نشرت صحيفة الوقائع الهندية (The Gazette of India) الإخطار القانوني الخاص بـ لوائح هيئة الكهرباء المركزية (الأمن السيبراني في قطاع الطاقة) لعام 2026. ويضع هذا الإطار التنظيمي الإلزامي، الصادر بموجب سلطة قانون الكهرباء لعام 2003، التزامات أمن سيبراني قابلة للتنفيذ قانوناً عبر البنية التحتية لتوليد الكهرباء ونقلها وتوزيعها وإرسال الشبكة في الهند.

تنقل هذه اللائحة قطاع الطاقة الهندي من الامتثال الاستشاري المؤقت إلى إطار عمل أمن سيبراني قابل للتنفيذ والتدقيق وصارم من الناحية التشغيلية. وتشمل الضرورات الرئيسية ما يلي:

• إنشاء أقسام أمن المعلومات (ISD) إلزامية تعمل على مدار الساعة طوال أيام الأسبوع

• عزل فيزيائي ومنطقي صارم لشبكات تكنولوجيا المعلومات (IT) وتكنولوجيا العمليات (OT)

• جداول زمنية إلزامية للإبلاغ عن الحوادث في غضون 6 ساعات

• مساءلة شاملة لموردي سلسلة التوريد (بما في ذلك قائمة المواد BOM)

• تفويضات صارمة لإقامة البيانات (تخزين البيانات التشغيلية الحساسة داخل الهند حصراً)

توفر هذه المقالة تحليلاً موثوقاً، وترجمة تشغيلية، وقائمة مرجعية للامتثال، وإطار عمل للأدلة، وخارطة طريق للتنفيذ مصممة خصيصاً لمدراء أمن المعلومات (CISOs) في قطاع الطاقة، وقادة الأمن السيبراني لتكنولوجيا العمليات (OT)، ورؤساء المحطات، والقيادة التنفيذية.

ما تفعله لوائح الأمن السيبراني لهيئة الكهرباء المركزية (CEA) لعام 2026 فعلياً

تضع لوائح هيئة الكهرباء المركزية (الأمن السيبراني في قطاع الطاقة) لعام 2026 معايير أساسية إلزامية لضمان التشغيل والصيانة الآمنة والمأمونة للمحطات والخطوط الكهربائية عبر الشبكة الوطنية.

الأساس القانوني وأدوار الهيئات المشتركة

• الأساس التنظيمي: تم تشريعه من قِبل هيئة الكهرباء المركزية (CEA) ممارسةً للصلاحيات بموجب القسم 177(1) مقروءاً مع القسم 73(ج) من قانون الكهرباء لعام 2003 (36 لعام 2003)، بعد إجراء مشاورات عامة قانونية وموافقة وزارة الإلكترونيات وتكنولوجيا المعلومات (MeitY).

• هيئة الكهرباء المركزية (CEA): السلطة القانونية التي تصدر اللوائح وتمتلك الصلاحيات لإصدار أوامر القطاعات الفرعية وتخفيف الأحكام في ظل ظروف الصعوبة المحددة (اللائحة 17).

• رئيس أمن المعلومات (CISO) بوزارة الطاقة: يتولى الإشراف القانوني، بما في ذلك صلاحيات طلب تقارير التدقيق، والأمر بإجراء عمليات إعادة تدقيق مستقلة من قِبل أطراف ثالثة أو التحقق من الامتثال على نفقة المنشأة، والتوصية باتخاذ إجراءات قانونية بموجب القسم 142 من قانون الكهرباء لعام 2003، أو قانون تكنولوجيا المعلومات لعام 2000 (اللوائح 14، 15، 16).

• فريق الاستجابة لحوادث أمن الكمبيوتر في قطاع الطاقة (CSIRT-Power): تم تأسيسه من قِبل وزارة الطاقة كذراع ممتد لفريق الاستجابة للطوارئ الحاسوبية الهندي (CERT-In). يعمل فريق CSIRT-Power كوكالة تنسيق مركزية ومحورية للقطاع للإبلاغ، والاستجابة للحوادث، وتحليل التهديدات، والتوجيهات، وأمن سلسلة التوريد، وتقديم المشورة بشأن خطة إدارة الأزمات السيبرانية (CCMP)، وإنشاء منتديات تنسيق الأمن السيبراني المركزية والإقليمية (اللائحة 4).

• فرق CSIRTs للقطاعات الفرعية: هيئات متخصصة تعينها هيئة الكهرباء المركزية (CEA) لمساعدة فريق CSIRT-Power عبر قطاعات التوليد، والنقل، والتوزيع، وعمليات الشبكة (اللائحة 4(4)).

• المركز الوطني لحماية البنية التحتية للمعلومات الحيوية (NCIIPC) وفريق CERT-In: هيئات منسقة لتحديد البنية التحتية للمعلومات الحيوية (CII) (القسم 70 من قانون تكنولوجيا المعلومات لعام 2000)، وإخطارات الأنظمة المحمية، واستخبارات التهديدات، وفحص خطط إدارة الأزمات السيبرانية (CCMPs) (اللوائح 3(1)(ك)، 4(2)، 5(11)، 5(29)).

