دخل قانون تحويل NIS2 الألماني حيز التنفيذ في ٥ ديسمبر ٢٠٢٥. تصل مواعيد التسجيل في BSI في مارس ٢٠٢٦. يغطي هذا الدليل كل ما يحتاج مديرو أمن المعلومات ومديرو تقنية المعلومات ومسؤولو الامتثال معرفته: من يجب أن يمتثل، ما هي الالتزامات، كيف تبدو العقوبات، وكيفية بناء خارطة طريق امتثال عملية.
يستبدل توجيه NIS2 (التوجيه (EU) 2022/2555) توجيه NIS الأصلي لعام ٢٠١٦، والذي كان يُعتبر على نطاق واسع غير كافٍ من حيث النطاق والإنفاذ. يوسع النطاق بشكل كبير من حوالي ١٠٬٠٠٠ كيان بموجب NIS1 إلى ما يُقدر بـ أكثر من ١٦٠٬٠٠٠ كيان عبر الاتحاد الأوروبي.
تم تصميم NIS2 لمعالجة ثلاثة نقاط ضعف أساسية: التحويل غير المتسق عبر الدول الأعضاء، والنطاق المحدود الذي يغطي قطاعات ضيقة فقط، والإنفاذ الضعيف مع عقوبات منخفضة جدًا لدفع التغيير.
في ألمانيا، دخل NIS2UmsuCG (قانون تنفيذ NIS2 وتعزيز الأمن السيبراني) حيز التنفيذ في ٥ ديسمبر ٢٠٢٥. BSI هي السلطة الإشرافية المعينة، وتبدأ مواعيد التسجيل ٦ مارس ٢٠٢٦.
انتقل NIS2 من نهج قائم على التعيين إلى آلية حد الحجم. المؤسسات مشمولة تلقائيًا إذا استوفت معايير القطاع والحجم.
| القطاع | أمثلة |
|---|---|
| الطاقة | الكهرباء، النفط، الغاز، الهيدروجين، التدفئة المركزية |
| النقل | النقل الجوي والسكك الحديدية والمائي والبري |
| الخدمات المصرفية | مؤسسات الائتمان |
| البنية التحتية للسوق المالية | أماكن التداول، الأطراف المقابلة المركزية |
| الصحة | المستشفيات، المختبرات، الأدوية، الأجهزة الطبية |
| مياه الشرب | الإمداد والتوزيع |
| مياه الصرف الصحي | الجمع، التخلص، المعالجة |
| البنية التحتية الرقمية | نقاط تبادل الإنترنت، DNS، سجلات TLD، السحابة، مراكز البيانات، CDN |
| إدارة خدمات تكنولوجيا المعلومات (B2B) | مزودو الخدمات المُدارة، مزودو خدمات الأمن المُدارة |
| الإدارة العامة | كيانات الحكومة المركزية |
| الفضاء | مشغلو البنية التحتية الأرضية |
| القطاع | أمثلة |
|---|---|
| خدمات البريد والبريد السريع | مزودو الخدمات البريدية |
| إدارة النفايات | الجمع، النقل، المعالجة |
| التصنيع الكيميائي | الإنتاج، التوزيع |
| إنتاج الغذاء | المعالجة، التوزيع (واسع النطاق) |
| التصنيع | الأجهزة الطبية، الإلكترونيات، الآلات، المركبات |
| المزودون الرقميون | الأسواق، محركات البحث، الشبكات الاجتماعية |
| البحث | منظمات البحث ذات تأثير كبير |
كيانات معينة مشمولة بغض النظر عن الحجم: مقدمو خدمات الثقة المؤهلون، سجلات TLD، مزودو DNS، مقدمو خدمات الاتصالات، الإدارة العامة، والمزودون الوحيدون للخدمات الأساسية.
