قانون المرونة السيبرانية للاتحاد الأوروبي (CRA): يبدأ الالتزام بالإبلاغ في 11 سبتمبر

دخل قانون المرونة السيبرانية حيز النفاذ في 10 ديسمبر 2024 بصفته اللائحة (الاتحاد الأوروبي) 2024/2847. لكن دخول القانون حيز النفاذ وبدء سريان الالتزامات ليسا الشيء نفسه: تضع اللائحة جدولاً زمنياً متدرجاً، فيواجه المصنّع الإبلاغ أولاً ثم متطلبات المنتج لاحقاً.

أول جزء يُطبَّق هو التزام الإبلاغ اعتباراً من 11 سبتمبر 2026. أما بقية اللائحة — المتطلبات الأساسية للأمن السيبراني، وتقييم المطابقة، والملف الفني، وعلامة CE — فتُطبَّق بالكامل اعتباراً من 11 ديسمبر 2027.

الأشهر الخمسة عشر بين هذين التاريخين ليست فترة انتظار بل فترة استعداد. ولأن التزام الإبلاغ يفترض مسبقاً وجود عملية عاملة لإدارة الثغرات، فإن البنية التحتية الواجب إرساؤها في 2026 تشكّل أيضاً أساس التوثيق المطلوب في 2027.

يُحدَّد النطاق وفق طبيعة المنتج لا فئته: تشمل عبارة "منتج ذو عناصر رقمية" منتجات الأجهزة والبرمجيات القادرة على إقامة اتصال بيانات بجهاز أو شبكة، بشكل مباشر أو غير مباشر. ولا يلزم أن يكون منتجاً استهلاكياً؛ إذ يمكن أن تدخل ضمنه المعدات الصناعية والمكونات والبرمجيات المستقلة أيضاً.

تصنّف اللائحة المنتجات وفق مستوى الخطورة، وكلما ارتفعت الفئة زاد دور طرف ثالث في تقييم المطابقة. لذا فإن المهمة الأولى هي تحديد الفئة التي يقع فيها المنتج — إذ تحدد الفئة كل القرارات اللاحقة (إقرار ذاتي أم جهة مُخطرة).

افتراض أن منتجاً ما خارج النطاق أمر محفوف بالمخاطر: فحتى الجهاز الخالي من اتصال سحابي لكنه مقترن بتطبيق جوّال يحمل عنصراً رقمياً أيضاً. وفي الحالات الحدّية، يكون تدوين القرار كتابياً مع مبرراته هو الوثيقة الأكثر فائدة في تفتيش لاحق.

اعتباراً من 11 سبتمبر 2026، يلتزم المصنّعون بالإبلاغ عن الثغرات المستغَلة فعليًا والحوادث الجسيمة التي تمس أمان المنتج. ويتم الإبلاغ عبر منصة الإبلاغ الموحّدة لوكالة ENISA، إلى فريق CSIRT الوطني المعني وإلى ENISA معاً.

لا ينتهي الإبلاغ بملء نموذج واحد: بل يسير على مراحل، كإنذار مبكر، ثم إبلاغ أكثر تفصيلاً، وعند إغلاق العملية تقرير نهائي. ويتطلب هذا تحديد مسبقاً من سيجمع أي معلومات في الساعات الأولى من الحادثة.

النتيجة العملية هي: الإبلاغ ليس بنداً امتثالياً بل عملية تشغيلية. وما لم يكن نظام المناوبة وقناة الاتصال وصانع القرار ونموذج التسجيل جاهزين، يتعذّر تقديم الإبلاغ ضمن المهلة.

تنص اللائحة على غرامات إدارية لمخالفة المتطلبات الأساسية للأمن السيبراني وبنود الإبلاغ؛ ويُحدَّد السقف الأعلى بـ15 مليون يورو أو 2.5% من إجمالي الإيرادات السنوية العالمية — أيهما أعلى.

ثمة نتيجة أخرى لا تقل أهمية عن مخاطر الغرامات، وهي الوصول إلى السوق: فالمنتج الذي يتعذر إثبات مطابقته لا يمكن طرحه في سوق الاتحاد الأوروبي، ويمكن لسلطة مراقبة السوق اتخاذ تدابير من بينها سحب المنتج.

إن إعداد جرد للمنتجات وتحديد أيها يحمل عناصر رقمية وفي أي فئة يقع هو الخطوة الوحيدة التي تجعل الجدول الزمني بأكمله قابلاً للتخطيط. وبدون هذا الجرد، تعتمد كل مهمة أخرى على التخمين.

الخطوة الثانية هي الإعلان عن فترة الدعم وصياغة سياسة التحديث كتابياً. وهما جزء من متطلبات 2027 لكنهما، لتضمّنهما قرارات تجارية، أكثر المهام استغراقاً للوقت.

الثالثة هي إنشاء قناة الإبلاغ عن الثغرات: عنوان لاستقبال البلاغات من الخارج وسير عمل داخلي لتقييمها. ولا يعمل إبلاغ 2026 من دون هذا السير.