تحولات جوهرية وهامة في النموذج التنظيمي

• تفويض ملزم قانوناً: يستبدل الإرشادات الطوعية بالتزامات قانونية قابلة للتنفيذ مرتبطة بعقوبات تنظيمية بموجب القسم 142 من قانون الكهرباء لعام 2003.

• توضيح صريح للحدود بين تكنولوجيا المعلومات وتكنولوجيا العمليات: يحدد متطلبات أمنية فريدة لبيئات تكنولوجيا المعلومات وتكنولوجيا العمليات، مع فرض العزل الفيزيائي والمنطقي وعدم وجود اتصال مباشر بالإنترنت لشبكات التحكم.

• المساءلة التنظيمية لسلاسل التوريد: يفرض واجبات امتثال مباشرة على مصنعي المعدات الأصلية (OEMs)، ومدمجي الأنظمة، ومزودي الخدمات السحابية، بما في ذلك الإفصاح الإلزامي عن قائمة المواد (BOM) والمشتريات من المصادر الموثوقة.

• تفويض سيادة البيانات: يفرض أن تقيم جميع البيانات التشغيلية الحساسة، والأنظمة المستضافة على السحابة، والسجلات التاريخية حصرياً داخل الحدود الجغرافية للهند.

  
  

من تشملهم اللائحة؟

نطاق التطبيق مفصل بموجب اللائحة 2:

مصفوفة التطبيق الشاملة

فئة الجهة	النطاق المحدد وشروط العتبة	اللوائح المعمول بها	التوجيهات التنظيمية الرئيسية
التوليد الحراري والمائي والنووي	الجهات التي تبلغ إجمالي قدرتها المركبة .	اللوائح من 1 إلى 17	امتثال كامل عبر نظام التحكم الموزع (DCS)، ونظام سكادا (SCADA)، والمتحكمات المنطقية القابلة للبرمجة (PLCs) في المحطة، وتكنولوجيا المعلومات المتصلة بها.
توليد الطاقة المتجددة	محطات الطاقة الشمسية/الرياح ذات النطاق الخدمي بقدرة إجمالية .	اللوائح من 1 إلى 17	تأمين متحكم محطة الطاقة (PPC)، ونظام سكادا (SCADA)، واتصالات العاكس، والقياس عن بعد إلى مركز إدارة الأحمال في الولاية (SLDC).
أنظمة تخزين الطاقة (ESS)	مرافق أنظمة تخزين الطاقة المستقلة أو الهجينة بقدرة .	اللوائح من 1 إلى 17	عزل متحكم BMS/BESS، وتسجيل الأصول السيبرانية، والأمن الفيزيائي.
محطات التوليد الخاصة (الأسيرة)	محطات توليد الطاقة الصناعية الخاصة بقدرة مركبة .	اللوائح من 1 إلى 17	العزل التام لتكنولوجيا العمليات (OT) في المحطة عن تكنولوجيا معلومات العمليات الصناعية والشبكات الخارجية.
مولدات الطاقة الصغيرة / الخاصة	المحطات التي يبلغ إجمالي قدرتها المركبة .	معفاة من التفويض القانوني	مستحسنة لتبني إرشادات CERT-In "الضوابط الـ 15 الأساسية للدفاع السيبراني للمؤسسات الصغيرة والمتوسطة".
المرخص لهم بالنقل	المرخص لهم بنقل الكهرباء بين الولايات (ISTS) وداخل الولاية (InSTS).	اللوائح من 1 إلى 17	أنظمة أتمتة المحطات الفرعية (SAS)، ومرحلات الحماية، وبوابات الاتصال من المحطة الفرعية SAS إلى مركز SLDC.
المرخص لهم بالتوزيع (Discoms)	جميع مرافق توزيع الكهرباء العامة والخاصة (دون حد أدنى للقدرة).	اللوائح من 1 إلى 17	نظم SCADA/DMS، ونظم المعلومات الجغرافية (GIS)، وأنظمة تجميع البيانات للبنية التحتية المتقدمة للقياس (AMI)، وأتمتة المحطات الفرعية.
مراكز إدارة أحمال الشبكة	مراكز إدارة الأحمال الوطنية (NLDC)، والإقليمية (RLDCs)، ومراكز إدارة الأحمال في الولايات (SLDCs).	اللوائح من 1 إلى 17	عزل نظام إدارة الطاقة (EMS)/نظام سكادا (SCADA)، وتقديم تقارير تعيين رئيس أمن المعلومات (CISO) إلى رئيس الجهة الأم (اللائحة 5(4)).
بورصات الطاقة ومنصات التداول المباشر (OTC)	بورصات تداول الكهرباء المعتمدة ومنصات عقود التداول المباشر (OTC).	اللوائح 1-5، 7-10، 13-17 (معفاة من اللوائح 6، 11، 12)	أمن تكنولوجيا المعلومات لنظام التداول، وقسم أمن معلومات يعمل على مدار الساعة طوال أيام الأسبوع، وحماية CISO المستقلة، وتدقيق التطبيقات العامة.
الموردون ومصنعو المعدات الأصلية ومدمجو الأنظمة	مصنعو المعدات الأصلية (OEMs)، ومدمجو الأنظمة، والمقاولون، ومزودو الخدمات السحابية.	اللائحة 11 (مباشر) واللائحة 5(20)	توفير قائمة المواد (BOM)، والتحديثات الموقعة رقمياً، والإفصاح عن نهاية العمر الافتراضي (EOL)، واتفاقيات مستوى الخدمة (SLAs)، واتفاقيات عدم الإفصاح (NDAs).
التوليد الموزع / المستهلكون المنتجون	موارد التوليد الموزع (DGR ، وأنظمة الطاقة الشمسية على الأسطح، وأنظمة تخزين الطاقة ESS).	اللائحة 12 (التزام المورد)	يجب على الموردين ضمان التشفير، وإقامة البيانات محلياً، والمصادقة المتبادلة.

