د ټام میویس لخوا، د وکیل په توګه Law & More
سایبري امنیت نور یوازې تخنیکي مسله نه ده. دا یوه قانوني او حکومتدارۍ مسله هم ده چې تقریبا د هرې اندازې هر سازمان اغیزه کوي.
د اروپایی NIS2 لارښود او د هالنډ د سایبر امنیت قانون سره، د ډیجیټل انعطاف مسؤلیت په کلکه د مدیریت بورډ ته لیږدول کیږي. د هالنډ د سایبر امنیت قانون د اګست په 15 2026 کې نافذ کیږي. له همدې امله د سوداګرۍ مالکین، رییسان او د اطاعت افسران باید په لنډ خبرتیا کې تاسیس کړي:
- ایا د دوی سازمان د نویو مقرراتو په چوکاټ کې راځي؛
- کوم مکلفیتونه له دوی څخه تعقیب کیږي؛
- کوم اقدامات اړین دي؛
- او دا چې سازمان څنګه کولی شي دا مکلفیتونه پوره کړي.
دا مقاله د NIS2 او د هالنډ د سایبر امنیت قانون اصلي عناصر بیانوي: ساحه، د پاملرنې دنده، د خبرتیا دنده، د بورډ مسؤلیت، پلي کول، او هغه ګامونه چې سازمانونه یې اوس کولی شي.
NIS2 څه شی دی؟
NIS2 د لارښود (EU) 2022/2555 رسمي نوم دی. دا د لومړي اروپايي شبکې او معلوماتو امنیت لارښود ځای نیسي، چې عموما د NIS1 په نوم یادیږي.
غړي هیوادونه اړ وو چې د ۲۰۲۴ کال د اکتوبر تر ۱۷ پورې NIS2 په ملي قانون بدل کړي. د ۲۰۲۴ کال د اکتوبر له ۱۸مې راهیسې NIS2 په رسمي ډول د پخواني لارښود ځای ناستی شو.
د دې هدف د اروپايي اتحادیې دننه د سایبر انعطاف کچه لوړه او ښه تنظیم کول دي. دا په دوو اصلي کرښو کې پرمخ ځي. لومړی، پراخه ساحه: ډیری نور سازمانونه د NIS1 لاندې په پرتله د قواعدو لاندې راځي. دوهم، سخت نظارت او سخت پلي کول، د پراخ اوزار کټ او د مدیرانو لپاره روښانه مسؤلیتونو سره.
چیرته چې NIS1 د اړینو خدماتو چلونکو او ډیجیټل خدماتو چمتو کونکو ترمنځ توپیر کوي، NIS2 د اړینو ادارو او مهمو ادارو سره کار کوي. دا توپیر یوازې اصطلاحي نه دی: د نورو شیانو په مینځ کې دا د څارنې شدت او د احتمالي جریمې کچه ټاکي.
کوم سازمانونه د NIS2 لاندې راځي؟
NIS2 په هغو سازمانونو باندې تطبیق کیږي چې په اتلس ټاکل شویو سکتورونو کې فعال دي، چې د لوړ انتقادي سکتورونو او نورو مهمو سکتورونو ویشل شوي دي.
د لوړ اهمیت لرونکي سکتورونه عبارت دي له انرژي، ترانسپورت، بانکداري، د مالي بازار زیربنا، روغتیا پاملرنې، د څښاک اوبه او فاضله اوبه، ډیجیټل زیربنا، د سوداګریزو کاروونکو لپاره د معلوماتي او مخابراتي ټکنالوژۍ خدماتو مدیریت، عامه اداره او ځای.
په نورو مهمو سکتورونو کې د پوستي او کوریر خدماتو، د کثافاتو مدیریت، کیمیاوي توکي، خواړه، تولید، ډیجیټل چمتو کونکي او څیړنیز بنسټونه شامل دي.
د اندازې حد
په دې سکتورونو کې اصلي قاعده دا ده چې یو سازمان د NIS2 لاندې راځي چیرې چې دا د منځنۍ کچې یا لوی تصدۍ په توګه وړتیا لري. معیارونه لږترلږه 50 کارمندان، یا د کلني بدلون یا بیلانس شیټ ټولټال له 10 ملیون یورو څخه ډیر دي.
