NIS2 وموقع شركتك: ما الذي سيسألك عنه عملاؤك بصفتك موردًا

تصلك الرسالة من عميل تتعامل معه منذ سنوات. ومرفق بها استبيان أمني للموردين: عشرات الأسئلة عن التشفير والتحديثات الأمنية والنسخ الاحتياطية والحوادث، والموعد النهائي آخر الشهر. شركتك صغيرة. لست بنكًا ولا مستشفى ولا شركة كهرباء. فلماذا هذا الاهتمام المفاجئ؟

لأن عميلك يخضع على الأرجح لتوجيه NIS2، وهو توجيه الاتحاد الأوروبي بشأن الأمن السيبراني، ويحمّله مسؤولية أمن سلسلة التوريد لديه. التوجيه لا يفرض عليك أنت أي التزام مباشر. والاستبيان هو الطريقة التي يفي بها عميلك بالتزامه ويوثّقه على الورق.

يتناول هذا المقال ما ينص عليه القانون، وأي تلك الأسئلة يجيب عنها موقعك العام ونطاق بريدك نيابة عنك، وكيف تجمع الأدلة قبل أن يطلبها أحد. وهو ليس استشارة قانونية. وإن لم تكن متأكدًا هل تخضع شركتك نفسها لتوجيه NIS2، فراجع أولًا إرشادات الجهة المختصة في بلدك.

من أين تأتي الأسئلة

يحدد التوجيه (EU) 2022/2555، المعروف باسم NIS2، في المادة 21 تدابير إدارة مخاطر الأمن السيبراني التي يجب أن تتخذها الجهات الأساسية والجهات المهمة. وينص البند (د) من الفقرة 2 على: «أمن سلسلة التوريد، بما في ذلك الجوانب المتعلقة بالأمن في العلاقات بين كل جهة ومورديها المباشرين أو مقدمي الخدمات لها».

وتذهب الفقرة 3 أبعد من ذلك. فعند اختيار هذه التدابير، يجب على الجهات أن تأخذ في الحسبان الثغرات الخاصة بكل مورد مباشر وكل مقدم خدمة، والجودة العامة لمنتجاتهم وممارساتهم في الأمن السيبراني.

لا يستطيع عميلك أن يحكم على ممارساتك في الأمن السيبراني دون أن يسأل. لذلك ينقل جزءًا من الالتزام إلى أسفل السلسلة، عبر الاستبيانات وبنود العقود وطلبات الأدلة. إن كنت توفر برمجيات أو استضافة أو دعمًا تقنيًا، أو لديك وصول إلى أنظمته، فتوقع قائمة طويلة. وإن كنت تبيع شيئًا لا علاقة له بذلك، فقد تكون القائمة أقصر، لكنها قد تصل مع ذلك، لأن إرسال نموذج واحد إلى كل الموردين أسهل على فريق المشتريات.

وهناك سبب عادي جدًا لأهمية نطاقك. أنت أحد العناوين التي يستقبل منها عميلك الفواتير. وإن استطاع أحد إرسال رسالة تبدو كأنها منك، فهو يستطيع إرسال فاتورة مزيفة ببيانات حساب بنكي مختلفة. وهذا بالنسبة إلى عميلك خطر في سلسلة التوريد، حتى لو لم تقترب أنت من خوادمه قط.

لماذا الآن

التوجيه لا يُلزم الشركات بنفسه. كل دولة في الاتحاد الأوروبي تنقله إلى قانونها الوطني، وفق جدولها الزمني. فعلت بولندا ذلك مثلًا بقانون صادر في 23 يناير 2026 يعدّل قانونها الخاص بالنظام الوطني للأمن السيبراني (Dz.U. 2026 البند 252)، وهو نافذ منذ 3 أبريل 2026. وتدرج المادة 8 المعدّلة من ذلك القانون أمن سلسلة توريد تقنية المعلومات والاتصالات واستمراريتها ضمن التدابير التي يجب أن تطبقها الشركة الخاضعة له.

