مهلة 24 ساعة أمام مصنعي التقنية للإبلاغ عن الاستغلال السيبراني
بدأ إلزام مصنعي المنتجات الرقمية في الاتحاد الأوروبي بإرسال إنذار خلال 24 ساعة عن الثغرات المستغلة والحوادث الشديدة عبر بوابة موحدة، فيما تؤجل معظم واجبات القانون الأوسع إلى ديسمبر 2027.
بدأ عداد إلزامي جديد يعمل أمام الشركات التي تبيع أجهزة متصلة أو برمجيات في الاتحاد الأوروبي. ففي 11 سبتمبر أطلقت وكالة الأمن السيبراني الأوروبية النسخة التشغيلية الأولى من بوابة موحدة للإبلاغ عن الثغرات المستغلة فعليا والحوادث الأمنية الشديدة بموجب قانون المرونة السيبرانية.
الخلاصة في 30 ثانية
- ماذا حدث؟ دخلت قواعد الإبلاغ الإلزامي حيز التطبيق وبدأت منصة ENISA الموحدة استقبال البلاغات.
- لماذا يهم؟ يقدم المصنع بلاغا واحدا تتشاركه فرق الاستجابة الوطنية المختصة بدلا من مخاطبة عدة جهات منفصلة.
- ما الذي لم يُثبت؟ هذه مرحلة الإبلاغ فقط، أما معظم واجبات أمن المنتجات فتبدأ في ديسمبر 2027، كما أن النسخة الأولى من المنصة محدودة الوظائف.
الرقم الأهم: يجب إرسال إنذار أولي خلال 24 ساعة من علم المصنع بثغرة أو حادث يستوفي الشروط، ثم تقديم إخطار أكثر تفصيلا خلال 72 ساعة.
متى يبدأ احتساب المهلة؟
يشمل الالتزام حالتين. الأولى ثغرة توجد أدلة موثوقة على أن جهة خبيثة استغلتها من دون إذن مالك النظام. والثانية حادث شديد يؤثر في قدرة المنتج الرقمي على حماية توافر بياناته أو وظائفه وأصالتها وسلامتها وسريتها.
تنطبق القواعد على المنتجات ذات العناصر الرقمية المعروضة في سوق الاتحاد الأوروبي، بما فيها المنتجات الموجودة بالفعل. ويبدأ الالتزام عندما يعلم المصنع بالواقعة المؤهلة. وتوضح الوكالة أن الشركة لا تبلغ بأثر رجعي عن استغلال كانت تعرفه قبل 11 سبتمبر، لكنها تصبح ملزمة إذا علمت به بعد هذا التاريخ حتى لو كانت الثغرة الأساسية معروفة سابقا.
بلاغ واحد يصل إلى عدة جهات
يسجل المصنع ممثلا مفوضا ويختار فريق الاستجابة لحوادث أمن الحاسوب (CSIRT) المسؤول عن تنسيق البلاغ في الدولة المعنية. وتصبح البيانات متاحة في الوقت نفسه لوكالة ENISA، إلا في ظروف استثنائية محددة. ثم يوزع الفريق المستقبل البلاغ على الفرق المختصة في الدول الأعضاء الأخرى التي يتوافر فيها المنتج.
بعد الإنذار والإخطار الأوليين تختلف مهلة التقرير النهائي حسب نوع الواقعة. ففي حالة الثغرة المستغلة فعليا يحل الموعد خلال 14 يوما من توافر إجراء تصحيحي أو تخفيفي. أما الحادث الشديد فيجب تقديم تقريره النهائي خلال شهر من إخطار الساعات الاثنتين والسبعين.
نسخة أولى بوظائف محدودة
تستقبل المنصة حاليا البلاغات الإلزامية فقط، بينما ستضاف البلاغات الطوعية في مرحلة لاحقة. ولا توفر الوكالة واجهة برمجة تطبيقات عند الإطلاق، لذلك يجري التقديم يدويا عبر البوابة. كما تبدأ الواجهة باللغة الإنجليزية، مع ترجمة تدريجية للمواد الإرشادية.
ولا يسري الواجب الموازي على الجهات المشرفة على البرمجيات مفتوحة المصدر بعد. يبدأ هذا الالتزام في 11 ديسمبر 2027، وهو التاريخ نفسه الذي تدخل فيه معظم متطلبات أمن المنتجات الأوسع في قانون المرونة السيبرانية حيز التطبيق.
قبل أن نبالغ في أثر الخطوة
لا تجعل البوابة المنتج آمنا بمجرد تقديم البلاغ، ولا تضمن أن كل مصنع سيكتشف الواقعة المؤهلة في الوقت المناسب. وظيفتها توحيد الإخطار وتوفير قناة منسقة للسلطات، بينما سيعتمد الأثر الفعلي على جودة البلاغات وسرعة الإصلاح وكفاءة الإنفاذ. وتقر الوكالة بأن الإرشادات ووظائف المنصة ستتطور مع الخبرة التشغيلية.
الاختبار يبدأ الآن
المعيار الأول عملي: هل تستطيع الشركات تمييز الوقائع التي يجب الإبلاغ عنها، واختيار فريق التنسيق الصحيح، والوفاء بالمهل القصيرة مع تقديم تفاصيل تقنية مفيدة؟ أما الاختبار الأكبر فيصل في 2027، حين يصبح الإبلاغ جزءا من مسؤولية أشمل عن تصميم المنتجات الرقمية وتحديثها وصيانتها ضد المخاطر السيبرانية.
كيانات وموضوعات موثّقة
المصادر والمراجع4 مصادر
المراجع الخارجية المستخدمة لدعم المعلومات الواردة في هذا المقال.
نشر بواسطة
مكتب نيو تقنية – سياسات التقنية
فريق تحريري مؤسسي تابع لنيو تقنية
