الخلاصة

  • ابتداءً من 11 سبتمبر 2026، يجب على مصنّعي المنتجات ذات العناصر الرقمية إبلاغ السلطات عن الثغرات المستغلة فعلياً والحوادث ذات الأثر الجسيم في أمن المنتج. يُرسل الإنذار المبكر خلال 24 ساعة من العلم، ثم إخطار أوسع خلال 72 ساعة.
  • توحّد Single Reporting Platform نقطة التقديم، لا جهة القرار. يختار المصنّع CSIRT وطنياً منسقاً، فيقيّم البلاغ ويوزعه عادةً، بينما تدير ENISA البنية المشتركة. النسخة الأولى بالإنجليزية فقط، بلا API، ولا تستقبل البلاغات الطوعية، ولم تبدأ فيها بعد التزامات القيّمين على البرمجيات مفتوحة المصدر.

اختار الاتحاد الأوروبي أن يشغّل قناة الإنذار قبل أن يطبق القسم الأكبر من متطلبات المنتج.

هذا التسلسل مثبت في الجدول التنفيذي المنشور من European Commission. فالمتطلبات الرئيسية المتعلقة بالأمن في التصميم ومعالجة الثغرات والمطابقة يبدأ تطبيقها العام في 11 ديسمبر 2027. أما واجبات الإبلاغ الواردة في المادة 14 فبدأت في 11 سبتمبر 2026.

والنتيجة أن المرحلة الانتقالية ليست فترة انتظار خالية من الالتزام. عندما يعلم مصنّع بوجود ثغرة في منتج مشمول تستغلها جهة خبيثة فعلياً، أو بحادث يؤثر بشدة في قدرة المنتج على حماية التوافر أو الأصالة أو السلامة أو السرية، تبدأ سلسلة زمنية ملزمة.

يجب إرسال إنذار مبكر من دون تأخير غير مبرر، وفي جميع الأحوال خلال 24 ساعة من العلم. ويجب أن يصل الإخطار الذي يتضمن معلومات عامة وتقييماً أولياً خلال 72 ساعة. ووفق شرح European Commission لواجبات الإبلاغ، يُرفع التقرير النهائي عن الثغرة في موعد أقصاه 14 يوماً بعد إتاحة الإجراء التصحيحي أو التخفيفي، بينما يُرفع تقرير الحادث الجسيم خلال شهر من إخطار الساعات الـ72.

العلم، لا فتح صفحة المنصة، هو نقطة البدء. وقد تعرف غرفة الأمن بالمؤشرات قبل أن يطلع الفريق القانوني عليها. وقد تتغير قائمة النسخ المتأثرة مع التحقيق. لذلك تقع أول مسألة حوكمة داخل الشركة: ما الدليل الموثوق الذي نقل الحالة من اشتباه إلى حدث واجب الإبلاغ، ومن ثبّت تلك اللحظة؟

تقديم واحد لا يلغي تعدد الاختصاصات

تتيح Single Reporting Platform التابعة لـENISA تقديم إخطار واحد عن الواقعة نفسها بدلاً من تكراره أمام عدة دول. وينطبق ذلك حتى إن كانت للمجموعة فروع أو شركات تابعة متعددة داخل الاتحاد، أو كانت الشركة الأم خارجه. يبقى على المصنّع أن ينسق داخلياً ويحدد الجهة التي تمثله.

عند التقديم، يختار المبلّغ CSIRT معيناً كمنسق. ويُحدد الاختصاص عموماً بحسب المقر الرئيسي للمصنّع، لكن مسؤولية صحة الاختيار تقع عليه. لهذا تصبح قائمة فرق CSIRT المنسقة خريطة تشغيلية وليست مجرد دليل عناوين.

في المسار المعتاد، يتاح البلاغ للمنسق الوطني وENISA معاً. ثم يوزعه CSIRT الأول من دون تأخير على فرق CSIRT المعنية في الدول الأعضاء التي أتيح فيها المنتج. وقد تُنقل معلومات إلى سلطات مراقبة السوق حين تحتاجها لأداء مهام الإنفاذ.

إذن تتوزع السيطرة على أربع طبقات. المصنّع يملك حقائق المنتج وزمن العلم الداخلي. المنسق الوطني يقيّم ويوجه أولاً. ENISA تشغّل البنية وترى التدفق الأوروبي. سلطات السوق تحقق أو تطلب التصحيح عند توافر أساس لذلك.

نجاح التحميل لا يثبت اكتمال السلسلة. وتوضح الأسئلة الشائعة لدى ENISA أن اختيار المنسق الخطأ قد يؤدي إلى إبطال الإخطار والحاجة إلى تقديمه من جديد. ولذلك يجب ربط الكيان المصنّع ومقره والدول التي يتاح فيها المنتج قبل وقوع الحادث، لا خلال الساعات الأولى منه.

الاستثناء يطلبه المصنّع ويقرره المنسق

قد تؤدي مشاركة تفاصيل ثغرة مستغلة على نطاق واسع وبسرعة إلى زيادة خطر الاستغلال. لهذا توجد آلية Particularly Exceptional Circumstances، أو PEC، في مسار إخطار الساعات الـ72 الخاص بالثغرات المستغلة فعلياً.

لكنها ليست مفتاح سرية بيد الشركة. وفق إرشادات ENISA التشغيلية، يضع ممثل المصنّع علامة على الحالة ويستطيع شرح السبب، ثم يقرر CSIRT المنسق ما إذا كان تأخير التوزيع مبرراً.

