دليل اللوائح التنظيمية
الورقة البيضاء لإثبات الامتثال لتوجيهات NIS2
من السياسة إلى الإثبات: ما تتطلبه توجيهات NIS2 حقاً
إن وجود السياسة لا يعد دليلاً على تطبيق ضابط الأمن. ووجود الضابط لا يعد دليلثاً على فعاليته. هذا التمييز، الذي يسهل صياغته لفظياً ويُغفل عنه باستمرار عملياً، هو الفكرة التنظيمية الكامنة وراء التوجيه الأوروبي (Directive (EU) 2022/2555)، وهو السبب في فسل معظم تقييمات الفجوات لتوجيه NIS2 في اللحظة التي يطرح فيها المدقق سؤالاً تقصياً حقيقياً.
تكتفي معظم المؤسسات التي تستعد لتوجيه NIS2 بطرح سؤال "هل لديك خطة لاستجابة للحوادث؟". يمكن الإجابة عن هذا السءال بتقديم وثيقة لم يختبرها أحد، ولا تتبع مسؤوليتها لشخص معين، وقد تنهار عند أول اختبار تدقيق جوهري. لا يكافئ توجيه NIS2 مجرد وجود سياسة. إن المادة 21 تمثل معياراً قانونياً للرعاية؛ حيث يمكن للمؤسسة التي تترض لحادث متطور أن تظل متوافقة إذا استطاعت إثبات وجود حوكمة وضوابط مناسبة ومتناسبة وقائمة على المخاطر قبل وقوع الحادث. فحتى المؤسسات التي تمتلك تكنولوجيا ممتازة قد تفشل إذا لم تكن هذم التكنولوجيا مدعومة بعملية صنع قرار موثقة ومراجعة دورية.
ما يقره التوجيه فعلياً:
أهمية هذه الدراسة البيضاء
لا يوضح نص التوجيه وحده للمؤسسة ما يجب تقديمه عند مواجهة التحديات. وتأتي هذه الورقة البيضاء لتسد هذه الفجوة من خلال إطارين عمل يُستخدمان باتساق عبر كل مجال.
الأول هو سلسلة أدلة تتكون من تسع خطوات تُطبق على كل ضابط: ما تتطلبه توجيهات NIS2، وما يجب تنفيذه، وما هو الدليل المحدد الذي يثبت ذلك، ومن هو المسؤول عن تقديمه عند الطلب، وكم مرة تتم مراجعته، وكيف يتم اختباره بما يتجاوز مجرد "وجود الوثيقة"، وما الذي سيطلبه المدقق لرؤيته، وما هي نقاط الضعف الشائعة التي قد تبطله، وكيف يبدو إجراء التصحيح في حال غيابه. أما الإطار الثاني فهو تمييز رباعي المستويات بين أدلة السياسات، وأدلة التنفيذ، وأدلة التشغيل، وأدلة الفعالية؛ وهي الفئة التي يدقق فيها معظم المدققين بشكل صارم وتلك التي تعجز معظم المؤسسات عن تقديمها.
كما تحافظ الورقة البيضاء على انضباط صارم في توثيق المصادر طوال الوقت. حيث يتم تصنيف كل ادعاء كمتطلب قانوني يستند إلى مادة معينة، أو توجيه تنظيمي، أو ممارسة صناعية جيدة، أو دليل موصى به، أو توصية تحليلية خاصة بشركة Shieldworkz، وذلك حتى لا يخلط فريق الامتثال بين اقتراحات الممارسين والالتزامات الملزمة، ولا يقلل أبداً من استعداده لأي منها.
Controls fail in five quiet ways. Coverage (a control on managed Windows hosts misses the controller), configuration (a rule permits any source to the historian), bypass (MFA on the approved path while a forgotten tunnel skips it), effectiveness (backups run, but controller projects were never included) and usability under pressure (a plan exists, but nobody can authorise isolating a plant network).
Official guidance is converging on the basics. The toolkit's Top 20 gap list draws in part on the May 2025 CISA, FBI, EPA and DOE primary mitigations and the August 2025 OT asset inventory guidance. Internet-exposed devices, default credentials and unmanaged remote access sit at the top for good reason.
Regulators are asking for proof. NIS2, NERC CIP, the CEA Regulations and NCA OTCC apply to entities in their scope. The toolkit tests the common themes and helps you gather evidence, while leaving clause-level mapping and applicability to you and your regulator.
Evidence ages and environments change, which is why the toolkit treats assessment as a cycle: scope, collect, validate, score, prioritise, remediate, re-assess.
لماذا يعد تنزيل هذه الورقة البيضاء أمراً بالغ الأهمية لمؤسستك
إذا كانت مؤسستكم تندرج ضمن الملحق الأول أو الملحق الثاني وتستوفي معايير الشركات المتوسطة أو الكبيرة، أو إذا كنتم تؤدون دوراً تحدده الدول الأعضاء على أنه يقع ضمن النطاق بغض النظر عن الحجم، فإنكم تتحملون مسؤولية مباشرة بموجب المسؤولية القانونية لمجلس الإدارة في المادة 20 والحد الأدنى للغرامات في المادة 34. إن توجيه NIS2 هو توجيه وليس لائحة تنظيمية، مما يعني أن التزاماتكم الفعلية القابلة للتنفيذ تكمن في القانون الوطني المنقول للدولة العضو، وليس في نص التوجيه بشكل مجرد، ويختلف هذا النص بشكل جوهري في السلطة المختصة، وقناة الإبلاغ، والحدود القصوى للغرامات بدقة، وآلية مسؤولية الهيئة الإدارية.