د دې اصلي قاعدې استثناوې شتون لري. ځینې سازمانونه د اندازې په پام کې نیولو پرته د دې ساحې لاندې راځي، ځکه چې د دوی خدمات په ځانګړي ډول مهم ګڼل کیږي:
- د عامه برېښنايي مخابراتي شبکو او خدماتو چمتو کونکي؛
- د باور وړ خدماتو چمتو کونکي؛
- د ډومین نوم ثبتولو خدماتو چمتو کونکي؛
- د لوړې کچې ډومین نوم راجسترونه؛
- د عامه سکتور ادارې.
د ۲۰۲۶ کال د اګست له ۱۵مې راهیسې نوي مکلفیتونه په هالنډ کې له ۸۰۰۰ څخه زیاتو سازمانونو باندې پلي کیږي. دا د اوسني شبکې او معلوماتي سیسټمونو امنیت قانون لخوا پوښل شوي شمیر په پرتله د پام وړ پراختیا ده.
هغه سازمانونه چې پخوا یې ځانونه د یوې مهمې سکتور برخې په توګه نه ګڼل، ممکن ونیول شي، په شمول د منځنۍ کچې تولیدونکي، د خوړو تولیدونکي، د څیړنې ادارې او ډیجیټل خدماتو چمتو کونکي. په مهمه توګه، سازمانونه پخپله د دې ارزولو مسؤلیت لري چې ایا دوی د ساحې دننه راځي. د څارونکي څخه هیڅ لیک به دوی ته دا ونه وایي.
د پاملرنې دنده: کوم اقدامات اړین دي؟
د NIS2 او د هالنډ د سایبر امنیت قانون اصلي برخه د پاملرنې دنده ده. اړینې او مهمې ادارې باید د دوی شبکې او معلوماتي سیسټمونو ته د خطرونو اداره کولو لپاره مناسب او متناسب تخنیکي، عملیاتي او سازماني اقدامات وکړي.
قواعد هغه موضوعات په ګوته کوي چې پالیسي باید په هر حالت کې په ګوته کړي:
- د خطر تحلیل او د معلوماتو امنیت پالیسي؛
- د پیښو اداره کول؛
- د سوداګرۍ دوام، د بیک اپ مدیریت او د ناورین بیا رغونه؛
- د اکمالاتو سلسلې امنیت؛
- د سایبر حفظ الصحې او د کارمندانو روزنه؛
- د زیان مننې اداره کولو پالیسي؛
- څو فکتوره تصدیق؛
- خوندي اړیکې؛
- کوډګرافي؛
- د اقداماتو د اغیزمنتوب دوره ای ارزونه.
اقدامات باید د سازمان د اندازې او هغو خطرونو سره متناسب وي چې په حقیقت کې ورسره مخ دي. له همدې امله یوه کوچنۍ مهمه اداره اړتیا نلري چې د لوړ خطر سکتور کې د لوی اړین ادارې په څیر ورته اقدامات وکړي.
دا د پاملرنې دنده اختیاري نه کوي. سازمانونه باید د دې وړتیا ولري چې ثابت کړي چې کوم خطرونه دوی پیژندلي، کوم اقدامات یې کړي او ولې دا اقدامات مناسب دي. نه یوازې پخپله اقدامات، بلکې هغه لاره چې دوی وزن کیږي، ثبت کیږي او په دوره یي ډول ارزول کیږي، د څارنې تابع ده.
د پیښې وروسته د خبرتیا دنده
د پاملرنې د دندې ترڅنګ، NIS2 د مهمو پیښو لپاره د خبرتیا مرحله ای دنده وضع کوي. چیرې چې یوه پیښه د خدماتو په دوام باندې د پام وړ اغیزه لري یا ممکن ولري، لاندې نیټې په پراخه کچه پلي کیږي:
- د ۲۴ ساعتونو دننه، د ملي کمپیوټر امنیت د پیښو غبرګون ټیم یا وړ ادارې ته دمخه خبرداری؛
- د ۷۲ ساعتونو دننه، د شدت او اغیزې لومړنۍ ارزونې سره رسمي خبرتیا؛
- په وروستي یوه میاشت کې، یو وروستی راپور چې د پیښې، د هغې احتمالي اصلي لامل، نیول شوي اقدامات او د پولې هاخوا هر ډول اغیزې تشریح کوي.
