التسجيل في نظام NIS-2: ما الذي يتعين على الشركات القيام به الآن
كان 31 يوليو 2026 هو الموعد النهائي الرسمي للتسجيل لدى مكتب الأمن المعلوماتي الألماني (BSI) في إطار توجيه NIS-2. أما من لم يكمل تسجيل NIS-2 لدى مكتب الأمن المعلوماتي الألماني (BSI) حتى هذا التاريخ، فيواجه الآن مهمة واضحة: التصرف فوراً. فالتقاعس عن العمل ليس خياراً – لا من الناحية القانونية، ولا من الناحية الاقتصادية، ولا من منظور المسؤولية المؤسسية الخاصة.
ما ينطبق بعد الموعد النهائي: الوضع القانوني الحالي
بموجب قانون NIS2UmsuCG – وهو القانون الألماني الذي ينفذ توجيه الاتحاد الأوروبي – أصبح التسجيل لدى المكتب الاتحادي لأمن تكنولوجيا المعلومات (BSI) إلزاميًا لمشغلي المنشآت الحيوية والهامة. ولا يمثل الموعد النهائي في 31 يوليو 2026 نهاية هذا الالتزام، بل بداية التنفيذ من قبل السلطات.
وفقًا لبيانات غرفة التجارة والصناعة (IHK) والمكتب الفيدرالي للأمن المعلوماتي (BSI)، لم تكن حوالي 10,500 شركة من أصل 29,000 شركة معنية قد سجلت نفسها حتى تاريخ الإحصاء. وهذا يمثل أكثر من ثلث جميع المؤسسات الملزمة بالامتثال — وهو تأخر كبير في الامتثال، تراقبه السلطات بشكل متزايد.
ما هي العواقب المحتملة؟
ينص قانون NIS2UmsuCG على عقوبات صارمة:
- غرامات تصل إلى 10 ملايين يورو أو 2% من إجمالي المبيعات السنوية العالمية للمؤسسات الكبرى
- غرامات تصل إلى 7 ملايين يورو أو 1,4 % من إجمالي المبيعات السنوية للمؤسسات الهامة
- المسؤولية الشخصية للإدارة في حالة الإهمال الجسيم أو المخالفة المتعمدة
- إمكانية إصدار أمر من قبل مكتب الأمن المعلوماتي الألماني (BSI) بوقف مؤقت للعمليات
ومع ذلك، فإن مسؤولية المديرين التنفيذيين ليست مجرد خطر نظري. ينص قانون NIS2UmsuCG صراحةً على أن الهيئات الإدارية يجب أن تتولى إدارة ومراقبة تنفيذ تدابير الأمن السيبراني بشكل فعال.
تسجيل NIS-2 لدى BSI: كيفية إجراء التسجيل اللاحق
يمكن إجراء التسجيل اللاحق ويجب الشروع فيه على الفور. ولهذا الغرض، تدير وكالة الأمن المعلوماتي الألمانية (BSI) بوابة MELDEPFL (المعروفة سابقًا باسم بوابة KRITIS)، والتي تعمل كنظام إبلاغ مركزي لجميع المؤسسات المعنية.
خطوة بخطوة: ما يجب فعله الآن
1. التحقق من مدى التأثر
ليست كل شركة خاضعة تلقائيًا لأحكام NIS-2. وتشمل هذه الأحكام المؤسسات العاملة في 18 قطاعًا محددًا — بدءًا من قطاعي الطاقة والنقل وصولاً إلى البنية التحتية الرقمية والرعاية الصحية وإدارة النفايات — التي تتجاوز عتبات معينة:
- المؤسسات الكبرى: التي يبلغ عدد موظفيها 250 موظفًا أو أكثر، أو يبلغ حجم مبيعاتها السنوية 50 مليون يورو، أو يبلغ إجمالي ميزانيتها العمومية 43 مليون يورو
- المؤسسات الكبرى: التي يبلغ عدد موظفيها 50 موظفًا أو يزيد، أو يبلغ حجم مبيعاتها السنوية 10 ملايين يورو، أو يبلغ إجمالي ميزانيتها العمومية 10 ملايين يورو
يقدم مقالنا «توجيه NIS-2: من يتعين عليه اتخاذ الإجراءات وما الذي يجب أن تعرفه الشركات الآن» لمحة عامة أولية عن الشركات المعنية.
