NIS2 Gap-Scan Express

تشخيص الامتثال للمادة 21 من NIS2 في أربعة أسابيع، بذكاء اصطناعي دفاعي متعدد النماذج وتوقيع بشري من المسؤول

تُغطي توجيهة NIS2 (التوجيه الأوروبي 2022/2555) ما يقارب اثني عشر ألف كيان في إسبانيا بوصفها أساسية أو مهمة، وتُلزِم بتطبيق عشرة تدابير تقنية وتنظيمية محددة (المادة 21). ويتقدَّم النقل الإسباني للتوجيه عبر مسارين متوازيين: المرسوم الملكي بقانون 7/2025 الساري بالفعل بالتزامات جزئية، ومشروع قانون تنسيق وحوكمة الأمن السيبراني قيد التشريع. وتبلغ العقوبات المحتملة عشرة ملايين يورو أو اثنين بالمئة من حجم الأعمال العالمي، مع مسؤولية شخصية على المديرين.

يُسلِّم خدمة OCIRIA NIS2 Gap-Scan Express في أربعة أسابيع تشخيصاً تقنياً للامتثال للمادة 21، وخريطة ملاحظات مرتَّبة حسب الأولوية، ومذكرة تنفيذية محرَّرة للإدارة. ويُجرى التحليل بالكامل بحزمة خاصة من الذكاء الاصطناعي الدفاعي متعدد النماذج (عدّة نماذج متخصّصة في تثليث) تحت إشراف وتوقيع شخصي من مسؤول شركة Ibida Black Level S.L.

ما يُغطيه بالضبط

يُقيِّم تحليل الفجوات التدابير العشرة المنصوص عليها في المادة 21 من التوجيه:

1. سياسة تحليل المخاطر وإدارتها.

2. إدارة الحوادث (الكشف والإبلاغ والاستجابة).

3. استمرارية الأعمال: النسخ الاحتياطية، والتعافي من الكوارث، وإدارة الأزمات.

4. أمن سلسلة التوريد.

5. الأمن في اقتناء الأنظمة وتطويرها وصيانتها.

6. السياسات والإجراءات لتقييم فعالية التدابير.

7. النظافة الأساسية: الممارسات والتدريب والتوعية.

8. التشفير والترميز، عند الاقتضاء.

9. أمن الموارد البشرية، وسياسة التحكم في الوصول، وإدارة الأصول.

10. المصادقة متعددة العوامل والاتصالات الآمنة.

ولكل تدبير، نُحدِّد الوضع الحالي، والمسافة حتى الامتثال، والجهد التقريبي اللازم لسدّها، والأولوية النسبية بحسب مؤسستكم.

لماذا توجد هذه الخدمة

تُعالِج شركات الاستشارات التقليدية NIS2 بقوالب من شهرين، وفِرَق من أربعة إلى ستة أشخاص، ومخرجات من مئة شريحة عرض لا تُكمل الإدارة قراءتها. وتقوم شركات Big4 بذلك بكلفة أعلى وبوتيرة أبطأ. والحقيقة أن غالبية الكيانات تحتاج أولاً إلى معرفة أين هي، لا إلى تلقّي خطة لاثني عشر شهراً قبل أن ترى أول ملاحظة.

تستفيد OCIRIA من الذكاء الاصطناعي الدفاعي لإجراء التحليل التقني الذي يحتاج فيه فريق بشري أربعين أو ستين ساعة، في جزء يسير من الوقت. وما لا يُقرِّره الذكاء الاصطناعي هو أيُّ مُخرَج مادي: فخريطة الملاحظات، والترتيب حسب الأولوية، والمذكرة التنفيذية يُوقِّعها شخصياً المسؤول البشري. فالذكاء الاصطناعي يُسرِّع، لا يحل محل.

