1. مقدمة وسياق
أصبح الأمن السيبراني عنصرًا محوريًا في استقرار البنى التحتية الحيوية وحماية البيانات في أوروبا. وفي هذا السياق، يأتي توجيه NIS2، المعروف رسميًا بالتوجيه (EU) 2022/2555 الصادر عن البرلمان الأوروبي والمجلس، ليحدّث توجيه NIS1 (التوجيه 2016/1148) بهدف تعزيز صمود الشبكات ونظم المعلومات في الدول الأعضاء وأمنها. وقد جاء هذا التحديث استجابةً لتزايد تعقيد التهديدات السيبرانية وتواترها، وهي تهديدات تطال قطاعات أساسية للاقتصاد والمجتمع الأوروبيين.
اعتُمد توجيه NIS2 رسميًا في ديسمبر 2022، ودخل حيّز النفاذ في يناير 2023، مع مهلة قصوى لنقله إلى التشريعات الوطنية للدول الأعضاء تنتهي في 17 أكتوبر 2024، على أن يبدأ تطبيقه الفعلي اعتبارًا من 18 أكتوبر 2024.
وسنحلّل في ما يلي وضع نقل هذا التوجيه إلى التشريع الإسباني، والإطار التنظيمي القائم، والإجراءات التشريعية الواجب اتباعها لضمان تطبيقه على النحو الصحيح.
2. الإطار القانوني السابق في إسبانيا:
قبل توجيه NIS2، كانت إسبانيا تملك بالفعل إطارًا تنظيميًا للأمن السيبراني متوافقًا مع توجيه NIS1:
** المرسوم الملكي بقانون (Real Decreto-ley) رقم 12/2018 المؤرخ في 7 سبتمبر: نقل توجيه NIS1 إلى التشريع الإسباني، وأرسى مجموعة من تدابير الأمن السيبراني لمشغّلي الخدمات الأساسية ومزوّدي الخدمات الرقمية. وقد حدّد المرسوم الملكي بقانون 12/2018 فئات الخدمات والتزامات الأمن والإبلاغ عن الحوادث.
** المرسوم الملكي (Real Decreto) رقم 311/2022 المؤرخ في 3 مايو: ينظّم الإطار الوطني للأمن (Esquema Nacional de Seguridad، ENS)، وهو أداة توحّد الحدّ الأدنى من متطلبات الأمن في القطاع العام، وكانت في جوانب كثيرة متوافقة أصلًا مع المتطلبات الجديدة لتوجيه NIS2. ويُطبَّق الإطار الوطني للأمن إلزاميًا على جميع جهات القطاع العام وعلى المزوّدين الذين يقدّمون خدمات لتلك الجهات.
لماذا تعايش توجيه NIS1 والإطار الوطني للأمن؟
أُنشئ الإطار الوطني للأمن قبل توجيه NIS1 بهدف توحيد تدابير الأمن ومعايرتها لجهات القطاع العام الإسباني. ويستجيب وجوده لضرورة أن تحافظ الإدارات العامة على حدّ أدنى من الأمن السيبراني وحماية المعلومات. ولذلك، في حين كان توجيه NIS1 يركّز على مشغّلي الخدمات الأساسية ومزوّدي الخدمات الرقمية، كان الإطار الوطني للأمن يشمل حصرًا جهات القطاع العام ومزوّديها.
وعندما طُبّق توجيه NIS1 عام 2018، لزم وضع إطار خاص يغطّي المشغّلين الخاصين الأساسيين غير الخاضعين للإطار الوطني للأمن. وعلى هذا النحو، تعايشت التزامات توجيه NIS1 والتزامات الإطار الوطني للأمن، لكنها كانت تُطبَّق على جهات مختلفة. ومع صدور توجيه NIS2، يجري تحديث الإطار الوطني للأمن لمواءمة متطلباته وتوسيع نطاقه ليشمل الجهات الخاصة في القطاعات الحيوية، بما يُنهي جزءًا من هذا التقسيم.
وعليه، يضع الإطار القائم الأسس لاستيعاب توجيه NIS2، الذي يوسّع فئات الجهات الخاضعة للتنظيم ويعيد تعريفها، ويفرض التزامات أمنية أكثر صرامة، فضلًا عن نظام جزاءات أشدّ.
3. أهداف توجيه NIS2 ونطاقه:
يهدف توجيه NIS2 إلى إرساء مستوى مشترك مرتفع من الأمن السيبراني في الاتحاد الأوروبي. ولتحقيق ذلك، يقوم على المبادئ التالية:
توسيع نطاق التطبيق: يشمل قطاعات جديدة تُعدّ عالية الأهمية الحرجة (الطاقة، والنقل، والصحة، والبنى التحتية الرقمية) وأخرى ذات أهمية حرجة (إدارة النفايات، والصناعات الكيميائية والغذائية).