دا ضرب الاجلونه دا اړینه کوي چې مخکې له مخکې واضح طرزالعملونه تنظیم شي. سازمان باید پوه شي چې کله یوه پیښه د خبرتیا وړ ده، څوک د خبر ورکولو واک لري، کوم معلومات باید شتون ولري، څوک همغږي کوي، او بورډ او څارونکي ته څنګه خبر ورکول کیږي.
هغه اداره چې یوازې د یوې پیښې په جریان کې د خبرتیا پروسې تنظیمولو هڅه کوي، د پام وړ خطر سره مخ کیږي چې په وخت یا په بشپړ ډول راپور نشي ورکولی.
د بورډ مسؤلیت
د NIS2 یو مهم عنصر دا دی چې د سایبري خطرونو د مدیریت مسؤلیت په څرګنده توګه د مدیریت بورډ ته سپارل شوی دی. بورډ باید د امنیتي اقداماتو تصویب، د هغوی د پلي کولو څارنه، د سازمان د سایبري خطرونو د ارزونې وړتیا ولري، او پخپله کافي روزنه ترلاسه کړي.
له همدې امله د سایبري امنیت مسله نور یوازې د معلوماتي ټکنالوژۍ څانګې مسؤلیت نه شي ګڼل کېدای. دا د حکومتدارۍ یوه موضوع ده چې باید د منظمې پریکړې کولو او د خطر مدیریت برخه وي.
دا لارښود په څرګنده توګه د لوړ پوړو مدیریت شخصي مسؤلیت په ګوته کوي چیرې چې سازمان اطاعت نه کوي. د بورډ ښکیلتیا په سمه توګه ثبت کړئ، د بیلګې په توګه د ترسره شوي روزنې، بورډ پریکړو، تصویب شوي پالیسۍ، د خطر ارزونې، راپور ورکولو او د پلي کولو نظارت مستند کولو له لارې.
د هالنډ پلي کول
د هالنډ لخوا د NIS2 پلي کول په پراخه کچه ځنډول شوي دي. د ۲۰۲۴ کال د اکتوبر د ۱۷مې نیټې د لیږد وروستۍ نیټه پوره نه شوه.
د ۲۰۲۶ کال د جولای په ۸ مه، اروپايي کمیسیون پریکړه وکړه چې هالنډ، د ایرلینډ، هسپانیې او فرانسې سره یوځای، د اروپايي اتحادیې د عدالت محکمې ته د لیږد اقداماتو د خبرتیا د نه ورکولو له امله راجع کړي. په دې توګه هالنډ د اروپايي اتحادیې د څلورو وروسته پاتې هیوادونو په ډله کې و.
وخت حیرانونکی دی. یوه ورځ دمخه، د ۲۰۲۶ کال د جولای په ۷ مه، سنا د سایبر امنیت قانون او د مهمو ادارو د انعطاف قانون تصویب کړ. ایا دا حقیقت چې دا قانون د راجع کولو دمخه تصویب شوی و، د پروسې په پایله اغیزه کوي، لیدل کیږي؛ دا د محکمې لپاره ده چې پریکړه وکړي.
دواړه قوانین د ۲۰۲۶ کال د اګست په ۱۵مه نافذېږي. د سایبري امنیت قانون د NIS2 لارښود پلي کوي؛ د مهمو ادارو د انعطاف قانون د اروپا د CER لارښود پلي کوي، چې موخه یې د مهمو زیربناوو انعطاف دی. هغه سازمانونه چې د وروستي لخوا پوښل شوي دي په رسمي ډول به د ۲۰۲۶ کال د اګست له ۱۵مې څخه د مهمو ادارو په توګه وټاکل شي.
