دليل اللوائح التنظيمية
الورقة البيضاء لإثبات الامتثال لتوجيهات NIS2
من السياسة إلى الإثبات: ما تتطلبه توجيهات NIS2 حقاً
إن وجود السياسة لا يعد دليلاً على تطبيق ضابط الأمن. ووجود الضابط لا يعد دليلثاً على فعاليته. هذا التمييز، الذي يسهل صياغته لفظياً ويُغفل عنه باستمرار عملياً، هو الفكرة التنظيمية الكامنة وراء التوجيه الأوروبي (Directive (EU) 2022/2555)، وهو السبب في فسل معظم تقييمات الفجوات لتوجيه NIS2 في اللحظة التي يطرح فيها المدقق سؤالاً تقصياً حقيقياً.
تكتفي معظم المؤسسات التي تستعد لتوجيه NIS2 بطرح سؤال "هل لديك خطة لاستجابة للحوادث؟". يمكن الإجابة عن هذا السءال بتقديم وثيقة لم يختبرها أحد، ولا تتبع مسؤوليتها لشخص معين، وقد تنهار عند أول اختبار تدقيق جوهري. لا يكافئ توجيه NIS2 مجرد وجود سياسة. إن المادة 21 تمثل معياراً قانونياً للرعاية؛ حيث يمكن للمؤسسة التي تترض لحادث متطور أن تظل متوافقة إذا استطاعت إثبات وجود حوكمة وضوابط مناسبة ومتناسبة وقائمة على المخاطر قبل وقوع الحادث. فحتى المؤسسات التي تمتلك تكنولوجيا ممتازة قد تفشل إذا لم تكن هذم التكنولوجيا مدعومة بعملية صنع قرار موثقة ومراجعة دورية.
ما يقره التوجيه فعلياً:
لماذا يمثل هذا الأمر أهمية بالغة في الوقت الحالي
Obligations live in national law. The transposition deadline was 17 October 2024, and on 8 July 2026 the Commission referred Ireland, Spain, France and the Netherlands to the Court of Justice for failing to notify transposition. Authorities, thresholds and forms differ by Member State, and targeted amendments proposed in January 2026 had not been verified as adopted at the paper's research cut-off.
Management is personally in the frame. Article 20 requires management bodies to approve the risk-management measures, oversee them and complete training, and they can be held liable for infringements.
The financial floor is high. The Directive sets minimum levels for maximum fines of at least EUR 10 million or 2% of worldwide turnover for essential entities, and EUR 7 million or 1.4% for important entities. National law sets the actual regimes.
Scope is entity-specific. Sector alone is not enough. Annex type, size, regardless-of-size routes and national law decide, and an out-of-scope supplier can still be pulled in by in-scope customers, because Article 21(2)(d) requires supply-chain risk management.
إذا كانت مؤسستكم تندرج ضمن الملحق الأول أو الملحق الثاني وتستوفي معايير الشركات المتوسطة أو الكبيرة، أو إذا كنتم تؤدون دوراً تحدده الدول الأعضاء على أنه يقع ضمن النطاق بغض النظر عن الحجم، فإنكم تتحملون مسؤولية مباشرة بموجب المسؤولية القانونية لمجلس الإدارة في المادة 20 والحد الأدنى للغرامات في المادة 34. إن توجيه NIS2 هو توجيه وليس لائحة تنظيمية، مما يعني أن التزاماتكم الفعلية القابلة للتنفيذ تكمن في القانون الوطني المنقول للدولة العضو، وليس في نص التوجيه بشكل مجرد، ويختلف هذا النص بشكل جوهري في السلطة المختصة، وقناة الإبلاغ، والحدود القصوى للغرامات بدقة، وآلية مسؤولية الهيئة الإدارية.
إليكم ما يضعه إكمال برنامج الأدلة الوارد في هذا التقرير الأبيض بين أيديكم:
لماذا يعد تنزيل هذه الورقة البيضاء أمراً بالغ الأهمية لمؤسستك
This is an implementation guide, not a summary of the Directive. Each of the nine controls follows the same twelve-part structure so teams can compare, assign and audit them consistently.
