الخلاصة

  • قانون Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023، الصادر في 2 آذار/مارس 2023، يُلزم مشغّلي الشبكات والخدمات بالإبلاغ عن الحوادث الأمنية ذات الأثر الجسيم إلى ComReg «دون تأخير لا مبرر له»، ولا يحدّد ساعة ولا يوماً.
  • مهل 24 ساعة و72 ساعة و30 يوماً تقويمياً ليست من القانون، بل من قرار تنظيمي هو D08/24، نُشر بعد 297 يوماً من سريان الواجب.
  • للصمت ثمنان: حدّ أقصى قدره 5000 يورو في الإجراء الموجز، وسقف إداري بأعلى القيمتين 5 ملايين يورو أو 10% من رقم الأعمال الأيرلندي، ولا ينفذ إلا بعد تأكيد High Court.
  • الرقم الوحيد الذي يستطيع طرف ثالث التحقق منه سنوياً هو إجمالي: 15 حادثاً في 2024 مقابل 16 في 2023، بينما ارتفعت ساعات المستخدمين المفقودة من 22,818,885 إلى 32,574,831.

في 9 حزيران/يونيو 2023، صار على أي مشغّل أيرلندي لشبكة اتصالات إلكترونية عامة أو خدمة متاحة للعموم أن يبلّغ جهةً ما عند وقوع حادث أمني ذي أثر جسيم. تلك الجهة ليست National Cyber Security Centre، بل Commission for Communications Regulation، أي ComReg. النص الصادر للقانون رقم 4 لسنة 2023 يقول ذلك بوضوح في المادة 11(1): إبلاغ الجهاز التنظيمي «دون تأخير لا مبرر له». وتضيف المادة 11(4) واجب موافاته بمستجدات المعالجة والإصلاح. وتُلزم المادة 12(1) بإبلاغ المستخدمين المحتملين المتأثرين بالتدابير الوقائية أو سبل الانتصاف المتاحة، وبالتهديد نفسه حيث يكون ذلك مناسباً.

هذا هو كل ما يحمله القانون من زمن. عبارة «دون تأخير لا مبرر له» ليست ساعة. وهنا يصبح التسلسل الأيرلندي مثيراً للانتباه: جاءت الساعة لاحقاً، ولم يضعها المشرّع. قرار D08/24، المنشور مع ComReg 24/23 والمؤرّخ في 2 نيسان/أبريل 2024، يحدّد العتبات والمعلومات المطلوبة والمراحل: تقرير أوّلي في أسرع وقت وضمن الساعات الأربع والعشرين الأولى، وتحديث خلال 72 ساعة إن لم يُحلّ الحادث، وإشعار بالحلّ، وتحديث شامل يتضمّن تحليل السبب الجذري خلال 30 يوماً تقويمياً من تقرير الحادث الجسيم. والفقرة 140 من القرار نفسه تُثبّت نافذة الـ24 ساعة على لحظة «اكتشاف» المشغّل للمشكلة، لا على لحظة وقوعها.

بين سريان الواجب وصدور ذلك المستند 297 يوماً. هذا حسابي على تاريخين منشورين: 9 حزيران/يونيو 2023 الذي يحدّده المادة 2 من S.I. No. 299 of 2023 الصادر في 6 حزيران/يونيو 2023، و2 نيسان/أبريل 2024 على غلاف ComReg 24/23. والفارق نفسه يصف طبيعة هذه السلسلة: الواجب أولاً، وساعة الإيقاف بعد ذلك بكثير. وقد احتاج القانون نفسه 99 يوماً من الصدور إلى السريان، والطبع النهائي لمشروع قانون 2022 رقم 86c يسجّل إقراره من مجلسي البرلمان في 22 شباط/فبراير 2023، وسجّل صكّ السريان نشر الإشعار في 13 حزيران/يونيو 2023.