إليكم ما يضعه إكمال برنامج الأدلة الوارد في هذا التقرير الأبيض بين أيديكم:
مصفوفة التحكم في الأدلة المعبأة: موزعة ومطابقة عبر جميع المجالات العشرة للمادة 21(2)، مع تحديد أسماء المسؤولين، ووتيرة المراجعة، وطرق الاختبار، وليست مجرد مجلد سياسات جامد.
مفردات نضج قابلة للدفاع عنها: من خلال نموذج نضج الأدلة المكون من ستة مستويات، بدءاً من "لا يوجد دليل" وصولاً إلى "مقاس ومحسن"، ويتم تطبيقه لكل ضابط تحكم على حدة بدلاً من تطبيقه على مستوى المؤسسة بالكامل، نظراً لأن الكيان الناضج يمكنه وبشكل مشروع أن يكون في المستوى الخامس في الاستجابة للحوادث والمستوى الثاني في سلسلة التوريد في آن واحد.
قائمة مرجعية رئيسية تضم 106 نقاط فحص: تشمل الحوكمة، وإدارة المخاطر، وإدارة الأصول، والتعامل مع الحوادث، واستمرارية الأعمال، وسلسلة التوريد، وإدارة الهوية والوصول (IAM)، وعناصر التحكم الخاصة ببيئات تكنولوجيا العمليات والأنظمة الصناعية (OT/ICS).
هيكل برنامج مدته 90 يوماً وسنة واحدة: مُرتب حسب الأولوية، بحيث تتم أعمال المعالجة بالترتيب الصحيح بدلاً من توجيه الاهتمام لأول ما يقع عليه النظر.
A risk prioritisation matrix. A priority index built from consequence, likelihood and control weakness, because a critical CVSS score on an isolated host can matter less than a medium weakness on a critical process with a remote path.
Ready-to-use templates. An evidence collection checklist, sample findings, an executive reporting template, a 30/60/90-day remediation roadmap and a printable assessor worksheet.
If your team has been asked to run an OT assessment and needs a scope statement, an evidence register, scored findings and a sequenced plan that operations will accept, this toolkit is built for exactly that brief.
النقاط الرئيسية المستخلصة من الورقة البيضاء
أربعة أنواع من الأدلة، ومعظم المؤسسات يمكنها تقديم نوع واحد فقط. تُظهر أدلة السياسة أنه قد تم اتخاذ قرار. وتُظهر أدلة التنفيذ أنه تم بناء ضابط رقابي. وتُظهر أدلة التشغيل أنه يعمل بشكل مستمر. وتُظهر أدلة الفعالية أنه يعمل بالفعل ويتم تصحيح الثغرات. إن الضابط الرقابي الذي يستند إلى أدلة السياسة فقط، من وجهة نظر المدقق، يعادل تماماً عدم وجود ضابط رقابي على الإطلاق.
نموذج نضج الأدلة يمنح الأولوية، وليس مجرد درجة تقييم. يجب على المؤسسة التي لديها قدرة محدودة على معالجة الثغرات أن تنقل عناصر التحكم من المستوى 0-1 في المجالات عالية المخاطر إلى المستوى 2-3 قبل دفع عنصر تحكم قوي بالفعل من المستوى 3 إلى المستوى 5 في مجال آخر أقل خطورة.
الأدلة الضعيفة لها شكل مألوف ومميز. إن وثيقة السياسة التي لا تحتوي على أي دليل يدعمها، أو لقطة شاشة غير مؤرخة، أو القول بأن "لدينا مركز عمليات أمنية (SOC)" دون إثبات ما يراقبه، أو "تمكين المصادقة متعددة العوامل (MFA)" دون تقرير يوضح مدى التغطية، هذه هي بالضبط الأنماط والأساليب التي تم تدريب مدققي الحسابات على فحصها واختبارها أولاً.
تتكرر إخفاقات الأدلة الأكثر شيوعاً عبر مختلف القطاعات. فالسياسات الخالية من التنفيذ، والضوابط التي تفتقر إلى مالكين محددين، والنسخ الاحتياطية غير المختبرة، وحسابات الامتيازات غير المراجعة، وخطط الاستجابة للحوادث التي لم يتم التدرب عليها أبداً، كلها أمور تتكرر بغض النظر عن مدى نضج المؤسسة، ولكل منها تصحيح محدد وموضح.
المادة 21 هي معيار للرعاية والاهتمام، وليست مجرد قائمة مرجعية. إن الحوكمة المتناسبة والقائمة على المخاطر والمدعومة بقرارات موثقة تحمي المؤسسة حتى بعد وقوع حادث متطور؛ بينما لا توفر التكنولوجيا القوية هذه الحماية في غياب تلك الحوكمة.
المرسوم التشريعي الوطني، وليس التوجيه نفسه، هو ما يُلزمك فعليًا. تختلف الجهة المختصة ونموذج الإبلاغ والحد الأقصى للغرامات من دولة عضو إلى أخرى، ويُعد التعامل مع توجيه NIS2 كقائمة مراجعة واحدة وموحدة على مستوى الاتحاد الأوروبي خطأً شائعاً وجسيماً.
