المتطلبات الأساسية المفروضة بموجب لوائح الأمن السيبراني لقطاع الطاقة الصادرة عن هيئة الكهرباء المركزية (CEA) لعام 2026

الصفحة الرئيسية

مدونات

المتطلبات الأساسية المفروضة بموجب لوائح الأمن السيبراني لقطاع الطاقة الصادرة عن هيئة الكهرباء المركزية (CEA) لعام 2026

برايوكت كيه في

13 أغسطس 2026

استمراراً لتغطيتنا المتعمقة للوائح الهيئة المركزية للكهرباء (الأمن السيبراني في قطاع الطاقة) لعام 2026، نستعرض في منشور اليوم بعض المتطلبات الرئيسية التي تفرضها هذه اللائحة.

تم تلخيص المتطلبات الواردة أدناه من اللوائح النهائية للهيئة المركزية للكهرباء (CEA) بشأن الأمن السيبراني في قطاع الطاقة لعام 2026. تم تكثيف العناوين والنصوص التوضيحية لسهولة القراءة؛ ويجب على القراء الرجوع إلى اللوائح المنشورة للحصول على الصياغة الرسمية المعتمدة.

تنص اللوائح على ما يلي:

تاريخ البدء العام للنفاذ: 1 أبريل 2027

ومع ذلك، فإن اللوائح 5(9)، و5(24)، و5(33)، و5(39)، و6(2)، و6(7) ستدخل حيز التنفيذ في تواريخ تحددها الهيئة المركزية للكهرباء (CEA) بشكل منفصل بعد الحصول على موافقة مسبقة من الحكومة المركزية.

نطاق ومدى التطبيق:

(1) تسري هذه اللوائح على:

(أ) جميع الكيانات التي تمتلك أو تشغل أو تدير بنية تحتية للتكنولوجيا التشغيلية (OT) مرتبطة بنظام الطاقة المترابط، وبنيتها التحتية لتكنولوجيا المعلومات (IT) المتصلة مادياً أو منطقياً ببنية التكنولوجيا التشغيلية المذكورة، وذلك لبنيتها التحتية الحالية والمستقبلية على حد سواء:

شريطة أنه فيما يتعلق بشركات التوليد، ومحطات التوليد الخاصة، والمؤسسات التي تمتلك نظام تخزين الطاقة، فإن هذه اللوائح تسري فقط عندما تكون القدرة المركبة لهذه الكيانات 50 ميجاوات أو أكثر:

وشريطة أيضاً أنه يُشجع الكيانات التي تقل قدرتها المركبة عن 50 ميجاوات على تنفيذ أدوات التحكم الأساسية الدنيا للأمن السيبراني الموضحة في وثيقة "15 أداة تحكم أساسية للدفاع السيبراني للمؤسسات المتناهية الصغر والصغيرة والمتوسطة" الصادرة عن الفريق الهندي للاستجابة لطوارئ الكمبيوتر (CERT-In)؛

(ب) بورصات الطاقة ومنصات التداول المباشر (خارج البورصة)، باستثناء اللوائح 6 و11 و12.
(2) يجب على المورد الامتثال للائحتين 11 و12 من هذه اللوائح حسب الاقتضاء.

المجالات المحددة وبنود العمل

المتطلبات المتعلقة بمسؤول أمن المعلومات (CISO) ومسؤول أمن المعلومات البديل:

موظفون دائمون على مستوى الإدارة العليا
يرفع مسؤول أمن المعلومات تقاريره مباشرة إلى رئيس الكيان
تعيين مسؤول أمن المعلومات لفترة لا تقل عن 3 سنوات
يقتصر دور مسؤول أمن المعلومات على وظائف الأمن السيبراني
إتاحة تفاصيل الاتصال بمسؤول أمن المعلومات/مسؤول أمن المعلومات البديل للعامة
يجب على مسؤول أمن المعلومات الخضوع لتدريب في الأمن السيبراني لمدة لا تقل عن 5 أيام عمل في السنة المالية الواحدة
يجب أن يكون مسؤول أمن المعلومات مواطناً هندياً ومقيماً في الهند
يتم تحديد المؤهلات/الخبرات الإضافية في اللائحة 7.

