← العودة إلى المدونة

قائمة التحقق من امتثال NIS2: 10 خطوات للاستعداد قبل الموعد النهائي

قائمة تحقق عملية من 10 خطوات لإعداد مؤسستك لامتثال NIS2 — من تحديد النطاق وتقييم المخاطر إلى الإبلاغ عن الحوادث والتحسين المستمر.

---

يُعيد توجيه NIS2 تشكيل التزامات الأمن السيبراني عبر أوروبا، والوقت يمضي. مع قيام الدول الأعضاء بنقل التوجيه إلى القانون الوطني واقتراب التنفيذ، تحتاج المؤسسات إلى خارطة طريق واضحة وقابلة للتنفيذ لتحقيق الامتثال.

تُقسّم هذه القائمة إعداد NIS2 إلى 10 خطوات ملموسة — كل منها بإجراءات محددة يمكنك اتخاذها اليوم. سواء كنت تبدأ من الصفر أو تبني على برنامج أمني قائم، سيساعدك هذا الدليل في تحديد الثغرات وترتيب أولويات جهودك.

الخطوة 1: حدد ما إذا كنت ضمن النطاق

لماذا هذا مهم: وسّع NIS2 بشكل كبير عدد المؤسسات الخاضعة لالتزامات الأمن السيبراني. إذا افترضت أنك غير مشمول، فقد تكون مخطئاً.

الإجراءات:

• تحقق من قطاعك: يغطي NIS2 ثمانية عشر قطاعاً عبر ملحقين. يشمل الملحق الأول (الكيانات الأساسية) الطاقة والنقل والخدمات المصرفية والصحة والبنية التحتية الرقمية وخدمات تكنولوجيا المعلومات والاتصالات. يشمل الملحق الثاني (الكيانات المهمة) الخدمات البريدية وإدارة النفايات والكيماويات والغذاء والتصنيع والمزودين الرقميين
• تحقق من حجمك: ينطبق التوجيه على المؤسسات المتوسطة (50+ موظف أو 10 ملايين يورو+ حجم أعمال) والمؤسسات الكبيرة (250+ موظف أو 50 مليون يورو+ حجم أعمال) في القطاعات المشمولة
• تحقق من الاستثناءات: بعض أنواع الكيانات مشمولة بغض النظر عن الحجم — مزودو DNS وسجلات TLD وشبكات الاتصالات العامة ومزودو خدمات الثقة
• قيّم تعرض سلسلة التوريد: حتى لو لم تكن ضمن النطاق مباشرة، قد يطلب عملاؤك في القطاعات المشمولة أماناً متوافقاً مع NIS2 من مورديهم

كيف يساعد KENSAI: صُممت منصة KENSAI للمؤسسات ضمن نطاق NIS2، حيث توفر إدارة الثغرات المستمرة والتقارير التي يتطلبها التوجيه. البدء بـ فحص مجاني يمنحك رؤية فورية لوضعك الأمني الحالي.

الخطوة 2: صنّف نوع كيانك

لماذا هذا مهم: تخضع الكيانات الأساسية لرقابة أشد وعقوبات أعلى من الكيانات المهمة. تصنيفك يحدد التزاماتك.

الإجراءات:

• الكيانات الأساسية (قطاعات الملحق الأول، المؤسسات الكبيرة): تخضع لرقابة تنظيمية استباقية، بما في ذلك عمليات التفتيش الميدانية والتدقيقات المنتظمة. غرامات قصوى تصل إلى 10 ملايين يورو أو 2% من حجم الأعمال العالمي
• الكيانات المهمة (قطاعات الملحق الثاني، المؤسسات المتوسطة): تخضع لرقابة تفاعلية (بعد حادث أو دليل على عدم الامتثال). غرامات قصوى تصل إلى 7 ملايين يورو أو 1.4% من حجم الأعمال العالمي
• وثّق تصنيفك والأسباب الكامنة وراءه
• راجع النقل الوطني — قد تطبق بعض الدول الأعضاء معايير أشد. قانون NIS2UmsuCG الألماني، على سبيل المثال، يقدم فئات إضافية

كيف يساعد KENSAI: تربط تقارير الامتثال في KENSAI النتائج بالمتطلبات المحددة المنطبقة على تصنيف كيانك، مما يضمن أن أدلة الأمان تتطابق مع التزاماتك.