Legacy is assessable; undocumented is not. Unsupported systems are normal in OT. The gap is the compensating control nobody recorded or evidenced, so each unsupported asset needs an owner, a decision and proof the compensation works.
كيف تدعم Shieldworkz رحلتكم للامتثال لتوجيهات NIS2
إن بناء إطار عمل الأدلة والبراهين هو المهمة التي يضع هذا التقرير الفني هيكلها التنظيمي. أما تفعيله وتشغيله، لا سيما عندما تقع أنظمة تكنولوجيا العمليات والتحكم الصناعي (OT/ICS) ضمن نطاق امتثالك لتوجيهات NIS2، فهنا يأتي دور Shieldworkz.
OThello Assess: يقوم ببناء جرد حالي للأصول بمستوى معتمد على الأدلة، والذي يدعم إدارة الأصول بموجب المادة 21(2)(i) ويغذي مباشرة مصفوفة التحكم في الأدلة (Evidence Control Matrix) التي تحددها هذه الورقة البيضاء.
كشف الشبكات التشغيلية والاستجابة لها (OT NDR): يُنشئ بدقة الأدلة التشغيلية، وسجلات النظام، والتذاكر، والتقارير الدورية التي يعاملها نموذج الأدلة رباعي المستويات باعتبارها الفرق بين إجراء رقابي موجود على الورق فقط وآخر يقبله المدقق فعليًا.
الاستجابة للحوادث وتمارين الأزمات: تم تحديد نطاقها لتقديم أدلة فعالية حقيقية، وخطط مختبرة بنتائج مؤرخة ونتائج محددة، بدلاً من كتاب قواعد اللعبة الذي لم يتم التدرب عليه مطلقاً.
عمليات الجاهزية التنظيمية: ترجمة المجالات العشرة للمادة 21(2) من توجيه NIS2، إلى جانب معيار IEC 62443 عندما تكون تكنولوجيا العمليات (OT) ضمن النطاق، إلى خطة معالجة متسلسلة يمكن لفريقك تنفيذها مقابل مواعيد نهائية حقيقية، وليس لغة توجيهية مجردة.
إن المؤسسات التي تجمع بين هذا التقرير الفني والدعم المقدم من Shieldworkz لا تقتصر على مجرد استيفاء بنود قائمة التدقيق فحسب، بل تدخل إلى التدقيق الرقابي مدعومة بأدلة وإثباتات على المستوى الذي يصمد فعلياً أمام التدقيق الدقيق.
تنزيل ورقة العمل
تكافئ توجيهات NIS2 المؤسسات التي يمكنها تقديم أدلة حالية، ومملوكة، ومُختبرة، وقابلة للتتبع، وليس المؤسسات التي تمتلك ببساطة مجلد سياسات ورقياً. إن الفجوة بين الاثنين هي بالضبط ما تم إعداد هذا التقرير الفني لسده.
يرجى ملء النموذج للحصول على نسختك المجانية من التقرير الفني لأدلة امتثال NIS2. سيكون لديك أيضاً خيار حجز استشارة غير ملزمة مع خبير الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz، والذي يمكنه مساعدتك في مطابقة قاعدة أدلتك الحالية مع نموذج النضج وتحديد أولويات المعالجة عبر النطاقات الأكثر عرضة للمخاطر أولاً.
احجز عرضاً توضيحياً مع خبراء الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz
قم بتنزيل نسختك اليوم!
الانتقال من مرحلة ادعاءات الامتثال لتوجيهات NIS2 إلى تقديم الأدلة.قم بتنزيل ورقة العمل العملية لبناء أدلة تشغيلية، ومختبرة، وجاهزة للتدقيق عبر متطلبات الأمن السيبراني الخاصة بـ NIS2.
من السياسة إلى الإثبات: ما تتطلبه توجيهات NIS2 حقاً
إن وجود السياسة لا يعد دليلاً على تطبيق ضابط الأمن. ووجود الضابط لا يعد دليلثاً على فعاليته. هذا التمييز، الذي يسهل صياغته لفظياً ويُغفل عنه باستمرار عملياً، هو الفكرة التنظيمية الكامنة وراء التوجيه الأوروبي (Directive (EU) 2022/2555)، وهو السبب في فسل معظم تقييمات الفجوات لتوجيه NIS2 في اللحظة التي يطرح فيها المدقق سؤالاً تقصياً حقيقياً.
تكتفي معظم المؤسسات التي تستعد لتوجيه NIS2 بطرح سؤال "هل لديك خطة لاستجابة للحوادث؟". يمكن الإجابة عن هذا السءال بتقديم وثيقة لم يختبرها أحد، ولا تتبع مسؤوليتها لشخص معين، وقد تنهار عند أول اختبار تدقيق جوهري. لا يكافئ توجيه NIS2 مجرد وجود سياسة. إن المادة 21 تمثل معياراً قانونياً للرعاية؛ حيث يمكن للمؤسسة التي تترض لحادث متطور أن تظل متوافقة إذا استطاعت إثبات وجود حوكمة وضوابط مناسبة ومتناسبة وقائمة على المخاطر قبل وقوع الحادث. فحتى المؤسسات التي تمتلك تكنولوجيا ممتازة قد تفشل إذا لم تكن هذم التكنولوجيا مدعومة بعملية صنع قرار موثقة ومراجعة دورية.
