توجيه NIS 2 في فرنسا: نقل التوجيه إلى القانون الوطني يدخل مرحلته الأخيرة

الخلاصة

يدخل نقل توجيه NIS 2 إلى القانون الفرنسي مرحلته الأخيرة: إذ تنظر الجمعية الوطنية في مشروع قانون الصمود في جلسة عامة بداية من يوم الأربعاء 7 أكتوبر 2026. ويأتي النص بتأخير يناهز سنتين عن الأجل الأوروبي المحدّد في 17 أكتوبر 2024.

ولهذا التأخير كلفته. ففي 8 جويلية 2026، رفعت المفوضية الأوروبية دعوى ضد فرنسا أمام محكمة العدل للاتحاد الأوروبي بسبب عدم نقل التوجيه، مما يعرّض الدولة لعقوبات مالية.

أما بالنسبة إلى المؤسسات، فالرهان آنيّ. إذ يُنتظر تصنيف نحو 15 ألف هيكل ككيانات أساسية أو مهمة، وسيتعيّن عليها تعزيز إدارتها للمخاطر السيبرانية، والإشعار بالحوادث، ومعالجة الثغرات، تحت المسؤولية المباشرة لمسيّريها.

مقال محيَّن إلى غاية 5 أكتوبر 2026، وسيتم تحيينه إثر تصويت الجمعية الوطنية، ثم إثر إصدار القانون.

نقل توجيه NIS 2: رزنامة قانون الصمود

لم يعد مشروع القانون المتعلق بصمود البنى التحتية الحيوية وتعزيز الأمن السيبراني، المعروف بقانون الصمود (loi Résilience)، ينتظر سوى الجمعية الوطنية لاستكمال مساره. وهو ينقل توجيه NIS 2 (العنوان الثاني) والتوجيه المتعلق بصمود الكيانات الحيوية المعروف بـ REC (العنوان الأول)، ويكيّف القانون الفرنسي مع لائحة DORA بالنسبة إلى القطاع المالي (العنوان الثالث). ويمكن متابعة مسار النص عبر الملف التشريعي للجمعية الوطنية.

وقد أثرت اللجنة الخاصة النص بشكل ملحوظ. فقد أخضعت بالخصوص ناشري البرمجيات لالتزامات NIS 2، وصنّفت المؤسسات الصحية والطبية الاجتماعية ضمن الكيانات الأساسية، وأبقت على المادة 16 مكرّر التي تحظر فرض أبواب خلفية في أدوات التشفير.

ولن يصبح القانون نافذاً بصفة كاملة إلا بعد نشر نصوصه التطبيقية، التي ستحدّد بالخصوص معايير تصنيف الكيانات وآجال المطابقة.

الكيانات الأساسية والمهمة: من المعني بتوجيه NIS 2؟

يغيّر توجيه NIS 2 حجم النطاق: فبينما كان نحو 300 مشغّل للخدمات الأساسية معنيين في ظل التوجيه الأول NIS 1، سيشمل التوجيه الجديد أكثر من 15 ألف كيان في 18 قطاعاً، يضاف إليها قرابة 1000 هيكل للتعاون بين البلديات و300 بلدية يفوق عدد سكانها 30 ألف ساكن.

ويجمع المعيار الأساسي بين القطاع والحجم. فالمعنيّة هي المؤسسات المتوسطة (50 أجيراً على الأقل، أو رقم معاملات ومجموع موازنة يتجاوزان 10 ملايين يورو) والمؤسسات الكبرى في هذه القطاعات. وتُعنى بعض الجهات بقطع النظر عن حجمها، مثل مزوّدي خدمات DNS، وسجلات أسماء النطاقات، ومسدي خدمات الثقة، ومشغّلي الاتصالات الإلكترونية.

ويوسّع النص الفرنسي هذه القاعدة. فالصيغة التي صادقت عليها اللجنة تُدرج ناشري البرمجيات ضمن نطاقه، وتصنّف المؤسسات الصحية والطبية الاجتماعية والجماعات المحلية ومؤسسات التعليم التي تمارس أنشطة بحثية ضمن الكيانات الأساسية، على أن الجماعات المحلية تُعفى من الخطايا.