ثمن الصمت ليس رقماً واحداً أيضاً. المادة 11(8)(a) تجعل الإخلال بواجب الإبلاغ جريمة، يعاقب عليها في الإجراء الموجز بغرامة من الفئة A. والمبلغ ليس في قانون الاتصالات، بل في المادة 3 من Fines Act 2010، التي تعرّف غرامة الفئة A بأنها غرامة لا تتجاوز 5000 يورو. وهو حدّ أقصى قانوني لإجراء موجز، لا تسعيرة ثابتة ولا عقوبة شوهدت في أي قضية.

الثمن الآخر إداري، وهو من رتبة مختلفة. المادتان 11(7) و60(1)(a) تصلان واجبات المادة 11 بالجزء السابع؛ والمادتان 90(2) و91(1)(a)–(b) تتيحان أوامر الإصلاح والجزاءات المالية؛ والمادة 94(5)(a) تضع سقف الشخص غير الطبيعي عند أعلى القيمتين: 5 ملايين يورو أو 10% من رقم الأعمال الأيرلندي للسنة المالية المنتهية في السنة السابقة مباشرة لسنة آخر مخالفة. وتشترط المادة 92(1) تأكيد High Court وفق المادة 109 قبل نفاذ الجزاء الإداري، وتمنع المادة 90(3) الملاحقة الجنائية على سلوك سبق أن عولج كمخالفة محكّمة. وتسمح المادة 63(3) بالإجراء الإداري حين تختار ComReg عدم الذهاب إلى الموجز، أو بعد إحالة لا تنتهي إلى إجراء جنائي. ودليل التحكيم 25/03a يرسم المسار كاملاً — إحالة من موظف مفوّض بموافقة اللجنة، وقائمة جزاءات تشمل الوقف أو الإصلاح والغرامات والردود والتعويضات، ونشر الأحكام المؤكَّدة باستثناءات وحجب — ويؤكّد في الفقرة 8.2 أن لا شيء ينفذ دون High Court.

بين 5000 يورو و5 ملايين يورو فارق معامل 1000. وهي المسافة بين حدّين قانونيين، لا غرامة شوهدت، لكنها تصف التصميم بدقة: المسار السريع الرخيص يعاقب الصمت بمبلغ لا يرمش له مشغّل كبير؛ والمسار المكلف يفرض بناء ملف، والحصول على تأكيد قضائي، ونشره.

ثم هناك اسم غائب. في النص الصادر الذي قرأته لهذا المقال لا يظهر National Cyber Security Centre. المادة 5 تعرّف CSIRT بأنه وحدة استجابة للحوادث داخل وزارة، والمادة 16(1)(a) تسمح لـComReg بالتشاور معها والتعاون وتبادل المعلومات والحصول على مساعدتها. ولا شيء غير ذلك في المستند يُسند إليها وظائف عامة. وصفحة CSIRT-IE عند NCSC تصف الفريق بأنه الجهة داخل NCSC التي تساعد مكوّناتها في الاستجابة للحوادث السيبرانية على المستوى الوطني، وتخدم أساساً الجهات الحكومية ومزوّدي البنية التحتية الوطنية الحرجة، وتُعدد المراقبة والتحذيرات والاستجابة وتحليل المخاطر والمشاركة في شبكة CSIRT. وهو وصف تنظيمي بلا تاريخ، لا يستشهد بقانون 2023 كمصدر لتلك المسؤوليات.

يبقى الرقم الذي يمكن التحقق منه فعلاً من الخارج. المادة 11(9) تفرض ملخّصاً سنوياً للإشعارات المستلمة والإجراءات المتخذة، يُرفع إلى الوزير والمفوضية الأوروبية وENISA. وصفحة Network Incidents عند ComReg تؤكد ذلك الملخّص، وتحدّد ComReg 24/23 وD08/24 كإطار الإبلاغ، وتوجّه المشغّلين إلى بوابة Data.ComReg. أما الأرقام فتعيش في التقارير السنوية. تقرير 2023، ComReg 24/53، يسجّل 16 حادثاً مُبلَّغاً في 2023 مقابل 12 في 2022، و22,818,885 ساعة مستخدم مفقودة. وتقرير 2024، ComReg 25/42R، المؤرّخ في 1 تموز/يوليو 2025، يسجّل 15 حادثاً في 2024 مقابل 16 في 2023، و32,574,831 ساعة مستخدم مفقودة.

