قانون المرونة السيبرانية الأوروبي: واجبات الإبلاغ سارية منذ 11 سبتمبر 2026. ما على مصنّعي الشواحن والعواكس فعله

#الجدول الزمني

#ما الذي يُبلَّغ عنه وبأي سرعة

يبدأ العدّ من لحظة علم المصنّع. ويُقدَّم البلاغ مرة واحدة عبر المنصة، فيصل إلى فريق الاستجابة (CSIRT) المنسِّق في الدولة العضو التي يقع فيها المقر الرئيسي للمصنّع، وإلى ENISA في الوقت نفسه ما لم توجد ظروف استثنائية.

يُعدّ الحادث خطيرًا إذا أثّر أو قد يؤثر في قدرة المنتج على حماية توافر البيانات أو الوظائف أو أصالتها أو سلامتها أو سريتها، أو أدى أو قد يؤدي إلى تشغيل شيفرة خبيثة على المنتج أو على أنظمة المستخدم.

وعلى المصنّع إبلاغ المستخدمين المتأثرين، وعند الاقتضاء جميع المستخدمين، بالثغرة أو الحادث وبإجراءات التخفيف المتاحة، وعند الاقتضاء بصيغة منظمة قابلة للقراءة الآلية.

#المنتجات المبيعة تُحتسب أيضًا

لا تخضع المنتجات المطروحة قبل 11 ديسمبر 2027 للقانون عمومًا إلا بعد تعديل جوهري (المادة 69(2)). وواجب الإبلاغ استثناء: تُطبَّق المادة 14 على جميع هذه المنتجات ضمن النطاق دون اشتراط أي تعديل (المادة 69(3)). أي أن منتجاتك المركّبة في الاتحاد الأوروبي داخل النطاق الآن.

#هل تشمل الشواحن والعواكس وأنظمة التخزين؟

يشمل القانون المنتجات ذات العناصر الرقمية المتصلة بجهاز أو شبكة. فالشاحن الذي يعمل بـ OCPP، والعاكس المراقَب عبر Wi-Fi أو 4G، ونظام التخزين المتصل بمنصة سحابية، ووحدة إدارة الطاقة، كلها تنطبق عليها هذه الصفة.

لا يرد أي من هذه المنتجات في الملحق III (المنتجات المهمة) أو الملحق IV (المنتجات الحرجة). يضم الملحق III مثلًا أجهزة التوجيه والمودم وأنظمة التشغيل ومنتجات المنزل الذكي ذات الوظائف الأمنية، ويضم الملحق IV بوابات العدادات الذكية. أما المنتجات غير المدرجة فتقع في الفئة الافتراضية، ويمكن للمصنّع تقييم مطابقتها بنفسه اعتبارًا من ديسمبر 2027.

وقبل ذلك، يجب أن تستوفي الأجهزة الراديوية المتصلة المبيعة في الاتحاد الأوروبي متطلبات الأمن السيبراني في توجيه المعدات الراديوية، وتُقيَّم وفق EN 18031.

#ما العمل الآن

1. أنشئ مسار استجابة على مدار 24 ساعة. حدِّد من يتلقى بلاغات الثغرات، ومن يقرر إن كانت مستغلة فعليًا، ومن يقدّم الإنذار المبكر.
2. جهّز الوصول إلى منصة الإبلاغ الموحدة وحدِّد فريق CSIRT الذي سيتلقى الإخطارات.
3. أعدّ قائمة بالمنتجات المركّبة. كل طراز متصل بيع في الاتحاد الأوروبي، وإصدارات البرامج الثابتة، وطريقة وصول التحديثات إلى الأجهزة. فالواجب يمتد إلى المنتجات القديمة.
4. جهّز إشعارات المستخدمين. نماذج وقناة نشر، ويُفضَّل أن تكون قابلة للقراءة الآلية.
5. خطّط لديسمبر 2027. سيصبح التصميم الآمن افتراضيًا، والتحديثات الأمنية طوال فترة الدعم، وقائمة مكوّنات البرمجيات (SBOM) متطلبات إلزامية.