ويمكن أن يشمل احتساب الحجم المؤسسات المرتبطة: لذا يتعيّن على الفرع الصغير التابع لمجمّع كبير التثبّت من وضعيته. وقد فتحت ANSSI منصة للتسجيل المسبق، وهي الخطوة الأولى في التزامات الكيانات.

التزامات NIS 2: الحوكمة والأمن والحوادث والمزوّدون

يفرض توجيه NIS 2 أربع فئات من الالتزامات، أولاها تقع على عاتق المسيّرين أنفسهم.

حوكمة سيبرانية على مستوى الإدارة العليا

يتعيّن على هيئات الإدارة المصادقة على تدابير إدارة المخاطر، والإشراف على تنفيذها، ومتابعة تكوين في الأمن السيبراني (المادة 20 من التوجيه). وبذلك يصبح الأمن السيبراني من مشمولات مجلس الإدارة أو لجنة التسيير، ولم يعد حكراً على إدارة أنظمة المعلومات.

تدابير لإدارة المخاطر تشمل «جميع المخاطر»

تفرض المادة 21 من التوجيه كحدّ أدنى:

• سياسة لتحليل المخاطر ولأمن أنظمة المعلومات؛
• التصرّف في الحوادث؛
• استمرارية النشاط: النسخ الاحتياطية، ومخطط الاستئناف، والتصرّف في الأزمات؛
• أمن سلسلة التوريد؛
• الأمن عند اقتناء الأنظمة وتطويرها وصيانتها، بما في ذلك معالجة الثغرات والإفصاح عنها؛
• تقييم نجاعة التدابير؛
• السلامة المعلوماتية الأساسية والتكوين؛
• علم التعمية والتشفير؛
• أمن الموارد البشرية، والتحكّم في النفاذ، والتصرّف في الأصول؛
• المصادقة متعددة العوامل والاتصالات المؤمَّنة.

وفي فرنسا، نشرت ANSSI في مارس 2026، في نسخة تجريبية، المرجعية الفرنسية للأمن السيبراني ReCyF (Référentiel Cyber France)، التي تضبط التدابير الموصى بها لبلوغ أهداف الأمن التي يحدّدها توجيه NIS 2.

الإشعار بالحوادث الهامة

يجب التصريح لدى السلطة بكل حادث له تأثير هام على الخدمات وفق رزنامة ضيّقة (المادة 23):

1. إنذار مبكر في أجل 24 ساعة من اكتشافه؛
2. إشعار بالحادث في أجل 72 ساعة مرفق بتقييم أوّلي؛
3. تقرير نهائي في أجل شهر واحد.

وإذا مسّ الحادث معطيات شخصية، يُضاف إلى هذا المسار الإشعار الموجَّه إلى CNIL في أجل 72 ساعة الذي تفرضه اللائحة العامة لحماية البيانات. ومن الأجدى التصرّف في الإجراءين معاً.

أمن المزوّدين، بما في ذلك خارج الاتحاد الأوروبي

يتحمّل كل كيان مسؤولية أمن مزوّديه المباشرين. وسيتعيّن عليه تدقيق مسدي خدماته، ومراجعة عقوده وإدراج بنود تتعلق بالأمن وبالتدقيق وبالإشعار بالحوادث.

أما مسدي الخدمات المنتصب في تونس، كمركز تطوير يعمل عن بعد، فسيكون معنياً في أغلب الحالات بصفة غير مباشرة، عبر البنود التي سيفرضها عليه حرفاؤه الفرنسيون. غير أن بعض الجهات المنتصبة خارج الاتحاد قد تخضع مباشرة لتوجيه NIS 2: إذ يتعيّن على مزوّدي الخدمات المُدارة أو خدمات الحوسبة السحابية أو مراكز البيانات الذين يعرضون خدماتهم داخل الاتحاد تعيين ممثل فيه (المادة 26).

عقوبات NIS 2 ومسؤولية المسيّرين

يتعرّض الكيان الأساسي المخلّ بالتزاماته لخطية قد تبلغ 10 ملايين يورو أو 2 في المائة من رقم معاملاته السنوي العالمي، ويُعتمد المبلغ الأرفع. ويبلغ السقف 7 ملايين يورو أو 1,4 في المائة بالنسبة إلى الكيان المهم.

