إذا كنت تعيش في الاتحاد الأوروبي، فهناك ثلاثة قوانين تحدد مدى سرعة اضطرار الشركة إلى الاعتراف بأنها تعرضت للاختراق. تُلقي مقارنة أجريت في 2026 بين NIS2 وDORA وGDPR نظرة على النطاق، ومواعيد الإبلاغ عن الحوادث خلال 24 ساعة و72 ساعة، والغرامات في نطاق يتراوح من 10 ملايين يورو إلى 20 مليون يورو، وأي الدول الأعضاء كانت قد اتخذت إجراءات بحلول نوفمبر 2026. تترجم هذه المقالة ذلك إلى لغة مبسطة. الخلاصة القصيرة لـ الإبلاغ عن الخروقات في NIS2 وDORA وGDPR: المواعيد ضيقة، والعقوبات كبيرة، والقواعد لا تُطبَّق بالطريقة نفسها في كل بلد.
ما تعنيه مواعيد الإبلاغ عن الخروقات في NIS2 وDORA وGDPR فعلياً
الرقمان البارزان في المقارنة هما 24 ساعة و72 ساعة. فهما مواعيد نهائية تبدأ عند علم المنظمة بحادث جسيم. وليست وعوداً بأنه سيُبلَّغ إليك خلال يوم أو ثلاثة.
من الناحية العملية، تتعلق هذه المواعيد أساساً بإبلاغ الشركة إلى جهة تنظيمية أو سلطة إشرافية. ويتيح ذلك التقرير المبكر للمسؤولين رؤية ما إذا كان الهجوم يصيب عدة منظمات في آن واحد. ويعني الموعد الأول الأقصر (24 ساعة) عموماً إشعاراً مبكراً، بينما يترك الموعد الأطول (72 ساعة) وقتاً لصورة أشمل لما حدث. ولا تفصّل المقارنة المصدرية كل تفاصيل كيفية تخصيص كل قانون لمواعيده، لذا راجع النص الرسمي لكل لائحة أو سلطتك الوطنية للحصول على الصياغة الدقيقة.
كما تغطي القوانين الثلاثة مجالات مختلفة:
- GDPR يتعلق بالبيانات الشخصية، وينطبق على المنظمات التي تتعامل مع بيانات الأشخاص في الاتحاد الأوروبي.
- NIS2 يتعلق بأمن شبكات وأنظمة المعلومات في القطاعات التي تُعدّ مهمة للمجتمع.
- DORA يتعلق بالمرونة التشغيلية الرقمية في القطاع المالي.
وبسبب هذا التداخل، يمكن لحادث واحد أن يستدعي أكثر من قانون في الوقت نفسه. فالهجوم السيبراني على شركة مالية يكشف بيانات العملاء قد يثير أسئلة بموجب القوانين الثلاثة جميعها.
متى يجب على الشركة إبلاغك عن خرق: ماذا يعني ذلك بالنسبة لك
هنا تحتاج التوقعات إلى تعديل. فالموعد النهائي البالغ 24 ساعة أو 72 ساعة لا يعني أن بريدك الوارد سيضيء في اليوم التالي. فالتقرير الأول يذهب عادة إلى السلطات، ويُعدّ إخطار الأفراد المتأثرين خطوة منفصلة لها شروطها الخاصة. وتلك الشروط تعتمد على القانون المعني وعلى مدى خطورة المخاطر التي تتعرض لها.
وما يمكنك استنتاجه بشكل معقول من الإطار:
- الجهات التنظيمية تسمع أولاً. توقّع أن ينطبق الموعد الرسمي على التقرير المقدَّم إلى السلطة، لا على إعلان عام.
- الإشعارات المبكرة قد تكون ناقصة. قد يغفل التقرير الأول القصير السبب أو الحجم أو ما إذا كانت بياناتك متورطة.
- حقوقك تأتي أساساً من GDPR. فهو القانون المتمحور حول البيانات الشخصية، لذا هو ما ينبغي أن تنظر إليه عندما تريد معرفة ما يحق لك سماعه.
- القطاع مهم. إذا تعرض بنكك أو مزوّد مدفوعات أو خدمة أساسية لهجوم، فقد تنطبق التزامات NIS2 أو DORA إضافة إلى GDPR.
لا شيء من هذا يغني عن حذرك الشخصي. فحتى نظام الإبلاغ المُدار جيداً يترك فجوة بين الحادث وإخطارك، لذا من المفيد تغيير كلمات المرور، وتفعيل المصادقة متعددة العوامل، ومراقبة حساباتك بحثاً عن نشاط غير عادي بمجرد أن تسمع عن خرق.