2. إتمام التسجيل في بوابة BSI
يلزم توفير المعلومات التالية للتسجيل:
- اسم الشركة، والشكل القانوني، ورقم التسجيل التجاري
- بيانات الاتصال بمسؤول أمن تكنولوجيا المعلومات
- تصنيف المنشأة على أنها منشأة أساسية أو مهمة
- القطاع NIS-2 ذو الصلة وفقًا لملحق قانون NIS2UmsuCG
- السلطة الرقابية المختصة (مكتب الأمن المعلوماتي الألماني (BSI) أو سلطة قطاعية)
3. تعيين رئيس أمن المعلومات (CISO) أو مسؤول الأمن
ينص القانون على تعيين شخص مسؤول عن أمن تكنولوجيا المعلومات. ويجب تعيين هذا الشخص داخليًّا وتسجيله في بوابة BSI.
4. وضع إجراءات الإبلاغ
بعد التسجيل، تبدأ الالتزامات التشغيلية: يجب الإبلاغ عن الحوادث الأمنية الجسيمة في غضون 24 ساعة، على أن يتبع ذلك تقرير كامل في غضون 72 ساعة.
ما هي الإجراءات التي يجب اتخاذها بعد التسجيل؟
التسجيل هو الخطوة الأولى – وليس الأخيرة. يقضي قانون NIS2UmsuCG بأن تقوم المؤسسات المعنية بتنفيذ نظام شامل لإدارة المخاطر.
التدابير الفنية والتنظيمية الدنيا
وفقًا للمعيار الأدنى الصادر عن مكتب الأمن المعلوماتي الألماني (BSI) والمادة 30 من قانون NIS2UmsuCG، يُعد ما يلي، من بين أمور أخرى، إلزاميًا:
- تحليل المخاطر ونظام إدارة أمن المعلومات (ISMS)
- الاستجابة للحوادث وإدارة استمرارية الأعمال
- أمن سلسلة التوريد – يجب أيضًا فحص الموردين ومقدمي الخدمات من الأطراف الثالثة
- التحكم في الوصول وإدارة الهوية (التوثيق متعدد العوامل، الوصول المتميز)
- تشفير البيانات الحساسة أثناء النقل والتخزين
- تدريب الموظفين وتوعيتهم
- إدارة الثغرات الأمنية واختبارات الأمان الدورية
يصف دليلنا «تنفيذ متطلبات NIS-2 خطوة بخطوة» نهجًا منظمًا لتنفيذ هذه المتطلبات.
نموذج «الثقة الصفرية» كأساس استراتيجي
بالنسبة للشركات التي ترغب في إعادة توجيه بنية أمنها بشكل جذري، يوصي مكتب الأمن المعلوماتي الألماني (BSI) – شأنه شأن هيئات الأمن الدولية – بالانتقال إلى مبادئ «الصفر ثقة». وهذا يعني: لا وصول بدون تحقق، ولا علاقات ثقة ضمنية داخل الشبكة.
نموذج «الثقة الصفرية» ليس منتجًا، بل مبدأً معماريًّا. لمزيد من المعلومات حول هذا الموضوع، انظر مقالتنا «مبدأ «الثقة الصفرية» المعماري».
الامتثال لمعايير تكنولوجيا المعلومات بالنسبة للشركات الصغيرة والمتوسطة: تحديات خاصة
يمثل الامتثال لمعيار NIS-2 تحديًا تنظيميًّا، لا سيما بالنسبة للشركات المتوسطة الحجم. فالموارد محدودة، ونادرًا ما تمتلك هذه الشركات فرقًا خاصة بها معنية بأمن تكنولوجيا المعلومات. ومع ذلك، فإن المتطلبات القانونية نفسها تنطبق عليها.
تُظهر دراسة أجرتها شركة PwC في يونيو 2026 أن 38% فقط من الشركات الصغيرة والمتوسطة المعنية قد طبقت نظام إدارة أمن المعلومات (ISMS) رسميًا. وفي الوقت نفسه، تتعرض الشركات الصغيرة على وجه الخصوص لهجمات برامج الفدية بوتيرة تفوق المتوسط – وهو خطر يتزايد باستمرار بسبب الافتقار إلى تدابير الأمن السيبراني.
يصف مقالنا حول الوقاية من برامج الفدية للشركات الصغيرة والمتوسطة الحماية الفعالة من برامج الفدية والتهديدات الإلكترونية الأخرى التي تواجه الشركات الصغيرة والمتوسطة.
