إجابة مختصرة: NIS2 (التوجيه (الاتحاد الأوروبي) 2022/2555) هو قانون الأمن السيبراني للاتحاد الأوروبي للقطاعات الحيوية. الصحة هي قطاع ذو أهمية قصوى (الملحق الأول): المستشفيات ومقدمو الرعاية الصحية الآخرون، ومختبرات الاتحاد الأوروبي المرجعية، ومصنعو المنتجات الصيدلانية الأساسية والأجهزة الطبية الهامة خلال حالة طوارئ صحية عامة، والكيانات التي تقوم بالبحث والتطوير للمنتجات الدوائية. مقدمو الخدمات الرقمية التي تعتمد عليها الصحة مشمولون أيضًا: الحوسبة السحابية، ومراكز البيانات، وخدمات الأمن المُدارة، والمنصات والأسواق عبر الإنترنت. الكيانات التي تتجاوز حد الحجم (متوسطة: 50 موظفًا أو 10 ملايين يورو كإيرادات) تُعتبر أساسية أو هامة اعتمادًا على القطاع والحجم، ويجب عليها تطبيق عشر فئات من تدابير الأمان، والإبلاغ عن الحوادث الهامة في غضون 24 ساعة، و72 ساعة، وشهر واحد، وقبول أن الإدارة مسؤولة شخصيًا. كان على الدول الأعضاء تطبيق التوجيه بحلول 17 أكتوبر 2024؛ وقد فعلت العديد منها ذلك متأخرًا، والقوانين الوطنية، وليس التوجيه، هي التي تنطبق عليك.
من يشمله النطاق
يغطي توجيه NIS2 قطاع الصحة كقطاع ذي أهمية بالغة: المستشفيات ومقدمو الرعاية الصحية الآخرون، ومختبرات الاتحاد الأوروبي المرجعية، ومصنعو المنتجات الصيدلانية الأساسية والأجهزة الطبية الحرجة في حالات الطوارئ الصحية العامة، وكيانات البحث والتطوير للأدوية، بالإضافة إلى مزودي الخدمات السحابية ومراكز البيانات والخدمات المُدارة التي تعتمد عليها الصحة. الكيانات متوسطة الحجم مهمة بشكل عام، والكبيرة منها ضرورية.
| الكيان | الملحق | الوضع النموذجي |
|---|---|---|
| المستشفيات والعيادات وشبكات أطباء الأسرة والمختبرات والصيدليات التي تقدم الرعاية (مقدمو الرعاية الصحية بموجب التوجيه 2011/24) | الأول، الصحة | أساسي إذا كان كبيرًا (250+ موظفًا أو 50 مليون يورو+)، هام إذا كان متوسطًا |
| مختبرات الاتحاد الأوروبي المرجعية | الأول، الصحة | أساسي |
| مصنعو المنتجات والمستحضرات الصيدلانية الأساسية | الأول، الصحة | أساسي أو هام حسب الحجم |
| مصنعو الأجهزة الطبية التي تُعتبر هامة خلال حالة طوارئ صحية عامة (قائمة اللائحة 2022/123) | الأول، الصحة | أساسي أو هام حسب الحجم |
| الكيانات التي تقوم بالبحث والتطوير للمنتجات الدوائية | الأول، الصحة | أساسي أو هام حسب الحجم |
| مقدمو خدمات الحوسبة السحابية، ومقدمو مراكز البيانات، وشبكات توصيل المحتوى، ومقدمو الخدمات (الأمنية) المُدارة، وخدمات DNS، وسجلات TLD | الأول، البنية التحتية الرقمية وإدارة خدمات تكنولوجيا المعلومات والاتصالات | أساسي بغض النظر عن الحجم لبعضها (DNS، TLD، خدمات الثقة)؛ بخلاف ذلك حسب الحجم |
| الأسواق عبر الإنترنت، ومحركات البحث، والشبكات الاجتماعية | الثاني، مقدمو الخدمات الرقمية | هام حسب الحجم |
| مصنعو الأجهزة الطبية الأخرى وأجهزة الكمبيوتر والإلكترونيات والآلات | الثاني، التصنيع | هام حسب الحجم |
بائع برنامج كخدمة (SaaS) في مجال التكنولوجيا الصحية ليس مقدم رعاية صحية، ولكنه قد يشمله النطاق كمقدم خدمة حوسبة سحابية (إذا كان يقدم خدمات سحابية كعمل تجاري له) أو قد يتم إدراجه من خلال عملائه: تتطلب المادة 21 (2) (د) من الكيانات الأساسية والهامة إدارة أمن سلسلة التوريد، لذلك تنقل المستشفيات متطلبات مستوى NIS2 إلى العقود مع موردي البرامج الخاصين بها. الشركات الصغيرة والمتناهية الصغر عادة ما تكون خارج النطاق ما لم تقم دولة عضو بتعيينها (على سبيل المثال، كمقدم وحيد لخدمة حيوية).