ما يقره التوجيه فعلياً:
أهمية هذه الدراسة البيضاء
لا يوضح نص التوجيه وحده للمؤسسة ما يجب تقديمه عند مواجهة التحديات. وتأتي هذه الورقة البيضاء لتسد هذه الفجوة من خلال إطارين عمل يُستخدمان باتساق عبر كل مجال.
الأول هو سلسلة أدلة تتكون من تسع خطوات تُطبق على كل ضابط: ما تتطلبه توجيهات NIS2، وما يجب تنفيذه، وما هو الدليل المحدد الذي يثبت ذلك، ومن هو المسؤول عن تقديمه عند الطلب، وكم مرة تتم مراجعته، وكيف يتم اختباره بما يتجاوز مجرد "وجود الوثيقة"، وما الذي سيطلبه المدقق لرؤيته، وما هي نقاط الضعف الشائعة التي قد تبطله، وكيف يبدو إجراء التصحيح في حال غيابه. أما الإطار الثاني فهو تمييز رباعي المستويات بين أدلة السياسات، وأدلة التنفيذ، وأدلة التشغيل، وأدلة الفعالية؛ وهي الفئة التي يدقق فيها معظم المدققين بشكل صارم وتلك التي تعجز معظم المؤسسات عن تقديمها.
كما تحافظ الورقة البيضاء على انضباط صارم في توثيق المصادر طوال الوقت. حيث يتم تصنيف كل ادعاء كمتطلب قانوني يستند إلى مادة معينة، أو توجيه تنظيمي، أو ممارسة صناعية جيدة، أو دليل موصى به، أو توصية تحليلية خاصة بشركة Shieldworkz، وذلك حتى لا يخلط فريق الامتثال بين اقتراحات الممارسين والالتزامات الملزمة، ولا يقلل أبداً من استعداده لأي منها.
Controls fail in five quiet ways. Coverage (a control on managed Windows hosts misses the controller), configuration (a rule permits any source to the historian), bypass (MFA on the approved path while a forgotten tunnel skips it), effectiveness (backups run, but controller projects were never included) and usability under pressure (a plan exists, but nobody can authorise isolating a plant network).
Official guidance is converging on the basics. The toolkit's Top 20 gap list draws in part on the May 2025 CISA, FBI, EPA and DOE primary mitigations and the August 2025 OT asset inventory guidance. Internet-exposed devices, default credentials and unmanaged remote access sit at the top for good reason.
Regulators are asking for proof. NIS2, NERC CIP, the CEA Regulations and NCA OTCC apply to entities in their scope. The toolkit tests the common themes and helps you gather evidence, while leaving clause-level mapping and applicability to you and your regulator.
Evidence ages and environments change, which is why the toolkit treats assessment as a cycle: scope, collect, validate, score, prioritise, remediate, re-assess.
لماذا يعد تنزيل هذه الورقة البيضاء أمراً بالغ الأهمية لمؤسستك
إذا كانت مؤسستكم تندرج ضمن الملحق الأول أو الملحق الثاني وتستوفي معايير الشركات المتوسطة أو الكبيرة، أو إذا كنتم تؤدون دوراً تحدده الدول الأعضاء على أنه يقع ضمن النطاق بغض النظر عن الحجم، فإنكم تتحملون مسؤولية مباشرة بموجب المسؤولية القانونية لمجلس الإدارة في المادة 20 والحد الأدنى للغرامات في المادة 34. إن توجيه NIS2 هو توجيه وليس لائحة تنظيمية، مما يعني أن التزاماتكم الفعلية القابلة للتنفيذ تكمن في القانون الوطني المنقول للدولة العضو، وليس في نص التوجيه بشكل مجرد، ويختلف هذا النص بشكل جوهري في السلطة المختصة، وقناة الإبلاغ، والحدود القصوى للغرامات بدقة، وآلية مسؤولية الهيئة الإدارية.
إليكم ما يضعه إكمال برنامج الأدلة الوارد في هذا التقرير الأبيض بين أيديكم:
مصفوفة التحكم في الأدلة المعبأة: موزعة ومطابقة عبر جميع المجالات العشرة للمادة 21(2)، مع تحديد أسماء المسؤولين، ووتيرة المراجعة، وطرق الاختبار، وليست مجرد مجلد سياسات جامد.
مفردات نضج قابلة للدفاع عنها: من خلال نموذج نضج الأدلة المكون من ستة مستويات، بدءاً من "لا يوجد دليل" وصولاً إلى "مقاس ومحسن"، ويتم تطبيقه لكل ضابط تحكم على حدة بدلاً من تطبيقه على مستوى المؤسسة بالكامل، نظراً لأن الكيان الناضج يمكنه وبشكل مشروع أن يكون في المستوى الخامس في الاستجابة للحوادث والمستوى الثاني في سلسلة التوريد في آن واحد.
قائمة مرجعية رئيسية تضم 106 نقاط فحص: تشمل الحوكمة، وإدارة المخاطر، وإدارة الأصول، والتعامل مع الحوادث، واستمرارية الأعمال، وسلسلة التوريد، وإدارة الهوية والوصول (IAM)، وعناصر التحكم الخاصة ببيئات تكنولوجيا العمليات والأنظمة الصناعية (OT/ICS).
هيكل برنامج مدته 90 يوماً وسنة واحدة: مُرتب حسب الأولوية، بحيث تتم أعمال المعالجة بالترتيب الصحيح بدلاً من توجيه الاهتمام لأول ما يقع عليه النظر.
