سنغافورة: مهل البلاغات والجهات المعينة

الخلاصة

دخلت اللائحة S 791/2026 حيز التنفيذ في 30 أكتوبر: بلاغ أول خلال 24 ساعة من العلم بالحادث، وتحديث مكتوب خلال 72 ساعة، ثم تقرير نهائي خلال 30 يوماً من تقديم التحديث.
يجيز قانون الأمن السيبراني للمفوّض تعيين جهة ونظام بإشعار مكتوب، لكنه لا يلزمه بنشر الإشعار في الجريدة الرسمية. المهل معلنة، أما الجهات التي تسري عليها فقد لا تكون معروفة للجمهور.

الخلل الظاهر في هذا النظام ليس صعوبة عدّ الساعات، بل غياب ضمانة بأن يرى الجمهور أسماء الجهات التي يتعين عليها العدّ.

دخلت Cybersecurity (Entities of Special Cybersecurity Interest) Regulations 2026، رقم S 791/2026، حيز التنفيذ في 30 أكتوبر. وتلزم الجهة المعينة بإخطار المفوّض خلال 24 ساعة من علمها بوقوع حادث محدد يمس النظام ذي الأهمية السيبرانية الخاصة. يكون الإخطار الأول عبر الهاتف. وإذا تعذر الاتصال خلال مدة معقولة، يمكن استخدام رقم الرسائل النصية المحدد أو تقديم نموذج مكتوب.

يتضمن البلاغ الأول اسم النظام، ووقت وقوع الحادث وكيفيته، والبيانات المخزنة فيه، والآثار التي رُصدت. كما يبين ما إذا كان الحادث قد أخل بتوافر بيانات الجهة أو سريتها أو سلامتها، أو أثر بصورة كبيرة في عملياتها، ويحدد الشخص الذي يقدم البلاغ ووسائل الاتصال به. وخلال 72 ساعة من العلم، تقدم الجهة كتابةً، بقدر ما تسمح به المعلومات المتاحة، التحديثات والسبب والأثر على النظام والتدابير العلاجية المتخذة. أما التقرير النهائي فيقدم خلال 30 يوماً من تسليم ذلك التحديث، وتشمل المدة أيام الأحد والعطلات الرسمية. وإذا استُخدمت المهل القصوى في المرحلتين الأوليين، يحل الموعد النهائي بعد نحو 33 يوماً من العلم بالحادث.

هذه الالتزامات لا تشمل كل شركة أو كل تنبيه أمني. تجيز المادة 18 من Cybersecurity Act للمفوّض تعيين جهة تخزن معلومات حساسة على نظام تحت سيطرتها، أو تستخدم نظاماً تحت سيطرتها لأداء وظيفة يؤدي تعطيلها إلى ضرر كبير بدفاع سنغافورة أو علاقاتها الخارجية أو اقتصادها أو صحتها العامة أو سلامتها أو نظامها العام. ويشترط أن تكون الجهة منشأة بموجب قانون مكتوب. وتشمل الحوادث المحددة الاختراق غير المصرح به، والبرمجيات الخبيثة، واعتراض الاتصالات أو اختطاف الجلسة، وهجمات حجب الخدمة وغيرها من الأفعال التي تضر بتوافر النظام أو تشغيله. وتضيف المادة 18F عتبة أثر: الإخلال بالبيانات أو التأثير الكبير في عمليات الجهة.

يجب أن يحدد إشعار التعيين الجهة والنظام، ويشرح الواجبات، ويسمي الموظف المشرف ويبين سبل تقديم الملاحظات والطعن. لكن المادة 18(4) تنص على أن نشر الإشعار في الجريدة الرسمية غير لازم. ولا تسمي النصوص الرسمية التي راجعناها أي جهة تلقت تعييناً، كما لم يظهر فيها سجل عام منفصل؛ نشر سجل من CSA أو إشعار رسمي سيبيّن من يدخل في النطاق.

ولا يطبق الجزء 3C على الجهة فيما يتعلق بنظام مصنف بالفعل بنية تحتية حرجة للمعلومات مملوكة لمزود أو لطرف ثالث. لذلك فهذا مسار قانوني مستقل عن نظام CII.

يعرف القارئ الآن متى تستحق كل ورقة، لكنه لا يستطيع استنتاج من S 791 وحده أسماء من تلقوا إشعار التعيين. تستطيع CSA نشر أسماء الجهات وفئات الأنظمة مع إبقاء التفاصيل التقنية الحساسة محمية. والسجل التالي الذي سيحسم مدى الشفافية هو إشعار تعيين منشور أو سياسة رسمية تشرح ما ستكشفه الوكالة.