دخل قانون تحويل NIS2 الألماني حيز التنفيذ في 5 ديسمبر 2025. تصل مواعيد التسجيل النهائية في BSI في مارس 2026. يغطي هذا الدليل كل ما يحتاج مسؤولو أمن المعلومات ومديرو تكنولوجيا المعلومات ومسؤولو الامتثال معرفته: من يجب أن يمتثل، ما هي الالتزامات، كيف تبدو العقوبات، وكيفية بناء خارطة طريق عملية للامتثال.
يحل توجيه NIS2 (التوجيه (EU) 2022/2555) محل توجيه NIS الأصلي لعام 2016، والذي كان يُعتبر على نطاق واسع غير كافٍ من حيث النطاق والتنفيذ. فهو يوسع التغطية بشكل كبير من ~10,000 كيان تحت NIS1 إلى ما يقدر بـ أكثر من 160,000 كيان في جميع أنحاء الاتحاد الأوروبي.
صُمم NIS2 لمعالجة ثلاثة نقاط ضعف أساسية: التحويل غير المتسق عبر الدول الأعضاء، والنطاق المحدود الذي يغطي قطاعات ضيقة فقط، والتنفيذ الضعيف مع عقوبات منخفضة للغاية لدفع التغيير.
في ألمانيا، دخل قانون NIS2UmsuCG (قانون تنفيذ NIS2 وتعزيز الأمن السيبراني) حيز التنفيذ في 5 ديسمبر 2025. معهد BSI هو السلطة الإشرافية المعينة، وتبدأ مواعيد التسجيل النهائية في 6 مارس 2026.
تحول NIS2 من نهج قائم على التعيين إلى آلية حد الحجم. تكون المؤسسات ضمن النطاق تلقائياً إذا استوفت معايير القطاع والحجم.
| القطاع | أمثلة |
|---|---|
| الطاقة | الكهرباء، النفط، الغاز، الهيدروجين، التدفئة المركزية |
| النقل | النقل الجوي والسكك الحديدية والمائي والبري |
| الخدمات المصرفية | مؤسسات الائتمان |
| البنية التحتية للسوق المالية | أماكن التداول، الأطراف المقابلة المركزية |
| الصحة | المستشفيات، المختبرات، الأدوية، الأجهزة الطبية |
| مياه الشرب | التوريد والتوزيع |
| مياه الصرف الصحي | الجمع والتخلص والمعالجة |
| البنية التحتية الرقمية | IXPs، DNS، سجلات TLD، السحابة، مراكز البيانات، CDNs |
| إدارة خدمات تكنولوجيا المعلومات والاتصالات (B2B) | MSPs، MSSPs |
| الإدارة العامة | كيانات الحكومة المركزية |
| الفضاء | مشغلو البنية التحتية الأرضية |
| القطاع | أمثلة |
|---|---|
| خدمات البريد والبريد السريع | مزودو الخدمات البريدية |
| إدارة النفايات | الجمع والنقل والمعالجة |
| التصنيع الكيميائي | الإنتاج والتوزيع |
| إنتاج الأغذية | المعالجة والتوزيع (واسع النطاق) |
| التصنيع | الأجهزة الطبية، الإلكترونيات، الآلات، المركبات |
| مزودو الخدمات الرقمية | الأسواق، محركات البحث، الشبكات الاجتماعية |
| البحث | منظمات البحث ذات التأثير الكبير |
بعض الكيانات ضمن النطاق بغض النظر عن الحجم: مزودو خدمات الثقة المؤهلون، سجلات TLD، مزودو DNS، مزودو الاتصالات، الإدارة العامة، ومزودو الخدمات الأساسية الوحيدون.
| الجانب | الكيانات الأساسية | الكيانات المهمة |
|---|---|---|
| الإشراف | استباقي (قبلي) | تفاعلي (بعدي) |
| الغرامة القصوى | €10M أو 2% من حجم الأعمال العالمي | €7M أو 1.4% من حجم الأعمال العالمي |
| التدقيقات | منتظمة، إلزامية | عند وجود دليل على عدم الامتثال |
| متطلبات الأمان | متطابقة | متطابقة |
التزامات الأمان هي نفسها لكلا المستويين. الفرق يكمن فقط في شدة الإشراف وحدود العقوبات.
| الموعد النهائي | المتطلب | الغرض |
|---|---|---|
| 24 ساعة | إنذار مبكر إلى CSIRT | إشارة إلى وقوع حادث كبير |
| 72 ساعة | إخطار الحادث مع التقييم | الخطورة، التأثير، مؤشرات الاختراق |
| شهر واحد | التقرير النهائي | تحليل السبب الجذري، التأثير، تدابير التخفيف |
تتطلب المادة 20 من الهيئات الإدارية الموافقة على التدابير السيبرانية، والخضوع للتدريب، وتحمل المسؤولية الشخصية. بموجب قانون NIS2UmsuCG الألماني، يواجه المديرون التنفيذيون غرامات شخصية وإمكانية التعليق المؤقت من الأدوار الإدارية. هذه المسؤولية لا يمكن تفويضها بالكامل.
بالإضافة إلى الغرامات، يمكن للسلطات إصدار تعليمات ملزمة، وأمر بوقف الأنشطة، وطلب الإفصاح العام عن عدم الامتثال، وتعليق الشهادات، و— للكيانات الأساسية — حظر مؤقت لوظائف الإدارة للأفراد المسؤولين.