وتمنح وزارة الشؤون الرقمية البولندية الشركات التي كانت تستوفي المعايير عند نفاذ القانون مهلة حتى 3 أكتوبر 2026 للتسجيل، وحتى 3 أبريل 2027 لتنفيذ التزاماتها. ولدول أخرى مواعيدها الخاصة. وأينما كان مقر عميلك، فالنمط واحد: كلما اقترب موعده النهائي، راجعت فرق الأمن والمشتريات لديه قائمة الموردين.

أسئلة يجيب عنها موقعك وبريدك

جزء من كل استبيان يتناول أمورًا يستطيع أي شخص فحصها من الخارج في دقائق. وعميلك أو مدققه يستطيع أن يفعل ذلك دون أن يسألك، فالأفضل أن تعرف الأجوبة قبله.

التشفير أثناء النقل. يأتي السؤال عادة بصيغة «هل البيانات مشفرة أثناء النقل؟» أو «ما إصدارات TLS التي تدعمونها؟». الجواب الجيد: الموقع يعمل عبر HTTPS فقط، وhttp:// يحوّل إلى https://، والشهادة صالحة، والإصداران القديمان من البروتوكول، TLS 1.0 و1.1، معطّلان. وتعرض أداة فحص شهادة SSL المجانية (بالإنجليزية) كل ذلك.

مصادقة البريد. «هل تستخدمون SPF وDKIM وDMARC؟». يتكرر هذا السؤال كثيرًا، لأنه يتعلق بانتحال أحدهم صفة شركتك. الجواب الجيد هو وجود السجلات الثلاثة في DNS، مع DMARC مضبوط على p=quarantine أو p=reject. أما السجل p=none فيراقب فقط ولا يوقف شيئًا. افحص نطاقك عبر فحص SPF وDKIM وDMARC (بالإنجليزية)، وإن كانت هذه الاختصارات جديدة عليك، فهذا المقال يشرحها.

التحديثات الأمنية. «كيف تديرون التحديثات الأمنية؟» و«ما سرعة تطبيقكم للإصلاحات الحرجة؟». يكشف موقعك هنا أكثر مما تتوقع. فـWordPress وإضافاته تُظهر في الغالب أرقام إصداراتها في شيفرة الصفحة، وتستطيع أداة الفحص مطابقتها مع الثغرات المعروفة. وإن كان موقعك يشغّل إضافة فيها ثغرة منشورة، فلن تصمد عبارة «نطبق التحديثات بسرعة» أمام أول فحص.

ملفات متروكة للعموم. للأسئلة عن حماية البيانات والنسخ الاحتياطية جانب خارجي أيضًا. هل يوجد backup.zip، أو نسخة من قاعدة البيانات، أو ملف إعدادات فيه كلمات مرور، في مكان يستطيع أي شخص التنزيل منه؟ الروبوتات تجرّب هذه العناوين في كل موقع تصل إليه. وتجد المزيد في مقال النسخة الاحتياطية المنسية على خادمك.

ترويسات الأمان. نادرًا ما تُذكر بالاسم، لكنها تقف خلف الأسئلة عن تحصين تطبيقات الويب. غياب ترويسة HSTS أو سياسة أمان المحتوى (Content Security Policy) لا يعني أن الموقع مكشوف تمامًا. لكنه يبيّن هل يعتني به أحد. ويعرض فحص ترويسات الأمان (بالإنجليزية) ما هو موجود وما ينقص.

الإبلاغ عن ثغرة. تسأل بعض الاستبيانات كيف يستطيع شخص من الخارج أن يبلغك بمشكلة أمنية. أبسط جواب هو عنوان للتواصل الأمني منشور في ملف /.well-known/security.txt على موقعك.

