منذ 1 أكتوبر 2026 يسري في النمسا القانون الجديد لأمن الشبكات وأنظمة المعلومات، المعروف اختصارًا باسم NISG 2026 (Netz- und Informationssystemsicherheitsgesetz). وهو ينقل توجيه الاتحاد الأوروبي NIS2 إلى القانون النمساوي، ويجعل الأمن السيبراني التزامًا قانونيًا لآلاف الشركات. ووفقًا للغرفة الاقتصادية النمساوية (Wirtschaftskammer)، تتأثر بشكل مباشر نحو 4.000 شركة وجهة من 18 قطاعًا، يضاف إليها كثير من الموردين الذين تقع عليهم الالتزامات عن طريق عملائهم.
من أفضل الملخصات المتوفرة باللغة الألمانية حول هذا الموضوع ما جمعه القانوني والمستشار الإداري الفييني Franz Kopp على الموقع https://nis-2-ready.at مكمّلًا لكتابه „Quick Guide NIS-2 in Österreich“ (الدليل السريع لـ NIS-2 في النمسا، دار Springer Gabler). لقد درستُ الموقع وأدلّته بعناية، وألخّص هنا ما يجب على المديرات والمديرين معرفته الآن: من المعنيّ، وما المواعيد النهائية الجارية، وما الذي يجب الإبلاغ عنه في حالة الطوارئ، وما العقوبات المحتملة. وشركتي نفسها تسلك هذا الطريق حاليًا، ولذلك أضيف في بعض المواضع ما تبيّن لنا في الممارسة العملية.
ما هو NIS2 وما هو NISG 2026؟
NIS2 هو التوجيه الثاني للاتحاد الأوروبي بشأن أمن الشبكات والمعلومات (التوجيه (EU) 2022/2555). وهو يُلزم الدول الأعضاء بوضع معايير دنيا ملزمة للأمن السيبراني في القطاعات الحيوية والمهمة من الاقتصاد. وقد فعلت النمسا ذلك من خلال NISG 2026، المنشور في الجريدة الرسمية الاتحادية (BGBl. I Nr. 94/2025). وتسري الأحكام التنفيذية منذ 1 أكتوبر 2026، واللائحة المرافقة NISV 2026 منذ 2 أكتوبر 2026.
يمكن تلخيص جوهر القانون في أربع جمل. يجب على الشركات المعنية التسجيل. ويجب عليها بناء نظام لإدارة مخاطر تقنية المعلومات لديها يغطي عشرة مجالات محددة. ويجب عليها الإبلاغ عن الحوادث الأمنية الجسيمة في غضون 24 ساعة. والإدارة مسؤولة شخصيًا عن ضمان تنفيذ كل ذلك.
هل أنا معنيّ؟ أسئلة الفحص الثلاثة
لا يتحدد خضوع الشركة لقانون NISG 2026 بالقطاع وحده ولا بالحجم وحده، بل بالاثنين معًا. ويضاف إلى ذلك بعض الحالات الخاصة التي تسري بغض النظر عن الحجم.
السؤال الأول هو الحجم. يشمل القانون من حيث المبدأ الشركات المتوسطة التي يعمل فيها 50 موظفًا فأكثر، أو التي يزيد حجم مبيعاتها السنوية على 10 ملايين يورو ويزيد مجموع ميزانيتها في الوقت نفسه على 10 ملايين يورو. وتُعدّ الشركة كبيرة إذا كان لديها 250 موظفًا فأكثر، أو كان حجم مبيعاتها يزيد على 50 مليون يورو ومجموع ميزانيتها يزيد على 43 مليون يورو. مهم: وجود أقل من 50 موظفًا لا يستبعد الخضوع للقانون تلقائيًا، لأن المؤشرات المالية تُحتسب أيضًا. وفي مجموعات الشركات تُحتسب الشركات الشريكة والمرتبطة من حيث المبدأ، إلا إذا كانت الشركة مستقلة فعليًا من الناحية التنظيمية والتقنية والتشغيلية.