متى يبدأ الامتثال؟

يحدد الإخطار جداول زمنية محددة فيما يتعلق بالنشر مقابل النفاذ القانوني:

تمييز حاسم: تاريخ الإخطار (31 يوليو 2026) هو تاريخ النشر الرسمي. وتاريخ النفاذ هو 1 أبريل 2027. يجب على شركات الطاقة استغلال الفترة الانتقالية للوصول إلى جاهزية التدقيق.

ما الذي تغير بالنسبة لشركات الطاقة الهندية؟

تضع اللائحة متطلبات صريحة تغير إجراءات التشغيل القياسية عبر الحوكمة، وتكنولوجيا المعلومات، وتكنولوجيا العمليات، وعمليات سلسلة التوريد.

التحول في المتطلبات التشغيلية

التزامات الامتثال الرئيسية

سياسة الأمن السيبراني وخطة إدارة الأزمات السيبرانية (CCMP)

يجب على الجهات الحفاظ على سياسة أمن سيبراني معتمدة من مجلس الإدارة ومتوافقة مع خطة استمرارية الأعمال (BCP)، ومراجعتها سنوياً (اللائحة 5(10)، 8). كما يجب على الجهات وضع خطة لإدارة الأزمات السيبرانية (CCMP) معتمدة من قِبل CERT-In وموافق عليها سنوياً من قِبل مجلس الإدارة (اللائحة 5(11)).

إدارة الأصول وسجل الأصول السيبرانية

يجب على الجهات الاحتفاظ بسجل للأصول السيبرانية يغطي جميع الأجهزة، والبرمجيات، والبرامج الثابتة (firmware)، وإصدارات التحديثات، والملكية، والتكوينات، وتدفقات البيانات، وبنية الشبكة (اللائحة 5(25)). ويجب تحديث السجل سنوياً أو عند إجراء أي تشغيل أو استبدال جديد.

 تقييم المخاطر السيبرانية وإدارة الثغرات الأمنية

يجب تحديث تقييمات المخاطر كل 6 أشهر ومراجعتها رسمياً سنوياً (اللائحة 5(26)). وتعد عمليات تدقيق الأمن السيبراني ما قبل التشغيل، بما في ذلك تقييم الثغرات واختبار الاختراق (VAPT)، إلزامية لجميع الأنظمة الحيوية الجديدة أو المستبدلة (اللائحة 5(27)).

تداعيات تكنولوجيا العمليات (OT) والأنظمة الصناعية (ICS)

تضع اللائحة متطلبات محددة لأنظمة التحكم الصناعية الواقعية (ICS)، ونظم SCADA، وأنظمة التحكم الموزعة (DCS)، والمتحكمات المنطقية القابلة للبرمجة (PLCs)، ووحدات الطرفية البعيدة (RTUs)، والأجهزة الإلكترونية الذكية (IEDs)، وأنظمة أتمتة المحطات الفرعية (SAS).

تطبيق الضوابط لأصول تكنولوجيا العمليات (OT)

• أنظمة DCS / SCADA / EMS / DMS: يجب أن تحافظ مراكز التحكم الرئيسية والاحتياطية على عزل فيزيائي أو منطقي كامل عن شبكات تكنولوجيا المعلومات (اللائحة 6(1)). ويجب أن يستخدم نقل البيانات إلى تكنولوجيا المعلومات بوابات أحادية الاتجاه (ديود البيانات) أو قنوات اتصال منفصلة مخصصة (اللائحة 8(28)).

• المتحكمات PLCs، ووحدات RTUs، وأجهزة IEDs: يجب أن تقيم أجهزة التحكم داخل نطاقات أمنية إلكترونية محددة (ESP) (اللائحة 3(1)(v)، 5(13)). ويُحظر تماماً الاتصال المباشر بالشبكات الخارجية الموجهة أو أجهزة المودم الخاصة بالصيانة.

• محطات العمل الهندسية وأجهزة الكمبيوتر المحمولة: يجب حصر الأصول السيبرانية المؤقتة المستخدمة للبرمجة والمعايرة وفحصها بحثاً عن الثغرات وتقويتها ومنع اتصالها المتزامن بالإنترنت.

