NIS 2 وREC وDORA: فرنسا تُنهي مهلة التأجيل في قواعد الأمن السيبراني

طوال نحو عامين، بقي نقل توجيهي NIS 2 وREC إلى القانون الفرنسي وتطبيق لائحة DORA ملفًا تقنيًا بحتًا. أُعلن النص ثم أُجّل، وانزلق الموعد الأوروبي من شهر إلى آخر حتى صار شأنًا يخص المتخصصين وحدهم. لكن مهلة التأجيل هذه تقترب من نهايتها.

وخلال جلسة استماع أمام اللجنة الخاصة في الجمعية الوطنية، قالت آن لو هينانف، الوزيرة المكلفة بالشؤون الرقمية، إن التهديد لم ينتظر المشرّع. فقد طالت الهجمات في الأشهر الأخيرة عدة إدارات استراتيجية، من بينها ANTS وDGFIP. ولم يعد الخطر مقتصرًا على مشغّلي البنى الحيوية، بل يشمل كل جهة يعتمد نشاطها على التقنية الرقمية، من البلدية الريفية إلى المجموعة الدولية.

لم تعد حجة غياب القانون مقبولة

برّرت مؤسسات كثيرة تريّثها بغياب إطار تشريعي نهائي. غير أن هذه الحجة سقطت: فإرشادات NIS 2 وREC وDORA معروفة منذ سنوات، والنصوص الأوروبية منشورة، والالتزامات الرئيسية محددة. كما وفّرت وكالة ANSSI جزءًا كبيرًا من المراجع اللازمة للاستعداد. ما كان ينقص غالبًا هو الإرادة لاتخاذ قرارات صعبة.

لا يعني الاستعداد لهذه النصوص ملء بعض الاستمارات، بل مراجعة الحوكمة وأساليب تحليل المخاطر وقدرات الكشف وخطط استمرارية الأعمال وتنظيم إدارة الأزمات ومراقبة المتعاقدين من الباطن.

الأمن السيبراني ينتقل إلى مجالس الإدارة

تجعل النصوص الجديدة الأمن السيبراني مسألة حوكمة، فينضم إلى الإدارة المالية والامتثال والموارد البشرية ضمن المسؤوليات المباشرة للقادة. والمهم لم يعد ما هو مكتوب على الورق، بل ما يعمل فعليًا: على المؤسسات أن تثبت قدرتها على تحديد المخاطر وإدارتها، ورصد الحوادث والإبلاغ عنها، واستعادة نشاطها بسرعة عند الأزمات. وتتطلب المرونة وقتًا ومنهجية وأدوات وتوثيقًا متينًا وتمارين منتظمة.

وتقف الجماعات المحلية والهيئات العامة في الصفوف الأولى. ومخاوفها التي برزت في النقاشات البرلمانية مشروعة، فمواردها محدودة وكفاءاتها نادرة. لكنها تحتفظ ببيانات حساسة وتقدّم خدمات أساسية، وقد تكون حلقة الضعف في منظومة أوسع، ولهذا وسّع الاتحاد الأوروبي نطاق الجهات المشمولة بشكل كبير.

ومع تراكم المتطلبات من خرائط المخاطر والتدقيق والاعتماد والأدلة الموثقة وإخطارات الحوادث، تبلغ الإدارة اليدوية حدودها، كما حدث مع اللائحة العامة لحماية البيانات (GDPR). وتلتزم إدارات كثيرة أيضًا بالمرسوم 2022-513 المتعلق باعتماد الأمن.