السؤال الثاني هو النشاط. يحدد القانون في ملحقين الخدمات المشمولة. يضم الملحق 1 القطاعات عالية الأهمية: الطاقة، والنقل، والقطاع المصرفي، والبنية التحتية للأسواق المالية، والصحة، ومياه الشرب، ومياه الصرف، والبنية التحتية الرقمية، وإدارة خدمات تقنية المعلومات والاتصالات، والإدارة العامة، والفضاء. ويضم الملحق 2 القطاعات الحيوية الأخرى: خدمات البريد والشحن السريع، وإدارة النفايات، والكيمياء، والأغذية، والصناعات التحويلية مثل الأجهزة الطبية والإلكترونيات والآلات والمركبات، والخدمات الرقمية، والبحث العلمي. والعامل الحاسم هو الخدمة المحددة كما يصفها القانون، وليس تصنيفًا عامًا للقطاع.
السؤال الثالث يتعلق بالعملاء. فحتى من لا يشمله القانون بنفسه قد تقع عليه التزامات عن طريق الجهات التي يعمل لصالحها، لأن عليها تأمين سلسلة التوريد الخاصة بها. وسأتناول ذلك بالتفصيل أدناه.
جهة أساسية أم جهة مهمة؟
يميز NISG 2026 بين فئتين. الشركات الكبيرة في قطاع من قطاعات الملحق 1 هي في العادة جهات أساسية. أما الشركات المتوسطة في كلا الملحقين، والشركات الكبيرة في الملحق 2، فهي جهات مهمة. والالتزامات متطابقة في جوهرها، لكن الجهات الأساسية تخضع لرقابة أشد ولسقف عقوبات أعلى.
وبغض النظر عن الحجم، يشمل القانون مقدمي خدمات الثقة المؤهلين، وسجلات أسماء نطاقات المستوى الأعلى، ومقدمي خدمات DNS، وبعض مقدمي خدمات الاتصالات العامة. إضافة إلى ذلك، يمكن لهيئة الأمن السيبراني تصنيف شركة ما بقرار رسمي، على سبيل المثال إذا كانت المزود الوحيد لخدمة حيوية في النمسا. وهذه الحالة تحديدًا تنطبق على شركتي: لأننا نشغّل خدمات DNS، فنحن جهة أساسية رغم حجمنا. لذلك ينبغي لكل من يقدم خدمات الاستضافة أو النطاقات أو البنية التحتية لتقنية المعلومات أن يفحص هذه النقطة بعناية خاصة.
المواعيد النهائية: التسجيل حتى 31 ديسمبر 2026
بالنسبة للشركات التي استوفت الشروط بالفعل في 1 أكتوبر 2026، تتكون خريطة الطريق من أربع محطات.
أولًا، التسجيل وفق المادة § 29 لدى هيئة الأمن السيبراني. ويجب أن يتم خلال ثلاثة أشهر من دخول القانون حيز التنفيذ، أي حتى نهاية عام 2026. ويجب تقديم بيانات منها الاسم وبيانات الاتصال، والقطاع ونوع الجهة، ودول الاتحاد الأوروبي المعنية، والمقر الرئيسي، والقيم الحدّية. كما يجب تعيين جهة اتصال مع رقم هاتف وعنوان بريد إلكتروني. وإذا تغيرت هذه البيانات لاحقًا، يجب الإبلاغ عن التغيير خلال أسبوعين أو ثلاثة أشهر بحسب الحالة. وعمليًا يتم التسجيل عبر بوابة خدمات الشركات النمساوية (Unternehmensserviceportal، USP)، ومن خلال قسم „NIS2 Services“ فيها. أما من يستوفي الشروط لاحقًا، على سبيل المثال بسبب النمو، فعليه التسجيل في موعد أقصاه ثلاثة أشهر من ذلك الحين.
ثانيًا، إدارة المخاطر وفق المادة § 32. لا توجد هنا فترة انتقالية عامة، لذا يجب بناء التدابير بالتوازي مع التسجيل.
ثالثًا، الإقرار الذاتي وفق المادة § 33 الفقرة 1. في غضون اثني عشر شهرًا من نشوء التزام التسجيل، يجب على الشركة أن تبلغ الهيئة بشكل منظم بالتدابير التي نفذتها، بما في ذلك أمن سلسلة التوريد ونتائج تحليل المخاطر. وبالنسبة لمعظم الشركات المشمولة بالفعل، يعني ذلك: حتى نهاية سبتمبر 2027.
رابعًا، التدقيق المستقل وفق المادة § 33 الفقرة 2. ولا يتم تلقائيًا، بل بناءً على طلب الهيئة، وذلك بعد عامين على الأقل من دخول القانون حيز التنفيذ. ومن حيث المبدأ يجب عندئذ إثبات التنفيذ خلال عامين من خلال جهة مستقلة. أما الجهات الأساسية فيجب عليها إثبات الجزء التشغيلي والتنظيمي خلال شهرين. ولا يمكن للشهادات السارية أن تغطي إلا هذا الجزء التشغيلي والتنظيمي، وليس الجزء التقني.