التدابير العشر، المادة 21
تتطلب المادة 21 من توجيه NIS2 من كل كيان مشمول اتخاذ تدابير متناسبة في عشرة مجالات: تحليل المخاطر وسياسات الأمان، والتعامل مع الحوادث، واستمرارية الأعمال وإدارة الأزمات، وأمن سلسلة التوريد، والاقتناء والتطوير الآمن بما في ذلك التعامل مع الثغرات الأمنية، وتقييم الفعالية، والنظافة السيبرانية والتدريب، والتشفير، وأمن الموارد البشرية والتحكم في الوصول، والمصادقة متعددة العوامل مع الاتصالات الآمنة.
يجب على كل كيان مشمول بالنطاق اتخاذ تدابير فنية وتشغيلية وتنظيمية مناسبة ومتناسبة تغطي على الأقل:
- سياسات تحليل المخاطر وأمن نظام المعلومات؛
- معالجة الحوادث؛
- استمرارية الأعمال (النسخ الاحتياطي، التعافي من الكوارث) وإدارة الأزمات؛
- أمن سلسلة التوريد، بما في ذلك أمن العلاقات مع الموردين المباشرين؛
- الأمان في اكتساب وتطوير وصيانة الأنظمة، بما في ذلك معالجة الثغرات والكشف عنها؛
- سياسات لتقييم فعالية التدابير؛
- ممارسات النظافة السيبرانية الأساسية والتدريب؛
- سياسات التشفير، وعند الاقتضاء، التشفير؛
- أمن الموارد البشرية، التحكم في الوصول، وإدارة الأصول؛
- المصادقة متعددة العوامل أو المستمرة، والاتصالات الآمنة، والاتصالات الطارئة الآمنة.
لائحة تنفيذية من أكتوبر 2024 (2024/2690) تحدد هذه التفاصيل لمقدمي البنية التحتية الرقمية ومقدمي خدمات تكنولوجيا المعلومات والاتصالات، وتنشر السلطات الوطنية قوائمها الخاصة بالصحة. تتطابق القائمة بشكل وثيق مع الملحق A من ISO/IEC 27001؛ المنظمة التي لديها نظام إدارة أمن المعلومات (ISMS) معتمد يغطي الأنظمة ذات الصلة تكون قد قطعت شوطًا كبيرًا. انظر ISO 27001 مقابل ISO 27799.
ساعة الحادث، المادة 23
بموجب المادة 23 من توجيه NIS2، يجب الإبلاغ عن أي حادث كبير إلى فريق الاستجابة لطوارئ الحاسب الآلي الوطني (CSIRT) أو السلطة المختصة في ثلاث خطوات: إنذار مبكر في غضون 24 ساعة من اكتشاف الحادث، وإشعار بالحادث في غضون 72 ساعة مع تقييم أولي، وتقرير نهائي في غضون شهر يغطي السبب الجذري والإجراءات التخفيفية، مع تقرير مرحلي عند الطلب.
يجب الإبلاغ عن حادث هام (حادث يسبب أو قادر على التسبب في اضطراب تشغيلي شديد أو خسارة مالية، أو يؤثر على الآخرين بأضرار كبيرة) إلى فريق الاستجابة لحوادث الأمن السيبراني الوطني (CSIRT) أو السلطة المختصة:
- إنذار مبكر في غضون 24 ساعة من العلم به، مع ذكر ما إذا كان يُشتبه في وجود عمل خبيث وما إذا كان هناك تأثير عبر الحدود؛
- إشعار بالحادث في غضون 72 ساعة، مع تقييم أولي للخطورة والتأثير ومؤشرات الاختراق؛
- تقرير مرحلي عند الطلب؛
- تقرير نهائي في غضون شهر واحد، مع تحديد السبب الجذري، وتدابير التخفيف، والتأثير عبر الحدود.