الفارق بين هذين الإجماليين 9,755,946 ساعة، أي نحو 43% زيادة. وهو حسابي على إجماليين منشورين، ولا يصح التوسّع به: التقارير لا تقول إن إجمالي ساعات المستخدم مستخرج من الحوادث المبلّغة إلى ComReg وحدها، لذا فإن قسمة الساعات على الحوادث تُنتج رقماً لا يسنده أي مستند. ما يسنده المواد هو الاتجاه: حادث أقل، وساعات مفقودة أكثر بكثير.

الإطار نفسه غير ساكن. مشاورة 25/84، المؤرّخة في 5 كانون الأول/ديسمبر 2025، تقترح تعديلات على قوالب الإبلاغ المرتبطة بالطقس، وعلى وتيرة الإبلاغ وتوقيته، وعلى التقييم الجغرافي لجسامة الحادث، في ضوء التجربة مع عاصفة Éowyn. وهي مقترحات: لم أثبت المآل النهائي، وغلاف المستند يصف النسخة بأنها FINAL في الوقت نفسه، وهذا لا يحوّل مشاورة إلى قرار نافذ.

حدّان محدّدان، باقتصار على ما قرأته. صفحة Network Incidents لا تعرض ما قدّمته كل شركة على حدة ولا طوابع الاستلام، ولم أدخل بوابة المزوّدين المحمية بالمصادقة؛ والرابط إلى البوابة لا يثبت أن ما قُدّم صار علنياً. وفي المجموعة التي راجعتها — القانون، وD08/24، ودليل التحكيم، والتقريران السنويان — لم أثبت أي ملاحقة أو جزاء أو حكم محكّمة مؤكَّد من High Court ضد مشغّل مسمّى بسبب المادة 11.

وثمة رقم يخالف النص القانوني، ويستحق أن يُذكر مع مصدره: صفحة وظيفة رئيس وحدة التحكيم عند ComReg تصف جزاءات إدارية تصل إلى 10 ملايين يورو أو 10% من رقم الأعمال. والنص الصادر يقول 5 ملايين. لم أثبت سبب الاختلاف، ولا أستخدم ذلك الرقم كسقف نافذ.

ما يضيفه هذا المقال إلى ما نُشر سابقاً على المدخل نفسه أمر محدّد. المادّتان السابقتان على هذا الكائن — واحدة في 21 تشرين الأول/أكتوبر 2026 عن سير عمل حكومي بريطاني نفّذ فيه تعليق واحد شيفرة، وأخرى في 10 تشرين الأول/أكتوبر 2026 عن خطّة سويسرية لقانون أمن سيبراني مستقل — لا تختبران السلسلة الأيرلندية: الواجب، وعنوانه، والساعة التي صنعها التنظيم، والثمن المشطور، والإجمالي الذي يستطيع طرف ثالث قراءته. وهذا ما يُختبر هنا.

وما قد يغيّر التصنيف محدّد أيضاً. ملاحقة بموجب المادة 11، أو حكم محكّمة مؤكَّد ومنشور، أو تقرير سنوي يفصل المشغّلين وأوقات الإبلاغ، كلّها تحوّل الإجمالي إلى مساءلة قابلة للتحقق. وإلى أن يظهر ذلك، فإن أيرلندا تملك الأداة، وتملك الثمن، وتملك العدّاد؛ وما لا تملكه، في المواد التي قرأتها، هو طريقة لمعرفة من تأخّر.

مدخل الدليل الخاص بـNational Cyber Security Centre يسجّل الكائن الذي كُتب هذا المقال عنه.