تتطلب اللائحة 5(9) وجود قسم مخصص لأمن المعلومات (ISD) يرأسه مسؤول أمن المعلومات (CISO) ويعمل على مدار الساعة 24×7، مع توفير:

طاقم عمل كافٍ ملائم
شهادة أمن سيبراني صالحة ومتخصصة في هذا المجال لموظفي قسم أمن المعلومات
ما لا يقل عن 5 أيام عمل من التدريب على الأمن السيبراني في قطاع الطاقة لكل سنة مالية
فترة عمل للموظفين لا تقل عن 3 سنوات

ومع ذلك، يعد هذا أحد الأحكام التي سيتم الإعلان عن تاريخ بدء العمل بها بشكل منفصل.

المجال	بند العمل
التوعية والتدريب	إجراء برنامج التوعية بالأمن السيبراني وتمارين الأمن السيبراني بما في ذلك المحاكاة التدريبية والتمارين المكتبية، مرة واحدة على الأقل كل ستة أشهر؛
تخزين البيانات وإقامتها	ضمان تخزين المعلومات والبيانات الحساسة، بما في ذلك البيانات والمعلومات المستضافة على السحابة وكذلك البيانات والمعلومات التاريخية، في بيئة مشفرة وآمنة ومحمية وأن تقيم داخل حدود الهند فقط؛
اتفاقيات الموردين	تضمين جميع متطلبات الأمن السيبراني وقواعد ولوائح الأمن السيبراني المعمول بها والصادرة عن الحكومة المركزية واتفاقية عدم الإفصاح في اتفاقية مستوى الخدمة (SLA) مع الموردين، كما هو محدد في سياسة الأمن السيبراني،
النسخ الاحتياطي	ضمان إجراء نسخ احتياطي متصل وغير متصل بالإنترنت لجميع الأنظمة الحساسة في بيئة منفصلة وآمنة ومحمية كما هو محدد في سياسة الأمن السيبراني؛
تدقيق التهديدات والمخاطر	تسهيل إجراء تدقيق شامل للأمن السيبراني يشمل جميع الأنظمة الحساسة، كما هو محدد في اللائحة 13، مرة واحدة على الأقل في كل سنة مالية، على أن تكون الفترة الفاصلة بين أي تدقيقين متتاليين للأمن السيبراني تسعة أشهر كحد أدنى وخمسة عشر شهراً كحد أقصى. ضمان إجراء تدقيق الأمن السيبراني، بما في ذلك تقييم الثغرات الأمنية واختبار الاختراق، قبل تشغيل أي نظام حساس جديد، بما في ذلك استبدال مثل هذه الأنظمة، وإدارة الثغرات والمخاطر للأنظمة الحساسة وفقاً للآلية المحددة في سياسة الأمن السيبراني. لا يجوز إجراء ثلاثة عمليات تدقيق متتالية من قبل نفس مؤسسة أو موظفي التدقيق.
سجل الأصول	الاحتفاظ بسجل الأصول- (أ) لجميع الأصول السيبرانية مع التفاصيل المطلوبة بما في ذلك الملكية، والأجهزة، والبرامج الثابتة، والبرمجيات، والتحديثات وفقاً للإجراءات المحددة في سياسة الأمن السيبراني؛ (ب) تسجيل تفاصيل جميع الأنظمة الحساسة مع التفاصيل المطلوبة بما في ذلك تكوينها، والأجهزة، والبرمجيات، وبنية الشبكة التي توضح تدفقات البيانات وبروتوكولات الاتصال المستخدمة فيها: شريطة أن تتم مراجعة وتحديث هذا السجل مرة واحدة على الأقل في كل سنة مالية أو عند تشغيل أي أصول سيبرانية أو أنظمة حساسة جديدة بما في ذلك استبدالها، أيهما أقرب؛
خطة تقييم المخاطر السيبرانية والحد منها	الاحتفاظ بخطة تقييم المخاطر السيبرانية والحد منها لجميع الأصول المفصلة في سجل الأصول السيبرانية، وفقاً للإجراءات المحددة في سياسة الأمن السيبراني: شريطة أن يتم تحديث خطة تقييم المخاطر السيبرانية والحد منها مرة واحدة على الأقل كل ستة أشهر ومراجعتها مرة واحدة على الأقل في كل سنة مالية، ويتم تنفيذ خطة تقييم المخاطر السيبرانية والحد منها المذكورة لإدارة الثغرات والتهديدات والمخاطر المرتبطة بها؛
