لا يسري قانون الصمود السيبراني بكامله قبل 11 ديسمبر 2027. وقد صنّفته معظم الفرق على هذا الأساس، في مكان ما ضمن عمود 2027 من خارطة الطريق. هذا التصنيف متأخر اليوم بخمسة عشر شهرًا: فالمادة 14، أي واجب الإبلاغ، سارية منذ 11 سبتمبر 2026.
هو واجب ضيّق وسريع. إن كنت تصنع منتجًا ذا عناصر رقمية مطروحًا في سوق الاتحاد، وعلمت أن ثغرة فيه تُستغلّ فعليًا، فأمامك أربع وعشرون ساعة لتقديم إنذار مبكر. لا إصلاح ولا تحليل، بل إشعار عبر منصة الإبلاغ الموحّدة إلى فريق الاستجابة المعيّن منسّقًا وإلى ENISA.
من يشمله ذلك، بمن فيهم من لا يرى نفسه مصنّعًا
كلمة «مصنّع» توحي بالعتاد، وهذه القراءة هي الخطأ الأول. المنتج ذو العناصر الرقمية هو أي منتج برمجي أو عتادي، مع حلول معالجة البيانات عن بُعد التابعة له، مطروح في السوق كعرض تجاري مستقل. منصّة سحابية تُباع كمنتج، تطبيق جوّال، صورة برنامج ثابت، مكتبة تُوزَّع تجاريًا، متحكّم مدمج: كلها داخل النطاق.
وهناك حالتان إضافيتان تفاجئان الشركات.
أنت تضع اسمك عليه. الموزّع أو المستورد الذي يسوّق منتجًا باسمه أو علامته يصبح المصنّع بمفهوم اللائحة، وواجب الإبلاغ معه.
أنت عدّلته تعديلًا جوهريًا. خذ مكوّنًا مفتوح المصدر أو منتجًا لطرف ثالث، وغيّره بما يمسّ خصائصه الأمنية، ثم اطرح الناتج في السوق: تتبع الالتزامات التعديل.
يبقى خارج النطاق ما يُطوَّر ويُقدَّم من مفتوح المصدر خارج نشاط تجاري. الحدّ هو النشاط التجاري لا الرخصة، وهو أرقّ مما يُظنّ: فمن يبيع دعمًا أو إصلاحات ذات أولوية صار على الجانب الآخر.
التقارير الثلاثة، ومؤقّت كلٍّ منها
ليس الواجب إيداعًا واحدًا، بل تسلسلًا، ولكل خطوة مهلتها التي تبدأ من لحظة العلم.
خلال أربع وعشرين ساعة: الإنذار المبكر. ما هي الثغرة، وأنها تُستغلّ، وأي الدول الأعضاء تظنّها متأثرة إن كنت تعلم. وهو مقتضب عن قصد. وُجد ليبدأ المنسّقون العمل، لا لتكون أنت شاملًا.
خلال اثنتين وسبعين ساعة: إشعار الثغرة. معلومات عامة عن المنتج، وطبيعة الاستغلال، وما اتُّخذ أو تَوفَّر من تدابير تصحيحية أو تخفيفية.
خلال أربعة عشر يومًا من توفّر تدبير تصحيحي: التقرير النهائي. وصف الثغرة وخطورتها وأثرها، والإصلاح.
وينطبق الشكل نفسه على الحوادث الجسيمة التي تمسّ أمن المنتج، بالإنذار ذاته خلال أربع وعشرين ساعة وتقرير نهائي خلال شهر.
نقطتان عمليتان. يبدأ المؤقّت من العلم، والعلم واقعة تنظيمية لا قرار: مهندس دعم يرى استغلالًا في سجلّات عميل مساء الجمعة قد بدأه. كما أن تقرير الأربع والعشرين ساعة غير مشروط بفهمك للثغرة؛ تُبلغ بما تعرف، ثم تُبلغ مجددًا.