• تحديث تكنولوجيا العمليات (OT): يجب أن تكون تحديثات البرمجيات/البرامج الثابتة لأصول تكنولوجيا العمليات موقعة رقمياً من قِبل الشركة المصنعة الأصلية (OEM)، ويتم التحقق منها في بيئة محاكاة/اختبار، وتطبيقها عبر أوضاع غير متصلة بالإنترنت (offline) (اللائحة 6(2)، 8(25)).

الفصل بين تكنولوجيا المعلومات/تكنولوجيا العمليات وأمن الشبكات

تفرض اللائحة 6(1) العزل الفيزيائي لأنظمة تكنولوجيا العمليات (OT) عن الإنترنت وشبكات تكنولوجيا المعلومات.

مسار الامتثال للاتصال المتبادل

إذا كانت العمليات التجارية تتطلب اتصالاً بين تكنولوجيا المعلومات وتكنولوجيا العمليات:

1. تقييم المخاطر: إجراء تقييم رسمي للمخاطر يوضح نواقل التهديد التي يسببها هذا الاتصال المتبادل (اللائحة 6(1)).

2. الموافقة: الحصول على موافقة مسبقة صريحة من رئيس الجهة أو مجلس الإدارة (اللائحة 6(1)).

3. البنية الهيكلية: تطبيق فصل منطقي مقوّى (مثل جدران الحماية المزدوجة، والمناطق منزوعة السلاح DMZs، والبوابات أحادية الاتجاه) (اللوائح 6(1)، 8(28)).

4. جدران حماية تكنولوجيا العمليات (OT): نشر جدران حماية متوافقة مع تكنولوجيا العمليات وقادرة على إجراء فحص عميق للحزم (DPI) للبروتوكولات الصناعية (مثل IEC 60870-5-104، IEC 61850، DNP3، Modbus) (اللائحة 6(2)).

5. التحديثات غير المتصلة بالإنترنت: يجب تطبيق توقيعات جدران الحماية وتحديثات الأمان دون اتصال بالإنترنت (offline) لتجنب اتصالات التحديث المستمرة عبر السحابة ببيئة تكنولوجيا العمليات (اللائحة 6(2)).

6. التسجيل والتدقيق: الاحتفاظ بجميع سجلات الاتصال المتبادل ووثائق الموافقة لفحصها أثناء التدقيق (اللوائح 6(1)، 8(33)).

متطلبات رئيس أمن المعلومات (CISO) والحوكمة

المؤهلات الإلزامية وقواعد الحوكمة (اللائحة 5 و 7)

• حكم الإشراف على مركز إدارة الأحمال (SLDC): إذا كانت جهة مثل مركز إدارة الأحمال في الولاية (SLDC) تعمل كجزء من شركة أم أو شركة قابضة، فيجب تعيين CISO مخصص خصيصاً لتلك الجهة، ويتبع مباشرة لرئيس الشركة الأم/القابضة (اللائحة 5(4)).

وضوح الأصول وتحديد الأنظمة الحيوية

تفرض اللائحة 5(16) و 8(5) عملية منظمة لتحديد وتصنيف الأنظمة إلى أنظمة حيوية وأنظمة غير حيوية:

1. تحليل الأثر: تُصنف الأنظمة التي قد يؤدي عدم توفرها أو تدهور أدائها إلى التأثير سلباً على عمليات الطاقة أو موثوقية الشبكة كأنظمة حيوية (اللائحة 3(1)(ح)،(ط)،(ي)).

2. البنية التحتية للمعلومات الحيوية (CII): يجب تقديم الأنظمة الحيوية المحددة كبنية تحتية للمعلومات الحيوية (CII) بموجب القسم 70 من قانون تكنولوجيا المعلومات لعام 2000 إلى المركز الوطني لحماية البنية التحتية للمعلومات الحيوية (NCIIPC) (اللائحة 5(29)).

3. إخطار النظام المحمي: في غضون 60 يوماً من تحديد NCIIPC للأصل كـ CII، يجب على الجهة مخاطبة الحكومة المختصة للإخطار رسمياً عن الأصل كـ نظام محمي (اللائحة 5(29)).

4. الاستبعاد من البحث العام: يجب ألا تكون أصول CII والأنظمة المحمية قابلة للاكتشاف على المنصات العامة أو محركات البحث ما لم يتم التصريح بذلك تحديداً من قِبل مجلس الإدارة بناءً على الضرورة التشغيلية وتقييم المخاطر (اللائحة 5(30)).

المراقبة والكشف والاستجابة للحوادث

قسم أمن معلومات إلزامي يعمل على مدار الساعة طوال أيام الأسبوع (ISD)

تتطلب اللائحة 5(9) من كل جهة مشمولة باللوائح إنشاء قسم داخلي لأمن المعلومات يعمل على مدار الساعة طوال أيام الأسبوع ويقع داخل الهند. ويجب أن يحمل الموظفون شهادات أمن سيبراني متخصصة في هذا المجال وأن يخضعوا لما لا يقل عن 5 أيام عمل من التدريب المتخصص في قطاع الطاقة سنوياً، مع فترة عمل لا تقل عن 3 سنوات.

