كيف تعمل آلية الإبلاغ في قانون المرونة السيبرانية الأوروبي؟

ينشئ قانون المرونة السيبرانية مسارا متدرجا لإبلاغ مصنعي المنتجات ذات العناصر الرقمية عن الثغرات المستغلة فعليا والحوادث الأمنية الشديدة في الاتحاد الأوروبي. ويوازن التدرج بين سرعة التحذير وحقيقة أن الشركة لا تعرف عادة كل التفاصيل التقنية لحظة اكتشاف الواقعة.

أولا: هل تستوفي الواقعة الشروط؟

لا تصبح كل ثغرة معروفة واجبة الإبلاغ تلقائيا. فمسار الاستغلال الفعلي يتطلب أدلة موثوقة على أن جهة خبيثة استخدمت نقطة الضعف من دون إذن. أما الحادث الأمني فيجب أن يحقق معايير الشدة، ومنها التأثير الخطير في قدرة المنتج على حماية توافر بياناته أو وظائفه وأصالتها وسلامتها وسريتها.

ثانيا: إرسال الإنذار المبكر

تحل المهلة الأولى بعد 24 ساعة من علم المصنع بالواقعة المؤهلة. ينبه هذا البلاغ السلطات بسرعة، وقد يقتصر على المعلومات المتاحة في تلك اللحظة. ولأن الالتزام يبدأ عند العلم، تحتاج المؤسسة إلى مسار داخلي ينقل الأدلة من فرق الهندسة والأمن إلى المسؤولين عن البلاغ التنظيمي.

ثالثا: تقديم إخطار أكثر تفصيلا

خلال 72 ساعة من العلم تقدم الشركة معلومات عامة وتقييما أوليا. وتختلف الحقول المطلوبة باختلاف نوع البلاغ. وقد تشمل معرفات الثغرة والمنتجات المتأثرة والأثر المرصود وطبيعة الاستغلال والتدابير المتاحة لتخفيف الضرر.

رابعا: استكمال التقرير النهائي

في حالة الثغرة المستغلة فعليا يحل الموعد النهائي خلال 14 يوما من توافر إجراء تصحيحي أو تخفيفي. أما الحادث الشديد فيجب استكمال تقريره خلال شهر من إخطار الساعات الاثنتين والسبعين. وتسجل هذه المرحلة الصورة التقنية الأوسع والإجراءات المتخذة بعد تقدم التحقيق.

لماذا تكفي منصة واحدة؟

يقدم المصنع البلاغ عبر منصة ENISA الموحدة ويختار فريق الاستجابة الوطني المعين. وتصبح البيانات متاحة عادة للوكالة في الوقت نفسه، ثم يتولى الفريق المستقبل توزيعها على فرق الدول الأخرى وسلطات مراقبة السوق المعنية، ما يقلل الحاجة إلى تقديم بلاغات منفصلة في أنحاء الاتحاد.

ما الذي لا يعوضه الإبلاغ؟

لا يساوي تقديم البلاغ إصلاح المشكلة. تظل الشركة مسؤولة عن التحقيق وحماية المستخدمين المتأثرين وإعداد التدابير التصحيحية والوفاء بأي التزامات أخرى تتعلق بالحوادث أو حماية البيانات. تحسن المنصة المشتركة التنسيق، لكن جودة الاستجابة التقنية وسرعتها هما ما يحدد مقدار الضرر الذي يمكن منعه فعلا.