ما الذي يفشل فعلًا
أدرنا هذا السيناريو مع فرق منتجات أربع مرات هذا العام، تمرينًا مكتبيًا والمؤقّت ظاهر. لم يفت أحدًا الموعد لعجزه عن كتابة التقرير، بل فات أو كاد للأسباب الأربعة ذاتها.
لا أحد يملك المُشغِّل. يلاحظ الاستغلالَ الدعمُ أو عميل أو باحث أو الاستخبارات أو نشرة مورّد؛ خمسة مداخل، وفي كل مرة لم يكن من رآه يعلم أن مهلة تنظيمية مدتها أربع وعشرون ساعة قد بدأت للتو. هذا أعلى ما يستحق الإصلاح عائدًا، وهو عمل بعد ظهر واحد: قاعدة مكتوبة تصف شكل «الاستغلال الفعلي» عندكم، ومسار واحد من أي من المداخل الخمسة إلى من يستطيع الإيداع.
جرد المنتجات ليس جردًا تنظيميًا. تعرف الشركات ما تبيعه، لكنها لا تملك القائمة التي تجيب: أي منها منتجات ذات عناصر رقمية، مطروحة في أي أسواق، وباسم من، وبأي مدة دعم معلنة. هذه القائمة هي التي تخبرك أصلًا إن كان استغلال بعينه واجب الإبلاغ، ولا تُبنى تحت مهلة أربع وعشرين ساعة.
حساب المنصّة غير موجود. يمرّ الإبلاغ عبر منصّة الإبلاغ الموحّدة. حسابٌ، وأشخاصٌ مناسبون عليه، وإيداعُ تجربة: أمور لا تُدبَّر في الساعة الثالثة من حادث.
الغريزة القانونية هي الانتظار. نزعة التأكد قبل الإبلاغ صحيحة في كل سياق آخر تقريبًا، وخاطئة هنا. أربع وعشرون ساعة لا تتّسع لدورة مراجعة. الإنذار المبكر مصمّم للتنقيح؛ أما المهلة فلا.
إن لم تكن قد بدأت
أربعة أيام عمل موزّعة على أسبوعين تسدّ الفجوة:
- مذكّرة نطاق تسمّي منتجاتك ذات العناصر الرقمية، وأسواقها، ومن هو المصنّع لكل منها. صفحة لكل منتج، لا مشروعًا.
- تعريف مكتوب للمُشغِّل، ومسار داخلي واحد من أي مدخل إلى المودِع. ضعه حيث يراه الدعم، لا في ويكي فريق الأمن وحده.
- حساب المنصّة، مهيّأً، بشخصين مسمَّيين وتجربة على الفارغ.
- تمرين مكتبي بمؤقّت. ساعة واحدة، مرة واحدة. هناك يتضح المسار الغائب.
لا شيء من ذلك هو عمل ديسمبر 2027: تقييم المطابقة، والتوثيق التقني، ومتطلبات الأمن منذ التصميم، ومدة الدعم المعلنة، وعملية معالجة الثغرات. ذلك برنامج حقيقي وينبغي التخطيط له الآن، لكنه ليس المستحقّ اليوم. المستحقّ اليوم مكالمة تصل إلى الشخص الصحيح خلال يوم، ونموذج دخل إليه أحدهم مرة من قبل.
السؤال الذي يستحق أن تطرحه على فريقك هذا الأسبوع
ليس «هل نحن ممتثلون للقانون؟» — فلا أحد كذلك، ولا جواب للسؤال قبل عام. اسأل بدلًا من ذلك: إن كتب عميل الليلة إلى عنوان الدعم لدينا يقول إنه يتعرّض لهجوم عبر منتجنا، فمن يودع الإنذار المبكر، ومتى؟
إن استغرقت الإجابة أكثر من جملة، فتلك هي الفجوة، وهي أرخص ما يمكن سدّه في اللائحة كلها.