وتتوسّع صلاحيات الرقابة الموكولة إلى ANSSI: التفقّد الميداني، وعمليات التدقيق الأمني الموجَّهة، وطلب المعلومات والإثباتات، والأوامر بالمطابقة.

كما يمكن إثارة مسؤولية الإدارة. فبالنسبة إلى الكيانات الأساسية، يجيز التوجيه حتى منع المسيّر المسؤول مؤقتاً من ممارسة مهام التسيير إذا بقي التنبيه دون جدوى، علماً أن النطاق الدقيق لهذا الإجراء في القانون الفرنسي سيتوقف على النص النهائي.

وعلاوة على العقوبات الإدارية، قد يشكّل الإخلال الموثَّق أساساً لدعوى مسؤولية ضد المسيّرين، وقد يُضعف موقف المؤسسة إزاء مؤمِّنها ضد المخاطر السيبرانية.

NIS 2 واللائحة العامة لحماية البيانات وDORA وقانون المرونة السيبرانية وقانون الذكاء الاصطناعي: مطابقة تُبنى ككلّ متكامل

تمتلك المؤسسة التي انخرطت مسبقاً في المطابقة للائحة العامة لحماية البيانات قاعدة متينة لتوجيه NIS 2: الحوكمة، وتأطير المناولين، وإجراء التصرّف في الخروقات. ويوسّع NIS 2 هذا المنطق ليشمل جميع أنظمة المعلومات، لا المعطيات الشخصية وحدها.

وكما لاحظت شركة البرمجيات Adequacy في حديثها إلى ChannelNews، فقد تعامل القانونيون ومسؤولو أمن أنظمة المعلومات ومندوبو حماية المعطيات طويلاً مع هذه الالتزامات كلٌّ من جهته. والنصوص الجديدة تستدعي حوكمة موحَّدة يتقدّم فيها القانون والأمن وحماية المعطيات جنباً إلى جنب.

المطابقة لتوجيه NIS 2: ست خطوات يجب الشروع فيها من الآن

سيكون انتظار إصدار القانون خطأً: فقد دعت ANSSI منذ مدة طويلة المؤسسات إلى استباق المطابقة، إذ إن معظم المتطلبات معروفة مسبقاً.

1. تكييف وضعية الكيان: القطاع، والحجم، والانتماء إلى مجمّع، وصفة الكيان الأساسي أو المهم، مع توثيق التعليل.
2. تعبئة الإدارة العليا: عرض الالتزامات على لجنة التسيير، وتعيين مسؤول، وبرمجة تكوين المسيّرين.
3. قياس الفجوات: تحليل المخاطر والتدقيق على ضوء مرجعية ReCyF الصادرة عن ANSSI أو المواصفة ISO/IEC 27001.
4. تنظيم التصرّف في الحوادث: إجراء موحَّد يغطي آجال 24 ساعة و72 ساعة وشهر واحد، منسَّق مع الإشعار وفق اللائحة العامة لحماية البيانات ومختبَر عبر تمارين محاكاة للأزمات.
5. تأمين سلسلة التوريد: رسم خارطة لمسدي الخدمات الحيويين ومراجعة العقود (بنود الأمن والتدقيق والإشعار وقابلية الاسترجاع)، بما في ذلك مع مسدي الخدمات خارج الاتحاد الأوروبي.
6. التوثيق والإثبات: السياسات، ومحاضر اجتماعات الإدارة، وإثباتات التكوين، وسجلات الحوادث، التي ستشكّل الملف المقدَّم عند الرقابة.

لماذا إشراك محامٍ في المطابقة لتوجيه NIS 2

يمثّل NIS 2 قبل كل شيء التزاماً قانونياً. فالمحامي يؤمّن تكييف وضعية الكيان، ويصوغ البنود التعاقدية مع المزوّدين، وينسّق بين NIS 2 واللائحة العامة لحماية البيانات، ويساعد المؤسسة عند وقوع حادث أو رقابة أو إجراء زجري. كما أن استشاراته مشمولة بالسر المهني.

ويرافق المكتب، الكائن بساحة سان ميشال بالدائرة الخامسة بباريس (7 place Saint-Michel, 75005 Paris)، المؤسسات الفرنسية والتونسية في مطابقتها للائحة العامة لحماية البيانات ولتوجيه NIS 2: التشخيص، والتدقيق القانوني، وعقود المزوّدين، وإجراءات الإشعار، ومهمة مندوب حماية المعطيات الخارجي.