د نافذیدو سره سم، د شبکې او معلوماتي سیسټمونو د امنیت اوسنی قانون (Wbni) له منځه ځي. د هغو سازمانونو لپاره چې دمخه یې پوښښ لري دا د درنو مکلفیتونو معنی لري؛ د هغو سازمانونو لپاره چې د لومړي ځل لپاره په ساحه کې راځي، یو بشپړ نوی رژیم.
د NCSC سره نوم لیکنه
یو مهم نوی مکلفیت د ملي سایبر امنیت مرکز سره راجسټریشن دی. اړین او مهم بنسټونه باید د ملي ادارې په راجستر کې داخل شي. دا راجسټریشن د اګست له ۱۵مې ۲۰۲۶ څخه لازمي دی او د MijnNCSC پورټل له لارې پرمخ ځي، د عادي سازمانونو لپاره eHerkenning او د عامه سکتور ادارو لپاره SSSonRijk کاروي. په ثبت شوي معلوماتو کې بدلونونه باید د څوارلسو ورځو دننه راپور شي.
نوم لیکنه یوازې اداري رسميت نه دی. یوځل چې راجستر شي، سازمانونه کولی شي د خپل CSIRT خدماتو سره وصل شي، کوم چې د انعطاف زیاتولو او همدارنګه د پیښې په صورت کې ملاتړ لپاره محصولات او خدمات چمتو کوي. په ښه وخت کې راجسټریشن چمتو کړئ، ترڅو پلي کول یوازې د پلي کیدو وروسته پیل نشي.
څارنه او تطبیق
د سایبري امنیت قانون د څارنې یو جلا رژیم چمتو کوي. اړینې ادارې د فعالې څارنې تابع دي: څارونکی کولی شي په دوامداره توګه او په خپل نوښت سره، پرته له کومې ځانګړې پیښې یا سیګنال څخه وګوري. مهمې ادارې د غبرګوني څارنې تابع دي، چیرې چې څارونکی په اصل کې د یوې پیښې، شکایت یا بل مشخص سیګنال په ځواب کې عمل کوي.
څارنه په څو ادارو ویشل شوې ده. د ۲۰۲۶ کال د اګست له ۱۵مې راهیسې د ډیجیټل زیربنا لپاره د هالنډ اداره په نهو سکتورونو کې سازمانونو څارنه کوي؛ نور څارونکي د نورو سکتورونو لپاره ټاکل شوي دي. دا معلومه کړئ چې کوم څارونکی ستاسو د سازمان لپاره وړ دی.
د تطبیق وسیله پراخه ده او پدې کې شامل دي:
- د امنیت سکین یا امنیتي تفتیش؛
- یو الزامي لارښوونه؛
- د اداري تطبیق امر یا یو امر چې د جریمې تادیه تابع وي؛
- د سرغړونې خپرول؛
- اداري جریمه؛
- د اړینو ادارو لپاره: د تصدیق، واک یا د بورډ غړي ځنډول.
د اړینو ادارو لپاره اعظمي جریمه لږترلږه ۱۰ ملیون یورو یا د نړۍ د ټول کلني عاید ۲٪ ده، هر هغه چې لوړه وي. د مهمو ادارو لپاره دا لږترلږه ۷ ملیون یورو یا د نړۍ د ټول کلني عاید ۱.۴٪ ده، بیا هم لوړه وي. وروستۍ کچه د قضیې په شرایطو پورې اړه لري، پشمول د سرغړونې ماهیت، شدت او موده، د جرم کچه او نیول شوي اقدامات.
ستاسو اداره اوس څه کولی شي؟
- ځان ارزونه ترسره کړئ. دا معلومه کړئ چې ایا سازمان په ټاکل شوي سکتور کې فعال دی او د اندازې حد پوره کوي.
- سمه کټګوري مشخص کړئ. دا معلومه کړئ چې ایا اداره د یوې اړینې یا مهمې ادارې په توګه وړتیا لري، او کوم څارونکی وړ دی.
- د نوم لیکنې چمتووالی ونیسئ. د NCSC سره د نوم لیکنې لپاره اړین معلومات د MijnNCSC له لارې راټول کړئ.