الاستفادة من الدعم الخارجي بشكل هادف
بالنسبة للشركات الصغيرة والمتوسطة التي لا تمتلك قسمًا للأمن، تتوفر الخيارات التالية:
- مزود خدمات الأمن المُدارة (MSSP): الاستعانة بمصادر خارجية في مجالات المراقبة والاستجابة للحوادث وتوثيق الامتثال
- استشارات أمن تكنولوجيا المعلومات: يقوم خبراء خارجيون بمرافقة عملية التسجيل وتنظيم مشروع نظام إدارة أمن المعلومات (ISMS)
- موارد BSI: يوفر مكتب الأمن المعلوماتي الألماني (BSI) أدوات مساعدة للتنفيذ وقوائم مراجعة ومعايير قطاعية مجانًا (it-grundschutz.bsibund.de)
- استشارات غرف التجارة والصناعة: تقدم العديد من غرف التجارة والصناعة جلسات استشارية أولية مجانية بشأن تأثير لائحة NIS-2
قائمة مراجعة NIS-2: ما يتعين على الشركات القيام به بعد 31 يوليو 2026
تقدم النظرة العامة التالية إطارًا موجزًا للعمل:
- تم التحقق من مدى التأثر وفقًا لقانون NIS2UmsuCG (القطاع، الحجم، الوظيفة)
- تم البدء في التسجيل في بوابة BSI أو اكتماله
- تعيين المسؤول عن أمن تكنولوجيا المعلومات (CISO / ISB)
- تم تحديد إجراءات الإبلاغ عن الحوادث الأمنية ونشرها
- تم التكليف بإجراء تحليل المخاطر ووضع مفهوم نظام إدارة أمن المعلومات (ISMS) أو يجري تنفيذهما حالياً
- تم فحص سلسلة التوريد ومقدمي الخدمات الأساسيين للتأكد من استيفائهم لمتطلبات الأمان
- وضع خطة تدريبية للموظفين والإدارة
- تم توثيق الإجراءات المتخذة استعدادًا لأي تدقيق محتمل من قبل مكتب الأمن المعلوماتي (BSI)
الأسئلة الشائعة: التسجيل في NIS-2 لدى BSI
ماذا سيحدث إذا قمت الآن بتسجيل BSI متأخراً – هل سأواجه غرامات مع ذلك؟
تُنظر السلطات بشكل عام بإيجابية إلى التسجيل التكميلي الفوري. فهو يقلل من مخاطر فرض غرامات، لكنه لا يستبعدها تمامًا. والأمر الحاسم هو أن يكون هناك دليل على الشروع في التسجيل وألا تحدث أي انتهاكات أخرى للامتثال. ومن يبدأ في الوقت نفسه بتنفيذ الإجراءات الفنية، يُظهر بذلك استعداده للتعاون مع السلطات.
هل ينطبق واجب التسجيل بموجب NIS-2 أيضًا على الشركات التابعة للمجموعات الدولية؟
نعم. ما يهم هو ما إذا كانت المؤسسة تمارس نشاطها في ألمانيا وتستوفي الحدود الدنيا المطلوبة — بغض النظر عما إذا كانت الشركة الأم مسجلة بالفعل في دولة أخرى من دول الاتحاد الأوروبي أم لا. يجب على كل كيان قانوني مستقل، سواء كان مقره أو نشاطه الرئيسي في ألمانيا، أن يفي بواجب التسجيل بشكل مستقل.
ما الذي يقصده مكتب الأمن المعلوماتي الألماني (BSI) بـ«حادث أمني جسيم» يجب الإبلاغ عنه؟
يُعتبر الحادث الأمني «جسيمًا» إذا تسبب أو يمكن أن يتسبب في اضطرابات تشغيلية جسيمة، أو إذا أضر بشكل جسيم بأشخاص طبيعيين أو اعتباريين آخرين. ويشمل ذلك على وجه الخصوص هجمات برامج الفدية، وانتهاكات حماية البيانات ذات الصلة بالعمليات التشغيلية، وهجمات DDoS على الأنظمة الحيوية، فضلاً عن اختراق سلاسل التوريد.
تم إنشاء هذا المحتوى بمساعدة الذكاء الاصطناعي، لكنه خضع لمراجعة تحريرية وتنقيح قبل نشره.