الخطوة 3: احصل على دعم الإدارة والمساءلة

لماذا هذا مهم: تجعل المادة 20 من NIS2 هيئات الإدارة مسؤولة شخصياً عن الأمن السيبراني. هذا ليس اقتراحاً — إنه متطلب قانوني يترتب عليه مسؤولية شخصية.

الإجراءات:

• أبلغ مجلس الإدارة والإدارة العليا بمتطلبات NIS2 ومسؤوليتهم الشخصية
• عيّن مسؤولاً تنفيذياً للإشراف على الأمن السيبراني (CISO أو CTO أو ما يعادلهم)
• أنشئ هيكل حوكمة تعتمد فيه الإدارة رسمياً سياسات الأمن السيبراني وتراجع تقييمات المخاطر
• جدوِل تدريباً إلزامياً على الأمن السيبراني لجميع أعضاء هيئة الإدارة — يتطلب NIS2 هذا صراحة
• وثّق مشاركة الإدارة في قرارات الأمن السيبراني لأغراض التدقيق
• أدرج الأمن السيبراني كبند دائم في جدول أعمال اجتماعات مجلس الإدارة

كيف يساعد KENSAI: يوفر KENSAI لوحات معلومات تنفيذية وتقارير اتجاهات تمنح الإدارة الرؤية التي تحتاجها للوفاء بمسؤوليات الإشراف دون الحاجة إلى خبرة تقنية عميقة.

الخطوة 4: أجرِ تقييماً شاملاً للمخاطر

لماذا هذا مهم: تتطلب المادة 21 من NIS2 إجراءات تقنية وتنظيمية "مناسبة ومتناسبة" بناءً على تقييم المخاطر. بدون تقييم مخاطر موثق، لا يمكنك إثبات أن إجراءاتك متناسبة.

الإجراءات:

• حدد الأصول الحرجة: خريطة لجميع أنظمة الشبكات والمعلومات التي تدعم خدماتك الأساسية
• قيّم التهديدات: وثّق مشهد التهديدات ذات الصلة بقطاعك وجغرافيتك (برامج الفدية، الهجمات المدعومة من الدول، اختراق سلسلة التوريد، التهديدات الداخلية)
• قيّم الثغرات: أجرِ تقييمات تقنية للثغرات في البنية التحتية والتطبيقات والعمليات
• حدد التأثير: لكل خطر محدد، قيّم التأثير المحتمل على استمرارية الخدمة وسلامة البيانات والأطراف المتأثرة
• احسب مستويات المخاطر: استخدم منهجية متسقة (الاحتمالية × التأثير) لترتيب أولويات المخاطر
• وثّق كل شيء: يجب أن يكون تقييم المخاطر مكتوباً ومراجعاً ومحدثاً بانتظام

كيف يساعد KENSAI: يوفر فحص الثغرات الآلي من KENSAI بيانات الثغرات التقنية التي يحتاجها تقييم المخاطر. بدلاً من الاعتماد على تقييمات يدوية في وقت محدد، يقدم KENSAI استخبارات ثغرات مستمرة تحافظ على تحديث تقييم المخاطر.

الخطوة 5: ارسم خريطة سطح الهجوم

لماذا هذا مهم: يتطلب NIS2 إجراءات أمنية لأنظمة الشبكات والمعلومات. لا يمكنك تأمين ما لا تعرف بوجوده.

الإجراءات:

• جرد جميع الأصول المواجهة للخارج: تطبيقات الويب وواجهات API وخوادم البريد ونقاط نهاية VPN والخدمات السحابية والنطاقات الفرعية
• اكتشف تكنولوجيا المعلومات الظلية: اكتشف الخدمات السحابية غير المصرح بها وبيئات الاختبار المنسية والأنظمة القديمة
• ارسم خريطة اتصالات الأطراف الثالثة: وثّق جميع التكاملات الخارجية واتصالات API وتدفقات البيانات مع الموردين والشركاء
• قيّم التعرض السحابي: راجع تكوينات IaaS و PaaS و SaaS بحثاً عن أخطاء التكوين والصلاحيات المفرطة
• وثّق نتائجك: حافظ على جرد حي لسطح الهجوم

كيف يساعد KENSAI: يكتشف اكتشاف سطح الهجوم من KENSAI تلقائياً أصولك المواجهة للخارج، بما في ذلك النطاقات الفرعية المنسية والخدمات المكشوفة التي تفوتها الجرود الداخلية. شغّل فحصاً مجانياً لرؤية سطح الهجوم من منظور المهاجم.