- د پاملرنې د دندې اقداماتو ازموینه وکړئ. د خطر تحلیل، د پیښو غبرګون، د سوداګرۍ دوام، د اکمالاتو سلسلې امنیت، سایبر حفظ الصحې، زیان منونکو، څو فکتورونو تصدیق او کریپټوګرافي په اړه موجوده اقدامات ارزونه وکړئ.
- د خبرتیا پروسه تنظیم کړئ. ثبت کړئ چې څوک ارزونه کوي چې ایا یوه پیښه د خبرتیا وړ ده، څوک خبر ورکوي، او څنګه د 24 ساعتونو، 72 ساعتونو او یوې میاشتې ضرب الاجل پوره کیږي.
- بورډ په ښکاره ډول شامل کړئ. هغه پریکړې ثبت کړئ چې بورډ اخیستي دي، کوم روزنه ترسره شوې ده او د پلي کولو څارنه څنګه ترسره کیږي.
- د اکمالاتو سلسله هم شامله کړئ. د زیان مننې لویه برخه پخپله په سازمان کې نه بلکې په عرضه کونکو او خدماتو چمتو کونکو کې رامینځته کیږي. د امنیتي ترتیباتو، د خبرتیا دندو او د تفتیش حقونو په اړه خپل قراردادونه بیاکتنه وکړئ.
په پای کې
د سایبري امنیت قانون او د مهمو ادارو د انعطاف قانون د سایبري امنیت مکلفیتونو د پام وړ سختوالی استازیتوب کوي. پراخه ساحه، د پاملرنې مشخص اقدامات، د خبرتیا سختې نیټې، د مدیرانو لپاره شخصي مسؤلیت او د پلي کولو د پام وړ وسیله پدې معنی ده چې سازمانونه نشي کولی دا موضوع یوې خوا ته پریږدي. د ۲۰۲۶ کال د اګست په ۱۵مه د نافذیدو سره، د چمتووالي وخت لنډ دی.
Law & More د NIS2 او د هالنډ د سایبر امنیت قانون لاندې د دوی د موقف په ټاکلو کې سوداګرۍ، رییسانو او د اطاعت افسرانو سره مرسته کوي، د پاملرنې د وظیفې اقدامات تنظیم او ازموینه کوي، د NCSC سره راجسټریشن چمتو کوي، او د سایبر امنیت پالیسي په قانوني توګه ځای په ځای کوي.
ایا تاسو غواړئ چې ستاسو د سازمان دریځ د نویو قوانینو لاندې وارزول شي؟ مهرباني وکړئ د بې مکلفیته بحث لپاره له موږ سره اړیکه ونیسئ.
ډېرپېښې پوښتنې
لاندې موږ هغو پوښتنو ته ځواب ورکوو چې ډیری وختونه موږ څخه پدې موضوع کې پوښتل کیږي.
د هالنډ د سایبري امنیت قانون کله نافذېږي؟
د ۲۰۲۶ کال د اګست په ۱۵مه. سنا د ۲۰۲۶ کال د جولای په ۷مه د سایبر امنیت قانون او د مهمو ادارو د انعطاف قانون تصویب کړ. د نافذیدو سره سم، د شبکې او معلوماتي سیسټمونو اوسنی امنیت قانون (Wbni) پای ته رسیږي.
ایا زما سازمان د NIS2 لاندې راځي؟
دا ستاسو په سکتور او اندازې پورې اړه لري. NIS2 اتلس ټاکل شوي سکتورونه پوښي او د دې سکتورونو دننه، د اصلي قاعدې په توګه هغه سازمانونه چې لږترلږه 50 کارمندان لري یا کلنی بدلون یا بیلانس شیټ له 10 ملیون یورو څخه ډیر وي. ځینې ګوندونه د اندازې پرته پوښل شوي دي.
که زما سازمان په ساحه کې وي نو ایا زه به خبر شم؟
نه. سازمانونه پخپله د دې ارزولو مسؤلیت لري چې ایا دوی د سایبر امنیت قانون لاندې راځي. د ارزونې ترسره کیدو دمخه د انتظار خطرونو مکلفیتونه پلي کیږي.