مصفوفة التحكم في الأدلة المعبأة: موزعة ومطابقة عبر جميع المجالات العشرة للمادة 21(2)، مع تحديد أسماء المسؤولين، ووتيرة المراجعة، وطرق الاختبار، وليست مجرد مجلد سياسات جامد.
مفردات نضج قابلة للدفاع عنها: من خلال نموذج نضج الأدلة المكون من ستة مستويات، بدءاً من "لا يوجد دليل" وصولاً إلى "مقاس ومحسن"، ويتم تطبيقه لكل ضابط تحكم على حدة بدلاً من تطبيقه على مستوى المؤسسة بالكامل، نظراً لأن الكيان الناضج يمكنه وبشكل مشروع أن يكون في المستوى الخامس في الاستجابة للحوادث والمستوى الثاني في سلسلة التوريد في آن واحد.
قائمة مرجعية رئيسية تضم 106 نقاط فحص: تشمل الحوكمة، وإدارة المخاطر، وإدارة الأصول، والتعامل مع الحوادث، واستمرارية الأعمال، وسلسلة التوريد، وإدارة الهوية والوصول (IAM)، وعناصر التحكم الخاصة ببيئات تكنولوجيا العمليات والأنظمة الصناعية (OT/ICS).
هيكل برنامج مدته 90 يوماً وسنة واحدة: مُرتب حسب الأولوية، بحيث تتم أعمال المعالجة بالترتيب الصحيح بدلاً من توجيه الاهتمام لأول ما يقع عليه النظر.
A 90-day roadmap. Baseline, priority fixes and validation, with deliverables, accountable owners, evidence and completion criteria for each phase.
Sector analysis. Priority controls, typical deficiencies and applicability notes for manufacturing, aerospace and defence supply chains, maritime and ports, electricity, water, oil and gas, pharmaceuticals and chemicals, and rail and airports, plus a sector comparison matrix.
If your team has been asked to get the plant floor ready for NIS2 and needs an owner matrix, an evidence register, KPIs with escalation thresholds and a plan management will approve, this playbook is built for exactly that brief.
النقاط الرئيسية
أربعة أنواع من الأدلة، ومعظم المؤسسات يمكنها تقديم نوع واحد فقط. تُظهر أدلة السياسة أنه قد تم اتخاذ قرار. وتُظهر أدلة التنفيذ أنه تم بناء ضابط رقابي. وتُظهر أدلة التشغيل أنه يعمل بشكل مستمر. وتُظهر أدلة الفعالية أنه يعمل بالفعل ويتم تصحيح الثغرات. إن الضابط الرقابي الذي يستند إلى أدلة السياسة فقط، من وجهة نظر المدقق، يعادل تماماً عدم وجود ضابط رقابي على الإطلاق.
نموذج نضج الأدلة يمنح الأولوية، وليس مجرد درجة تقييم. يجب على المؤسسة التي لديها قدرة محدودة على معالجة الثغرات أن تنقل عناصر التحكم من المستوى 0-1 في المجالات عالية المخاطر إلى المستوى 2-3 قبل دفع عنصر تحكم قوي بالفعل من المستوى 3 إلى المستوى 5 في مجال آخر أقل خطورة.
الأدلة الضعيفة لها شكل مألوف ومميز. إن وثيقة السياسة التي لا تحتوي على أي دليل يدعمها، أو لقطة شاشة غير مؤرخة، أو القول بأن "لدينا مركز عمليات أمنية (SOC)" دون إثبات ما يراقبه، أو "تمكين المصادقة متعددة العوامل (MFA)" دون تقرير يوضح مدى التغطية، هذه هي بالضبط الأنماط والأساليب التي تم تدريب مدققي الحسابات على فحصها واختبارها أولاً.
تتكرر إخفاقات الأدلة الأكثر شيوعاً عبر مختلف القطاعات. فالسياسات الخالية من التنفيذ، والضوابط التي تفتقر إلى مالكين محددين، والنسخ الاحتياطية غير المختبرة، وحسابات الامتيازات غير المراجعة، وخطط الاستجابة للحوادث التي لم يتم التدرب عليها أبداً، كلها أمور تتكرر بغض النظر عن مدى نضج المؤسسة، ولكل منها تصحيح محدد وموضح.