الخطوة 6: طبّق الإجراءات الأمنية العشرة الدنيا

لماذا هذا مهم: تسرد المادة 21(2) من NIS2 عشر فئات محددة من الإجراءات الأمنية يجب على جميع الكيانات المشمولة تنفيذها. هذه ليست اختيارية.

الإجراءات لكل تدبير:

أ) تحليل المخاطر وسياسات أمن المعلومات

• طوّر ووثّق سياسة أمن المعلومات
• أنشئ إطار إدارة مخاطر بدورات مراجعة منتظمة

ب) التعامل مع الحوادث

• أنشئ خطة استجابة للحوادث بأدوار ومسؤوليات وإجراءات تصعيد واضحة
• طبّق قدرات الكشف عن الحوادث والمراقبة
• أجرِ تدريبات منتظمة على الاستجابة للحوادث

ج) استمرارية الأعمال وإدارة الأزمات

• طوّر خطط استمرارية الأعمال للخدمات الحرجة
• طبّق واختبر إجراءات النسخ الاحتياطي والتعافي من الكوارث
• تأكد من وجود نسخ احتياطية غير متصلة/غير قابلة للتغيير (ضرورية لمرونة برامج الفدية)

د) أمن سلسلة التوريد

• قيّم ممارسات الأمن السيبراني للموردين الحرجين
• أدرج متطلبات الأمان في المشتريات والعقود
• راقب أمان الموردين بشكل مستمر

هـ) الأمان في الاقتناء والتطوير والصيانة

• طبّق ممارسات التطوير الآمن (SDLC)
• أجرِ معالجة الثغرات واختبارات أمنية منتظمة
• أنشئ إجراءات إدارة التصحيحات

و) تقييم الفعالية

• جدوِل تدقيقات وتقييمات أمنية منتظمة
• طبّق مقاييس أمنية ومؤشرات أداء رئيسية
• راجع وحدّث الإجراءات بناءً على نتائج التقييم

ز) النظافة السيبرانية والتدريب

• انشر تدريب التوعية الأمنية لجميع الموظفين
• طبّق برامج محاكاة التصيد
• أنشئ معايير النظافة السيبرانية الأساسية (سياسات كلمات المرور، المكتب النظيف، إلخ.)

ح) التشفير

• شفّر البيانات أثناء النقل (TLS 1.2+ لجميع الخدمات)
• شفّر البيانات في حالة السكون للمعلومات الحساسة
• أدر المفاتيح التشفيرية وفقاً لأفضل الممارسات

ط) أمن الموارد البشرية والتحكم في الوصول

• طبّق المصادقة متعددة العوامل لجميع الأنظمة الحرجة
• طبّق مبدأ الحد الأدنى من الصلاحيات
• أنشئ عمليات مراجعة الوصول

ي) الاتصالات الآمنة

• انشر قنوات اتصال مشفرة للمناقشات الحساسة
• أنشئ إجراءات اتصال طوارئ تعمل عند اختراق الأنظمة الأساسية

كيف يساعد KENSAI: يدعم KENSAI مباشرة التدابير (هـ) و(و) وجوانب معالجة الثغرات في (أ) و(د). يضمن الفحص الآلي المستمر أنك تفي بمتطلبات "الاختبار المنتظم" و"معالجة الثغرات" بأدلة قابلة للتحقق.

الخطوة 7: أنشئ قدرات الإبلاغ عن الحوادث

لماذا هذا مهم: يقدم NIS2 متطلبات صارمة للإبلاغ عن الحوادث على مراحل متعددة. تفويت موعد الإنذار المبكر خلال 24 ساعة قد يؤدي إلى عقوبات مستقلة عن الحادث نفسه.