مجالات التدابير العشرة وفق المادة § 32
قلب القانون هو المادة § 32. فهي تشترط تدابير تقنية وتشغيلية وتنظيمية مناسبة ومتناسبة وفق نهج شامل لجميع المخاطر. ويجب تغطية عشرة مجالات على الأقل.
أولًا، تحليل المخاطر وأمن أنظمة المعلومات: ما الأنظمة والخدمات والتهديدات التي تحدد المخاطر الخاصة بالشركة؟ ثانيًا، التعامل مع الحوادث الأمنية، أي اكتشافها وتقييمها وتصعيدها ومعالجتها. ثالثًا، استمرارية الأعمال من خلال النسخ الاحتياطي والاستعادة وإدارة الأزمات. رابعًا، أمن سلسلة التوريد ومقدمي الخدمات. خامسًا، الأمن في الشراء والتطوير والصيانة، بما في ذلك التعامل مع الثغرات. سادسًا، إجراءات لتقييم فعالية التدابير، مثل المؤشرات واختبارات الرقابة والتدقيق. سابعًا، النظافة السيبرانية والتدريب. ثامنًا، علم التشفير والتشفير. تاسعًا، أمن الموارد البشرية والتحكم في الوصول وإدارة الأصول. عاشرًا، المصادقة متعددة العوامل والاتصالات المؤمّنة، وعند الحاجة اتصالات الطوارئ.
ويعتمد معنى „متناسب“ على درجة التعرض للمخاطر والحجم واحتمال الوقوع والخطورة المحتملة للحادث، بما في ذلك العواقب المجتمعية والاقتصادية. والتكاليف وحدها ليست سببًا للاستثناء. وتضيف NISV 2026 أن تحليل المخاطر ينبغي أن يأخذ في الاعتبار المخاطر التقنية والبشرية والمخاطر المتعلقة بسلسلة التوريد والمخاطر المتعلقة بالموقع. ومن لا يستطيع تلبية متطلب ما مؤقتًا أو بسبب حجمه، فعليه تبرير تدابير بديلة وتوثيقها وفحص فعاليتها مرة واحدة سنويًا على الأقل.
واجب الإبلاغ: 24 ساعة، 72 ساعة، شهر واحد
عند وقوع حادث أمني جسيم، يسري إجراء إبلاغ من ثلاث مراحل إلى فريق CSIRT (فريق الاستجابة لحوادث أمن الحاسوب) القطاعي المختص، أو إلى فريق CSIRT الوطني إذا لم يوجد فريق قطاعي. وتبدأ المهل من لحظة العلم بالحادث.
في غضون 24 ساعة يجب إرسال إنذار مبكر يتضمن الإشارة إلى ما إذا كان هناك اشتباه في هجوم، وما إذا كانت دول أخرى قد تتأثر. وفي غضون 72 ساعة يأتي الإبلاغ الفعلي مع تقييم أولي لدرجة الخطورة والتأثيرات، وعند الاقتضاء مؤشرات الاختراق. وفي موعد أقصاه شهر بعد ذلك يجب تقديم تقرير نهائي يصف الأسباب ونوع التهديد وتدابير المعالجة والتأثيرات العابرة للحدود. وإذا كان الحادث لا يزال مستمرًا، يُقدَّم أولًا تقرير مرحلي. إضافة إلى ذلك، يجب إبلاغ العملاء الذين تأثرت خدماتهم دون تأخير. ويرد فريق CSIRT من جانبه في غضون 24 ساعة ويقدم الدعم عند الطلب.
متى يكون الحادث جسيمًا؟ تحدد NISV 2026 معايير يكون فيها الحادث جسيمًا في جميع الأحوال: خسارة مالية مباشرة تزيد على 500.000 يورو أو 5 بالمئة من مبيعات العام السابق (تُحتسب القيمة الأدنى)، أو تسرب أسرار تجارية، أو وفاة إنسان أو إلحاق ضرر جسيم بصحته، أو وصول ناجح يُرجَّح أنه خبيث ومن المحتمل أن يسبب اضطرابات تشغيلية خطيرة، أو انقطاع يطال أكثر من 100.000 مستخدم أو 10 بالمئة من المستخدمين لأكثر من 24 ساعة، أو انقطاع في نطاق ولاية اتحادية نمساوية واحدة على الأقل لأكثر من 24 ساعة، وكذلك تفعيل خطط الأزمات أو الطوارئ. كما أن الحوادث الصغيرة المتكررة ذات السبب الواحد قد تصبح جسيمة عند جمعها. ولا تُحتسب أعمال الصيانة المخططة.