A risk prioritisation matrix. A priority index built from consequence, likelihood and control weakness, because a critical CVSS score on an isolated host can matter less than a medium weakness on a critical process with a remote path.
Ready-to-use templates. An evidence collection checklist, sample findings, an executive reporting template, a 30/60/90-day remediation roadmap and a printable assessor worksheet.
If your team has been asked to run an OT assessment and needs a scope statement, an evidence register, scored findings and a sequenced plan that operations will accept, this toolkit is built for exactly that brief.
النقاط الرئيسية المستخلصة من الورقة البيضاء
أربعة أنواع من الأدلة، ومعظم المؤسسات يمكنها تقديم نوع واحد فقط. تُظهر أدلة السياسة أنه قد تم اتخاذ قرار. وتُظهر أدلة التنفيذ أنه تم بناء ضابط رقابي. وتُظهر أدلة التشغيل أنه يعمل بشكل مستمر. وتُظهر أدلة الفعالية أنه يعمل بالفعل ويتم تصحيح الثغرات. إن الضابط الرقابي الذي يستند إلى أدلة السياسة فقط، من وجهة نظر المدقق، يعادل تماماً عدم وجود ضابط رقابي على الإطلاق.
نموذج نضج الأدلة يمنح الأولوية، وليس مجرد درجة تقييم. يجب على المؤسسة التي لديها قدرة محدودة على معالجة الثغرات أن تنقل عناصر التحكم من المستوى 0-1 في المجالات عالية المخاطر إلى المستوى 2-3 قبل دفع عنصر تحكم قوي بالفعل من المستوى 3 إلى المستوى 5 في مجال آخر أقل خطورة.
الأدلة الضعيفة لها شكل مألوف ومميز. إن وثيقة السياسة التي لا تحتوي على أي دليل يدعمها، أو لقطة شاشة غير مؤرخة، أو القول بأن "لدينا مركز عمليات أمنية (SOC)" دون إثبات ما يراقبه، أو "تمكين المصادقة متعددة العوامل (MFA)" دون تقرير يوضح مدى التغطية، هذه هي بالضبط الأنماط والأساليب التي تم تدريب مدققي الحسابات على فحصها واختبارها أولاً.
تتكرر إخفاقات الأدلة الأكثر شيوعاً عبر مختلف القطاعات. فالسياسات الخالية من التنفيذ، والضوابط التي تفتقر إلى مالكين محددين، والنسخ الاحتياطية غير المختبرة، وحسابات الامتيازات غير المراجعة، وخطط الاستجابة للحوادث التي لم يتم التدرب عليها أبداً، كلها أمور تتكرر بغض النظر عن مدى نضج المؤسسة، ولكل منها تصحيح محدد وموضح.
المادة 21 هي معيار للرعاية والاهتمام، وليست مجرد قائمة مرجعية. إن الحوكمة المتناسبة والقائمة على المخاطر والمدعومة بقرارات موثقة تحمي المؤسسة حتى بعد وقوع حادث متطور؛ بينما لا توفر التكنولوجيا القوية هذه الحماية في غياب تلك الحوكمة.
المرسوم التشريعي الوطني، وليس التوجيه نفسه، هو ما يُلزمك فعليًا. تختلف الجهة المختصة ونموذج الإبلاغ والحد الأقصى للغرامات من دولة عضو إلى أخرى، ويُعد التعامل مع توجيه NIS2 كقائمة مراجعة واحدة وموحدة على مستوى الاتحاد الأوروبي خطأً شائعاً وجسيماً.
Legacy is assessable; undocumented is not. Unsupported systems are normal in OT. The gap is the compensating control nobody recorded or evidenced, so each unsupported asset needs an owner, a decision and proof the compensation works.
كيف تدعم Shieldworkz رحلتكم للامتثال لتوجيهات NIS2
إن بناء إطار عمل الأدلة والبراهين هو المهمة التي يضع هذا التقرير الفني هيكلها التنظيمي. أما تفعيله وتشغيله، لا سيما عندما تقع أنظمة تكنولوجيا العمليات والتحكم الصناعي (OT/ICS) ضمن نطاق امتثالك لتوجيهات NIS2، فهنا يأتي دور Shieldworkz.
OThello Assess: يقوم ببناء جرد حالي للأصول بمستوى معتمد على الأدلة، والذي يدعم إدارة الأصول بموجب المادة 21(2)(i) ويغذي مباشرة مصفوفة التحكم في الأدلة (Evidence Control Matrix) التي تحددها هذه الورقة البيضاء.
كشف الشبكات التشغيلية والاستجابة لها (OT NDR): يُنشئ بدقة الأدلة التشغيلية، وسجلات النظام، والتذاكر، والتقارير الدورية التي يعاملها نموذج الأدلة رباعي المستويات باعتبارها الفرق بين إجراء رقابي موجود على الورق فقط وآخر يقبله المدقق فعليًا.
الاستجابة للحوادث وتمارين الأزمات: تم تحديد نطاقها لتقديم أدلة فعالية حقيقية، وخطط مختبرة بنتائج مؤرخة ونتائج محددة، بدلاً من كتاب قواعد اللعبة الذي لم يتم التدرب عليه مطلقاً.
عمليات الجاهزية التنظيمية: ترجمة المجالات العشرة للمادة 21(2) من توجيه NIS2، إلى جانب معيار IEC 62443 عندما تكون تكنولوجيا العمليات (OT) ضمن النطاق، إلى خطة معالجة متسلسلة يمكن لفريقك تنفيذها مقابل مواعيد نهائية حقيقية، وليس لغة توجيهية مجردة.