الجداول الزمنية الإلزامية للإبلاغ عن الحوادث (اللائحة 7(3)(أ))

  متابعة ما بعد الحادث:

    * مشاركة تحليل السبب الجذري (RCA) وتقرير الإجراءات المتخذة (ATR) مع

      فريق CSIRT-Power وفريق CERT-In (اللائحة 7(3)(ز)).

    * الاحتفاظ بسجلات الحوادث لمدة 180 يوماً قبل الحادث و180 يوماً بعد الحادث

      (الحد الأدنى لإجمالي الاحتفاظ بالبيانات: 365 يوماً) (اللائحة 8(33)).

أمن الموردين وسلسلة التوريد

تفرض اللوائح 5(20)، و 11، و 12 التزامات إلزامية على الموردين من الأطراف الثالثة، ومصنعي المعدات الأصلية (OEMs)، ومقاولي الهندسة والمشتريات والبناء (EPC)، ومزودي الخدمات.

قائمة التحقق لامتثال الموردين

تكنولوجيا العمليات القديمة والمهجورة

يمثل تشغيل الأصول القديمة غير المدعومة (مثل محطات العمل الهندسية التي تعمل بنظام Windows XP/7، ووحدات RTU القديمة، والمتحكمات PLCs غير القابلة للتحديث) تحديات امتثال كبيرة.

النهج التنظيمي للأصول المهجورة (اللائحة 3(1)(ز)، 8(22))

يُعرَّف الأصل المهجور بأنه الأصل الذي أعلنت الشركة المصنعة الأصلية نهاية عمره الافتراضي، ويفتقر إلى الدعم الرسمي، ويشكل مخاطر تشغيلية أو أمنية محتملة.

التدقيق والشهادات والأدلة

دورة التدقيق الإلزامية (اللائحة 5(22)، 13، 14)

• الوتيرة: يجب إجراء عمليات تدقيق شاملة للأمن السيبراني تغطي جميع الأنظمة الحيوية مرة واحدة في السنة المالية.

• الفترة الفاصلة بين عمليات التدقيق: يجب أن تكون الفجوة بين عمليات التدقيق السنوية المتتالية 9 أشهر على الأقل وألا تزيد عن 15 شهراً.

• تدوير المدققين:

  • تدقيق الأمن السيبراني: لا يجوز لأي وكالة أو مدقق فردي إجراء أكثر من تدقيقين سنويين متتاليين لنفس الجهة (اللائحة 5(22)).

  • شهادة ISO/IEC 27001 / الشهادة الفنية: لا يجوز لأي وكالة إجراء أكثر من 3 عمليات تدقيق متتالية للحصول على الشهادة (اللائحة 5(24)).

• الجداول الزمنية لمعالجة الثغرات:

  • النتائج ذات المخاطر الحرجة والعالية: يجب معالجتها بالكامل في غضون شهر واحد من تقديم التقرير (مع تطبيق ضوابط تعويضية على الفور) (اللائحة 13(3)).

  • النتائج ذات المخاطر المتوسطة والمنخفضة: يجب معالجتها في غضون 3 أشهر (اللائحة 13(3)).

  • تقرير الإغلاق: يجب على CISO ضمان تقديم تقرير إغلاق التدقيق النهائي في غضون 6 أشهر من بدء التدقيق (اللائحة 14(1)).

قائمة مرجعية للامتثال لـ CEA 2026

تتيح قائمة المراجعة التشغيلية الشاملة هذه لفرق الأمن تتبع الامتثال لجميع المتطلبات التنظيمية الإلزامية.

قائمة التحقق من جاهزية الأدلة

لتلبية متطلبات التفتيش القانوني وعمليات تدقيق الامتثال الخارجي من قِبل رئيس أمن المعلومات بوزارة الطاقة، يجب على الجهات الاحتفاظ بمستودع منظم يحتوي على المستندات التالية:

خريطة الأدلة الإلزامية

[ الحوكمة والسياسات ]

  * سياسة الأمن السيبراني المعتمدة وقرار مجلس الإدارة (اللائحة 5(10))

  * خطة إدارة الأزمات السيبرانية (CCMP) التي تمت مراجعتها وخطاب CERT-In (اللائحة 5(11))

  * سياسة الاحتفاظ بالبيانات ووثائق سياسة النسخ الاحتياطي (اللائحة 8(18)، (33))

  * أرشيف مستندات الجدول الأول (اللائحة 7(3)(ط))

[ الأفراد والتعيينات ]

  * أوامر التعيين الرسمية لـ CISO و CISO البديل (اللائحة 5(1))

  * سجلات مؤهلات CISO، والإقامة، والجنسية (اللائحة 7(1))

  * سجلات التدريب السنوية (بحد أدنى 5 أيام عمل/سنة لـ CISO وموظفي قسم أمن المعلومات) (اللائحة 5(8)، (9))

[ البنية الهيكلية والأصول ]

  * سجل الأصول السيبرانية وسجل الأنظمة الحيوية (اللائحة 5(25))