| الجانب | الكيانات الأساسية | الكيانات المهمة |
|---|---|---|
| الإشراف | استباقي (ex-ante) | تفاعلي (ex-post) |
| الغرامة القصوى | ١٠ مليون يورو أو ٢٪ من الإيرادات العالمية | ٧ مليون يورو أو ١٫٤٪ من الإيرادات العالمية |
| عمليات التدقيق | منتظمة، إلزامية | عند وجود دليل على عدم الامتثال |
| متطلبات الأمان | متطابقة | متطابقة |
التزامات الأمان هي نفسها لكلا المستويين. الفرق يكمن فقط في كثافة الإشراف وحدود العقوبة.
| الموعد النهائي | المتطلب | الغرض |
|---|---|---|
| ٢٤ ساعة | إنذار مبكر لـ CSIRT | إشارة إلى وقوع حادث كبير |
| ٧٢ ساعة | إخطار الحادث مع التقييم | الخطورة، التأثير، مؤشرات الاختراق |
| شهر واحد | تقرير نهائي | تحليل السبب الجذري، التأثير، تدابير التخفيف |
تتطلب المادة ٢٠ من هيئات الإدارة الموافقة على تدابير الأمن السيبراني، والخضوع للتدريب، وتحمل المسؤولية الشخصية. بموجب NIS2UmsuCG الألماني، يواجه المديرون التنفيذيون غرامات شخصية ووقفًا محتملاً مؤقتًا من أدوار الإدارة. هذه المسؤولية لا يمكن تفويضها بالكامل.
بالإضافة إلى الغرامات، يمكن للسلطات إصدار تعليمات ملزمة، والأمر بوقف الأنشطة، وطلب الإفصاح العلني عن عدم الامتثال، وتعليق الشهادات، و— للكيانات الأساسية — حظر وظائف الإدارة مؤقتًا للأفراد المسؤولين.
لشركة بإيرادات مليار يورو، الغرامة القصوى للكيان الأساسي هي ٢٠ مليون يورو. يجب مراجعة وثائق تأمين المديرين والمسؤولين للكشف عن فجوات التغطية — لا يمكن التأمين ضد المسؤولية الشخصية بالكامل.
| التاريخ | المعلم |
|---|---|
| ٢٧ ديسمبر ٢٠٢٢ | نُشر NIS2 في الجريدة الرسمية للاتحاد الأوروبي |
| ١٦ يناير ٢٠٢٣ | دخول NIS2 حيز التنفيذ |
| ١٧ أكتوبر ٢٠٢٤ | الموعد النهائي للتحويل لجميع الدول الأعضاء |
| ٥ ديسمبر ٢٠٢٥ | ألمانيا: دخول NIS2UmsuCG حيز التنفيذ |
| ٦ مارس ٢٠٢٦ | ألمانيا: الموعد النهائي للتسجيل في BSI |
| ١٧ أكتوبر ٢٠٢٧ | مراجعة المفوضية الأوروبية لعمل NIS2 |
التسجيل في مارس ٢٠٢٦ على بعد أسابيع. حدد فجوات الامتثال قبل التسجيل.
ابدأ فحص NIS2 المجاني ←يوفر ISO 27001 أساسًا قويًا لكن NIS2 يضيف متطلبات محددة: مواعيد نهائية إلزامية للإبلاغ عن الحوادث (٢٤ ساعة/٧٢ ساعة/شهر)، ومسؤولية شخصية للإدارة، والتزامات مفصلة لأمن سلسلة التوريد. الشهادة وحدها لا تضمن الامتثال.
يفحص KENSAI بشكل مستمر سطح الهجوم الخارجي الخاص بك — النطاقات، النطاقات الفرعية، عناوين IP، الخدمات السحابية، واجهات برمجة التطبيقات المكشوفة — ويرسم الأصول مقابل نطاق NIS2 الخاص بك. جرد في الوقت الفعلي لما تحتاج إلى حمايته.
مع أكثر من ٣٣٢٬٠٠٠ CVE، يحدد KENSAI الثغرات المعروفة ويربطها بمتطلبات NIS2. يتم ترتيب كل نتيجة حسب الأولوية بناءً على درجة CVSS وملاءمة NIS2 وإلحاح المعالجة استنادًا إلى معلومات التهديدات.