تشغيل المعدات الجديدة	تقديم المعلومات ذات الصلة، بما في ذلك تفاصيل النظام ووظائفه، لجميع الأنظمة الحساسة الجديدة التي تم تشغيلها بما في ذلك تلك التي تم استبدالها، وفقاً لسجل الأصول المرتبط بالأنظمة الحساسة، إلى فريق الاستجابة لحوادث الأمن الكمبيوتري في قطاع الطاقة (CSIRT-Power) خلال ثلاثين يوماً من هذا التشغيل أو الاستبدال؛
تحديد البنية التحتية للمعلومات الحساسة (CII)	تقديم المعلومات ذات الصلة إلى المركز الوطني لحماية البنية التحتية للمعلومات الحساسة (NCIIPC) لتحديد البنية التحتية للمعلومات الحساسة. علاوة على ذلك، في غضون ستين يوماً من تحديد الأصل كبنية تحتية للمعلومات الحساسة من قبل المركز الوطني لحماية البنية التحتية للمعلومات الحساسة، يجب على الكيان التواصل مع الحكومة المختصة للإعلان عن هذا الأصل كنظام محمي؛
إمكانية الوصول إلى البنية التحتية للمعلومات الحساسة من الشبكات الخارجية	ضمان عدم إمكانية اكتشاف البنية التحتية للمعلومات الحساسة والنظام المحمي على المنصات العامة ما لم يتم اعتماد ذلك من قبل رئيس أو مجلس إدارة الكيان، حسب الاقتضاء، بناءً على متطلبات العمل والأهمية الحيوية وتقييم مخاطر هذا النظام
اختبار قبول المصنع (FAT) واختبار قبول الموقع (SAT)	ضمان أن تتضمن عملية الشراء إلزامياً اختبار قبول المصنع واختبار قبول الموقع بما في ذلك اختبار متطلبات الأمن السيبراني
تدريب موظفي الموردين	ضمان خضوع جميع الموظفين، بما في ذلك الموظفين الذين يستعين بهم الموردون في العمليات اليومية وصيانة جميع الأنظمة الحساسة، إلزامياً لدورات الأمن السيبراني المخصصة والمتعلقة بقطاع الطاقة؛
الفصل المادي عن الشبكات المتصلة بالأنظمة الحساسة	ضمان فصل الأنظمة والشبكات والتطبيقات المرتبطة بالأمن المادي للأنظمة الحساسة مادياً عن شبكة هذه الأنظمة الحساسة: شريطة أنه في حال عدم جدوى هذا الفصل المادي، وبموافقة رئيس الكيان، يتم فصل الأنظمة والشبكات والتطبيقات المعنية منطقياً عن شبكات هذه الأنظمة الحساسة؛
الاستجابة للحوادث والتعافي منها	الاحتفاظ بخطة الاستجابة للحوادث والتعافي منها، كما هو محدد في سياسة الأمن السيبراني، للتعافي من الحوادث السيبرانية واستئناف العمليات العادية في أقرب وقت ممكن: شريطة مراجعة هذه الخطة وتحديثها مرة واحدة على الأقل كل ستة أشهر
المراقبة	توفير المراقبة والمتابعة المستمرة لأنظمة تكنولوجيا المعلومات وأنظمة التكنولوجيا التشغيلية، حسب الاقتضاء، لتحديد التهديدات والثغرات الأمنية وتقديم الاستجابة للحوادث ودعم المعالجة الخاصة بها
سجلات أجهزة الأمن	ضمان تمكين سجلات جميع الأجهزة الأمنية المنشورة عند المحيط الأمني الإلكتروني لتسجيل تبادل البيانات والمعلومات المتدفقة عبر هذه الأجهزة؛
مراجعة السياسات	ضمان المراجعة والتحديث المنتظم، مرة واحدة على الأقل في السنة، للقواعد والسياسات الخاصة بأجهزة أمن المحيط؛
المشتريات	ضمان شراء معدات وخدمات تكنولوجيا المعلومات من مصادر موثوقة، وفقاً للأوامر أو التوجيهات أو الإرشادات الصادرة عن الحكومة المركزية من وقت لآخر
الكشف عن الثغرات والحوادث	توفير برامج منظمة للكشف عن الثغرات الأمنية وإدارتها مع الموردين وفريق الاستجابة لحوادث الأمن الكمبيوتري. الاحتفاظ بسجل لتدوين جميع حوادث الأمن السيبراني مع التفاصيل ذات الصلة، وفقاً للنموذج المعتمد من قبل فريق الاستجابة لحوادث الأمن الكمبيوتري في قطاع الطاقة - Power
متطلبات إضافية لمشغلي التكنولوجيا التشغيلية (OT)