المادة 21 هي معيار للرعاية والاهتمام، وليست مجرد قائمة مرجعية. إن الحوكمة المتناسبة والقائمة على المخاطر والمدعومة بقرارات موثقة تحمي المؤسسة حتى بعد وقوع حادث متطور؛ بينما لا توفر التكنولوجيا القوية هذه الحماية في غياب تلك الحوكمة.
المرسوم التشريعي الوطني، وليس التوجيه نفسه، هو ما يُلزمك فعليًا. تختلف الجهة المختصة ونموذج الإبلاغ والحد الأقصى للغرامات من دولة عضو إلى أخرى، ويُعد التعامل مع توجيه NIS2 كقائمة مراجعة واحدة وموحدة على مستوى الاتحاد الأوروبي خطأً شائعاً وجسيماً.
Measure what is missing, not just what is present. In the paper's illustrative example, 372 verified assets against an estimated 430 gives 86.5% coverage, and the 58 unaccounted assets become the work queue.
كيف تدعم Shieldworkz رحلتكم للامتثال لتوجيهات NIS2
إن بناء إطار عمل الأدلة والبراهين هو المهمة التي يضع هذا التقرير الفني هيكلها التنظيمي. أما تفعيله وتشغيله، لا سيما عندما تقع أنظمة تكنولوجيا العمليات والتحكم الصناعي (OT/ICS) ضمن نطاق امتثالك لتوجيهات NIS2، فهنا يأتي دور Shieldworkz.
OThello Assess: يقوم ببناء جرد حالي للأصول بمستوى معتمد على الأدلة، والذي يدعم إدارة الأصول بموجب المادة 21(2)(i) ويغذي مباشرة مصفوفة التحكم في الأدلة (Evidence Control Matrix) التي تحددها هذه الورقة البيضاء.
كشف الشبكات التشغيلية والاستجابة لها (OT NDR): يُنشئ بدقة الأدلة التشغيلية، وسجلات النظام، والتذاكر، والتقارير الدورية التي يعاملها نموذج الأدلة رباعي المستويات باعتبارها الفرق بين إجراء رقابي موجود على الورق فقط وآخر يقبله المدقق فعليًا.
الاستجابة للحوادث وتمارين الأزمات: تم تحديد نطاقها لتقديم أدلة فعالية حقيقية، وخطط مختبرة بنتائج مؤرخة ونتائج محددة، بدلاً من كتاب قواعد اللعبة الذي لم يتم التدرب عليه مطلقاً.
عمليات الجاهزية التنظيمية: ترجمة المجالات العشرة للمادة 21(2) من توجيه NIS2، إلى جانب معيار IEC 62443 عندما تكون تكنولوجيا العمليات (OT) ضمن النطاق، إلى خطة معالجة متسلسلة يمكن لفريقك تنفيذها مقابل مواعيد نهائية حقيقية، وليس لغة توجيهية مجردة.
تنزيل ورقة العمل
تكافئ توجيهات NIS2 المؤسسات التي يمكنها تقديم أدلة حالية، ومملوكة، ومُختبرة، وقابلة للتتبع، وليس المؤسسات التي تمتلك ببساطة مجلد سياسات ورقياً. إن الفجوة بين الاثنين هي بالضبط ما تم إعداد هذا التقرير الفني لسده.
يرجى ملء النموذج للحصول على نسختك المجانية من التقرير الفني لأدلة امتثال NIS2. سيكون لديك أيضاً خيار حجز استشارة غير ملزمة مع خبير الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz، والذي يمكنه مساعدتك في مطابقة قاعدة أدلتك الحالية مع نموذج النضج وتحديد أولويات المعالجة عبر النطاقات الأكثر عرضة للمخاطر أولاً.
احجز عرضاً توضيحياً مع خبراء الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz
قم بتنزيل نسختك اليوم!
الانتقال من مرحلة ادعاءات الامتثال لتوجيهات NIS2 إلى تقديم الأدلة.قم بتنزيل ورقة العمل العملية لبناء أدلة تشغيلية، ومختبرة، وجاهزة للتدقيق عبر متطلبات الأمن السيبراني الخاصة بـ NIS2.