  * مخططات بنية الشبكة المعتمدة التي توضح حدود تكنولوجيا المعلومات/تكنولوجيا العمليات (اللائحة 5(25))

  * موافقات مجلس الإدارة للتوصيلات المنطقية لـ IT/OT والعمليات عن بعد (اللائحة 6(1)، (4))

  * مستندات تقديم أصول CII إلى NCIIPC وإخطارات الأنظمة المحمية الحكومية (اللائحة 5(29))

[ السجلات التشغيلية وعمليات التدقيق ]

  * تقارير تدقيق الأمن السيبراني السنوية وتقارير الإغلاق (لآخر 3 سنوات) (اللائحة 8(33))

  * شهادات ISO/IEC 27001 / المعايير الفنية (لآخر 4 سنوات) (اللائحة 8(33))

  * تقارير VAPT ما قبل التشغيل للأصول الحيوية الجديدة (اللائحة 5(27))

  * سجلات النظام وسجلات الحوادث (180 يوماً روتينية؛ 365 يوماً بعد الحادث) (اللائحة 8(33))

  * أوراق توقيع التحقق من الأمن السيبراني لـ FAT / SAT (طوال دورة حياة الأصل كاملة) (اللائحة 8(33))

خارطة طريق التنفيذ

تفاصيل مهام المراحل الرئيسية

إجراءات عاجلة خلال الفترة من 0 إلى 30 يوماً

1. إضفاء الطابع الرسمي على تعيينات CISO و CISO البديل: التحقق من المؤهلات (خبرة 15+ عاماً، شهادة هندسية، الجنسية الهندية/الإقامة) وإصدار أوامر التعيين الرسمية التي تحمي الدور وتخصصه للأمن السيبراني حصرياً (اللوائح 5(1)، 5(6)، 7(1)).

2. نشر تفاصيل الاتصال بـ CISO: نشر معلومات الاتصال بـ CISO/CISO البديل على الموقع الإلكتروني العام وتقديم التفاصيل إلى فريق CSIRT-Power (اللائحة 5(7)).

3. إنشاء سجل أولي للأصول السيبرانية: البدء في اكتشاف الأصول عبر بيئات تكنولوجيا المعلومات وتكنولوجيا العمليات بالمحطة لإنشاء جرد أولي للأجهزة المتصلة (اللائحة 5(25)).

خطة الفترة من 31 إلى 90 يوماً

1. مواءمة السياسات وخطة CCMP: مراجعة ومواءمة سياسة الأمن السيبراني وخطة CCMP مع إرشادات CERT-In وفريق CSIRT-Power؛ وتقديمها لموافقة مجلس الإدارة (اللوائح 5(10)، 5(11)، 8، 9).

2. مراجعة حدود تكنولوجيا المعلومات/تكنولوجيا العمليات (IT/OT): تحديد جميع التوصيلات المباشرة بين تكنولوجيا معلومات الشركة وتكنولوجيا عمليات المحطة؛ وعزل التوصيلات غير المصرح بها أو صياغة مبررات رسمية لتقييم المخاطر للحصول على موافقة مجلس الإدارة عليها (اللائحة 6(1)).

3. إخطار NCIIPC: تجميع قوائم الأصول الحيوية وتقديم وثائق تحديد أصول CII إلى NCIIPC (اللائحة 5(29)).

خطة الفترة من 3 إلى 6 أشهر

1. تشغيل قسم أمن معلومات (ISD) على مدار الساعة طوال أيام الأسبوع: إنشاء أو ترقية قسم أمن المعلومات الذي يعمل على مدار الساعة داخل الهند، وضمان وجود موظفين معتمدين وجداول تدريب (اللائحة 5(9)).

2. ملاحق العقود مع الموردين وفرض قائمة المواد (BOM): إصدار ملاحق عقود رسمية لمصنعي المعدات الأصلية والموردين الرئيسيين تطالب بالامتثال للائحة 11 (قائمة المواد BOM، والتحديثات الموقعة رقمياً، وخطط الاستعادة).

3. التسجيل وتقوية النطاق الأمني الإلكتروني (ESP): تفعيل تسجيل الأحداث على جميع جدران حماية النطاق الأمني الإلكتروني وتهيئة جلب السجلات إلى منصة SIEM مركزية (اللوائح 5(13)، 5(37)).

خطة الفترة من 6 إلى 12 شهراً

1. تمارين سيبرانية نصف سنوية: إجراء تدريبات وهمية منظمة ومحاكاة للأزمات (اللائحة 5(18)، 10(2)).

2. تدقيق الأمن السيبراني السنوي: التعاقد مع وكالة تدقيق معتمدة من قِبل CERT-In لإجراء تدقيق سنوي شامل للأمن السيبراني عبر جميع الأنظمة الحيوية (اللائحة 5(22)، 13).

3. نشر مزامنة الوقت: نشر ساعات توقيت مرجعية أرضية مستقلة أو قائمة على الأقمار الصناعية الهندية (NavIC) لبيئات تكنولوجيا العمليات (اللائحة 5(32)، 8(27)).

