NIS2 في إستونيا: ما يشترطه قانون الأمن السيبراني المعدَّل

نقلت إستونيا NIS2 إلى تشريعها الوطني بتعديل قانون الأمن السيبراني (Küberturvalisuse seadus، KüTS). ونُشرت التعديلات في Riigi Teataja في نهاية عام 2025، وتُطبَّق منذ 1 يناير 2026. وتقدّر هيئة نظم المعلومات (RIA) أن نحو 6,500 مؤسسة باتت الآن ضمن النطاق، نصفها تقريبًا لأول مرة.

التسجيل

يجب على الكيانات الخاضعة للنطاق التسجيل لدى RIA، مع تقديم اسمها ورمز السجل التجاري، وبيانات الاتصال بما فيها نطاقات عناوين IP العامة، والقطاع، والدول التي تقدّم فيها خدماتها. وكان أمام المؤسسات الخاضعة للنطاق في 1 يناير 2026 مهلة حتى 1 أبريل 2026؛ أما المؤسسات التي تدخل النطاق لاحقًا فلديها ثلاثة أشهر. ويجب الإبلاغ عن أي تغييرات خلال أسبوعين. ويتم التسجيل عبر eesti.ee.

مجلس الإدارة هو المسؤول

يجب تعيين عضو واحد على الأقل من مجلس الإدارة مسؤولًا عن اعتماد تدابير الأمن السيبراني والإشراف عليها، وعليه أن يتلقى تدريبًا منتظمًا. وإذا لم يُعيَّن أحد، تقع المسؤولية على مجلس الإدارة بأكمله.

التدابير الأمنية وE-ITS

يجب أن تستند التدابير إلى تحليل للمخاطر وأن تغطي المجالات المدرجة في المادة 21 من التوجيه: السياسات، والتعامل مع الحوادث، واستمرارية الأعمال والنسخ الاحتياطي، وأمن سلسلة التوريد، والتطوير الآمن والتعامل مع الثغرات، والتحقق من الفعالية، والتدريب، والتشفير، والتحكم في الوصول وإدارة الأصول، والمصادقة متعددة العوامل.

في إستونيا، يتمثل خط الأساس التفصيلي في معيار أمن المعلومات الإستوني (E-ITS)، ما لم تكن المؤسسة حاصلة على شهادة ISO/IEC 27001 سارية. وقد خُففت القواعد الخاصة بالمؤسسات الأصغر منذ أكتوبر 2025. تأكّد من RIA أي خط أساس ينطبق عليك، إذ عُدّلت اللوائح التنفيذية عدة مرات.

الإبلاغ عن الحوادث إلى RIA

يتم الإبلاغ عن الحوادث الجسيمة إلى RIA: إشعار أولي خلال 24 ساعة، وإخطار بالحادثة خلال 72 ساعة، وتقرير نهائي خلال شهر واحد. ويُلزم القانون الإستوني أيضًا المؤسسات التي تُسند أنظمتها إلى جهات خارجية أو تستضيفها لديها بالتأكد من أن المزوّد يُبلغها بالحوادث خلال 24 ساعة.

المواعيد النهائية

• 1 يناير 2026: يبدأ تطبيق القانون المعدَّل، بما في ذلك الإبلاغ عن الحوادث.
• 1 أبريل 2026: الموعد النهائي للتسجيل بالنسبة إلى المؤسسات الخاضعة للنطاق بالفعل.
• 1 يناير 2029: الموعد النهائي لكي تطبّق المؤسسات القائمة التدابير الأمنية المطلوبة.

من أين تبدأ

إذا لم تكن قد سجّلت بعد، فابدأ بذلك. ثم احصل على اعتماد الإدارة لسياسة أمنية ولإجراء للإبلاغ عن الحوادث، لأن التزامات الإبلاغ سارية الآن. وقد أُعدّ تقييمنا لـ NIS2 وفق القانون الإستوني، وهو يُنتج قرار مجلس الإدارة والسياسة وإجراء الإبلاغ معبّأة مسبقًا لشركتك.