قائمة التحقق من الجاهزية لـ NIS2: خطوات عملية للشركات

ما هو

تعني الجاهزية لـ NIS2 فهم ما إذا كان التوجيه ينطبق عليك وكيف، ثم بناء التدابير الإدارية والتقنية والتنظيمية التي يتوقعها وتوثيقها. وتسرد المادة 21 مجالات تدابير إدارة مخاطر الأمن السيبراني، ومنها: تحليل المخاطر وسياسات الأمن، ومعالجة الحوادث، واستمرارية الأعمال وإدارة الأزمات، وأمن سلسلة التوريد، والاقتناء والتطوير الآمنان بما في ذلك معالجة الثغرات، وتقييم فاعلية التدابير، والنظافة السيبرانية الأساسية والتدريب، والتشفير، وأمن الموارد البشرية والتحكم في الوصول، والمصادقة متعددة العوامل أو المستمرة. وتُلقي المادة 20 على عاتق الهيئات الإدارية مسؤولية اعتماد هذه التدابير والإشراف عليها. وتحدد المادة 23 إبلاغًا مرحليًا عن الحوادث إلى السلطة المختصة أو فريق الاستجابة للحوادث الأمنية الحاسوبية (CSIRT): إنذار مبكر خلال 24 ساعة من العلم بحادث جسيم، وإشعار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر واحد من إشعار الحادث. وقد يضيف القانون الوطني تفاصيل، كما تحدد اللائحة التنفيذية للمفوضية (EU) 2024/2690 المتطلبات التقنية بمزيد من التفصيل لبعض المزوّدين الرقميين، مثل مزوّدي الخدمات السحابية ومراكز البيانات والخدمات المُدارة وخدمات DNS.

لمن هذا؟

قائمة التحقق هذه موجّهة إلى:

• المؤسسات المتوسطة والكبيرة في القطاعات المشمولة بـ NIS2 التي تقيّم موقفها
• موردي الكيانات المشمولة الذين يتلقون استبيانات أمنية متعلقة بـ NIS2
• فرق الإدارة التي تحتاج إلى رؤية منظّمة لما ينبغي مناقشته مع المستشارين القانونيين والتقنيين
• مسؤولي تقنية المعلومات والأمن الذين يُعدّون تحليلًا للفجوات وخارطة طريق

ما يساعد على توضيح

يساعد العمل وفق قائمة التحقق على توضيح:

• ما إذا كانت مؤسستك على الأرجح ضمن النطاق، والسلطة الوطنية المختصة
• المواضع التي تقصر فيها الضوابط والوثائق الحالية عن التدابير المتوقعة
• من المسؤول في الإدارة، وما التدريب الذي يحتاجه
• الفجوات التي ينبغي معالجتها أولًا، وتلك التي تتطلب مدخلات متخصصة منفصلة

ما هو متضمن

• النطاق: تأكيد القطاع والحجم والدول الأعضاء التي تعمل فيها؛ وتسجيل النتيجة وأسبابها
• التسجيل: التحقق مما إذا كان القانون الوطني يلزمك بالتسجيل لدى سلطة ما، وفي أي موعد
• الحوكمة: تسمية مسؤول تنفيذي، والاتفاق على كيفية اعتماد الإدارة للتدابير الأمنية ومراجعتها، والتخطيط لتدريب الإدارة
• تقييم المخاطر: توثيق الخدمات الحرجة والأنظمة الداعمة لها والمخاطر الرئيسية التي تواجهها
• السياسات: الحفاظ على سياسة لأمن المعلومات، وقواعد للتحكم في الوصول، وإرشادات للتشفير
• معالجة الحوادث: تحديد ما يُعد حادثًا جسيمًا بالنسبة إليك، ومن يقرر، وكيف ستُعدّ تقارير الـ 24 ساعة والـ 72 ساعة والشهر الواحد
• الاستمرارية: اختبار النسخ الاحتياطية والتعافي للخدمات الحرجة، وتوثيق التواصل أثناء الأزمات
• سلسلة التوريد: إدراج موردي ICT الرئيسيين، ومراجعة التزاماتهم الأمنية، وتضمين بنود أمنية في العقود
• التطوير الآمن ومعالجة الثغرات: تحديد كيفية الإبلاغ عن الثغرات وفرزها وإصلاحها
• النظافة السيبرانية والتدريب: تنظيم تدريب توعوي منتظم، وتطبيق التحديثات وفق جدول، وفرض المصادقة متعددة العوامل (MFA)
• الفاعلية: التخطيط لمراجعات أو اختبارات دورية تُثبت أن التدابير تعمل

ما لا يشتمل عليه

• استشارة قانونية أو تحديد ما إذا كنت ضمن النطاق أم لا
• شهادة أو اعتماد امتثال أو رأي تدقيق رسمي
• تقديم التقارير أو التسجيلات إلى السلطات نيابةً عنك
• ادعاء بأن إتمام قائمة التحقق يفي بمتطلبات القانون الوطني

متى تختارها

استخدم قائمة التحقق هذه عند تقييمك الأول لـ NIS2، وعند نشر أو تحديث التشريع الوطني الناقل للتوجيه في دولة تعمل فيها، أو حين يطلب عميل أدلة على أمن متوافق مع NIS2. واقرنها باستشارة قانونية بشأن النطاق والمتطلبات الوطنية. وإذا كان لديك بالفعل برنامج قائم على ISO 27001، فاربط الضوابط القائمة بقائمة التحقق قبل إنشاء وثائق جديدة. هذه المقالة معلومات عامة وليست استشارة قانونية.

نهجنا

ابدأ بالنطاق والحوكمة؛ فالعمل التقني دون ملكية من الإدارة يميل إلى التعثر. ثم أجرِ تحليلًا للفجوات مقابل التدابير، مستندًا إلى الأدلة لا إلى الافتراضات: الإعدادات، والسجلات، ونتائج الاختبارات، والعقود، وسجلات التدريب. رتّب الفجوات حسب المخاطر والجهد، وابنِ خارطة طريق تتضمن المالكين والتواريخ. يمكن لخدمتنا «Security Baseline Review» أن توفر نقطة انطلاق موثقة: رؤية مكتوبة للأصول المتفق عليها، وملاحظات مصنّفة حسب درجة الخطورة، وملاحظات حول فجوات الجاهزية مقابل مرجع متفق عليه حيثما كان ذلك مشمولًا في النطاق المؤكَّد. وهي تدعم القرارات الداخلية والنقاش مع أصحاب المصلحة من خلال رؤية موثّقة للجاهزية يمكنك عرضها على جهات منح الشهادات والمستشارين القانونيين. ولمعالجة الحوادث، تدرّب على الجدول الزمني للإبلاغ من خلال تمرين محاكاة مكتبي، حتى يكون الإنذار المبكر خلال 24 ساعة واقعيًا لا نظريًا. وأعد النظر في خارطة الطريق مع تطور التوجيهات الوطنية.

Security Baseline Review

الأسئلة المتكررة

مقالات ذات صلة