من تجربتي الخاصة: لا ينبغي قراءة هذه المعايير للمرة الأولى عند وقوع الطارئ. لقد أدخلنا لفريقنا إجراء إبلاغ مكتوبًا مع مناوبة واضحة، وتمرينًا بعنوان „جسيم أم لا؟“. ففي ليلة السبت إلى الأحد لا أحد يرغب في فتح نص القانون.
مسؤولية الإدارة العليا: واجبات الإدارة
تجعل المادة § 31 من NIS2 صراحةً مهمة قيادية. يجب على الإدارة أو مجلس الإدارة ضمان تنفيذ التدابير وفق المادة § 32 والإشراف على ذلك باستمرار. ويجوز تفويض العمل التشغيلي إلى قسم تقنية المعلومات أو أمن المعلومات أو المشتريات أو إلى مقدمي خدمات خارجيين، لكن المسؤولية تبقى في القمة.
إضافة إلى ذلك، يجب على أعضاء هيئات الإدارة المشاركة في تدريبات على الأمن السيبراني مصممة خصيصًا لمستوى القيادة. ولا يكفي لذلك تدريب توعوي عام للموظفين. ولا يحدد القانون مدة التدريب أو تكراره أو شكل إثبات المشاركة. ومن المحتويات المفيدة على سبيل المثال: الوضع الراهن للمخاطر، والمهام القانونية، ومواقف اتخاذ القرار أثناء الحادث، ومخاطر سلسلة التوريد، ومسألة ما الذي يثبته الدليل فعلًا. وبالنسبة للموظفين، يشترط القانون إضافة إلى ذلك تدريبات منتظمة ومناسبة.
ولأغراض الإثبات، يوصي Franz Kopp باتخاذ قرارات بشأن الأدوار والميزانية، وتلقي تقارير منتظمة، وتوثيق القرارات. ويتضمن تقرير الإدارة الجيد: وضع المخاطر، وحالة تنفيذ مجالات التدابير العشرة، والموردين الحيويين، والحوادث، والتدابير المتأخرة، ونتائج التدقيق، وحالة التدريب.
العقوبات والمسؤولية
الغرامات المالية كبيرة. فهي تصل بالنسبة للجهات الأساسية إلى 10 ملايين يورو أو 2 بالمئة من حجم المبيعات العالمي للعام السابق، وبالنسبة للجهات المهمة إلى 7 ملايين يورو أو 1,4 بالمئة، ويُعتمد في كل حالة المبلغ الأعلى. كما يُعد التخلف عن التسجيل أو تقديم بيانات خاطئة مخالفة إدارية، وكذلك الامتناع عن الإبلاغ.
تُعاقب الشركة نفسها في المقام الأول. ولا ينص القانون على غرامة شخصية تلقائية على المديرين. لكن العواقب المترتبة بموجب قانون الشركات والقانون المدني وقانون التأمين يجب فحصها بشكل منفصل، ومن لا يستطيع توثيق قيامه بواجب الإشراف سيكون في موقف ضعيف عند النزاع. وبالنسبة للجهات الأساسية هناك أيضًا مرحلة تصعيد وفق المادة § 39: إذا لم تمتثل الشركة لقرار المعالجة في الموعد المحدد، يجوز للهيئة أن تمنع أعضاء هيئات الإدارة مؤقتًا من ممارسة مهامهم القيادية إلى حين تنفيذ التدابير. وهذا ليس حظرًا عامًا لمزاولة المهنة. ومع ذلك أوصي في هذا السياق بمراجعة تأمين المسؤولية للمديرين والمسؤولين (D&O) والتأمين السيبراني الخاص بكم.
NIS2 في سلسلة التوريد: ما الذي ينتظر الموردين
كثير من الشركات الأصغر لن تشعر بـ NIS2 من خلال القانون، بل من خلال عملائها. فالجهات الأساسية والمهمة ملزمة بأن تأخذ أمن سلسلة التوريد ومقدمي الخدمات المباشرين لديها في الاعتبار ضمن إدارة المخاطر الخاصة بها. ولا يجعل ذلك المورد تلقائيًا جهة خاضعة لـ NISG بنفسه. لكن التزامات ملزمة تنشأ عليه من خلال العقود والمناقصات.