الإجراءات:

• حدد معايير "الحادث الكبير" لمؤسستك، بما يتوافق مع تعريف NIS2 (اضطراب تشغيلي حاد، خسارة مالية، أو ضرر كبير للآخرين)
• طبّق مراقبة على مدار الساعة قادرة على اكتشاف الحوادث الكبيرة في الوقت الفعلي — لا يمكنك الإبلاغ عما لم تكتشفه
• حدد فريق CSIRT الوطني والسلطة المختصة — اعرف بالضبط أين وكيف تبلّغ
• أعد نماذج إبلاغ لكل مرحلة:
• إنذار مبكر خلال 24 ساعة: حقائق الحادث الأساسية، ما إذا كان يُشتبه أنه غير قانوني أو خبيث، التأثير العابر للحدود المحتمل
• إخطار خلال 72 ساعة: تقييم أولي، الخطورة، التأثير، مؤشرات الاختراق
• تقرير نهائي خلال شهر: وصف تفصيلي، تحليل السبب الجذري، إجراءات التخفيف، التأثير العابر للحدود
• عيّن ودرّب مُبلّغي الحوادث — تأكد من أن أعضاء فريق متعددين يمكنهم تقديم التقارير
• تدرّب على عملية الإبلاغ — أجرِ تمارين طاولة تتضمن الجدول الزمني للإبلاغ

كيف يساعد KENSAI: تعني المراقبة المستمرة من KENSAI أن الثغرات تُكتشف وتُبلّغ قبل أن تصبح حوادث. عند اكتشاف مشاكل، توفر تقارير KENSAI التقنية التفصيلية مؤشرات الاختراق والتفاصيل التقنية اللازمة للإبلاغ السريع عن الحوادث.

الخطوة 8: عالج أمن سلسلة التوريد

لماذا هذا مهم: يتطلب NIS2 صراحة من المؤسسات إدارة مخاطر الأمن السيبراني في سلسلة التوريد. يعترف التوجيه بأن العديد من الاختراقات الكبرى تنشأ من خلال الموردين الموثوقين.

الإجراءات:

• حدد الموردين الحرجين: ارسم خريطة للموردين الذين لديهم وصول إلى أنظمتك أو بياناتك أو شبكتك
• قيّم الوضع الأمني للموردين: اطلب شهادات أمنية (ISO 27001, SOC 2)، أجرِ استبيانات، أو اطلب تقييمات طرف ثالث
• أدرج متطلبات الأمان في العقود: حدد معايير أمان دنيا، التزامات إخطار الحوادث، حقوق التدقيق، وبنود الإنهاء لحالات الفشل الأمني
• راقب أمان الموردين المستمر: لا تقيّم عند التعاقد فقط — أجرِ مراجعات منتظمة
• طوّر إجراءات استجابة لحوادث الموردين: اعرف ما يحدث عند اختراق مورد
• نوّع التبعيات الحرجة: تجنب نقاط الفشل الفردية في سلسلة التوريد

كيف يساعد KENSAI: يمكن لـ KENSAI فحص البنية التحتية المواجهة للخارج لمورديك (بإذنهم) لتوفير رؤية موضوعية لوضعهم الأمني. هذا يمنحك بيانات قابلة للتحقق بدلاً من الاعتماد فقط على الاستبيانات المُبلّغ عنها ذاتياً.

الخطوة 9: وثّق كل شيء لجاهزية التدقيق

لماذا هذا مهم: يتضمن إشراف NIS2 صلاحية إجراء تدقيقات وتفتيشات وطلبات أدلة. إذا لم تستطع إثبات الامتثال من خلال الوثائق، فأنت غير ممتثل.

الإجراءات:

• حافظ على مستودع أدلة امتثال يضم جميع السياسات والإجراءات وتقييمات المخاطر ونتائج الاختبارات
• احفظ سجلات جميع الحوادث الأمنية وإجراءات استجابتك، بغض النظر عما إذا استوفت عتبة "الحادث الكبير"
• وثّق موافقات الإدارة — كل موافقة على سياسة أو قبول مخاطر أو قرار ميزانية
• أرشف نتائج الاختبارات الأمنية بطوابع زمنية — الفحص المستمر يوفر أدلة أقوى من التقارير السنوية
• تتبع إتمام التدريب لجميع الموظفين، مع اهتمام خاص بتدريب الإدارة
• سجّل تقييمات سلسلة التوريد وبنود العقود الأمنية
• حافظ على سجلات التغييرات لجميع السياسات والإجراءات المتعلقة بالأمان

كيف يساعد KENSAI: ينشئ KENSAI تلقائياً تقارير فحص بطوابع زمنية وتواريخ تتبع الثغرات وجداول زمنية للمعالجة. هذا ينشئ مسار تدقيق مستمر يُثبت الاختبار الأمني المستمر — أقنع بكثير للجهات التنظيمية من تقرير اختبار اختراق سنوي واحد.