العزل المادي	ضمان العزل المادي لنظام التكنولوجيا التشغيلية عن الإنترنت وكذلك عن نظام تكنولوجيا المعلومات. شريطة أنه في حال عدم إمكانية هذا العزل عن نظام تكنولوجيا المعلومات بسبب متطلبات العمل، يجوز السماح بهذا الربط البيني بين تكنولوجيا المعلومات والتكنولوجيا التشغيلية، وفقاً للإجراءات المحددة في سياسة الأمن السيبراني، مع وجود فصل منطقي معزز ومناسب بين نظام التكنولوجيا التشغيلية ونظام تكنولوجيا المعلومات، بناءً على تقييم مخاطر هذا الربط البيني وموافقة رئيس أو مجلس إدارة الكيان، حسب الاقتضاء. وشريطة أيضاً أن تتم مراقبة هذا الربط البيني بشكل مستمر للكشف عن الأنشطة الضارة واتخاذ التدابير التصحيحية بشأنها: وشريطة أيضاً أن يتم الاحتفاظ بهذه الموافقة والسجلات المرتبطة بهذا الربط البيني لفترة كما هو محدد في سياسة الاحتفاظ بالبيانات؛
أمن المحيط	ضمان نشر أجهزة أمن سيبراني مناسبة على مستوى المحيط بما في ذلك جدار الحماية عند نقطة الربط البيني لنظام التكنولوجيا التشغيلية مع نظام الاتصالات الخاص بنظام الطاقة بحيث يلبي النظام الأمني المنشور متطلبات، من بين متطلبات أخرى، الكشف عن البروتوكولات المتعلقة بالتكنولوجيا التشغيلية وحركة المرور وتصفيتها؛ والتصفية القائمة على المحتوى والمستخدم والتطبيق؛ والفحص العميق لحزم البيانات، والكشف عن التسلل، والتحديد الجغرافي (Geo-fencing)؛ والتحديثات التي يتحكم فيها المستخدم؛ والكشف القائم على التوقيع والأنشطة غير الطبيعية وتصفيتها: شريطة أن يتم إجراء التحديثات بما في ذلك التوقيعات للأجهزة التي تشكل جزءاً من هذا النظام الأمني في وضع عدم الاتصال بالإنترنت (offline)، كما هو محدد في سياسة الأمن السيبراني؛
تبادل المعلومات	ضمان أن يكون التحكم في عناصر نظام الطاقة وتشغيلها وتبادل المعلومات الخاصة بها بما في ذلك البيانات في الوقت الفعلي عبر قناة اتصال مخصصة ومعزولة عن الإنترنت من خلال أجهزة الأمن السيبراني على مستوى المحيط وتقتصر على الحدود الوطنية فقط: شريطة أنه بالنسبة للكيانات التي لديها متطلبات عمل أو عناصر نظام طاقة عابرة للحدود، يجوز السماح بتبادل المعلومات والبيانات في الوقت الفعلي، كما هو محدد في سياسة الأمن السيبراني، خارج الحدود الوطنية فقط من خلال نظام اتصالات منفصل ومخصص وبوابة أحادية الاتجاه، معزولة عن الإنترنت وإلى جانب أجهزة الأمن السيبراني، للإرسال والاستقبال شريطة مراقبة هذه المعلومات والبيانات بشكل مستمر للكشف عن أي خلل أو محاولة غير مصرح بها: وشريطة أيضاً أنه في حالة تبادل المعلومات والبيانات في الوقت الفعلي المرتبطة بالمستهلكين النهائيين، يجوز السماح بذلك من خلال اتصال آمن ومعزول عن الوصول العام، شريطة أن يتم تشفير تبادل المعلومات والبيانات الحساسة عبر هذا الاتصال لضمان سريتها وسلامتها وخصوصيتها؛
التشغيل عن بعد	ضمان أنه إذا كان التشغيل عن بعد ضرورياً لمتطلبات العمل، فيجب أن يكون ذلك داخل الهند وبموافقة مسبقة من رئيس أو مجلس إدارة الكيان، حسب الاقتضاء، وفقاً للإجراءات المحددة في سياسة الأمن السيبراني
الامتثال للأوامر	ضمان امتثال جميع معدات ومكونات وأجزاء التكنولوجيا التشغيلية المنشورة للتحكم في نظام الطاقة وتشغيله للأوامر الصادرة عن الحكومة المركزية؛
التجزئة	ضمان تجزئة بيئة التكنولوجيا التشغيلية إلى مستويات ثقة مختلفة بناءً على الأهمية الحيوية، ومتطلبات الأمن، وتقييم المخاطر؛
أمن الاتصالات	ضمان حماية نظام الاتصالات، وخاصة القناة التي تنقل بيانات ومعلومات التكنولوجيا التشغيلية بين الكيانين، من قبل مالك هذا النظام ضد تهديدات الأمن السيبراني.