إذا قُبل الطلب، تتلقى ENISA في البداية معلومات محدودة فقط. ويبقى المنسق مسؤولاً عن توقيت وطريقة مشاركة الإخطار الكامل مع ENISA وفرق CSIRT المعنية.

هذا فصل ضروري بين الطلب والسلطة. فهو يمنع تحويل الحساسية التجارية إلى حجب أحادي، ويتيح في الوقت نفسه تجنب نشر تفاصيل قد تساعد المهاجم. ويجب أن يحفظ السجل أربعة أزمنة: طلب PEC، وأساسه، وقرار المنسق، ورفع التأخير. من دونها قد يبدو الإفصاح المنسق والتقصير في التوزيع شيئاً واحداً بعد انتهاء الأزمة.

نسخة الإطلاق أضيق من المنصة التي يتصورها القانون

تستقبل النسخة الأولى الإخطارات الإلزامية التي يقدمها المصنّعون عن الثغرات المستغلة فعلياً والحوادث الأمنية الجسيمة. أما الإبلاغ الطوعي المنصوص عليه في المادة 15 فسيضاف في مرحلة لاحقة. وعلى من ليس مصنّعاً أن يتواصل حالياً مع CSIRT الوطني المناسب.

كما أن واجبات القيّمين على البرمجيات مفتوحة المصدر وفق المادة 24(3) لا تبدأ قبل 11 ديسمبر 2027. ظهورهم في وصف المستخدمين المستقبليين للمنصة لا يحوّلهم إلى مبلّغين ملزمين اليوم.

واجهة الإطلاق بالإنجليزية وحدها، ولا توجد API. تستطيع الشركات أتمتة التحليل الداخلي وإعداد البيانات، لكن التقديم الرسمي يمر عبر الشاشة. وعند تعدد المنتجات، تصبح قدرة الأشخاص والحسابات والمناوبات جزءاً من جاهزية الامتثال.

يستخدم الممثلون المعيّنون حسابات EU Login شخصية مع تحقق متعدد العوامل. ويتولى المنسق التحقق من ارتباط الشخص بالمصنّع. لا يوقف التحقق الإخطار العاجل، بل يجري بالتوازي؛ ويمكن للممثل غير المتحقق منه تقديم ما يصل إلى 20 إخطاراً للمصنّع قبل أن يصبح التحقق إلزامياً. تكشف إرشادات التسجيل ما ينبغي حسمه مسبقاً: الكيان القانوني، والمنسق، والممثل الأساسي والبديل، والحسابات ووسيلة التحقق.

ساعة الواجهة ليست ساعة القانون

نشرت ENISA قيداً تنفيذياً مهماً في الإصدار الحالي. تحسب المنصة موعد إخطار الساعات الـ72 بإضافة 48 ساعة إلى وقت إرسال الإنذار المبكر ذي مهلة 24 ساعة. لكن النص القانوني يحسب 72 ساعة منذ علم المصنّع. وإذا أرسل الإنذار مبكراً، قد تعرض المنصة الإخطار متأخراً قبل انقضاء المهلة القانونية فعلاً. وتقول ENISA إنها ستعدل المنطق ليستخدم حقل زمن العلم.

لا يغير هذا العرض المادة 14. بل يوضح لماذا لا يجوز للواجهة أن تصبح تفسيراً خفياً للنص. ينبغي للمصنّع أن يحتفظ منفصلةً بلحظة العلم ودليلها، وتوقيت الإنذار، ونهاية الساعات الـ72 المحسوبة داخلياً، والموعد الظاهر في المنصة، وإيصالات الإرسال.

وقد يقع الخطأ في الاتجاه الآخر أيضاً: أي تذكير متأخر من المنصة لا يمدد مهلة بدأت قبل فتحها. القيمة القانونية تأتي من سجل الحدث، لا من الإشارة الأكثر راحة على الشاشة.

إذا تعطلت المنصة مؤقتاً، تطلب ENISA الانتظار ثم التقديم بعد عودتها. ويجوز التواصل مباشرة مع CSIRT المعني إن دعت الحاجة إلى اتصال فوري، لكن ذلك لا يلغي ضرورة التقديم اللاحق عبر المنصة. ولا تكفي محاولة اتصال فاشلة واحدة لإثبات توقف عام للخدمة.

سجل تشغيلي علني لا يكشف الثغرات

لا يحتاج اختبار هذه البنية إلى نشر أسماء المبلّغين أو تفاصيل الثغرات قبل إصلاحها. يحتاج إلى معرفة ما كانت المنصة تستطيع فعله في وقت معين.

يمكن لـENISA نشر سجل حالة وإصدارات يحترم السرية، يبين حوادث الإتاحة، وفئات المبلّغين وأنواع التقارير المدعومة، واللغات، وحالة API، ومنطق عدادات الوقت، وموعد نفاذ كل تغيير. هكذا يمكن ربط الإجراء بقاعدة التشغيل من دون إنشاء قائمة أهداف للمهاجمين.

هذا اقتراحي التحريري، وليس التزاماً قائماً في CRA ولا وعداً من ENISA. وتأتي منهجيته من ثلاث قراءات للكاتب Lu Heng: يسأل The Policy Mirror أين تقع السلطة، ويتحقق Running Code Primary مما تنفذه الأداة فعلاً، بينما يمنع Why BTW Media Exists الخلط بين السجل العام والرغبة المؤسسية.

وحّد الاتحاد الأوروبي باب الإبلاغ. لكنه أبقى كل قرار بعد الباب منسوباً إلى صاحبه. نجاح النظام سيقاس بوضوح هذه النسب، لا بعدد الحقول في النموذج.

المصادر