عندما تشمل البيانات الشخصية، فإن الإبلاغ عن خرق البيانات بموجب اللائحة العامة لحماية البيانات (GDPR) إلى سلطة حماية البيانات خلال 72 ساعة يسري بالتوازي؛ هجوم برامج الفدية على مستشفى يؤدي إلى تفعيل كليهما. يجب إبلاغ متلقي الخدمات عندما قد يؤثر عليهم الحادث.
الحوكمة والمسؤولية والغرامات
يجعل توجيه NIS2 الإدارة مسؤولة شخصيًا: يجب على الهيئات الإدارية الموافقة على تدابير الأمن السيبراني، والإشراف على تنفيذها، وحضور التدريب، ويمكن تحميلها المسؤولية عن الانتهاكات؛ بالنسبة للكيانات الأساسية، قد تقوم السلطات بتعليق عمل المديرين مؤقتًا. تصل الغرامات إلى 10 ملايين يورو أو 2% من إجمالي حجم المبيعات العالمي للكيانات الأساسية، و 7 ملايين يورو أو 1.4% للكيانات المهمة.
يجوز للسلطات إجراء عمليات تدقيق، وطلب الأدلة، وفي بعض الدول الأعضاء، يُعد تسجيل الكيانات بحد ذاته التزامًا.
أين وصل تطبيق التوجيه
كان يجب على الدول الأعضاء تطبيق توجيه NIS2 في قوانينها الوطنية بحلول 17 أكتوبر 2024. بحلول منتصف عام 2025، كانت حوالي نصف الدول الأعضاء قد أصدرت قوانين سارية، وكانت المفوضية قد بدأت إجراءات مخالفة ضد المتأخرين، ودخل قانون التنفيذ الألماني حيز التنفيذ في أواخر عام 2025. القانون الوطني، وليس التوجيه، هو الذي يحدد موعد التسجيل، والسلطة المختصة، وأي قائمة بقطاع الصحة.
كان الموعد النهائي لتطبيق التوجيه هو 17 أكتوبر 2024. بحلول منتصف عام 2025، كانت حوالي نصف الدول الأعضاء قد أصدرت قوانين سارية (بلجيكا، كرواتيا، المجر، إيطاليا، لاتفيا، ليتوانيا، رومانيا، سلوفاكيا من بين الأوائل)، وبدأت المفوضية إجراءات انتهاك ضد المتأخرين؛ دخل قانون تطبيق NIS2 في ألمانيا حيز التنفيذ في أواخر عام 2025. تحقق من قانون بلدك لمعرفة موعد التسجيل، والسلطة المختصة (غالبًا ما تكون وكالة الأمن السيبراني الوطنية للصحة، وأحيانًا جهة تنظيمية لقطاع الصحة)، والقوائم الخاصة بالقطاع. خارج الاتحاد الأوروبي، تتبع المملكة المتحدة مع مشروع قانون الأمن السيبراني والمرونة.
بالنسبة لبائع برنامج تكنولوجيا صحية، عمليًا
بالنسبة لبائع برامج التكنولوجيا الصحية، يأتي توجيه NIS2 بشكل أساسي من خلال عقود المستشفيات: يجب على العملاء المشمولين إدارة أمن سلسلة التوريد، لذا يطلبون الإبلاغ عن الحوادث في غضون ساعات، وتقديم أدلة على تدابير المادة 21 العشر، والكشف عن الثغرات الأمنية، وقوائم المتعاقدين الفرعيين، وخطط الخروج والاستمرارية. يُعد نظام إدارة أمن المعلومات الواحد الذي يوثق هذه العناصر مرة واحدة هو الطريقة الأقل تكلفة للإجابة.