بنود العمل والمواعيد النهائية والأدلة المطلوبة

مجال المتطلبات	متطلبات الهيئة المركزية للكهرباء (CEA)	التكرار / الموعد النهائي	الدليل العملي
حوكمة مسؤول أمن المعلومات (CISO)	مسؤول أمن المعلومات + مسؤول أمن المعلومات البديل، تقديم التقارير، فترة العمل، المؤهلات	مستمر	خطاب التعيين، الوصف الوظيفي، الهيكل التنظيمي
سجل الأصول السيبرانية	الاحتفاظ بسجل كامل للأصول السيبرانية/الأنظمة الحساسة	سنوي + عند إضافة أصل جديد	سجل الأصول
تقييم المخاطر السيبرانية	الاحتفاظ بخطة CRAMP	تحديث كل 6 أشهر أو أقل	سجل المخاطر
تدقيق الأمن السيبراني	تدقيق شامل	سنوي؛ بفارق يتراوح بين 9 و15 شهراً	تقرير التدقيق
الأنظمة الحساسة الجديدة	التدقيق + تقييم الثغرات واختبار الاختراق قبل التشغيل	قبل التشغيل	أدلة VAPT/التدقيق
الإبلاغ عن الحوادث	الإبلاغ إلى CSIRT-Power + CERT-In	خلال 6 ساعات أو أقل	سجلات الحوادث
عزل التكنولوجيا التشغيلية (OT)	فصل مادي / فصل منطقي معزز ومعتمد	مستمر	المخطط الهيكلي + الموافقات
مراقبة التكنولوجيا التشغيلية (OT)	مراقبة مستمرة لتكنولوجيا المعلومات/التكنولوجيا التشغيلية	مستمر	سجلات NDR/SIEM
البنية التحتية للمعلومات الحساسة (CII)	تقديم المعلومات إلى NCIIPC	حسب الاقتضاء	المراسلات مع NCIIPC
الأيزو/الشهادات التقنية	الحصول على شهادة تغطي الأنظمة الحساسة	وفقاً لما يتم الإعلان عنه بشكل منفصل	الشهادة

تغطي هذه القائمة بعض المتطلبات الرئيسية فقط. وسنتناول المزيد من المتطلبات في المنشورات اللاحقة.

يمكنكم حجز جلسة تعريفية مجانية حول هذه اللائحة يقدمها خبير من الهيئة المركزية للكهرباء (CEA) من هنا.

لدينا المزيد من الموارد القابلة للتنزيل حول لوائح الهيئة المركزية للكهرباء (الأمن السيبراني في قطاع الطاقة) لعام 2026.

لائحة الهيئة المركزية للكهرباء بشأن الأمن السيبراني في قطاع الطاقة لعام 2026

قائمة التحقق من الامتثال للوائح الهيئة المركزية للكهرباء لعام 2026

لوائح الأمن السيبراني للهيئة المركزية للكهرباء لعام 2026: ما يجب على شركات الطاقة الهندية القيام به

ملاحظة تنظيمية: هذا المقال عبارة عن ملخص توضيحي لمتطلبات مختارة من لوائح الهيئة المركزية للكهرباء (الأمن السيبراني في قطاع الطاقة) المعلنة لعام 2026. وهو لا يغني عن الإعلان الرسمي في الجريدة الرسمية أو التوجيهات والسياسات والإجراءات المعمول بها والصادرة عن الهيئة المركزية للكهرباء (CEA)، أو فريق الاستجابة لحوادث الأمن الكمبيوتري في قطاع الطاقة (CSIRT-Power)، أو الفريق الهندي للاستجابة لطوارئ الكمبيوتر (CERT-In)، أو المركز الوطني لحماية البنية التحتية للمعلومات الحساسة (NCIIPC)، أو غيرها من السلطات المختصة.

يمكنكم تنزيل الإشعار الرسمي من هنا.