خطة الجاهزية قبل 1 أبريل 2027

1. معالجة نتائج التدقيق وإغلاقه: إكمال معالجة جميع نتائج التدقيق المحددة وتقديم تقرير إغلاق التدقيق (اللائحة 13(3)، 14(1)).

2. التدقيق الذاتي الرسمي: إجراء تدقيق ذاتي سنوي بموجب اللائحة 15 وتقديم نتائج الامتثال إلى مجلس الإدارة.

3. التحقق النهائي من مستودع الأدلة: التحقق من أرشفة جميع مستندات الجدول الأول، والسجلات، وملفات الأدلة وإمكانية الوصول إليها لأي تفتيش محتمل من قِبل وزارة الطاقة.

خارطة طريق الامتثال للفترة من 12 إلى 24 شهراً

ملاحظة حول مواءمة الأطر: في حين يمكن لشركات الطاقة الاستفادة من أطر الأمن السيبراني العالمية القائمة (مثل معيار IEC 62443 لأمن الأنظمة الصناعية وتكنولوجيا العمليات، ومعيار ISO/IEC 27001 لنظام إدارة أمن المعلومات، ومعيار NIST SP 800-82، وإطار عمل MITRE ATT&CK لأنظمة التحكم الصناعية) لهيكلة الضوابط الفنية، فإن التحقق من الامتثال يتحدد بدقة بموجب أحكام لوائح CEA لعام 2026.

نموذج نضج الأمن السيبراني لهيئة الكهرباء المركزية (CEA)

يمكن للجهات تقييم مستوى امتثالها مقارنة بإطار النضج المكون من 5 مستويات هذا:

طيف الامتثال لـ CEA

المستوى 1: تفاعلي     -> أمن غير رسمي؛ أصول تكنولوجيا عمليات غير محددة؛ روابط مشتركة بين IT/OT.

  المستوى 2: ممتثل    -> امتثال أساسي لـ CEA؛ تعيين CISO؛ إبلاغ خلال 6 ساعات.

  المستوى 3: مُدار      -> قسم ISD يعمل على مدار الساعة طوال أيام الأسبوع؛ فصل فيزيائي لـ IT/OT؛ سجلات SIEM.

  المستوى 4: مرن    -> كشف التهديدات بفحص DPI لتكنولوجيا العمليات؛ تتبع قائمة المواد BOM؛ تدريبات مؤتمتة.

  المستوى 5: متقدم     -> استخبارات التهديدات اللحظية؛ وصول إلى تكنولوجيا العمليات قائم على ثقة صفرية.

تفاصيل ملف النضج

أهم 25 إجراءً لمدراء أمن المعلومات (CISOs) في قطاع الطاقة

أسئلة يجب على كل CISO في قطاع الطاقة طرحها

لتقييم الجاهزية التشغيلية، يجب على مدراء أمن المعلومات (CISOs) طرح هذه الأسئلة العملية الـ 20 على فرق الهندسة، وتكنولوجيا المعلومات، وتكنولوجيا العمليات، والقيادة:

1. وضوح الأصول: هل يمكننا إنتاج سجل كامل للأصول السيبرانية يوضح الأجهزة ونظام التشغيل وإصدار البرنامج الثابت ومستوى التحديث النشط لكل وحدة تحكم في منشآتنا؟

2. الفصل بين تكنولوجيا المعلومات وتكنولوجيا العمليات (IT/OT): هل يمكن الوصول مباشرة إلى أي من أجهزة الـ PLCs، أو وحدات الـ RTUs، أو متحكمات DCS، أو محطات العمل الهندسية من شبكة تكنولوجيا المعلومات الخاصة بالشركة أو الإنترنت؟

3. التوصيلات المعتمدة من مجلس الإدارة: هل نحتفظ بقرارات موافقة رسمية من مجلس الإدارة وتقييمات مخاطر موثقة لكل اتصال منطقي بين تكنولوجيا المعلومات وتكنولوجيا العمليات؟

4. تدقيق الوصول عن بعد: هل يمكننا تقديم سجلات مصادقة MFA، وموافقات الـ CISO، وتسجيلات الجلسات لكل جلسة وصول عن بعد تم إنشاؤها إلى شبكة تكنولوجيا العمليات الخاصة بنا على مدار الـ 12 شهراً الماضية؟

5. تشغيل تكنولوجيا العمليات عن بعد: هل يتم إجراء أي عمليات لتوليد الطاقة أو تحويل الشبكة عن بعد عبر قنوات الإنترنت العامة؟

6. سرعة تصعيد الحوادث: هل تضمن سير عمل مركز العمليات الأمنية (SOC) لدينا تصعيد الحادث الأمني الخاص بتكنولوجيا العمليات وإبلاغه رسمياً إلى فريق CSIRT-Power وفريق CERT-In في غضون 6 ساعات من اكتشافه؟

7. إقامة البيانات السحابية: هل يتم استضافة أي سجلات تشغيلية للقياس عن بعد، أو نسخ احتياطية تاريخية لنظام سكادا، أو بيانات مؤسسية حساسة على بنية تحتية سحابية تقع خارج الهند؟