تنشر Anpheros ممارساتها الأمنية على موقع المطور (security، reliability) وتدير الاستجابة للحوادث وفقًا لساعتي NIS2 و GDPR في نفس دليل التشغيل.
تشرح هذه الصفحة اللوائح الخاصة بفرق المنتجات والهندسة. إنها ليست استشارة قانونية؛ النصوص المرتبطة تحت المصادر هي السلطة، ويقرر مسؤول حماية البيانات الخاص بك، أو الهيئة المُبلغ عنها، أو المستشار الخاص بك لحالتك. آخر مراجعة: أكتوبر 2026.
صفحات ذات صلة
- ISO 27001 مقابل ISO 27799
- المادة 9 من اللائحة العامة لحماية البيانات (GDPR) لبيانات الصحة
- خريطة تنظيم بيانات الصحة
- تقييم حماية البيانات (DPIA) لتطبيق صحي
- أمن المنصة (موقع المطورين)
المصادر
- التوجيه (الاتحاد الأوروبي) 2022/2555 (NIS2)، EUR-Lex
- لائحة التنفيذ (الاتحاد الأوروبي) 2024/2690 (متطلبات NIS2 الفنية لمقدمي الخدمات الرقمية)، EUR-Lex
- المفوضية الأوروبية: نظرة عامة على توجيه NIS2
- اللائحة (الاتحاد الأوروبي) 2022/123 (الدور المعزز لوكالة الأدوية الأوروبية؛ قائمة الأجهزة الطبية الهامة)، EUR-Lex
الأسئلة الشائعة
هل شركتي لبرامج الصحة المكونة من 30 موظفًا مشمولة بالنطاق؟
عادة لا بشكل مباشر، ما لم ينص قانون بلدك على ذلك أو كنت تقدم خدمة مدرجة في الملحق الأول بغض النظر عن الحجم. ستظل تفي بمتطلبات NIS2 من خلال التزامات سلسلة التوريد لعملائك من المستشفيات، والتي تتدفق إلى العقود.
ما هو الحادث الهام؟
هو حادث يسبب أو يمكن أن يسبب اضطرابًا تشغيليًا شديدًا أو خسارة مالية للكيان، أو يؤثر على أشخاص أو منظمات أخرى بأضرار مادية أو غير مادية كبيرة. هجوم برامج الفدية على مستشفى هو الحالة النموذجية؛ انقطاع قصير دون تأثير على البيانات عادة لا يعتبر كذلك.
هل يحل NIS2 محل الإبلاغ عن خرق البيانات بموجب اللائحة العامة لحماية البيانات (GDPR)؟
لا. يسري كلاهما بالتوازي مع جهات اتصال مختلفة (فريق الاستجابة لحوادث الأمن السيبراني أو سلطة الأمن السيبراني مقابل سلطة حماية البيانات)، ومحفزات مختلفة (اضطراب الخدمة مقابل خرق البيانات الشخصية)، ومواعيد نهائية متداخلة.
هل شهادة ISO 27001 دليل على الامتثال لـ NIS2؟
ليس رسميًا، ولكن العديد من الدول الأعضاء ووكالة ENISA تعتبران نظام إدارة أمن المعلومات (ISMS) المعتمد الذي يغطي النطاق ذي الصلة دليلًا قويًا، وتقبله بعض الخطط الوطنية كافتراض لمعظم التدابير. لا تزال واجبات الإبلاغ عن الحوادث وتدريب الإدارة بحاجة إلى إثباتها بشكل منفصل.
جرّبه مجانًا في بيئة الاختبار
أول طلب FHIR خلال 5 دقائق. واجهة برمجة تطبيقات HL7 FHIR R4 مع موافقة المريض مدمجة: جربها في بيئة الاختبار، ثم اربط تطبيقك الخاص أو نظام عيادتك.
مجاني · 30 مريضًا اصطناعيًا · دون بطاقة
تبني Anpheros سجلًا طبيًا يتحكم فيه المريض ويمكن مشاركته مع أي عيادة، على منصة HL7 FHIR R4، مقرها في الاتحاد الأوروبي. تساعدك هذه الأدلة على فهم وتنظيم صحتك؛ ولا تغني عن استشارة طبيبك.
عن Anpheros →