الخطوة 10: طبّق التحسين المستمر

لماذا هذا مهم: ليس NIS2 تمريناً لمرة واحدة. يتطلب التوجيه إدارة مخاطر مستمرة وتقييم منتظم لفعالية الإجراءات. سيبحث المنظمون عن أدلة على التحسين المستمر، وليس الامتثال الثابت.

الإجراءات:

• جدوِل مراجعات أمنية ربع سنوية لتقييم فعالية الإجراءات المنفذة
• تتبع المقاييس الأمنية بمرور الوقت: أعداد الثغرات، متوسط وقت المعالجة، تكرار الحوادث، معدلات إتمام التدريب
• حدّث تقييمات المخاطر عند تغير مشهد التهديدات، بعد الحوادث الكبيرة، أو على الأقل سنوياً
• قارن بالأطر المرجعية: استخدم ISO 27001 أو NIST CSF أو CIS Controls كمعايير نضج
• شارك في تبادل المعلومات: انضم إلى مراكز تبادل وتحليل المعلومات القطاعية (ISACs) وتعامل مع فريق CSIRT الوطني
• راجع وحدّث هذه القائمة — أعد تقييم حالة امتثال NIS2 كل ربع سنة
• خطط للتطور التنظيمي: سيتم مراجعة NIS2 وربما تحديثه؛ ابنِ مرونة في برنامجك الأمني

كيف يساعد KENSAI: نموذج الفحص المستمر من KENSAI متوافق بطبيعته مع التحسين المستمر. كل فحص يبني على النتائج السابقة، يتتبع الثغرات التي تم إصلاحها وأيها جديد وكيف يتجه وضعك الأمني العام بمرور الوقت. توفر المنصة المقاييس وبيانات الاتجاهات التي تُثبت التحسين للمدققين والمنظمين.

جدولك الزمني لامتثال NIS2

إليك جدول زمني واقعي لتنفيذ هذه القائمة:

الشهر 1-2: مرحلة التقييم

• الخطوات 1-2: تحديد النطاق والتصنيف
• الخطوة 3: إحاطة الإدارة والحصول على الدعم
• الخطوة 4: بدء تقييم المخاطر
• الخطوة 5: رسم خريطة سطح الهجوم (ابدأ بفحص KENSAI المجاني)

الشهر 3-4: مرحلة الأساس

• الخطوة 4: إكمال تقييم المخاطر
• الخطوة 6: بدء تنفيذ الإجراءات العشرة الدنيا (أعطِ الأولوية للثغرات)
• الخطوة 7: إنشاء قدرات الإبلاغ عن الحوادث

الشهر 5-6: مرحلة التنفيذ

• الخطوة 6: مواصلة تنفيذ الإجراءات الدنيا
• الخطوة 8: معالجة أمن سلسلة التوريد
• الخطوة 9: إعداد التوثيق وإدارة الأدلة

الشهر 7+: المرحلة المستمرة

• الخطوة 10: التحسين المستمر والمراقبة والتقييم
• مراجعات وتحديثات منتظمة عبر جميع الخطوات

أخطاء شائعة يجب تجنبها

• معاملة NIS2 كمشروع تكنولوجيا معلومات فقط: يتطلب مشاركة الإدارة وتعاوناً متعدد الوظائف
• الانتظار للنقل الوطني: المتطلبات واضحة؛ ابدأ الآن
• الاعتماد المفرط على الشهادات: ISO 27001 أساس قوي لكنه لا يعني تلقائياً امتثال NIS2
• إهمال التزامات سلسلة التوريد: هذا هو المجال الذي ستُفاجأ فيه العديد من المؤسسات
• الامتثال لمرة واحدة: يتطلب NIS2 إدارة مخاطر مستمرة، وليس تمارين سنوية
• تجاهل متطلب الإبلاغ خلال 24 ساعة: يتطلب هذا قدرات مراقبة، وليس مجرد وثيقة سياسة

---

ابدأ بالرؤية

لا يمكنك إصلاح ما لا يمكنك رؤيته. الخطوة الأولى لامتثال NIS2 هي فهم وضعك الأمني الحالي.

👈 احصل على فحص KENSAI الأمني المجاني على kensai.app/free-scan — ارسم خريطة سطح الهجوم وحدد الثغرات في دقائق.