يقوم الذكاء الاصطناعي برسم وضعك الأمني مقابل جميع متطلبات المادة ٢١: درجة الامتثال، وتقرير الفجوات، والمعالجة ذات الأولوية، وتوثيق الأدلة المناسب للجهات التنظيمية والمدققين.
فحص البنية التحتية الخارجية للموردين لتحديد الخدمات المكشوفة والثغرات ومشاكل الشهادات وأخطاء تكوين DNS وتاريخ خرق البيانات — رؤية سلسلة التوريد التي يطلبها NIS2.
المبتدئ: €٩٩٠/شهر — المؤسسات المتوسطة الداخلة في نطاق NIS2. احترافي: €١٬٤٩٠/شهر — البنية التحتية المعقدة وسلاسل التوريد. المؤسسة: €٢٬٤٩٠/شهر — أتمتة امتثال كاملة النطاق مع دعم مخصص.
لائحة الأمن السيبراني المحدثة للاتحاد الأوروبي (التوجيه (EU) 2022/2555) تستبدل توجيه NIS الأصلي. ينشئ تدابير إلزامية لإدارة المخاطر، والإبلاغ عن الحوادث، ومتطلبات أمن سلسلة التوريد عبر ١٨ قطاعًا حيويًا.
المؤسسات في ١٨ قطاعًا محددًا تستوفي عتبات المؤسسات المتوسطة (٥٠+ موظف أو إيرادات ١٠+ مليون يورو) أو المؤسسات الكبيرة (٢٥٠+ موظف أو إيرادات ٥٠+ مليون يورو). كيانات معينة مثل مزودي DNS والاتصالات مشمولة بغض النظر عن الحجم.
الكيانات الأساسية: حتى ١٠ مليون يورو أو ٢٪ من الإيرادات العالمية. الكيانات المهمة: حتى ٧ مليون يورو أو ١٫٤٪ من الإيرادات العالمية. بالإضافة إلى تعليمات ملزمة، والإفصاح العلني، وتعليق الشهادات، والمسؤولية الشخصية للإدارة.
ثلاث مراحل: إنذار مبكر خلال ٢٤ ساعة، إخطار الحادث خلال ٧٢ ساعة، تقرير نهائي خلال شهر واحد.
تتطلب المادة ٢٠ من مجالس الإدارة الموافقة على تدابير الأمن السيبراني، والخضوع للتدريب، وتحمل المسؤولية الشخصية. بموجب القانون الألماني، يواجه المديرون التنفيذيون غرامات شخصية ووقفًا محتملاً مؤقتًا.
بشكل عام لا (أقل من ٥٠ موظفًا / ١٠ مليون يورو إيرادات مستثناة). توجد استثناءات لمقدمي خدمات الثقة وسجلات TLD ومزودي DNS والاتصالات.
تداخل كبير، لكن NIS2 يضيف مواعيد نهائية إلزامية للإبلاغ عن الحوادث، ومسؤولية شخصية للإدارة، ومتطلبات مفصلة لسلسلة التوريد. شهادة ISO 27001 وحدها لا تضمن امتثال NIS2.
يركز NIS2 على أمن الشبكة/النظام؛ GDPR على حماية البيانات الشخصية — قد ينطبق كلاهما على حادث سيبراني. يأخذ DORA الأولوية للكيانات المالية بموجب مبدأ lex specialis.
هذا الدليل لأغراض إعلامية ولا يشكل استشارة قانونية. استشر محترفين قانونيين ومحترفي الأمن السيبراني المؤهلين لالتزامات NIS2 الخاصة بك.
شاهد فجوات الامتثال الخاصة بك في دقائق. المسح المدعوم بالذكاء الاصطناعي مع تخطيط NIS2 وDSGVO وDORA المدمج.
ابدأ الفحص المجاني ←الأمن ليس اختياريًا.
🗡️ فريق KENSAI
Get a free security scan of your website in 60 seconds
Free Security Scan →