من السياسة إلى الإثبات: ما تتطلبه توجيهات NIS2 حقاً
إن وجود السياسة لا يعد دليلاً على تطبيق ضابط الأمن. ووجود الضابط لا يعد دليلثاً على فعاليته. هذا التمييز، الذي يسهل صياغته لفظياً ويُغفل عنه باستمرار عملياً، هو الفكرة التنظيمية الكامنة وراء التوجيه الأوروبي (Directive (EU) 2022/2555)، وهو السبب في فسل معظم تقييمات الفجوات لتوجيه NIS2 في اللحظة التي يطرح فيها المدقق سؤالاً تقصياً حقيقياً.
تكتفي معظم المؤسسات التي تستعد لتوجيه NIS2 بطرح سؤال "هل لديك خطة لاستجابة للحوادث؟". يمكن الإجابة عن هذا السءال بتقديم وثيقة لم يختبرها أحد، ولا تتبع مسؤوليتها لشخص معين، وقد تنهار عند أول اختبار تدقيق جوهري. لا يكافئ توجيه NIS2 مجرد وجود سياسة. إن المادة 21 تمثل معياراً قانونياً للرعاية؛ حيث يمكن للمؤسسة التي تترض لحادث متطور أن تظل متوافقة إذا استطاعت إثبات وجود حوكمة وضوابط مناسبة ومتناسبة وقائمة على المخاطر قبل وقوع الحادث. فحتى المؤسسات التي تمتلك تكنولوجيا ممتازة قد تفشل إذا لم تكن هذم التكنولوجيا مدعومة بعملية صنع قرار موثقة ومراجعة دورية.
ما يقره التوجيه فعلياً:
لماذا يمثل هذا الأمر أهمية بالغة في الوقت الحالي
Obligations live in national law. The transposition deadline was 17 October 2024, and on 8 July 2026 the Commission referred Ireland, Spain, France and the Netherlands to the Court of Justice for failing to notify transposition. Authorities, thresholds and forms differ by Member State, and targeted amendments proposed in January 2026 had not been verified as adopted at the paper's research cut-off.
Management is personally in the frame. Article 20 requires management bodies to approve the risk-management measures, oversee them and complete training, and they can be held liable for infringements.
The financial floor is high. The Directive sets minimum levels for maximum fines of at least EUR 10 million or 2% of worldwide turnover for essential entities, and EUR 7 million or 1.4% for important entities. National law sets the actual regimes.
Scope is entity-specific. Sector alone is not enough. Annex type, size, regardless-of-size routes and national law decide, and an out-of-scope supplier can still be pulled in by in-scope customers, because Article 21(2)(d) requires supply-chain risk management.
إذا كانت مؤسستكم تندرج ضمن الملحق الأول أو الملحق الثاني وتستوفي معايير الشركات المتوسطة أو الكبيرة، أو إذا كنتم تؤدون دوراً تحدده الدول الأعضاء على أنه يقع ضمن النطاق بغض النظر عن الحجم، فإنكم تتحملون مسؤولية مباشرة بموجب المسؤولية القانونية لمجلس الإدارة في المادة 20 والحد الأدنى للغرامات في المادة 34. إن توجيه NIS2 هو توجيه وليس لائحة تنظيمية، مما يعني أن التزاماتكم الفعلية القابلة للتنفيذ تكمن في القانون الوطني المنقول للدولة العضو، وليس في نص التوجيه بشكل مجرد، ويختلف هذا النص بشكل جوهري في السلطة المختصة، وقناة الإبلاغ، والحدود القصوى للغرامات بدقة، وآلية مسؤولية الهيئة الإدارية.
إليكم ما يضعه إكمال برنامج الأدلة الوارد في هذا التقرير الأبيض بين أيديكم:
لماذا يعد تنزيل هذه الورقة البيضاء أمراً بالغ الأهمية لمؤسستك
This is an implementation guide, not a summary of the Directive. Each of the nine controls follows the same twelve-part structure so teams can compare, assign and audit them consistently.
