الإبلاغ عن الحوادث وفق NIS2: مهل الـ 24 ساعة والـ 72 ساعة والشهر الواحد

تحدد المادة 23 من NIS2 جدولًا زمنيًا صارمًا للإبلاغ عن الحوادث الجسيمة. ويبدأ احتساب المهلة من لحظة علمك بالحادثة، لا من لحظة انتهائك من التحقيق فيها.

ما الحادثة الجسيمة؟

تُعدّ الحادثة جسيمة إذا تسببت أو يمكن أن تتسبب في اضطراب تشغيلي حاد في خدماتك أو في خسارة مالية لمؤسستك، أو إذا أثّرت أو يمكن أن تؤثّر في أشخاص أو مؤسسات أخرى بإلحاق ضرر مادي أو غير مادي كبير بهم (المادة 23(3)).

بالنسبة إلى مزوّدي البنية التحتية الرقمية والخدمات المُدارة، تضيف اللائحة التنفيذية (EU) 2024/2690 عتبات محددة، منها مثلًا خسارة مالية مباشرة تتجاوز 500,000 يورو أو 5% من رقم الأعمال السنوي، أيهما أقل.

الجدول الزمني

• خلال 24 ساعة: إنذار مبكر يوضح ما إذا كان يُشتبه في أن الحادثة ناجمة عن فعل خبيث، وما إذا كان يمكن أن يكون لها أثر عابر للحدود.
• خلال 72 ساعة: إخطار بالحادثة يتضمن تقييمًا أوليًا، ودرجة الخطورة والأثر، ومؤشرات الاختراق إن وُجدت.
• عند الطلب: تقارير مرحلية.
• خلال شهر واحد من الإخطار: تقرير نهائي يتضمن وصفًا تفصيليًا، والسبب الجذري، وتدابير التخفيف، وأي أثر عابر للحدود.

لماذا تفوّت معظم المؤسسات المهلة الأولى

لا تكفي أربع وعشرون ساعة لمعرفة من يقرر ما إذا كانت الحادثة جسيمة، وأين يوجد نموذج الإبلاغ، ومن المخوّل بإرساله. يجب اتخاذ هذه القرارات مسبقًا.

• حدّد من يقرر جسامة الحادثة ومن يقدّم البلاغ، مع تسمية نوّابهم.
• احتفظ بقناة الإبلاغ الخاصة بالسلطة وبقائمة جهات الاتصال على الورق، تحسّبًا لاختراق البريد الإلكتروني.
• اتفق على قناة اتصال بديلة مستقلة عن الأنظمة المعتادة لفريق الاستجابة.
• ألزِم في العقد الموردين الذين يستضيفون أنظمتك أو يشغّلونها بإخطارك سريعًا.
• تدرّب مرة سنويًا من خلال تمرين محاكاة.

هل توجد بيانات شخصية أيضًا؟

إذا كانت الحادثة تتضمن أيضًا بيانات شخصية، فإن GDPR يشترط إخطارًا منفصلًا لسلطة حماية البيانات خلال 72 ساعة (المادة 33 من GDPR). خطّط للأمرين معًا.

تتضمن عُدّة NIS2 الخاصة بنا إجراءً للاستجابة للحوادث والإبلاغ عنها مع اختبار الجسامة، ونماذج تقارير لكل مهلة، وسيناريو تمرين محاكاة.