مجلس الإدارة تحت المجهر: مسؤولية الأمن السيبراني لا تُفوض حتى مع وجود CISO

هل تعيين CISO كافٍ للامتثال لـ NIS2؟

لا، وفقًا لأحدث الأسئلة الشائعة الصادرة عن وكالة الأمن السيبراني الإيطالية (ACN). توضح ACN أن تعيين مسؤول أمن المعلومات (CISO) لا ينهي التزامات NIS2، بل تظل المسؤولية النهائية عن الأمن السيبراني على عاتق مجلس الإدارة. يجب على المجلس حوكمة هذا المجال والإشراف عليه، بينما يمكن تفويض الأنشطة التشغيلية فقط.

ما الذي تغير في NIS2؟

NIS2 هو توجيه أوروبي جديد يعزز متطلبات الأمن السيبراني للجهات الحيوية والهامة. لم يعد يكفي تعيين خبير تقني؛ بل يتطلب التوجيه مشاركة نشطة من الإدارة العليا. مجلس الإدارة مسؤول عن الموافقة على سياسات الأمن، ومراقبة التنفيذ، وضمان تخصيص الموارد الكافية.

تفويض المهام ≠ تفويض المسؤولية

يمكن لمجلس الإدارة تفويض المهام اليومية لفريق تقني، لكن المسؤولية القانونية تظل ملتصقة بهم. إنها مثل تفويض طبخ العشاء لشخص آخر، لكنك تظل مسؤولاً إذا احترق المطبخ. القوانين لا ترحم، والغرامات بموجب NIS2 قد تصل إلى 10 ملايين يورو أو 2% من الإيرادات السنوية العالمية.

كيف يضمن مجلس الإدارة الامتثال؟

يجب على المجلس اتخاذ خطوات ملموسة: إجراء تقييمات مخاطر دورية، اعتماد سياسات أمنية، ومراقبة تنفيذها. كما ينبغي توثيق القرارات والإشراف على تقارير الحوادث. يمكن الاستعانة بخبراء خارجيين لسد الفجوات المعرفية.

نصيحة عملية: لا تنتظر حتى وقوع الحادث

الامتثال لـ NIS2 ليس مجرد مربع اختيار؛ إنه عملية مستمرة. ابدأ بمراجعة هيكل الحوكمة لديك، وتأكد من أن مجلس الإدارة لديه فهم كافٍ للمخاطر. تذكر أن قراءة شروط الخدمة قد تكون ممتعة مثل تنظيف الجص بفرشاة أسنان، لكن تجاهل الأمن السيبراني قد يكلفك أكثر بكثير.

الخلاصة العملية

إذا كنت عضوًا في مجلس إدارة، فاسأل نفسك: هل لدينا خطة أمن سيبراني معتمدة؟ هل نراجعها بانتظام؟ هل نخصص ميزانية كافية؟ الإجابة بـ"لا" تعني أنك معرض للمخاطر. تحرك الآن قبل أن تتحول المسؤولية إلى عقوبة.

الأسئلة الشائعة