مصفوفة التحكم في الأدلة المعبأة: موزعة ومطابقة عبر جميع المجالات العشرة للمادة 21(2)، مع تحديد أسماء المسؤولين، ووتيرة المراجعة، وطرق الاختبار، وليست مجرد مجلد سياسات جامد.
مفردات نضج قابلة للدفاع عنها: من خلال نموذج نضج الأدلة المكون من ستة مستويات، بدءاً من "لا يوجد دليل" وصولاً إلى "مقاس ومحسن"، ويتم تطبيقه لكل ضابط تحكم على حدة بدلاً من تطبيقه على مستوى المؤسسة بالكامل، نظراً لأن الكيان الناضج يمكنه وبشكل مشروع أن يكون في المستوى الخامس في الاستجابة للحوادث والمستوى الثاني في سلسلة التوريد في آن واحد.
قائمة مرجعية رئيسية تضم 106 نقاط فحص: تشمل الحوكمة، وإدارة المخاطر، وإدارة الأصول، والتعامل مع الحوادث، واستمرارية الأعمال، وسلسلة التوريد، وإدارة الهوية والوصول (IAM)، وعناصر التحكم الخاصة ببيئات تكنولوجيا العمليات والأنظمة الصناعية (OT/ICS).
هيكل برنامج مدته 90 يوماً وسنة واحدة: مُرتب حسب الأولوية، بحيث تتم أعمال المعالجة بالترتيب الصحيح بدلاً من توجيه الاهتمام لأول ما يقع عليه النظر.
A 90-day roadmap. Baseline, priority fixes and validation, with deliverables, accountable owners, evidence and completion criteria for each phase.
Sector analysis. Priority controls, typical deficiencies and applicability notes for manufacturing, aerospace and defence supply chains, maritime and ports, electricity, water, oil and gas, pharmaceuticals and chemicals, and rail and airports, plus a sector comparison matrix.
If your team has been asked to get the plant floor ready for NIS2 and needs an owner matrix, an evidence register, KPIs with escalation thresholds and a plan management will approve, this playbook is built for exactly that brief.
النقاط الرئيسية
أربعة أنواع من الأدلة، ومعظم المؤسسات يمكنها تقديم نوع واحد فقط. تُظهر أدلة السياسة أنه قد تم اتخاذ قرار. وتُظهر أدلة التنفيذ أنه تم بناء ضابط رقابي. وتُظهر أدلة التشغيل أنه يعمل بشكل مستمر. وتُظهر أدلة الفعالية أنه يعمل بالفعل ويتم تصحيح الثغرات. إن الضابط الرقابي الذي يستند إلى أدلة السياسة فقط، من وجهة نظر المدقق، يعادل تماماً عدم وجود ضابط رقابي على الإطلاق.
نموذج نضج الأدلة يمنح الأولوية، وليس مجرد درجة تقييم. يجب على المؤسسة التي لديها قدرة محدودة على معالجة الثغرات أن تنقل عناصر التحكم من المستوى 0-1 في المجالات عالية المخاطر إلى المستوى 2-3 قبل دفع عنصر تحكم قوي بالفعل من المستوى 3 إلى المستوى 5 في مجال آخر أقل خطورة.
الأدلة الضعيفة لها شكل مألوف ومميز. إن وثيقة السياسة التي لا تحتوي على أي دليل يدعمها، أو لقطة شاشة غير مؤرخة، أو القول بأن "لدينا مركز عمليات أمنية (SOC)" دون إثبات ما يراقبه، أو "تمكين المصادقة متعددة العوامل (MFA)" دون تقرير يوضح مدى التغطية، هذه هي بالضبط الأنماط والأساليب التي تم تدريب مدققي الحسابات على فحصها واختبارها أولاً.
تتكرر إخفاقات الأدلة الأكثر شيوعاً عبر مختلف القطاعات. فالسياسات الخالية من التنفيذ، والضوابط التي تفتقر إلى مالكين محددين، والنسخ الاحتياطية غير المختبرة، وحسابات الامتيازات غير المراجعة، وخطط الاستجابة للحوادث التي لم يتم التدرب عليها أبداً، كلها أمور تتكرر بغض النظر عن مدى نضج المؤسسة، ولكل منها تصحيح محدد وموضح.
