الخلاصة

  • المادة الخامسة من الأمر التنفيذي 14028 تعطي المجلس فعلين: أن يراجع ويقيّم، وأن يقدّم توصيات إلى الوزير. أما الفعل الوحيد الذي يعني التنفيذ ففاعله وزير الأمن الداخلي، ومقيَّد بعبارة as appropriate.
  • لذلك فإن ناتج المجلس سجل إثباتي لا علاج. ولا يصير السجل التزامًا إلا حين يحوّله طرف آخر: تشريع، أو شرط تعاقدي أو تأميني، أو استخدامه دليلًا في التقاضي.

وُقّع الأمر في 12 مايو/أيار 2021، ونُشر في Federal Register بعد خمسة أيام برقم الوثيقة 2021-10460 (Executive Order 14028؛ صفحة النشر في البيت الأبيض). المادة الخامسة تنشئ Cyber Safety Review Board: الفقرة 5(a) توجّه وزير الأمن الداخلي إلى إنشائه، والفقرة 5(b) ترسم مساحة عمله — نشاط التهديد، والثغرات، وأنشطة التخفيف، واستجابات الأجهزة، في الحوادث السيبرانية الجسيمة التي تمسّ أنظمة معلومات السلطة التنفيذية المدنية الفيدرالية أو أنظمة غير فيدرالية.

الجملة الفاصلة مكتوبة بالإنجليزية وقصيرة: “The Board shall review and assess”. مراجعة وتقييم، لا حكم ولا جزاء. والفقرة 5(d) مع 5(h) تضيّق الناتج أكثر: توصيات ومشورة ومعلومات. نصّ 5(d) هو “provide recommendations to the Secretary”. ثم في 5(j) يصبح الفعل فعل تنفيذ أخيرًا، لكن الفاعل شخص آخر: “take steps to implement them as appropriate” — الوزير ينظر في التوصيات ويتخذ ما يراه مناسبًا من خطوات.

قرأت المادة الخامسة في نصّ Federal Register فقرةً فقرة، من 5(a) إلى 5(j). لا يوجد في هذه المادة نصّ صريح يجعل استنتاجات المجلس أو توصياته مُلزِمة للجهات المراجَعة، ولا واجب إبلاغ، ولا مهلة، ولا أثر معلن لمن لا يأخذ بالتوصية. والقول يتوقف عند هذا الحدّ: هو يقول إن المادة لا تحمل الالتزام، لا أن الالتزام غير موجود. فقد يأتي من مكان آخر، وهذا تحديدًا ما تبحث فيه هذه المذكرة. والنطاق هو المادة الخامسة، دون التشريعات اللاحقة أو العقود أو ممارسة الأجهزة.

والجهاز نفسه يصف عمل المجلس بأنه استشاري، ويذكر أن استنتاجاته وتوصياته غير مُلزِمة للقطاع الخاص ولا للجهات الحكومية (صفحة المجلس في CISA؛ صفحة الأدوات والموارد في CISA). وطبيعة هذه المادة يجب أن تُقال بدقّة: الصفحتان حُفظتا في 12 نوفمبر/تشرين الثاني 2026 بوصفهما ملخّصين كتبهما المزوّد، لا نصًّا مقروءًا من متن الصفحة. فالوصف مؤشّر ثانوي، ولا يصحّ تقديمه كلامًا للجهاز. أما صياغة البنود فمرجعها نصّ Federal Register.

وثمّة بند عامّ يُستشهد به كثيرًا في هذا النقاش، وهو المادة 11(d): الأمر لا ينشئ حقوقًا أو منافع قابلة للتنفيذ (نصّ الأمر). وهو يتناول إنشاء الحقوق عمومًا، ولا يوازي تصريحًا صريحًا بأن توصيات المجلس غير مُلزِمة. وخلط الأمرين هو أكثر تحويل للمعنى شيوعًا في هذا النقاش. وأمانةً في حدود الدليل: صفحة Federal Register نفسها تنبّه إلى أن نسختها من XML مورد إعلامي غير رسمي، وتوصي بالتحقّق مقابل إصدار govinfo. ما لديّ مقتطفات حرفية قصيرة وتركيب، لا نسخة كاملة من الأمر.

فما هذا المستند إذن؟ إذا فُتحت بنية المادة الخامسة ظهر فصلٌ بين الإدارة والتنفيذ: التقييم يبقى في المجلس، والتقدير يبقى للوزير، والجهة المراجَعة تبقى خارج سلسلة الالتزام. والاستنتاج التحقيقي الذي لا يستطيع إلزام أحد هو سجل: يحفظ ما حدث، ولماذا حدث، ومن ينبغي أن يتغيّر. وللسجلات قيمة، فهي تحوّل الحوادث المعزولة إلى أنماط مقروءة. لكن السجل ليس علاجًا. العلاج يبدأ حين يحوّل أحدٌ السجل إلى التزام.

ومسارات هذا التحويل ملموسة، وليس أيٌّ منها في المادة الخامسة. التشريع يجعل التوصية واجبًا قانونيًا، بموعد ومساءلة. وشرط التعاقد يُدخلها في العقد ويحرم الممتنع من الطلب. واستمارة التأمين تحوّلها إلى شرط تغطية، بالقسط والتحمّل تبعًا للالتزام. والتقاضي يستخدمها دليلًا. وأرشيف الحالات المتراكم يجعل الفشل المنفرد نمطًا مرئيًا. لا شيء من هذه المسارات يمشيه المجلس بنفسه، ولا شيء منها يتّسع داخل مادة واحدة من أمر تنفيذي.

وليس في ذلك استهانة بالمجلس. فالقدرة على إعادة بناء سلسلة السبب في حادث هي بحد ذاتها قدرة نادرة، وكثير من الجهات التنظيمية لا يبلغها. المشكلة في طريقة القيد: أن يُقرأ الاكتشاف على أنه حلّ، وأن يُقرأ نشر التقرير على أنه إغلاق للحادثة. ألذّ شعور يصل بعد حادث هو تقرير مكتوب جيدًا. أما الجهة المراجَعة فتستمرّ في العمل على الحال نفسه إلى أن يأخذ أحدٌ ذلك التقرير ويفعل به شيئًا آخر.

وفي دليل الحكومة الأميركية، فإن Cybersecurity and Infrastructure Security Agency هي في الوقت نفسه حائزة لموارد الأرقام ومركز للأمن (إدخال الدليل). والمجلس تابع لها، وهذا التبعية تُقرأ بسهولة على أنها سلطة. ووجود كلمة security في الاسم لا يعني توفّر أداة إلزام.

وأخيرًا حدود التحرّي. لم تحصل هذه المذكرة على وثيقة الاختصاصات للمجلس ولا على نصّ مقروء لأي تقرير، ولذلك لا يظهر هنا عدد التوصيات ولا قائمة المرسَل إليهم ولا عدد التقارير. وفي حدود الوثائق الخمس التي قرأتها — نصّ الأمر في Federal Register، وصفحتا CISA، وصفحة النشر في البيت الأبيض، وصفحة dhs.gov الرئيسية — لم يظهر بيان رسمي عن تشكيل المجلس أو وضعه الحالي. والقول يتوقف هناك، ولا يدّعي أن مثل هذا البيان غير موجود.