DORA, NIS2 and CRA: A Field Guide to Europe ' New Cybersecurity Rulebook

وفي 17 كانون الثاني/يناير 2025، بدأ نفاذ لائحة تنص على أن معظم الشركات الأوروبية قد أمضت سنتين استعداداً لها، ولا يزال العديد منها غير مستعد للالتقاء بها. وهي ليست قاعدة لحماية البيانات ولا تستهدف المستشفيات أو شبكات الطاقة. وكان الهدف منها هو المصارف، وشركات التأمين، ومديرو الصناديق، ومقدمو المدفوعات؛ وعلى نحو حاسم، بائعو التكنولوجيا الذين يحافظون على تشغيلهم. واسمه هو " دورا " ، وهو فقط أول موجات تنظيمية ثلاثية تخترق القارة. وكل من قضى العقد الماضي في مشاهدة قانون الأمن السيبراني يتطور في أوروبا يعرف النمط: إذ يصل توجيه جديد، وتنتقل الدول الأعضاء إليه بسرعة مختلفة، وتقضي الشركات سنوات في مطاردة هدف متحرك. ما هو مختلف هذه المرة هو الكثافة. DORA, NIS2 and the Cyber Resilience Act (CRA) do not replace one another. وهي تتداخل، وتتداخل، وتستبعد، في الأماكن، بعضها البعض. بالنسبة لقائد أمني يحاول بناء خريطة طريق للامتثال، هذه هي الفرصة والفخ. The GDPR taught European organisations to think about personal data as a liability with legal weight. الجيل الجديد من القواعد يطرح سؤالاً صعباً: ليس تحديد ما هي البيانات التي تحتفظين بها، ولكن em,can you keep operating when someone attacks you? التحول متعمد وزادت الهجمات الإلكترونية أكثر تطورا وضرارا، كما أن القطاعات التي تحافظ على أداء المجتمع لوظائفه، والتمويل، والطاقة، والنقل، والصحة، والاتصالات السلكية واللاسلكية، هي على وجه التحديد القطاعات الأكثر ترابطا وأكثرها تعرضا للخطر. ويمكن لمورد برامجيات واحد متضرر أن يخترق مئات المؤسسات خلال ساعات. ونظر المنظمون إلى هذا التبعية وخلصوا إلى أن أفضل الممارسات الطوعية ليست كافية. والهدف، على غرار الإطار الذي يستند إليه هذا النظام، هو تحسين القدرة على التكيف في العمليات؛ والقيام بذلك على نحو شامل، بمعاملة الأمن المادي والمنطقي بوصفه مشكلة واحدة بدلا من مشكلتين. وهذا هو السبب في أن هذه الأنظمة تقترن بالالتزامات الأقدم من الناتج المحلي الإجمالي، وقواعد قطاع الاتصالات السلكية واللاسلكية، ومخططات إصدار الشهادات مثل قانون الأمن السيبرلي للاتحاد الأوروبي، والتوجيه الخاص بخفض الانبعاثات المعتمد بشأن الكيانات الحاسمة الأهمية. إنها ليست كومة صغيرة وهي عبارة عن " لاتيسي " ، و " ديورا " ، و " قواعد تيسير التمويل " ، و " ملحقها " ، و " قانون تيسير العمليات " ، وهو نظام رسمي (الاتحاد الأوروبي) 2022/2554 " ، وقد نُشر في كانون الأول/ديسمبر 2022 وأصبح سارياً مباشرة في 17 كانون الثاني/يناير 2025. "مطبقة بشكل صحيح" هي العبارة المهمة: على عكس التوجيه، ليس من الضروري نقل الـ"دورا" إلى القانون الوطني. It applies as written, across every EU member state, on same day. وظيفته الأولى هي التناسق فقبل إدارة الموارد البشرية، يمكن أن يواجه كل من المصرف، والمؤمن، وصندوق المعاشات التقاعدية، ومدير الصندوق، قواعد وطنية مختلفة بشأن مخاطر تكنولوجيا المعلومات والاتصالات. وتقوم إدارة الموارد البشرية بسحبها في إطار واحد، وهي بذلك