نبذة عن الكاتب. الأستاذ محمد زياد العير محامٍ لدى هيئتي المحامين بباريس وتونس، وحاصل على شهادة مندوب حماية المعطيات من PECB. يقدّم الاستشارة للمؤسسات في مجالات حماية المعطيات والأمن السيبراني وقانون التكنولوجيات الحديثة، ولا سيما بين فرنسا وتونس. شارك في صياغة الاستراتيجية الوطنية للحوسبة السحابية في تونس، وهو مدرج في قائمة خبراء الوكالة الأوروبية للأمن السيبراني (ENISA) وفي قائمة الخبراء الاحتياطية للجنة الأوروبية لحماية البيانات (EDPB).

هل مؤسستكم معنية بتوجيه NIS 2؟ اتصلوا بالمكتب للحصول على تشخيص أوّلي لوضعيتكم. وتُعرض طرق التدخّل في صفحة الأتعاب.

أسئلة شائعة: نقل توجيه NIS 2 وقانون الصمود

ما هو توجيه NIS 2؟

توجيه NIS 2 هو التوجيه (الاتحاد الأوروبي) 2022/2555 المؤرخ في 14 ديسمبر 2022 المتعلق بالأمن السيبراني. وهو يعوّض توجيه NIS لسنة 2016، ويوسّع بشكل كبير عدد الهياكل المعنية، ويفرض عليها التزامات في مجالات الحوكمة وإدارة المخاطر والإشعار بالحوادث، تحت طائلة العقوبات.

إلى أين وصل نقل توجيه NIS 2 في فرنسا؟

يدخل نقل توجيه NIS 2 مرحلته الأخيرة. فمشروع قانون الصمود، الذي صادق عليه مجلس الشيوخ في مارس 2025 ثم اللجنة الخاصة بالجمعية الوطنية في سبتمبر 2025، معروض على الجلسة العامة بداية من 7 أكتوبر 2026. وتبقى مرحلة اللجنة المشتركة المتساوية الأعضاء، ثم الإصدار، ثم النصوص التطبيقية.

ما هو قانون الصمود؟

يُقصد بقانون الصمود مشروعُ القانون المتعلق بصمود البنى التحتية الحيوية وتعزيز الأمن السيبراني. وهو ينقل توجيه NIS 2 وتوجيه REC المتعلق بالكيانات الحيوية، ويكيّف القانون الفرنسي مع لائحة DORA المطبّقة على القطاع المالي.

هل مؤسستي معنية بتوجيه NIS 2؟

من المرجّح أن تكون مؤسستكم معنية إذا كانت تنشط في أحد القطاعات الثمانية عشر المشمولة وتشغّل 50 أجيراً على الأقل، أو يتجاوز رقم معاملاتها ومجموع موازنتها 10 ملايين يورو. وتُعنى بعض الجهات الرقمية بقطع النظر عن حجمها، كما يجب أخذ الانتماء إلى مجمّع بعين الاعتبار.

ما الفرق بين الكيان الأساسي والكيان المهم؟

الكيانات الأساسية هي أساساً المؤسسات الكبرى في القطاعات الأحد عشر ذات الأهمية الحيوية القصوى، أما الكيانات المهمة فتضم بقية الكيانات المشمولة. والتزامات الأمن واحدة، غير أن الكيانات الأساسية تخضع لرقابة قبلية وتتعرّض لخطايا أرفع.

ما هي العقوبات التي ينص عليها توجيه NIS 2؟

يتعرّض الكيان الأساسي لخطية قد تبلغ 10 ملايين يورو أو 2 في المائة من رقم معاملاته السنوي العالمي، والكيان المهم لخطية قد تبلغ 7 ملايين يورو أو 1,4 في المائة، ويُعتمد المبلغ الأرفع. كما تتمتع ANSSI بصلاحيات التفقّد والتدقيق وإصدار الأوامر.