إن المؤسسات التي تجمع بين هذا التقرير الفني والدعم المقدم من Shieldworkz لا تقتصر على مجرد استيفاء بنود قائمة التدقيق فحسب، بل تدخل إلى التدقيق الرقابي مدعومة بأدلة وإثباتات على المستوى الذي يصمد فعلياً أمام التدقيق الدقيق.
تنزيل ورقة العمل
تكافئ توجيهات NIS2 المؤسسات التي يمكنها تقديم أدلة حالية، ومملوكة، ومُختبرة، وقابلة للتتبع، وليس المؤسسات التي تمتلك ببساطة مجلد سياسات ورقياً. إن الفجوة بين الاثنين هي بالضبط ما تم إعداد هذا التقرير الفني لسده.
يرجى ملء النموذج للحصول على نسختك المجانية من التقرير الفني لأدلة امتثال NIS2. سيكون لديك أيضاً خيار حجز استشارة غير ملزمة مع خبير الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz، والذي يمكنه مساعدتك في مطابقة قاعدة أدلتك الحالية مع نموذج النضج وتحديد أولويات المعالجة عبر النطاقات الأكثر عرضة للمخاطر أولاً.
احجز عرضاً توضيحياً مع خبراء الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz
قم بتنزيل نسختك اليوم!
الانتقال من مرحلة ادعاءات الامتثال لتوجيهات NIS2 إلى تقديم الأدلة.قم بتنزيل ورقة العمل العملية لبناء أدلة تشغيلية، ومختبرة، وجاهزة للتدقيق عبر متطلبات الأمن السيبراني الخاصة بـ NIS2.
من السياسة إلى الإثبات: ما تتطلبه توجيهات NIS2 حقاً
إن وجود السياسة لا يعد دليلاً على تطبيق ضابط الأمن. ووجود الضابط لا يعد دليلثاً على فعاليته. هذا التمييز، الذي يسهل صياغته لفظياً ويُغفل عنه باستمرار عملياً، هو الفكرة التنظيمية الكامنة وراء التوجيه الأوروبي (Directive (EU) 2022/2555)، وهو السبب في فسل معظم تقييمات الفجوات لتوجيه NIS2 في اللحظة التي يطرح فيها المدقق سؤالاً تقصياً حقيقياً.
تكتفي معظم المؤسسات التي تستعد لتوجيه NIS2 بطرح سؤال "هل لديك خطة لاستجابة للحوادث؟". يمكن الإجابة عن هذا السءال بتقديم وثيقة لم يختبرها أحد، ولا تتبع مسؤوليتها لشخص معين، وقد تنهار عند أول اختبار تدقيق جوهري. لا يكافئ توجيه NIS2 مجرد وجود سياسة. إن المادة 21 تمثل معياراً قانونياً للرعاية؛ حيث يمكن للمؤسسة التي تترض لحادث متطور أن تظل متوافقة إذا استطاعت إثبات وجود حوكمة وضوابط مناسبة ومتناسبة وقائمة على المخاطر قبل وقوع الحادث. فحتى المؤسسات التي تمتلك تكنولوجيا ممتازة قد تفشل إذا لم تكن هذم التكنولوجيا مدعومة بعملية صنع قرار موثقة ومراجعة دورية.
ما يقره التوجيه فعلياً:
أهمية هذه الدراسة البيضاء
لا يوضح نص التوجيه وحده للمؤسسة ما يجب تقديمه عند مواجهة التحديات. وتأتي هذه الورقة البيضاء لتسد هذه الفجوة من خلال إطارين عمل يُستخدمان باتساق عبر كل مجال.
الأول هو سلسلة أدلة تتكون من تسع خطوات تُطبق على كل ضابط: ما تتطلبه توجيهات NIS2، وما يجب تنفيذه، وما هو الدليل المحدد الذي يثبت ذلك، ومن هو المسؤول عن تقديمه عند الطلب، وكم مرة تتم مراجعته، وكيف يتم اختباره بما يتجاوز مجرد "وجود الوثيقة"، وما الذي سيطلبه المدقق لرؤيته، وما هي نقاط الضعف الشائعة التي قد تبطله، وكيف يبدو إجراء التصحيح في حال غيابه. أما الإطار الثاني فهو تمييز رباعي المستويات بين أدلة السياسات، وأدلة التنفيذ، وأدلة التشغيل، وأدلة الفعالية؛ وهي الفئة التي يدقق فيها معظم المدققين بشكل صارم وتلك التي تعجز معظم المؤسسات عن تقديمها.
كما تحافظ الورقة البيضاء على انضباط صارم في توثيق المصادر طوال الوقت. حيث يتم تصنيف كل ادعاء كمتطلب قانوني يستند إلى مادة معينة، أو توجيه تنظيمي، أو ممارسة صناعية جيدة، أو دليل موصى به، أو توصية تحليلية خاصة بشركة Shieldworkz، وذلك حتى لا يخلط فريق الامتثال بين اقتراحات الممارسين والالتزامات الملزمة، ولا يقلل أبداً من استعداده لأي منها.
Controls fail in five quiet ways. Coverage (a control on managed Windows hosts misses the controller), configuration (a rule permits any source to the historian), bypass (MFA on the approved path while a forgotten tunnel skips it), effectiveness (backups run, but controller projects were never included) and usability under pressure (a plan exists, but nobody can authorise isolating a plant network).