توسع الشبكة لتشمل عددا أكبر من الكيانات من أي نظام وطني واحد. وظيفتها الثانية هي حيث الأمور تصبح غير مريحة لسلسلة الإمداد وتلزم الوكالة المؤسسات المالية بالإبقاء على إطار قوي لإدارة مخاطر تكنولوجيا المعلومات والاتصالات؛ ويتدفق هذا الالتزام مباشرة إلى مقدمي التكنولوجيا الذين يدعمون خدماتهم ومنتجاتهم الأساسية. إذا كنت تبيع الهياكل الأساسية أو السحابة أو البرمجيات الحيوية إلى مصرف أوروبي، فإن إدارة الموارد البشرية هي الآن جزء من تفاوضك بشأن العقود سواء كنت مقرها في فرانكفورت أو سان فرانسيسكو. الإبلاغ عن الحوادث إلى السلطات المختصة في حدود ضيقة ومحددة النوافذ إجراء اختبارات منتظمة للصمود، بما في ذلك اختبار التغلُّب القائم على التهديد بالنسبة للكيانات الهامة/الكيانات المعنية بالتنوع والضوابط التعاقدية على الأطراف الثالثة الحاسمة في تكنولوجيا المعلومات والاتصالات ومن جانبنا، شهدنا متطلبات الاختبار تغير المحادثات بأسرع ما يمكن. اختبار التغلّب الذي يقوده التهديد تحت (دورا) ليس فحصاً للصناديق وهي عملية تستند إلى معلومات استخبارية تهدف إلى الإجابة على سؤال محدد: إذا استهدف مهاجم مختص ذي دوافع مهمتنا البالغة الأهمية، فهل سنظل قادرين على تسوية المدفوعات، أو تجهيز المطالبات، أو إبقاء دفتر الأستاذ مستقيما؟ Note: DORA is now in its operation and maintenance phase. ويستخلص المنظمون والمؤسسات دروسا من التجارب الحقيقية والتقارير عن الحوادث الحقيقية، ومن المرجح أن تشكل هذه الدروس أفضل الممارسات في قطاعات أخرى " مضمار " ؛ ولا سيما فيما يتعلق باستمرارية تصريف الأعمال وأمن سلسلة الإمدادات. إذا كان دورا أداة متخصصة، NIS2 هو الغرض العام. (ه) التوجيه (EU) 2022/2555، المعتمد في كانون الأول/ديسمبر 2022، يحل محل وتعزيز التوجيه الأصلي لنظام المعلومات النووية بإطار قانوني موحد يشمل 18 قطاعاً حاسماً، وينطبق عموماً على الشركات المتوسطة والكبيرة. العلاقة بين الاثنين جديرة بالقول بدقة، لأنها تجذب الناس. The financial sector is excluded from NIS2 because DORA is em.lex specialis/em. 'mdash; the specific law that overrides the general one. إن كنت مصرفاً، اتبع (دورا). إذا كنت مشغل الاتصالات السلكية واللاسلكية، وفائدة المياه، ومستشفى، ومزود رقمي، أو مصنّع في أحد القطاعات المشمولة، فإن NIS2 هي خط الأساس الخاص بك. وهو يوسّع نطاق مهام إدارة المخاطر والإخطار إلى عدد أكبر بكثير من القطاعات؛ بما في ذلك الاتصالات السلكية واللاسلكية، التي كان لها نظام مستقل في السابق. وهو يتطلب تحديث الاستراتيجيات الوطنية لأمن الفضاء الإلكتروني. وهو يضع شروطا أشد صرامة على أمن سلسلة الإمداد. وهو يدفع بالمساءلة إلى مستوى أعلى: من المتوقع الآن أن تملك الإدارة العليا نتائج لأمن الفضاء الإلكتروني، وليس تفويضها إلى فريق تقني، والأمل في ذلك. ها هو الاحتكاك NIS2 is a directive, which means each member state must write it into national law. معظمها كان بطيئاً وافتتحت إسبانيا عملية نقلها في 16 كانون الثاني/يناير 2025 مشاورة عامة بشأن مشروع قانون أولي بشأن التنسيق والإدارة في مجال أمن الفضاء الإلكتروني. وهناك بلدان