الخلاصة

  • منذ 11 سبتمبر 2026، يتعين على المصنّعين الإبلاغ عن الثغرات المستغلة فعلياً والحوادث الخطيرة التي تمس أمن المنتج. ويجب إرسال الإنذار الأولي خلال 24 ساعة، والإخطار الكامل خلال 72 ساعة.
  • طلبت ماندالاري في RIPE 93 أن تقدّم المجموعة أمثلة فعلية عن معدات الشبكات وتوزيع البرمجيات وفترات الدعم إلى نقاش معايير قانون المرونة السيبرانية.

أطلق قانون المرونة السيبرانية الأوروبي ساعة إبلاغ مدتها 24 ساعة على المصنّعين. لكنه لم يحمّل تلقائياً كل شركة تشغّل شبكة الواجب القانوني نفسه. كانت هذه هي النقطة العملية في مداخلة آنا ماريا ماندالاري خلال RIPE 93: قبل ظهور ثغرة، على المؤسسة أن تعرف المنتجات التي تطرحها في السوق الأوروبية، ودورها في كل سلسلة توريد، ومن يستطيع إعداد البلاغ وإرساله.

يسجل النص الرسمي لجلسة إنترنت الأشياء في RIPE 93 أن ماندالاري قدمت المداخلة الختامية عن بُعد. وربطت القانون بمعدات الشبكات المألوفة، مثل الموجّهات والمودمات والمبدّلات، وبالبرمجيات التي يعتمد عليها تشغيل الشبكات. وكان طلبها من مجتمع RIPE واضحاً: إدخال حالات تشغيل حقيقية إلى نقاش المعايير، بما فيها مدة بقاء المعدات في الخدمة، والجهة التي توفر التحديثات، والموضع الذي تنتقل عنده المسؤولية بين المصنّع والموزع والعميل.

يجعل الجدول الزمني المسألة عاجلة. تدخل الأحكام الرئيسية للقانون حيز التطبيق في 11 ديسمبر 2027، لكن واجب الإبلاغ الوارد في المادة 14 يسري منذ 11 سبتمبر 2026. إذا علم المصنّع بثغرة مستغلة فعلياً أو بحادث خطير يؤثر في أمن المنتج، فعليه إرسال إنذار أولي خلال 24 ساعة وإخطار كامل خلال 72 ساعة. أما التقرير النهائي عن الثغرة فيُقدّم في موعد أقصاه 14 يوماً من إتاحة إجراء تصحيحي؛ ويُقدّم التقرير النهائي عن الحادث الخطير خلال شهر من إخطار الـ72 ساعة. وتُرسل البلاغات عبر المنصة الموحدة للقانون.

يقع الواجب على المصنّع، لا على كل من يشتري موجّهاً أو يدير شبكة. وتتناول إرشادات المفوضية الأوروبية الصادرة في يوليو نطاق المنتجات والتعديل الجوهري. وتعرّف المفوضية المصنّع بأنه من يطوّر المنتج أو يصنعه، أو يكلّف جهة بتصنيعه، ثم يطرحه في سوق الاتحاد الأوروبي باسمه أو علامته التجارية. شراء جهاز غير معدّل لا يجعل المشغّل مصنّعه بحد ذاته. أما البيع تحت علامة خاصة أو إجراء تعديل جوهري فقد يغيّر التقييم؛ والعبرة بالمنتج وطريقة توزيعه.

هنا تلتقي المعايير بالتشغيل. أعلنت ETSI في 13 أغسطس أن 17 مشروعاً نهائياً لمعايير قطاعية تخضع للاستشارة العامة. وتهدف هذه المشاريع إلى أن تصبح معايير منسقة، لكنها كانت لا تزال مسودات. وكان من المقرر أن تستمر إجراءات الموافقة، بحسب القطاع، من منتصف سبتمبر إلى منتصف نوفمبر 2026. وشجعت ماندالاري المشاركين في RIPE على تقديم أمثلة عن فترات الدعم ومعدات الشبكات وتوزيع البرمجيات وإدارة التحديثات.

لا تكفي عبارة المورد «سنوفّر التحديثات». يحتاج المشغّل إلى معرفة طريقة اختبار تحديث الأمن وتدقيقه ونشره وقياس أثره. ويلزم القانون المصنّعين بتحديد فترة الدعم والإفصاح عنها، لكن المعدات قد تبقى في الشبكة مدة أطول. فإذا انتهى الدعم قبل موعد التجديد المخطط، يتحول قرار شراء إلى ترحيل عاجل.

تقف ماندالاري بين البحث وتشغيل الشبكات ووضع المعايير. وتعرّفها UCL بأنها نائبة مدير معهد الاتصالات والأنظمة المتصلة؛ فيما تسجلها ETSI أمينةً لمجموعة CYBER EUSR ورئيسةً لمجموعة إنترنت الأشياء في RIPE. وسؤالها للمجتمع تشغيلي قبل أي شيء: من يتولى التحديث التالي، ومن يرسل أول بلاغ حين يتعطل المنتج؟

نشرت المفوضية إرشادات التنفيذ وأصبحت منصة الإبلاغ تعمل. والعمل المتبقي هو ربط هوية المنتج ودور المورد وفترة الدعم وصلاحية إدارة الحوادث قبل أن تفرض ثغرة حقيقية إعادة بناء هذه المعلومات خلال 24 ساعة.

المصادر