وتتوقف درجة الصرامة على المخاطر. فخدمة سحابية تملك صلاحيات وصول إدارية تُفحص بطريقة مختلفة عن مورد للوازم المكتبية. ومن الأدلة المعتادة: وصف للخدمة وتبعياتها التقنية، وجهة اتصال للحوادث الأمنية، وقواعد للوصول والمصادقة متعددة العوامل، وعملية لإدارة التحديثات والثغرات، ومفهوم مُختبَر للنسخ الاحتياطي واستئناف التشغيل، وعملية للتعامل مع الحوادث تشمل إبلاغ العملاء، وقائمة بالمقاولين من الباطن الأساسيين، إضافة إلى تقارير تدقيق أو شهادات بنطاق تطبيق مناسب.
إن جملة مثل „المقاول يستوفي متطلبات NIS2“ غير محددة بما يكفي كبند تعاقدي. فالعقود الجيدة تنظم بشكل ملموس ما هي التدابير الأمنية السارية، ومن يبلغ من بالحوادث وخلال أي مهلة، وما الأدلة المقبولة، وكيف تجري عمليات التدقيق، وكيف يتم التعامل مع المقاولين من الباطن ومع أوجه القصور. لقد مررنا بذلك تحديدًا مع عملاء كبار: استبيانات، واختبارات اختراق، واختبارات متابعة. ومن يستعد مبكرًا يكسب الثقة، وأحيانًا يكسب الطلبيات أيضًا.
ما الذي ينبغي لكم فعله الآن بشكل ملموس
افحصوا ووثقوا ما إذا كنتم معنيين: الحجم بما في ذلك الشركات المرتبطة، والأنشطة وفق الملحقين 1 و2، والحالات الخاصة المستقلة عن الحجم. سجلوا النتيجة كتابيًا واطلبوا من الإدارة التوقيع عليها.
إذا كنتم معنيين، فسجلوا عبر بوابة USP حتى 31 ديسمبر 2026، وعيّنوا جهة اتصال يمكن الوصول إليها.
ضعوا خطة تدابير وفق المجالات العشرة في المادة § 32، واطلبوا من الإدارة اعتمادها، واحفظوا منذ البداية الدليل على كل تدبير. فهذا الملف هو أساس الإقرار الذاتي في خريف 2027.
اكتبوا إجراءً للإبلاغ والتصعيد خلال 24 و72 ساعة وتدربوا عليه. ودرّبوا الإدارة والفريق. وراجعوا أهم مقدمي الخدمات لديكم وعقود العملاء من حيث المتطلبات الأمنية.
خلاصتي
NIS2 ليس مشروعًا لتقنية المعلومات يُسلَّم إلى الفنيين، بل مهمة قيادية ذات مواعيد نهائية واضحة. الخبر السار: من يدير تقنية المعلومات لديه بشكل سليم أصلًا يملك الكثير بالفعل، وعليه قبل كل شيء أن يجعله قابلًا للإثبات. والخبر السيئ: بدون توثيق لا يُحتسب شيء من ذلك عند الطوارئ.
للبداية أوصي بالموقع https://nis-2-ready.at مع اختباره القصير لمعرفة ما إذا كنتم معنيين وأدلّته الستة. أما المصادر الملزمة فهي النصوص الأصلية في نظام المعلومات القانونية الاتحادي النمساوي (RIS). هذا المقال هو ملخصي بصفتي رائد أعمال، ولا يغني عن الاستشارة القانونية.
يسعدني تقديم الاستشارة لكم
لقد طبّقت شركتي للتو قانون NISG 2026 بنفسها بصفتها جهة أساسية: التصنيف، والتسجيل، وخطة التدابير، وإجراءات الإبلاغ والطوارئ، وتدريب الإدارة والفريق، والأدلة الخاصة بسلسلة التوريد. ويسعدني أن أنقل هذه الخبرة. إذا كنتم تريدون معرفة ما إذا كانت شركتكم معنية، أو تبحثون عن طريق عملي للتنفيذ، فيسعدني أن أقدم لكم الاستشارة شخصيًا. ما عليكم سوى مراسلتي: https://www.mariokoerbler.com/ar/ittisal