Official guidance is converging on the basics. The toolkit's Top 20 gap list draws in part on the May 2025 CISA, FBI, EPA and DOE primary mitigations and the August 2025 OT asset inventory guidance. Internet-exposed devices, default credentials and unmanaged remote access sit at the top for good reason.
Regulators are asking for proof. NIS2, NERC CIP, the CEA Regulations and NCA OTCC apply to entities in their scope. The toolkit tests the common themes and helps you gather evidence, while leaving clause-level mapping and applicability to you and your regulator.
Evidence ages and environments change, which is why the toolkit treats assessment as a cycle: scope, collect, validate, score, prioritise, remediate, re-assess.
لماذا يعد تنزيل هذه الورقة البيضاء أمراً بالغ الأهمية لمؤسستك
إذا كانت مؤسستكم تندرج ضمن الملحق الأول أو الملحق الثاني وتستوفي معايير الشركات المتوسطة أو الكبيرة، أو إذا كنتم تؤدون دوراً تحدده الدول الأعضاء على أنه يقع ضمن النطاق بغض النظر عن الحجم، فإنكم تتحملون مسؤولية مباشرة بموجب المسؤولية القانونية لمجلس الإدارة في المادة 20 والحد الأدنى للغرامات في المادة 34. إن توجيه NIS2 هو توجيه وليس لائحة تنظيمية، مما يعني أن التزاماتكم الفعلية القابلة للتنفيذ تكمن في القانون الوطني المنقول للدولة العضو، وليس في نص التوجيه بشكل مجرد، ويختلف هذا النص بشكل جوهري في السلطة المختصة، وقناة الإبلاغ، والحدود القصوى للغرامات بدقة، وآلية مسؤولية الهيئة الإدارية.
إليكم ما يضعه إكمال برنامج الأدلة الوارد في هذا التقرير الأبيض بين أيديكم:
مصفوفة التحكم في الأدلة المعبأة: موزعة ومطابقة عبر جميع المجالات العشرة للمادة 21(2)، مع تحديد أسماء المسؤولين، ووتيرة المراجعة، وطرق الاختبار، وليست مجرد مجلد سياسات جامد.
مفردات نضج قابلة للدفاع عنها: من خلال نموذج نضج الأدلة المكون من ستة مستويات، بدءاً من "لا يوجد دليل" وصولاً إلى "مقاس ومحسن"، ويتم تطبيقه لكل ضابط تحكم على حدة بدلاً من تطبيقه على مستوى المؤسسة بالكامل، نظراً لأن الكيان الناضج يمكنه وبشكل مشروع أن يكون في المستوى الخامس في الاستجابة للحوادث والمستوى الثاني في سلسلة التوريد في آن واحد.
قائمة مرجعية رئيسية تضم 106 نقاط فحص: تشمل الحوكمة، وإدارة المخاطر، وإدارة الأصول، والتعامل مع الحوادث، واستمرارية الأعمال، وسلسلة التوريد، وإدارة الهوية والوصول (IAM)، وعناصر التحكم الخاصة ببيئات تكنولوجيا العمليات والأنظمة الصناعية (OT/ICS).
هيكل برنامج مدته 90 يوماً وسنة واحدة: مُرتب حسب الأولوية، بحيث تتم أعمال المعالجة بالترتيب الصحيح بدلاً من توجيه الاهتمام لأول ما يقع عليه النظر.
A risk prioritisation matrix. A priority index built from consequence, likelihood and control weakness, because a critical CVSS score on an isolated host can matter less than a medium weakness on a critical process with a remote path.
Ready-to-use templates. An evidence collection checklist, sample findings, an executive reporting template, a 30/60/90-day remediation roadmap and a printable assessor worksheet.
If your team has been asked to run an OT assessment and needs a scope statement, an evidence register, scored findings and a sequenced plan that operations will accept, this toolkit is built for exactly that brief.
النقاط الرئيسية المستخلصة من الورقة البيضاء
أربعة أنواع من الأدلة، ومعظم المؤسسات يمكنها تقديم نوع واحد فقط. تُظهر أدلة السياسة أنه قد تم اتخاذ قرار. وتُظهر أدلة التنفيذ أنه تم بناء ضابط رقابي. وتُظهر أدلة التشغيل أنه يعمل بشكل مستمر. وتُظهر أدلة الفعالية أنه يعمل بالفعل ويتم تصحيح الثغرات. إن الضابط الرقابي الذي يستند إلى أدلة السياسة فقط، من وجهة نظر المدقق، يعادل تماماً عدم وجود ضابط رقابي على الإطلاق.
نموذج نضج الأدلة يمنح الأولوية، وليس مجرد درجة تقييم. يجب على المؤسسة التي لديها قدرة محدودة على معالجة الثغرات أن تنقل عناصر التحكم من المستوى 0-1 في المجالات عالية المخاطر إلى المستوى 2-3 قبل دفع عنصر تحكم قوي بالفعل من المستوى 3 إلى المستوى 5 في مجال آخر أقل خطورة.