تصنيف الجهات إلى أساسية ومهمة: يقوم على مدى حرجية القطاع وحجم الجهة. وتكون التزامات الأمن والإبلاغ أشدّ صرامة على الجهات الأساسية.
التزامات معزّزة: يفرض التزامات أكثر صرامة في ما يخص إدارة المخاطر والحوكمة والصمود. ويحدّد متطلبات خاصة لأمن سلسلة الإمداد وإدارة الأزمات.
نظام جزاءات أشدّ: قد تصل الغرامات المفروضة على عدم الامتثال إلى 10 ملايين يورو أو 2% من رقم الأعمال السنوي للجهات الأساسية، وإلى 7 ملايين يورو أو 1.4% من رقم الأعمال السنوي للجهات المهمة.
4. عملية نقل توجيه NIS2 في إسبانيا:
يجري نقل توجيه NIS2 في إسبانيا بموجب مرسوم ملكي بقانون، يتيح للحكومة الوفاء بالمهلة التي حدّدها الاتحاد الأوروبي (17 أكتوبر 2024). ويُبرَّر اللجوء إلى المرسوم الملكي بقانون بالضرورة الاستثنائية والعاجلة لتكييف التشريع في الوقت المناسب وبالشكل الواجب، تفاديًا لجزاءات من المفوضية الأوروبية وضمانًا لأمن البنى التحتية الحيوية.
المرسوم الملكي بقانون: يتيح دخول تدابير توجيه NIS2 حيّز النفاذ فورًا، لكنه يستلزم مصادقة البرلمان عليه في غضون 30 يومًا. وتُستخدم هذه الأداة التشريعية للالتزام بالجدول الزمني الأوروبي، بما يضمن النقل الرسمي في الموعد المحدد، لكنها لا تعني الإقرار النهائي للنص بوصفه قانونًا.
المناقشة والإقرار في البرلمان الإسباني (Cortes Generales): بعد المصادقة، يخضع المرسوم الملكي بقانون لمناقشة برلمانية كاملة ليتحوّل إلى قانون نهائي، وعندئذ يمكن إدخال تعديلات وتغييرات وفقًا لملاحظات الكتل البرلمانية والأطراف الاجتماعية المعنية. وتتيح هذه العملية قدرًا أكبر من المشاركة والشفافية، وإن كانت تُعرّض مضمون المرسوم الملكي بقانون لتعديلات محتملة.
5. الوضع الحالي لعملية النقل:
بلغت عملية نقل توجيه NIS2 حاليًا مرحلة متقدمة، إذ اكتملت صياغة المرسوم الملكي بقانون تقريبًا، ويُتوقَّع أن يقرّه مجلس الوزراء قبل الموعد النهائي (17 أكتوبر 2024). ووفقًا لمصادر غير رسمية ولتحليل الإطار التنظيمي، يُتوقَّع أن تتركّز أبرز التعديلات على ما يلي:
تحديث متطلبات الأمن السيبراني للقطاعين العام والخاص.
توسيع نطاق الإطار الوطني للأمن ليشمل قطاعات جديدة وجهات مهمة وفقًا لتصنيف توجيه NIS2.
التنسيق بين السلطات: سيتولّى المركز الوطني للتشفير (Centro Criptológico Nacional، CCN)، بالتعاون مع وزارة الشؤون الاقتصادية والتحوّل الرقمي، الإشراف على الامتثال للتشريع والتنسيق مع فرق الاستجابة لحوادث أمن الحاسوب (CSIRT) المختصة.
6. المشكلات والتحديات المحتملة لعملية النقل:
المصادقة البرلمانية: مع أن المرسوم الملكي بقانون يضمن دخول التزامات توجيه NIS2 حيّز النفاذ، فإن غياب التوافق البرلماني قد يؤخّر الإقرار النهائي للقانون، ما يولّد حالة من عدم اليقين التنظيمي.
تكيّف الجهات المعنية: سيتعيّن على الجهات التي لم تكن خاضعة لتوجيه NIS1 من قبل (مثل خدمات إدارة النفايات والصناعات الغذائية) أن تتكيّف سريعًا مع المتطلبات الجديدة.
التطبيق الفعلي لنظام الجزاءات: سيتطلب ضمان أن تكون الجزاءات متناسبة وفعّالة تنسيقًا متينًا بين الهيئات التنظيمية والسلطات المختصة.
يسعى هذا التحليل إلى تقديم رؤية شاملة للوضع الحالي ولعملية تطبيق توجيه NIS2 في السياق التشريعي الإسباني.