بالنسبة لشركة بإيرادات مليار يورو، الغرامة القصوى للكيان الأساسي هي 20 مليون يورو. يجب مراجعة وثائق تأمين المديرين والمسؤولين لمعرفة الفجوات في التغطية — لا يمكن التأمين على المسؤولية الشخصية بالكامل.
| التاريخ | الحدث الرئيسي |
|---|---|
| 27 ديسمبر 2022 | نشر NIS2 في الجريدة الرسمية للاتحاد الأوروبي |
| 16 يناير 2023 | دخول NIS2 حيز التنفيذ |
| 17 أكتوبر 2024 | الموعد النهائي للتحويل لجميع الدول الأعضاء |
| 5 ديسمبر 2025 | ألمانيا: دخول NIS2UmsuCG حيز التنفيذ |
| 6 مارس 2026 | ألمانيا: الموعد النهائي للتسجيل في BSI |
| 17 أكتوبر 2027 | مراجعة المفوضية الأوروبية لعمل NIS2 |
التسجيل في مارس 2026 على بعد أسابيع. حدد فجوات الامتثال قبل التسجيل.
ابدأ فحص NIS2 المجاني ←توفر ISO 27001 أساساً قوياً لكن NIS2 يضيف متطلبات محددة: جداول زمنية إلزامية للإبلاغ عن الحوادث (24 ساعة/72 ساعة/شهر واحد)، والمسؤولية الشخصية للإدارة، والتزامات أمن سلسلة التوريد التفصيلية. الشهادة وحدها لا تضمن الامتثال.
تفحص KENSAI سطح الهجوم الخارجي الخاص بك باستمرار — النطاقات، النطاقات الفرعية، عناوين IP، الخدمات السحابية، واجهات برمجة التطبيقات المكشوفة — وتخطط الأصول مقابل نطاق NIS2 الخاص بك. جرد في الوقت الفعلي لما تحتاج إلى حمايته.
مع أكثر من 332,000 CVE، تحدد KENSAI الثغرات المعروفة وتربطها بمتطلبات NIS2. يتم ترتيب كل نتيجة حسب درجة CVSS، وأهمية NIS2، وإلحاح المعالجة بناءً على معلومات التهديدات.
يخطط الذكاء الاصطناعي وضعك الأمني مقابل جميع متطلبات المادة 21: درجة الامتثال، وتقرير الفجوات، والمعالجة ذات الأولوية، وتوثيق الأدلة المناسب للجهات التنظيمية والمدققين.
افحص البنية التحتية الخارجية للموردين لتحديد الخدمات المكشوفة، والثغرات الأمنية، ومشاكل الشهادات، والتكوينات الخاطئة لـ DNS، وتاريخ اختراق البيانات — رؤية سلسلة التوريد التي يتطلبها NIS2.
Starter: €990/شهر — المؤسسات المتوسطة الداخلة في نطاق NIS2. Professional: €1,490/شهر — البنية التحتية المعقدة وسلاسل التوريد. Enterprise: €2,490/شهر — أتمتة الامتثال الكاملة مع دعم مخصص.
لائحة الأمن السيبراني المحدثة للاتحاد الأوروبي (التوجيه (EU) 2022/2555) التي تحل محل توجيه NIS الأصلي. ينشئ تدابير إلزامية لإدارة المخاطر، والإبلاغ عن الحوادث، ومتطلبات أمن سلسلة التوريد عبر 18 قطاعاً حرجاً.
المؤسسات في 18 قطاعاً محدداً تستوفي عتبات المؤسسات المتوسطة (50+ موظفاً أو €10M+ حجم أعمال) أو المؤسسات الكبيرة (250+ موظفاً أو €50M+ حجم أعمال). كيانات معينة مثل مزودي DNS والاتصالات مغطاة بغض النظر عن الحجم.
الكيانات الأساسية: حتى €10M أو 2% من حجم الأعمال العالمي. الكيانات المهمة: حتى €7M أو 1.4% من حجم الأعمال العالمي. بالإضافة إلى تعليمات ملزمة، والإفصاح العام، وتعليق الشهادات، والمسؤولية الشخصية للإدارة.
ثلاث مراحل: إنذار مبكر خلال 24 ساعة، إخطار الحادث خلال 72 ساعة، التقرير النهائي خلال شهر واحد.
تتطلب المادة 20 من مجالس الإدارة الموافقة على تدابير الأمن السيبراني، والخضوع للتدريب، وتحمل المسؤولية الشخصية. بموجب القانون الألماني، يواجه المديرون التنفيذيون غرامات شخصية وإمكانية التعليق المؤقت.
عموماً لا (أقل من 50 موظفاً / €10M حجم أعمال مستبعدون). توجد استثناءات لمزودي خدمات الثقة، وسجلات TLD، ومزودي DNS، والاتصالات.
تداخل كبير، لكن NIS2 يضيف جداول زمنية إلزامية للإبلاغ عن الحوادث، ومسؤولية شخصية للإدارة، ومتطلبات سلسلة توريد تفصيلية. شهادة ISO 27001 وحدها لا تضمن امتثال NIS2.
يركز NIS2 على أمن الشبكة/النظام؛ اللائحة العامة لحماية البيانات على حماية البيانات الشخصية — قد ينطبق كلاهما على حادث سيبراني. تأخذ DORA الأسبقية للكيانات المالية بموجب مبدأ lex specialis.
هذا الدليل لأغراض إعلامية ولا يشكل مشورة قانونية. استشر محترفين قانونيين مؤهلين ومتخصصين في الأمن السيبراني لالتزاماتك المحددة بموجب NIS2.
شاهد فجوات الامتثال الخاصة بك في دقائق. فحص مدعوم بالذكاء الاصطناعي مع تخطيط NIS2 و DSGVO و DORA مدمج.
ابدأ الفحص المجاني ←الأمن ليس اختيارياً.
🗡️ فريق KENSAI
Get a free security scan of your website in 60 seconds
Free Security Scan →