• تبدأ التزامات التقارير في قانون الأمن السيبراني للاتحاد الأوروبي في 11 سبتمبر
  • يتوفر للمصنّعين 24 ساعة لتقديم الإنذار الأول و72 ساعة لتقديم تقرير أوسع

الواقعة

دخلت التزامات التقارير في قانون الأمن السيبراني للاتحاد الأوروبي حيز التنفيذ في 11 سبتمبر، وتوجب على المصنّعين للمنتجات ذات العناصر الرقمية الإبلاغ عن الثغرات المستغَلة بنشاط والحوادث الجسيمة التي تمس أمن المنتجات. ويستحق الإنذار المبكر التسليم خلال 24 ساعة من العلم بالحدث القابل للإبلاغ.

يتبع ذلك إخطار أوفى خلال 72 ساعة. وتعتمد الموعد النهائي الأقصى على طبيعة الحدث. ففي حالة ثغرة مستغَلة بنشاط، يستحق التقرير النهائي في موعد أقصاه 14 يوماً من إتاحة إجراء تصحيحي أو معالج. وفي حالة حادث جسيم، يستحق التقرير النهائي خلال شهر من الإخطار بعد 72 ساعة، وعندئذٍ يجب أن يغطي الحادث وأثره وسببه المحتمل والتدابير المتخذة أو المخطط لها.

وتُقدَّم التقارير عبر منصة التقارير الموحّدة التابعة لـ ENISA إلى فريق CSIRT الوطني المعني، مع إتاحة المعلومات عموماً لـ ENISA في الوقت نفسه. وتنطبق هذه الالتزامات على المصنّعين بدلاً من فرض الالتزام نفسه بالإبلاغ على كل عميل يستخدم المنتج. كما يتناول القانون إخطار المستخدمين المتأثرين وتقديم معلومات عن التدابير التصحيحية أو المعالجة. وتنطبق معظم متطلبات المنتج الأوسع اعتباراً من ديسمبر 2027.

التقدير

بمجرد أن يعلم المصنّع بأن ثغرة تُستغل بنشاط، قد يضطر إلى الإبلاغ عن المشكلة قبل أن يفهمها المهندسون فهمًا كاملاً. ولذلك قد يصدر الإنذار الأول خلال 24 ساعة قبل تحديد جميع الإصدارات المتأثرة أو اختبار أي إصلاح. وتتبع تفاصيل أوفى بعد 72 ساعة بينما يستمر التحقيق التقني.

وفي الممارسة العملية، سيتزامن الإبلاغ والمعالجة غالباً. إذ يحتاج المصنّعون إلى إخبار الجهات التنظيمية بما يعرفونه دون تقديم الافتراضات المبكرة كأنها نتائج حاسمة. وفي الوقت نفسه، يحتاج عملاؤهم إلى معلومات كافية لتحديد ما إذا كانوا متأثرين وما إذا كانت هناك أي إجراءات فورية لازمة.

وبالنسبة لقرّاء BTW، فإن ما يهم هو سرعة تحوّل الإنذار الأول إلى إرشادات مفيدة. فالمشغّلون يحتاجون إلى معلومات واضحة عن الإصدارات المتأثرة والإجراءات المعالجة الآمنة، وفي النهاية إصلاح مدعوم. والوفاء بموعد الإبلاغ مهم، لكن العملاء لا يزالون بحاجة إلى معرفة ما ينبغي فعله بالتجهيزات التي يشغّلونها.

ما يجب مراقبته

راقب ما إذا كانت تنبيهات المورّدين تفصل بوضوح بعد الإنذار الأول بين الحقائق المؤكدة والنتائج المبدئية والإجراءات المعالجة المتاحة. فالإرشادات الخاصة بالإصدارات، والتحديثات اللاحقة للإخطار بعد 72 ساعة، والمسار الواضح نحو إصلاح مدعوم، ستُظهر ما إذا كان الجدول الزمني الجديد يساعد المشغّلين على اتخاذ قرارات الصيانة بدلاً من مجرد إنتاج ملفات تنظيمية في التوقيت المناسب.