هل يتحمّل المسيّرون مسؤولية شخصية؟

نعم، يضع توجيه NIS 2 الأمن السيبراني تحت مسؤولية الإدارة. فيتعيّن على المسيّرين المصادقة على تدابير الأمن، والإشراف على تنفيذها، ومتابعة التكوين. ويمكن إثارة مسؤوليتهم، كما يجيز التوجيه المنع المؤقت من ممارسة مهام التسيير في الكيانات الأساسية.

ما هي آجال الإشعار بحادث وفق توجيه NIS 2؟

يستوجب الحادث الهام إنذاراً مبكراً في أجل 24 ساعة، وإشعاراً في أجل 72 ساعة، ثم تقريراً نهائياً في أجل شهر واحد. وإذا مسّ الحادث معطيات شخصية، ينطبق بالتوازي الإشعار الموجَّه إلى CNIL الذي تفرضه اللائحة العامة لحماية البيانات.

هل يجب انتظار إصدار القانون للشروع في المطابقة؟

لا. فمتطلبات التوجيه معروفة، وقد نشرت ANSSI مرجعيتها ReCyF. وتستغرق المطابقة عدة أشهر: تكييف الوضعية، وتحليل الفجوات، والإجراءات، وعقود المزوّدين. والمؤسسات التي تستبق ستكون جاهزة حين تحدّد النصوص التطبيقية الآجال.

ما العلاقة بين توجيه NIS 2 واللائحة العامة لحماية البيانات؟

يحمي توجيه NIS 2 أمن أنظمة المعلومات، بينما تحمي اللائحة العامة المعطيات الشخصية. ويتقاطع النصان في الحوكمة وأمن المناولين والإشعار بالحوادث. ويُجنّب التمشي المشترك الازدواجية، كما يستبعد توجيه NIS 2 فرض خطية إدارية مزدوجة على السلوك ذاته.

هل يُعنى مسدي الخدمات الإعلامية التونسي بتوجيه NIS 2؟

في أغلب الحالات بصفة غير مباشرة: إذ سيفرض عليه حرفاؤه الفرنسيون الخاضعون لتوجيه NIS 2 بنوداً تتعلق بالأمن والتدقيق والإشعار. غير أن مزوّد الخدمات المُدارة أو خدمات الحوسبة السحابية أو مراكز البيانات المنتصب خارج الاتحاد والذي يخدم حرفاء أوروبيين قد يخضع مباشرة لتوجيه NIS 2، ويتعيّن عليه عندئذ تعيين ممثل داخل الاتحاد.

لماذا الاستعانة بمحامٍ للمطابقة لتوجيه NIS 2؟

لأن توجيه NIS 2 يُنشئ التزامات قانونية مقترنة بعقوبات. فالمحامي يكيّف وضعية المؤسسة، ويصوغ عقود المزوّدين، وينسّق بين NIS 2 واللائحة العامة لحماية البيانات، ويدافع عن المؤسسة عند الرقابة. واستشاراته مشمولة بالسر المهني.

المراجع

• التوجيه (الاتحاد الأوروبي) 2022/2555 المؤرخ في 14 ديسمبر 2022 (NIS 2)، المواد 20 و21 و23 و26 و32 و34 و35
• الجمعية الوطنية الفرنسية، الملف التشريعي لمشروع قانون الصمود (بالفرنسية)
• اللائحة (الاتحاد الأوروبي) 2022/2554 (DORA)
• اللائحة (الاتحاد الأوروبي) 2024/2847 (Cyber Resilience Act)
• ChannelNews, La transposition de NIS 2 entre dans sa phase finale، 2 أكتوبر 2026 (بالفرنسية)
• Solutions Numériques, Le projet de loi NIS2 et DORA est adopté à l’unanimité en commission spéciale، 15 سبتمبر 2025 (بالفرنسية)
• Banque des Territoires (Localtis), la CSNP presse le Parlement d’examiner sans délai le projet de loi de résilience، 18 مارس 2026 (بالفرنسية)
• Next, NIS 2 : l’ANSSI publie son ReCyF، 19 مارس 2026 (بالفرنسية)

لمزيد التعمق

• الإطار القانوني للأمن السيبراني في تونس سنة 2025
• اللائحة العامة لحماية البيانات والقانون التونسي والذكاء الاصطناعي: الالتزامات الواجب معرفتها سنة 2026
• حماية المعطيات الشخصية والمطابقة للائحة العامة لحماية البيانات