أخرى تمر بمراحل مختلفة، وبعضها يمضي قدما، وبعضها متخلف. ويخلق هذا الجدول الزمني المتأخر وضعاً حرجاً حقيقياً بالنسبة للشركات المتعددة الجنسيات: إذ يمكن أن تكون الشركة نفسها في نطاق كامل في بلد ما، ولا تُنظَّم بالكاد في بلد آخر، حيث توجد بوابات إبلاغ مختلفة وعتبات مختلفة وسلطات إشراف مختلفة. ويتوخى التوجيه أيضاً إلغاء الالتزامات القطاعية لأمن الفضاء الإلكتروني التي كانت في السابق مشمولة بالقانون العام للاتصالات السلكية واللاسلكية، ويجب أن يظل متسقاً مع التزامات هيئة خفض الانبعاثات المعتمدة للكيانات الحرجة. لا تنتظروا أن يكتمل عرضكم الوطني قبل أن تتصرفوا فالالتزامات " ، وتقييمات المخاطر، والتدابير الأمنية، والإبلاغ عن الحوادث في غضون آجال زمنية قصيرة، والامتثال المثبت " ، واضحة بالفعل في النص التوجيهي. الشركات التي ستبدأ متأخراً سوف تقوم بفرض ضوابط في موعد نهائي لم تعد تسيطر عليه. الموجة الثالثة تُستهدف شيئاً أول إثنين يتركان وحدهما: المنتجات التي تشتريها وبدأ نفاذ اللائحة التنظيمية (الاتحاد الأوروبي) 2024/2847، وهي قانون قدرة السيبر على التكيف، في 10 كانون الأول/ديسمبر 2024. Its main obligations apply from 11 December 2027 'mdash; a date that seems far until you count the work involved. وفي الحالات التي تنظم فيها إدارة الموارد البشرية وآلية التنفيذ الوطنية تقديم الخدمات، تنظم الوكالة المنتجات ذات العناصر الرقمية: البرمجيات والمعدات، من الأجهزة الاستهلاكية إلى المكونات الصناعية. وهو موجود لأن السوق ظلت تعاني من نقص في الأمن. لا يمكن للمشتريات أن تخبر بسهولة ما إذا كان منتجاً مبنياً بأمن في العقل، ولم يكن لدى المصنّعين سوى القليل من الحافز على الاستثمار فيه بعد عملية البيع/التأشيرة إلى التغييرات التي أدخلت على مجموعة من الواجبات المتشابكة: وضع علامات/استغلال البرمجيات بشكل فعال من خلال التصميم، الذي تم بناؤه في المنتج من البداية بدلاً من أن يكون مثبتاً في نظام النقل البحري/الياً عنصر الوسم الخاص بـ(سي إي) هو من يشاهد وهي تحول أمن الفضاء الإلكتروني من مطالبة تسويقية إلى حالة وصول إلى الأسواق، بنفس الطريقة التي تعمل بها علامة CE بالفعل من أجل السلامة الكهربائية. إن لم يكن منتجك مطابقاً، فلا تواجه ببساطة ضرراً بالسمعة، بل تواجه عجزاً عن وضعه في السوق الأوروبية. The CRA also sits alongside labelling initiatives such as the US Cyber Trust Mark for IoT devices, part of a broader international push toward making security visible and similar at the point of purchase./p of gridh2 of where the Three Regulations Collide ' smdash; and where they help the/h2 of القراءة معاً، الأدوات الثلاثة تغطي كمية كبيرة من الأرض. ويلخص الجدول الوارد أدناه الاختلافات العملية التي يحتاج إليها فريق الامتثال في العقل. الكيانات المالية ومقدميها لتكنولوجيا المعلومات والاتصالات القدرة على مواجهة العمليات ومخاطر الأطراف الثالثة إدارة المخاطر والإبلاغ عن الحوادث صانعو المنتجات ذات العناصر الرقمية/الرسوم الرقمية من 11 كانون الأول/ديسمبر 2027/مخططات سرية، تحديثات، CE marking/td of/tr