الأدلة الضعيفة لها شكل مألوف ومميز. إن وثيقة السياسة التي لا تحتوي على أي دليل يدعمها، أو لقطة شاشة غير مؤرخة، أو القول بأن "لدينا مركز عمليات أمنية (SOC)" دون إثبات ما يراقبه، أو "تمكين المصادقة متعددة العوامل (MFA)" دون تقرير يوضح مدى التغطية، هذه هي بالضبط الأنماط والأساليب التي تم تدريب مدققي الحسابات على فحصها واختبارها أولاً.
تتكرر إخفاقات الأدلة الأكثر شيوعاً عبر مختلف القطاعات. فالسياسات الخالية من التنفيذ، والضوابط التي تفتقر إلى مالكين محددين، والنسخ الاحتياطية غير المختبرة، وحسابات الامتيازات غير المراجعة، وخطط الاستجابة للحوادث التي لم يتم التدرب عليها أبداً، كلها أمور تتكرر بغض النظر عن مدى نضج المؤسسة، ولكل منها تصحيح محدد وموضح.
المادة 21 هي معيار للرعاية والاهتمام، وليست مجرد قائمة مرجعية. إن الحوكمة المتناسبة والقائمة على المخاطر والمدعومة بقرارات موثقة تحمي المؤسسة حتى بعد وقوع حادث متطور؛ بينما لا توفر التكنولوجيا القوية هذه الحماية في غياب تلك الحوكمة.
المرسوم التشريعي الوطني، وليس التوجيه نفسه، هو ما يُلزمك فعليًا. تختلف الجهة المختصة ونموذج الإبلاغ والحد الأقصى للغرامات من دولة عضو إلى أخرى، ويُعد التعامل مع توجيه NIS2 كقائمة مراجعة واحدة وموحدة على مستوى الاتحاد الأوروبي خطأً شائعاً وجسيماً.
Legacy is assessable; undocumented is not. Unsupported systems are normal in OT. The gap is the compensating control nobody recorded or evidenced, so each unsupported asset needs an owner, a decision and proof the compensation works.
كيف تدعم Shieldworkz رحلتكم للامتثال لتوجيهات NIS2
إن بناء إطار عمل الأدلة والبراهين هو المهمة التي يضع هذا التقرير الفني هيكلها التنظيمي. أما تفعيله وتشغيله، لا سيما عندما تقع أنظمة تكنولوجيا العمليات والتحكم الصناعي (OT/ICS) ضمن نطاق امتثالك لتوجيهات NIS2، فهنا يأتي دور Shieldworkz.
OThello Assess: يقوم ببناء جرد حالي للأصول بمستوى معتمد على الأدلة، والذي يدعم إدارة الأصول بموجب المادة 21(2)(i) ويغذي مباشرة مصفوفة التحكم في الأدلة (Evidence Control Matrix) التي تحددها هذه الورقة البيضاء.
كشف الشبكات التشغيلية والاستجابة لها (OT NDR): يُنشئ بدقة الأدلة التشغيلية، وسجلات النظام، والتذاكر، والتقارير الدورية التي يعاملها نموذج الأدلة رباعي المستويات باعتبارها الفرق بين إجراء رقابي موجود على الورق فقط وآخر يقبله المدقق فعليًا.
الاستجابة للحوادث وتمارين الأزمات: تم تحديد نطاقها لتقديم أدلة فعالية حقيقية، وخطط مختبرة بنتائج مؤرخة ونتائج محددة، بدلاً من كتاب قواعد اللعبة الذي لم يتم التدرب عليه مطلقاً.
عمليات الجاهزية التنظيمية: ترجمة المجالات العشرة للمادة 21(2) من توجيه NIS2، إلى جانب معيار IEC 62443 عندما تكون تكنولوجيا العمليات (OT) ضمن النطاق، إلى خطة معالجة متسلسلة يمكن لفريقك تنفيذها مقابل مواعيد نهائية حقيقية، وليس لغة توجيهية مجردة.
إن المؤسسات التي تجمع بين هذا التقرير الفني والدعم المقدم من Shieldworkz لا تقتصر على مجرد استيفاء بنود قائمة التدقيق فحسب، بل تدخل إلى التدقيق الرقابي مدعومة بأدلة وإثباتات على المستوى الذي يصمد فعلياً أمام التدقيق الدقيق.
تنزيل ورقة العمل
تكافئ توجيهات NIS2 المؤسسات التي يمكنها تقديم أدلة حالية، ومملوكة، ومُختبرة، وقابلة للتتبع، وليس المؤسسات التي تمتلك ببساطة مجلد سياسات ورقياً. إن الفجوة بين الاثنين هي بالضبط ما تم إعداد هذا التقرير الفني لسده.
يرجى ملء النموذج للحصول على نسختك المجانية من التقرير الفني لأدلة امتثال NIS2. سيكون لديك أيضاً خيار حجز استشارة غير ملزمة مع خبير الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz، والذي يمكنه مساعدتك في مطابقة قاعدة أدلتك الحالية مع نموذج النضج وتحديد أولويات المعالجة عبر النطاقات الأكثر عرضة للمخاطر أولاً.
احجز عرضاً توضيحياً مع خبراء الأمن السيبراني للأنظمة التشغيلية (OT) من Shieldworkz
قم بتنزيل نسختك اليوم!
الانتقال من مرحلة ادعاءات الامتثال لتوجيهات NIS2 إلى تقديم الأدلة.قم بتنزيل ورقة العمل العملية لبناء أدلة تشغيلية، ومختبرة، وجاهزة للتدقيق عبر متطلبات الأمن السيبراني الخاصة بـ NIS2.