المادة 21 هي معيار للرعاية والاهتمام، وليست مجرد قائمة مرجعية. إن الحوكمة المتناسبة والقائمة على المخاطر والمدعومة بقرارات موثقة تحمي المؤسسة حتى بعد وقوع حادث متطور؛ بينما لا توفر التكنولوجيا القوية هذه الحماية في غياب تلك الحوكمة.
المرسوم التشريعي الوطني، وليس التوجيه نفسه، هو ما يُلزمك فعليًا. تختلف الجهة المختصة ونموذج الإبلاغ والحد الأقصى للغرامات من دولة عضو إلى أخرى، ويُعد التعامل مع توجيه NIS2 كقائمة مراجعة واحدة وموحدة على مستوى الاتحاد الأوروبي خطأً شائعاً وجسيماً.
Measure what is missing, not just what is present. In the paper's illustrative example, 372 verified assets against an estimated 430 gives 86.5% coverage, and the 58 unaccounted assets become the work queue.
كيف تدعم Shieldworkz رحلتكم للامتثال لتوجيهات NIS2
إن بناء إطار عمل الأدلة والبراهين هو المهمة التي يضع هذا التقرير الفني هيكلها التنظيمي. أما تفعيله وتشغيله، لا سيما عندما تقع أنظمة تكنولوجيا العمليات والتحكم الصناعي (OT/ICS) ضمن نطاق امتثالك لتوجيهات NIS2، فهنا يأتي دور Shieldworkz.
OThello Assess: يقوم ببناء جرد حالي للأصول بمستوى معتمد على الأدلة، والذي يدعم إدارة الأصول بموجب المادة 21(2)(i) ويغذي مباشرة مصفوفة التحكم في الأدلة (Evidence Control Matrix) التي تحددها هذه الورقة البيضاء.
كشف الشبكات التشغيلية والاستجابة لها (OT NDR): يُنشئ بدقة الأدلة التشغيلية، وسجلات النظام، والتذاكر، والتقارير الدورية التي يعاملها نموذج الأدلة رباعي المستويات باعتبارها الفرق بين إجراء رقابي موجود على الورق فقط وآخر يقبله المدقق فعليًا.
الاستجابة للحوادث وتمارين الأزمات: تم تحديد نطاقها لتقديم أدلة فعالية حقيقية، وخطط مختبرة بنتائج مؤرخة ونتائج محددة، بدلاً من كتاب قواعد اللعبة الذي لم يتم التدرب عليه مطلقاً.
عمليات الجاهزية التنظيمية: ترجمة المجالات العشرة للمادة 21(2) من توجيه NIS2، إلى جانب معيار IEC 62443 عندما تكون تكنولوجيا العمليات (OT) ضمن النطاق، إلى خطة معالجة متسلسلة يمكن لفريقك تنفيذها مقابل مواعيد نهائية حقيقية، وليس لغة توجيهية مجردة.
تنزيل ورقة العمل
تكافئ توجيهات NIS2 المؤسسات التي يمكنها تقديم أدلة حالية، ومملوكة، ومُختبرة، وقابلة للتتبع، وليس المؤسسات التي تمتلك ببساطة مجلد سياسات ورقياً. إن الفجوة بين الاثنين هي بالضبط ما تم إعداد هذا التقرير الفني لسده.
يرجى ملء النموذج للحصول على نسختك المجانية من التقرير الفني لأدلة امتثال NIS2. سيكون لديك أيضاً خيار حجز استشارة غير ملزمة مع خبير الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz، والذي يمكنه مساعدتك في مطابقة قاعدة أدلتك الحالية مع نموذج النضج وتحديد أولويات المعالجة عبر النطاقات الأكثر عرضة للمخاطر أولاً.
احجز عرضاً توضيحياً مع خبراء الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz
قم بتنزيل نسختك اليوم!
الانتقال من مرحلة ادعاءات الامتثال لتوجيهات NIS2 إلى تقديم الأدلة.قم بتنزيل ورقة العمل العملية لبناء أدلة تشغيلية، ومختبرة، وجاهزة للتدقيق عبر متطلبات الأمن السيبراني الخاصة بـ NIS2.
