضع للتنظيم: مع المواد التي عُرضت، والتاريخ، وسجل لا يمكن تعديله لاحقًا بصمت.
- عيّنوا مسؤولًا محددًا بالاسم عن الإنذار المبكر خلال 24 ساعة، يتمتع بصلاحية تقديمه دون انتظار اكتمال الصورة
- حددوا عتبة الجسامة لديكم ووثّقوها الآن، قبل أن تحتاجوا إلى تطبيقها تحت الضغط
- سجّلوا قرارات العتبة الخاصة بالحوادث التي تقررون عدم الإبلاغ عنها، مع تاريخها ومبرراتها
- أنشئوا مصدرًا واحدًا للوقائع التي ستظهر في التقارير الثلاثة جميعها، بحيث يكون الاتساق بنيويًا لا تحريريًا
- ضعوا طابعًا زمنيًا على اعتمادات مجلس الإدارة لتدابير الأمن مع المواد التي عُرضت
- أدرجوا الالتزامات السنوية والدورية - التدريب، وتحديث تقييم المخاطر، واختبار الاستمرارية - في الجدول الزمني بدلًا من التعامل معها كعمل مشاريع
ما تطلبه الجهات الرقابية عمليًا
بدأت الجهة الرقابية في البرتغال نشاط التدقيق، والنمط الظاهر حتى الآن يطابق إنفاذ القواعد في أماكن أخرى من الاتحاد. فالجهات الرقابية تختبر ما إذا كانت المؤسسة قادرة على تقديم سجلات لا أوصاف، وما إذا كانت السجلات تتوافق مع التسلسل الزمني الذي تصفه المؤسسة.
تناولنا تفاصيل ما يفحصه CNCS في الجهة الرقابية على NIS2 في البرتغال تبدأ أولى عمليات التدقيق، والصورة الأشمل لإنفاذ القواعد في الاتحاد في متتبع إنفاذ NIS2. وعند قراءتهما معًا، يصفان ثقافة رقابية لا تهتم كثيرًا بجودة التوثيق بقدر ما تهتم بإمكانية إثبات أن التوثيق كان موجودًا في الوقت الذي يُدّعى أنه وُجد فيه.
- تأكدوا من اكتمال تسجيلكم ومن أن نقطة الاتصال لديكم صندوق بريد وظيفي خاضع للمتابعة
- نفّذوا تمرينًا مكتبيًا مخصصًا للإنذار المبكر خلال 24 ساعة، لا للاستجابة التقنية
- تحققوا من أن سجل الحادث لديكم يبدأ عند الاكتشاف لا عند إنشاء التذكرة
- قيّموا مدى تغطية ضوابطكم الحالية مقارنةً بالمرسوم باستخدام محاكي NIS2
إذا كانت المشكلة الأصعب هي أن سجلات الحوادث واعتمادات مجلس الإدارة وقرارات العتبة لديكم موجودة في أنظمة تفضّلون ألا تسلّموها إلى جهة رقابية دون تعديل، فهذا أمر يمكن إصلاحه دون تغيير طريقة عمل فريقكم. يمكنكم ترسيخ مجموعتكم الأولى من السجلات في بضع دقائق.