NIS2 وDORA: كيف تعرفون إن كانت مؤسستكم معنية (وبماذا)

كثيراً ما يُذكَر NIS2 وDORA معاً، مما يوحي خطأً بأنهما يغطيان النطاق نفسه. إنهما نصّان متمايزان، بمعايير انطباق مختلفة، يمكن أن ينطبقا بشكل منفصل، أو معاً، أو لا ينطبقا إطلاقاً حسب قطاعكم وحجم مؤسستكم. إليكم كيفية الحسم سريعاً، دون انتظار تدقيق امتثال كامل لاكتشاف ذلك.

NIS2: نطاق موسّع حسب القطاع والحجم

توجّه NIS2 الكيانات إلى فئتين، أساسية ومهمة، حسب قطاع النشاط وعتبات عدد الموظفين ورقم الأعمال. يغطي نطاقاً قطاعياً واسعاً: الطاقة، النقل، الصحة، مياه الشرب، البنية التحتية الرقمية، لكن أيضاً، وهذا ما يفاجئ أكبر عدد من المؤسسات، تصنيع الأجهزة الطبية، والصناعات الغذائية، أو بعض مزوّدي الخدمات الرقمية بين الشركات. السؤال الصحيح ليس «هل أنا مشغّل حرج تقليدي؟»، بل «هل يظهر قطاع نشاطي في ملحق النص، وهل أتجاوز عتبات الحجم؟». الالتزامات الرئيسية الناتجة عن ذلك: إدارة منظَّمة للمخاطر السيبرانية، إخطار بالحوادث ضمن مهل قصيرة، ومسؤولية حوكمة صريحة — لم يعد الأمر شأن مسؤول أمن المعلومات وحده.

DORA: نطاق أضيق، لكنه يتجاوز القطاع المالي نفسه

يستهدف نظام DORA (قانون المرونة التشغيلية الرقمية) القطاع المالي، لكن ليس المؤسسات المالية وحدها: ينطبق أيضاً على مزوّدي خدمات تقنية المعلومات والاتصالات الحرجين التابعين لها. هذه هي النقطة الأكثر إغفالاً — يمكن لشركة تقنية صغيرة تزوّد خدمة رقمية لبنوك أو شركات تأمين أن تدخل في نطاق DORA دون أن تكون قد فكّرت في الأمر من قبل، لمجرد أن أحد عملائها يصنّفها مزوّداً حرجاً. يهيكل DORA التزاماته حول خمسة محاور: إدارة مخاطر تقنية المعلومات والاتصالات، إدارة الحوادث والإخطار بها، اختبارات المرونة التشغيلية الرقمية، إدارة مخاطر الأطراف الثالثة، وتبادل المعلومات بين فاعلي القطاع.

الحالة الشائعة: انطباق النصّين معاً

مؤسسة في القطاع المالي تتجاوز عتبات NIS2 بحكم نشاطها وحجمها، وتخضع في الوقت نفسه لـ DORA بحكم قطاعها، عليها التعامل مع مجموعتين من الالتزامات تتقاطعان جزئياً دون أن تتطابقا. معالجتهما بشكل منفصل، بخطتي امتثال مستقلتين، يضاعف العمل ويكثّر التناقضات. النهج الصحيح هو رسم خريطة واحدة للمتطلبات المشتركة (إدارة المخاطر، الإخطار بالحوادث)، ومعالجة ما هو خاص بكل نص فعلياً بشكل منفصل فقط.

كيفية ترتيب الأولويات بعد تحديد النطاق

أمام نصّين طموحين، الخطأ الأكثر شيوعاً هو محاولة معالجة كل شيء في آن واحد ضمن جدول زمني ضيق. ثلاث خطوات تتيح ترتيب الأولويات دون تشتت: رسم خريطة الفجوات الكبرى أولاً، والتي غالباً ما تكون معروفة بديهياً لدى الفرق التقنية؛ معالجة الالتزامات ذات الموعد التنظيمي الأقرب أولاً؛ ثم بناء خطة واقعية متعددة السنوات لما تبقى. خارطة طريق موثّقة ومشتركة، حتى وإن كانت غير مكتملة عند الموعد الفوري، أفضل من وعد بامتثال كامل غير قابل للتحقيق ضمن المهلة المحددة.

تساعد ندوتنا NIS2 وDORA: الامتثال العملي الشركات الصغيرة والمتوسطة وفاعلي القطاع المالي على توضيح نطاق انطباق النصّين عليهم وترتيب أولويات خارطة طريقهم. كما تغطي AuditForge متابعة خطة معالجة مرتبة حسب الأولوية لامتثال تدريجي — تواصلوا معنا لتشخيص أولي.