كيف نعمل · أربعة أسابيع، ثلاثة مخرجات

الأسبوع 1 · النطاق وجمع المعلومات. اجتماع أولي (خمس وأربعون دقيقة) لفهم القطاع والحجم والأهمية الحرجة والتبعيات والتعرُّض السابق. وجمع الحد الأدنى الضروري من المعلومات دون الوصول إلى الأنظمة الحية: النطاقات، والبنية التحتية للبريد الإلكتروني، والتعرُّض العام المعروف، وسياسة الأمن الحالية إن وُجدت، والهيكل التنظيمي ذي الصلة.

الأسبوع 2 · تحليل بالذكاء الاصطناعي متعدد النماذج + التحقق البشري. تثليث بين نماذج متخصّصة بحسب المهمّة (التصنيف، والربط، والتحليل النقدي). وكشف التباينات بين النماذج كإشارة خطر تستوجب التحقيق اليدوي. والتحقق من السطح العام (OSINT دفاعي: النطاقات الفرعية، والتسريبات المفهرسة، وإعدادات DNS/SPF/DMARC، وترويسات HTTP، والشهادات، والتعرُّض عبر Shodan/Censys). وتحليل الفجوة التنظيمية تدبيراً تلو الآخر.

الأسبوع 3 · المقابلة مع الواقع التشغيلي. جلسة تقنية (ستون إلى تسعون دقيقة) مع المسؤول الداخلي (إن وُجد) أو مع الإدارة للتحقق من الملاحظات، واستكمال الثغرات التي لا تراها النماذج (الإجراءات الداخلية، والعقود مع الموردين، والتدريب المُنجَز) والترتيب حسب الأولوية.

الأسبوع 4 · المخرجات الموقَّعة. ثلاث وثائق: تقرير تقني مُسهَب بملاحظات مفصَّلة وأدلة قابلة للتكرار، وخريطة تدابير مرتَّبة حسب الأولوية مع جهد ومهلة تقريبيين، ومذكرة تنفيذية من ثلاث صفحات محرَّرة كي تتمكن الإدارة من عرضها على المجلس أو لجنة التدقيق. وجميعها موقَّعة شخصياً من مسؤول شركة Ibida Black Level S.L.

التسعير

تتوافر خدمة OCIRIA NIS2 Gap-Scan بثلاثة مستويات، بحسب العمق والمرافقة اللاحقة:

المستوى	المنتج	السعر	المهلة
Express	تحليل فجوات المادة 21 + خريطة مرتَّبة حسب الأولوية + مذكرة للإدارة	3.500 €	4 أسابيع
Standard	Express + خارطة طريق اثني عشر شهراً + تمرين محاكاة لحادث	6.500 €	5-6 أسابيع
Premium	Standard + مرافقة شهرية لستة أشهر	12.900 €	4 أسابيع + 6 أشهر

الأسعار تقريبية للشركات الصغيرة والمتوسطة (حتى مئتين وخمسين موظفاً) والسوق المتوسطة المعيارية. وبالنسبة للمجموعات المُوحَّدة، أو البنية التحتية متعددة المواقع، أو القطاعات ذات التنظيم الإضافي (الصحة، والطاقة، والمياه، والمال) فإننا نُعدِّل النطاق والميزانية في الاجتماع الأولي.

طريقة الدفع. خمسون بالمئة عند البدء، وخمسون بالمئة عند تسليم المذكرة التنفيذية. دون غرامة إذا قرَّرنا بعد الاجتماع الأولي أن الخدمة لا تتلاءم مع وضعكم.

لمن هي موجَّهة

الكيانات الأساسية بموجب NIS2: النقل، والطاقة، والصحة، والمياه، والبنية التحتية الرقمية، والإدارة العامة، والفضاء.
الكيانات المهمة بموجب NIS2: الخدمات البريدية، وإدارة النفايات، والمنتجات الكيميائية، والأغذية، والتصنيع، والمنصات الرقمية، والبحث.
الشركات في السوق المتوسطة التي تُقدِّم خدمة لكيانات NIS2 وتتلقى استبيانات امتثال من عملاء خاضعين للتنظيم.
المجموعات المُوحَّدة التي تحتاج إلى توحيد موقفها من NIS2 بين عدة شركات تابعة قبل عرضها على المجلس.

