NIS2 ومسؤولية المديرين التنفيذيين: الأمن السيبراني أصبح مسؤولية شخصية الآن
مع تطبيق قانون NIS2 الألماني، انتقلت الأمن السيبراني بشكل نهائي من قسم تقنية المعلومات إلى الإدارة العليا. حوالي 30,000 شركة في ألمانيا، تخضع هذه الشركات للالتزامات الجديدة. عدد أكبر بكثير مما كان عليه من قبل، بما في ذلك العديد من الشركات التي لم تكن تعتبر نفسها "بنية تحتية حرجة" حتى الآن: صنّاع الآلات، منتجو الأغذية، مقدمو خدمات تقنية المعلومات، وشركات اللوجستيات.
الجديد: المسؤولية الشخصية للإدارة التنفيذية
جوهر الإصلاح يكمن في § 38 BSIG: يجب على الإدارة العليا أن تتولى بنفسها تدابير الأمن السيبراني للشركة الموافقة عليها ومراقبة تنفيذها. يمكن مساءلتها شخصياً عن أي مخالفات. أي تنازل من الشركة عن هذه المطالب التعويضية لا يكون سارياً. يمكن تفويض التنفيذ، لكن لا يمكن تفويض المسؤولية. بالإضافة إلى ذلك، يُشترط إجراء تدريبات للمديرين التنفيذيين أنفسهم.
هل أنا معني؟
- التجهيزات الجوهرية: تشمل قطاعات مثل الطاقة، والصحة، والنقل، والبنية التحتية الرقمية: بدءًا من 250 موظفًا أو إيرادات قدرها 50 مليون يورو (جزئيًا بغض النظر عن حجم الشركة).
- التجهيزات المهمة: تشمل على سبيل المثال لا الحصر: الصناعات التحويلية، الأغذية، الكيماويات، الخدمات الرقمية، ومقدمو خدمات الإدارة (MSP): بدءًا من 50 موظفًا أو إيرادات تبلغ 10 ملايين يورو.
- المؤثرون بشكل غير مباشر: الموردون ومقدمو الخدمات للشركات المذكورة أعلاه، عبر متطلبات سلاسل التوريد الخاصة بعملائهم.
نظرة عامة على الواجبات
- التسجيل لدى مكتب الأمن السيبراني (BSI) وتعيين جهة اتصال.
- إدارة المخاطر: أحدث التقنيات، بدءًا من التحكم في الوصول والتشفير، مرورًا بمفاهيم النسخ الاحتياطي، وصولاً إلى أمن سلسلة التوريد.
- واجبات الإبلاغ في حالات الطوارئ: الإبلاغ الأول خلال 24 ساعة، وإبلاغ لاحق خلال 72 ساعة، وتقرير ختامي بعد شهر واحد.
- غرامات: حتى 10 ملايين يورو أو 2% من الإيرادات العالمية (للمنشآت الجوهرية) أو 7 ملايين يورو أو 1,4% (للمنشآت المهمة).
البدء بطريقة عملية بدلاً من إنتاج أوراق
الامتثال لـ NIS2 ليس مجرد مجلد في خزانة، بل هو تشغيل فعلي لتقنية المعلومات: أنظمة محدّثة بالتصحيحات، شبكات مراقبة، نسخ احتياطي مُختبرة، موظفون مدرّبون، وإجراءات محددة للحالات الطارئة. هذا بالضبط جوهر خدمات تقنية المعلومات المُدارة (Managed IT-Services). من يدير عملياته باحترافية يستوفي المتطلبات التقنية إلى حد كبير بشكل تلقائي. نقطة البداية المنطقية هي: تحليل الأثرثم مطابقة الإجراءات الحالية مع المتطلبات، ثم خطة إجراءات مُدرجة حسب الأولوية.
تنبيه: لا يُغني هذا المقال عن الاستشارة القانونية. يهدف إلى تقديم تصنيف أولي؛ أما الفحص الرسمي لوضعكم فيجب أن يكون على يد خبراء متخصصين.
هل أنت من المتضررين؟ سنقوم بالفحص معك.
استشارة أولية مجانية: تحليل مدى التأثر وتصنيف صادق لما يجب فعله حقًا.