8. مزامنة وقت المحطة الفرعية: كيف تتم مزامنة مرحلات الحماية وبوابات SAS، وهل يمكن لمصدر الوقت لدينا العمل بشكل مستقل في حال فقدان الاتصال بالإنترنت؟

9. قائمة مواد سلسلة التوريد (BOM): هل تتطلب عقود الشراء الحالية لدينا من مصنعي المعدات الأصلية (OEMs) توفير قائمة مواد برمجية مفصلة (BOM) لأنظمة التحكم الرقمية الجديدة؟

10. اختبار VAPT ما قبل التشغيل: هل اختبار VAPT ما قبل التشغيل إلزامي في سير عمل الموافقة على مشاريعنا قبل إدخال المحطات الفرعية أو وحدات التوليد الجديدة الخدمة على الشبكة؟

11. تتبع تدوير المدققين: هل استعنا بنفس شركة تدقيق الأمن السيبراني أو نفس المدقق الفردي لأكثر من تدقيقين سنويين متتاليين؟

12. إنفاذ اتفاقية مستوى الخدمة للتدقيق: هل فرقنا الفنية قادرة على معالجة نتائج التدقيق ذات المخاطر الحرجة والعالية في غضون 30 يوماً من استلام التقرير؟

13. خطة CCMP المعتمدة والمفحوصة: هل تمت مراجعة وفحص خطة إدارة الأزمات السيبرانية الخاصة بنا رسمياً من قِبل CERT-In خلال الـ 12 شهراً الماضية؟

14. قسم أمني محلي يعمل على مدار الساعة طوال أيام الأسبوع (ISD): هل يقع قسم أمن المعلومات لدينا المخصص للعمل على مدار الساعة في الهند فيزيائياً، وهل يستوفي جميع الموظفين قاعدة التدريب الإلزامي للأمن السيبراني للطاقة المتمثل في 5 أيام عمل لكل فرد؟

15. إيقاف الأصول القديمة: هل نحتفظ بخطة موثقة لإيقاف التشغيل التدريجي وضوابط تعويضية نشطة لأنظمة التشغيل القديمة غير المدعومة وأجهزة التحكم التي انتهى عمرها الافتراضي؟

16. قابلية الاكتشاف العام: هل تم فهرسة أي من أنظمتنا المحمية، أو بوابات سكادا الإلكترونية، أو واجهات التحكم الداخلية لدينا أو جعلها قابلة للاكتشاف على المنصات العامة؟

17. مخاطر موظفي الموردين: هل نقوم بإجراء تقييمات رسمية للمخاطر الشخصية ونطلب تعهدات موقعة قبل السماح لمهندسي الموردين من الأطراف الثالثة بالوصول الفيزيائي أو السيبراني إلى الأنظمة الحيوية؟

18. التحقق من التحديثات دون اتصال بالإنترنت: هل يتم اختبار تحديثات البرامج والرقع الأمنية لبيئات تكنولوجيا العمليات لدينا في بيئة محاكاة وتطبيقها حصرياً دون اتصال بالإنترنت؟

19. اختبار استعادة النسخ الاحتياطية: هل قمنا باختبار فيزيائي لاستعادة أنظمة تكنولوجيا العمليات الحيوية من النسخ الاحتياطية غير المتصلة بالإنترنت خلال الـ 12 شهراً الماضية للتحقق من أهداف وقت الاستعادة؟

20. الامتثال لمستندات الجدول الأول: هل نحتفظ بأرشيف يحتوي على جميع أنواع المستندات الإلزامية الـ 12 المحددة في الجدول الأول من لوائح CEA لعام 2026؟

تضع لوائح هيئة الكهرباء المركزية (الأمن السيبراني في قطاع الطاقة) لعام 2026 معايير أمن سيبراني إلزامية لشبكة الطاقة الهندية. ومن خلال استبدال التوصيات الطوعية بالتزامات قانونية، تضع اللائحة المساءلة القانونية عن أمن الشبكة.

يتطلب الامتثال معالجة متطلبات تشغيلية رئيسية:

• فصل شبكات تكنولوجيا العمليات (OT) عن الشبكات العامة وتأمين توصيلات تكنولوجيا المعلومات اللازمة

• إنشاء مراقبة أمنية على مدار الساعة طوال أيام الأسبوع تقع محلياً داخل الدولة

• إضفاء الطابع الرسمي على إفصاحات سلسلة توريد الموردين وتتبع قائمة المواد BOM

• فرض مسارات عمل صارمة لتصعيد الحوادث في غضون 6 ساعات

• الاحتفاظ بمستودعات أدلة كاملة وقابلة للتدقيق

يجب على المؤسسات العاملة في قطاع الطاقة استغلال الفترة الانتقالية التي تسبق 1 أبريل 2027 لإجراء تحليلات الفجوات، وتنفيذ المعالجة الفنية، ومواءمة عملياتها مع هذه المتطلبات القانونية.

احجز جلسة إيجاز مجانية حول الامتثال لإرشادات الأمن السيبراني الجديدة لهيئة الكهرباء المركزية (CEA) هنا.

قم بتنزيل قائمة مراجعة شاملة للامتثال لهيئة CEA هنا.