كيف تُقارَن غرامات NIS2 وDORA وGDPR
تُصوّر المقارنة العقوبات كنطاق يمتد من 10 ملايين يورو إلى 20 مليون يورو. ويشير ذلك النطاق إلى مدى جدية تعامل المشرّعين مع المواعيد الفائتة والأمن الضعيف. فالإخفاق في الإبلاغ في الوقت المحدد هو بحد ذاته إخلال بالامتثال، منفصل عن الخرق نفسه.
وهناك تحفّظ بشأن الدقة. يقدّم ملخص المصدر النطاق الإجمالي لكن دون تفصيل سطراً بسطر يبيّن أي قانون يحدد أي رقم. ولن نخمّن المبالغ الخاصة بكل قانون، لأن هياكل العقوبات قد تتضمن حدوداً قصوى مختلفة ونسباً من حجم الأعمال وخيارات تنفيذ وطنية. وبالنسبة لـ DORA على وجه الخصوص، قد تعتمد التفاصيل على كيفية تحديد كل دولة عضو لعقوباتها. وإذا كنت بحاجة إلى أرقام دقيقة لقانون معين، فاقرأ اللائحة نفسها أو إرشادات سلطتك الوطنية.
ما يخبرك به النطاق هو أن الجهات التنظيمية تملك نفوذاً حقيقياً. وبالنسبة للشركات التي عليها الوفاء بعدة التزامات متداخلة، فإن حادثاً يُدار بشكل سيئ يمكن أن يخلق أكثر من مشكلة امتثال في آن واحد.
كيف تتحقق مما إذا كانت دولتك في الاتحاد الأوروبي قد سنّت NIS2 وDORA
تتابع المقارنة أيضاً أي دول الاتحاد الأوروبي كانت قد اتخذت إجراءات بحلول نوفمبر 2026، وهو تذكير بأن قواعد الاتحاد الأوروبي لا تسري دائماً في كل مكان في الوقت نفسه. فـ NIS2 توجيه، ما يعني أن على كل دولة عضو تحويله إلى قانون وطني، وقد يختلف التقدم من بلد إلى آخر. وطرق عملية للتحقق من وضع بلدك:
- ابحث في سلطة الأمن السيبراني الحكومية لديك. فهي عادة تنشر حالة التشريع الوطني لـ NIS2 وتُدرج من يجب عليه التسجيل أو الإبلاغ.
- انظر إلى هيئة تنظيم القطاع المالي لديك. بالنسبة لـ DORA، تُعدّ الجهة الإشرافية المالية الوطنية أفضل مصدر لكيفية تطبيق القواعد على البنوك وشركات التأمين وشركات المدفوعات.
- تحقق من سلطة حماية البيانات لديك. بالنسبة لـ GDPR، فهي تشرح كيفية تقديم شكوى وما حقوق الإخطار التي تتمتع بها.
- اقرأ النصوص الرسمية للاتحاد الأوروبي. فاللوائح والتوجيهات نفسها هي الكلمة الفصل في المواعيد والنطاق.
وإذا كانت دولتك بطيئة، فإن ذلك لا يلغي GDPR. فقد سري عبر الاتحاد الأوروبي لسنوات، ويبقى أداتك الأكثر مباشرة عندما تُكشف البيانات الشخصية.
النقاط الرئيسية
يتلخص فهم الإبلاغ عن الخروقات في NIS2 وDORA وGDPR في بضع نقاط: مواعيد الـ24 ساعة والـ72 ساعة تحكم أساساً التقارير المقدَّمة إلى الجهات التنظيمية، والغرامات كبيرة، والاعتماد الوطني متفاوت. خصّص بضع دقائق هذا الأسبوع للبحث عن وضع NIS2 وDORA في بلدك، وراجع حقوقك بموجب GDPR في أن تُبلَّغ وتقدّم شكوى إلى سلطة حماية البيانات لديك.
إذا كنت تريد أن ترى كيف يتعامل نظام غير أوروبي مع أسئلة مماثلة، فاقرأ تغطيتنا لـ مشروع قانون المرونة السيبرانية البريطاني، الذي يسحب البنية التحتية الحيوية إلى إطار وطني رسمي ويتناول واجبات الإبلاغ عن الحوادث الخاصة به. ومقارنته بالنهج الأوروبي تُظهر كيف تتقارب حكومات مختلفة نحو كشف أسرع وأكثر تنظيماً عن الخروقات.