أسئلة لا يستطيع موقعك أن يجيب عنها

الباقي لا يُرى من الخارج. من يملك صلاحية المدير على موقعك وبريدك ونطاقك، وهل يستخدمون تسجيل الدخول بخطوتين. وأين نسخك الاحتياطية، وهل استعاد أحد منها شيئًا من قبل. وماذا تفعل بعد الحادث، وما سرعة إبلاغك العميل. وهل سيتعرف موظفوك على رسالة تصيّد.

لا تساعد أي أداة فحص في هذه الأسئلة. ما يساعد هو أجوبة قصيرة صادقة، ووثيقة تدعمها.

لا تختر «نعم» لكل شيء. كثيرًا ما تنتهي أجوبة الاستبيان في العقد بصفتها إقرارات، والإقرار غير الصحيح أسوأ من جواب صادق مثل «قيد التنفيذ، وينتهي في ديسمبر». يحتاج عميلك إلى موردين يستطيع إدارة مخاطرهم. ولا يتوقع موردين بلا أي مخاطر.

تجهيز الأدلة

قبل أن ترد، أنشئ مجلدًا، وضع التاريخ في اسم كل ملف فيه.

1. تقرير عن موقعك ونطاقك. يبيّن حالة الشهادة وسجلات البريد والترويسات والملفات المكشوفة في يوم محدد. وإن احتاج شيء إلى إصلاح، فأضف تقريرًا ثانيًا بعد الإصلاح. فزوج «قبل وبعد» يخبر العميل أكثر من نتيجة واحدة.
2. نتيجة فحص SPF وDKIM وDMARC. تكفي لقطة شاشة مؤرخة.
3. صفحة واحدة عن التحديثات. من يحدّث الموقع وأنظمتك الأخرى، وكم مرة، وما سرعة تثبيت الإصلاحات الحرجة.
4. صفحة واحدة عن النسخ الاحتياطية. أين تُحفظ، وكم مرة تُؤخذ، ومتى استعاد أحد منها آخر مرة.
5. قائمة الصلاحيات. من يملك حسابات المدير على الموقع والبريد ومسجّل النطاق والاستضافة، وهل في كل حساب منها تسجيل دخول بخطوتين.
6. جهة الاتصال عند الحوادث. اسم الشخص المسؤول وبريده ورقم هاتفه، وما سرعة إبلاغك العميل بحادث يؤثر فيه.

اكتب البنود من 3 إلى 6 مع من يتولى موقعك وتقنية المعلومات لديك. وإن لم تكن متأكدًا كيف تبدأ هذا الحديث، فالأسئلة الخمسة في آخر هذا المقال بداية جيدة.

كرر فحص الموقع كل ربع سنة وبعد أي تغيير كبير. سيعود عميلك باستبيان آخر، وتقرير عمره عامان لا يثبت شيئًا.

ما تفعله هذا الأسبوع

إن كان الاستبيان على مكتبك الآن:

1. افحص موقعك ونطاقك من الخارج. يستغرق ذلك دقائق، وقد تغيّر النتيجة بعض أجوبتك.
2. أصلح الأمور السريعة: انقل DMARC من p=none إلى quarantine، واحذف ملفات النسخ الاحتياطية من مجلد الموقع، وافرض HTTPS، وعطّل إصدارات TLS القديمة. إن كان SPF وDKIM يعملان، فهذا في العادة عمل ساعات، لا أسابيع.
3. صِف الباقي بصدق: ما يعمل، وما هو قيد التنفيذ، ومتى ينتهي.

تستطيع تنفيذ الخطوة الأولى عبر ShieldWave. تكتب عنوانك، وخلال نحو 90 ثانية يفحص من الخارج الشهادة والترويسات وSPF وDKIM وDMARC وإصدارات البرمجيات والملفات المكشوفة، ثم يشرح النتيجة بلغة واضحة مع ملخص جاهز لمطوّرك. الفحص الأول مجاني، والفحص الكامل لمرة واحدة مع التقرير الكامل لمجلدك يكلف 9 دولارات.