هل ينطبق NIS2 على شركتي؟ فحص في خمس دقائق

وسّع التوجيه NIS2 (EU) 2022/2555 نطاق قانون الأمن السيبراني في الاتحاد الأوروبي من بضع مئات من المشغّلين في كل دولة إلى آلاف الشركات العادية. ويتوقف انطباقه على شركتك على ثلاثة أسئلة.

1. هل يندرج نشاطك الرئيسي ضمن أحد القطاعات المدرجة؟

يسرد الملحق الأول القطاعات عالية الأهمية الحرجة؛ ويسرد الملحق الثاني القطاعات الحرجة الأخرى.

• الملحق الأول: الطاقة، والنقل، والخدمات المصرفية، والبنية التحتية للأسواق المالية، والصحة، ومياه الشرب، والصرف الصحي، والبنية التحتية الرقمية (الحوسبة السحابية، ومراكز البيانات، وشبكات CDN، وDNS، ونقاط IXP، والاتصالات، وخدمات الثقة)، وخدمات تقنية المعلومات المُدارة والخدمات الأمنية المُدارة للشركات، والإدارة العامة، والفضاء.
• الملحق الثاني: خدمات البريد والشحن السريع، وإدارة النفايات، والمواد الكيميائية، وإنتاج الأغذية وتوزيعها، وتصنيع الأجهزة الطبية والإلكترونيات والمعدات الكهربائية والآلات والمركبات، والأسواق الإلكترونية، ومحركات البحث، وشبكات التواصل الاجتماعي، والمؤسسات البحثية.

2. هل شركتك مؤسسة متوسطة الحجم على الأقل؟

يشمل التوجيه الكيانات في تلك القطاعات التي تُعدّ متوسطة الحجم أو أكبر وفق تعريف الاتحاد الأوروبي: 50 موظفًا أو أكثر، أو رقم أعمال سنوي وإجمالي ميزانية يتجاوز كل منهما 10 ملايين يورو (المادة 2(1)). وتقع المؤسسات الصغيرة والمتناهية الصغر عمومًا خارج النطاق.

3. هل أنت ضمن الاستثناءات التي تنطبق بصرف النظر عن الحجم؟

• مزوّدو شبكات أو خدمات الاتصالات الإلكترونية العامة.
• مزوّدو خدمات الثقة، وسجلات نطاقات المستوى الأعلى (TLD)، ومزوّدو خدمات DNS، ومسجّلو أسماء النطاقات.
• المزوّد الوحيد في دولة عضو لخدمة أساسية للمجتمع أو الاقتصاد، أو كيان تصنّفه السلطة على أنه حرج.
• جهات الإدارة العامة، بحسب القواعد الوطنية.

كيان أساسي أم كيان مهم؟

الكيانات الكبيرة في قطاعات الملحق الأول، وبعض الكيانات بصرف النظر عن حجمها مثل مزوّدي خدمات الثقة المؤهلين ومزوّدي خدمات DNS، هي كيانات أساسية (المادة 3(1)). ومعظم الكيانات الأخرى الخاضعة للنطاق هي كيانات مهمة (المادة 3(2)).

لهذا الفرق أهميته بالنسبة إلى الرقابة والغرامات: يمكن تدقيق الكيانات الأساسية استباقيًا وتواجه غرامات قصوى لا تقل عن 10 ملايين يورو أو 2% من رقم الأعمال العالمي؛ أما الكيانات المهمة فتخضع للرقابة اللاحقة وتواجه غرامات قصوى لا تقل عن 7 ملايين يورو أو 1.4% (المواد 32-34).

الخروج من النطاق لا يعني الإعفاء من المسؤولية

يجب على المؤسسات الخاضعة للنطاق إدارة أمن مورديها المباشرين (المادة 21(2)(d)). وإذا كنت تبيع خدمات تقنية المعلومات أو البرمجيات أو غيرها من الخدمات لشركة خاضعة للنطاق، فتوقّع استبيانات أمنية وبنودًا تعاقدية حتى لو لم يذكرك القانون بالاسم.

يبدأ تقييمنا المجاني لـ NIS2 بفحص النطاق هذا، ثم يقيس جاهزيتك مقابل كل تدبير من التدابير الدنيا العشرة.