إذا كانت لديكم شكوك حول انطباق NIS2 عليكم، فالاجتماع الأولي مجاني ونُزيل لكم تلك الشكوك في ثلاثين دقيقة.

لمن ليست موجَّهة

الشركات التي لديها بالفعل مسؤول أمن معلومات (CISO) داخلي بتفرُّغ كامل وفريق أمن من ثلاثة أشخاص أو أكثر. ففي هذه الحالة، ما تحتاجونه على الأرجح هو فريق هجوم ذكاء اصطناعي (AI Red Team) لحزمتكم الداخلية، لا تحليل فجوات خارجياً.
الشركات التي تبحث عن ختم سريع لتجاوز عملية بيع ولا تريد تحليلاً حقيقياً. فإن OCIRIA لا تُوقِّع تقارير لا تتضمن ملاحظات قابلة للتحقق.
القطاعات التي تكون فيها اللائحة المنطبقة لائحة أخرى بوضوح (قطاع المال المالي بموجب DORA بتفرُّغ خاص، أو GDPR صرف دون مكوِّن NIS2).

الحالات النمطية

الحالة 1 · المستشفى الخاص في السوق المتوسطة. مركز طبي بمئتين وأربعين موظفاً، يُقدِّم رعاية حضورية وطب عن بُعد، وله مقران وسجل طبي إلكتروني مُسنَد إلى جهة خارجية. يكشف Gap-Scan عن غياب إجراء رسمي لإدارة الحوادث، ومصادقة ثنائية على الحساب الإداري فقط، وسياسة نسخ احتياطي دون تحقق دوري، وأربعة موردي تقنيات معلومات بلا بنود NIS2 في العقد. المذكرة التنفيذية: امتثال مُقدَّر بنسبة خمسة وستين بالمئة؛ خطة من ستة أشهر لبلوغ خمسة وثمانين بميزانية تقريبية إضافية قدرها اثنا عشر ألف يورو.

الحالة 2 · شركة معالجة المياه. مُشغِّل إقليمي بموجب OUG 155/2024 (النقل الروماني لتوجيه NIS2). يُحدِّد Gap-Scan وجود DMARC في p=none، ولوحات cPanel مكشوفة على استضافة مشتركة مع نطاقات أطراف ثالثة، وبوابة عملاء بلا مصادقة ثنائية ولا HSTS. مذكرة للإدارة: ثلاثة تدابير حرجة يمكن إغلاقها في اثنتين وسبعين ساعة، وسبعة تدابير بخطة من ثلاثة أشهر، وخلاصة واضحة عمّا إذا كان الكيان سيجتاز تفتيشاً أول.

الحالة 3 · المورِّد الصناعي لخدمات أساسية. شركة تصنيع تبيع لكيان NIS2 أساسي وتتلقى استبيان امتثال إلزامياً. يتوجَّه Gap-Scan إلى الإجابة عن ذلك الاستبيان بالأدلة: الأسئلة التي يمكن الإجابة عنها بالامتثال الحالي، والأسئلة التي تتطلب إجراءً، والأسئلة التي تحتاج إلى بند تعاقدي مع العميل الخاضع للتنظيم.

كيف نبدأ؟

الخطوة الأولى هي اجتماع أولي مجاني مدته خمس وأربعون دقيقة. نشرح لكم كيف تعمل المنهجية، وما الملاحظات النمطية التي نجدها لدى شركة بملمحكم، ونُخبركم بصدق إن كان Gap-Scan يُضيف لكم قيمة أم أن لديكم وضعاً يتطلب شيئاً آخر.

وإذا مضينا قُدماً، فالعقد من صفحة واحدة والجدول الزمني أربعة أسابيع من التوقيع.

راسلونا على [email protected]

NIS2 Gap-Scan Express · تقييم الامتثال للمادة 21 بالذكاء الاصطناعي الدفاعي