د یو ضروري او مهم وجود ترمنځ توپیر څه دی؟
دا د څارنې شدت او د احتمالي جریمې کچه ټاکي. اړینې ادارې د فعالې څارنې تابع دي، چیرې چې څارونکی کولی شي په خپل نوښت وګوري. مهمې ادارې د غبرګوني څارنې تابع دي، چې د پیښې، شکایت یا بل سیګنال لخوا هڅول کیږي.
د پاملرنې دنده څه شی لري؟
ستاسو شبکې او معلوماتي سیسټمونو ته د خطرونو د مدیریت لپاره مناسب او متناسب تخنیکي، عملیاتي او سازماني اقدامات وکړئ، چې د خطر تحلیل، د پیښو اداره کول، د سوداګرۍ دوام، د اکمالاتو سلسله امنیت، سایبر حفظ الصحه، زیان منونکي، څو فکتور تصدیق او کریپټوګرافي په څیر مسلې پوښي. تاسو باید د دې وړتیا ولرئ چې ولې غوره شوي اقدامات مناسب دي.
د پیښې وروسته د خبرتیا کومې وروستۍ نیټې پلي کیږي؟
په ۲۴ ساعتونو کې یو لومړنی خبرداری، په ۷۲ ساعتونو کې یو رسمي خبرتیا چې د شدت او اغیزې لومړنۍ ارزونه پکې وي، او په یوه میاشت کې وروستی راپور. د خبرتیا پروسه مخکې له مخکې تنظیم کړئ.
ایا زما سازمان باید راجستر شي؟
هو. د ملي ادارې په راجستر کې نوم لیکنه د ۲۰۲۶ کال د اګست له ۱۵مې څخه لازمي ده او د MijnNCSC له لارې د eHerkenning یا د عامه سکتور ادارو لپاره، SSSonRijk په کارولو سره ترسره کیږي. بدلونونه باید د څوارلسو ورځو دننه راپور شي. یوځل چې راجستر شي تاسو کولی شئ د CSIRT خدماتو سره وصل شئ.
د بورډ مسؤلیت څه دی؟
بورډ باید امنیتي تدابیر تصویب کړي، د هغوی د پلي کولو څارنه وکړي، د سایبري خطرونو ارزونه وکړي او پخپله روزنه ترلاسه کړي. دا لارښود د نه اطاعت لپاره د لوړ پوړو مدیریت شخصي مسؤلیت په ګوته کوي، نو پریکړې، روزنه او نظارت په ښکاره ډول ثبت کړئ.
جریمې څومره لوړې دي؟
د اړینو ادارو لپاره لږترلږه ۱۰ ملیون یورو یا د نړۍ د کلني عاید ۲٪؛ د مهمو ادارو لپاره لږترلږه ۷ ملیون یورو یا ۱.۴٪، په هره قضیه کې چې هر یو لوړ وي. وروستۍ کچه په فکتورونو پورې اړه لري په شمول د سرغړونې طبیعت، شدت او موده او د جرم درجې.
څوک د اطاعت څارنه کوي؟
دا د سکتور له مخې توپیر لري. د ۲۰۲۶ کال د اګست له ۱۵مې راهیسې د ډیجیټل زیربنا لپاره د هالنډ اداره په نهو سکتورونو کې سازمانونو څارنه کوي؛ نور څارونکي د نورو سکتورونو لپاره ټاکل شوي دي. دا معلومه کړئ چې کوم څارونکی ستاسو د سازمان لپاره وړ دی.
ولې هالنډ د عدالت محکمې ته راجع شوی دی؟
د NIS2 د ناوخته لیږد لپاره. د ۲۰۲۶ کال د جولای په ۸ مه، اروپایي کمیسیون پریکړه وکړه چې هالنډ، د آیرلینډ، هسپانیې او فرانسې سره یوځای، د لیږد اقداماتو د خبرولو کې د پاتې راتلو له امله د عدالت محکمې ته راجع کړي. دا حقیقت چې د سایبر امنیت قانون یوه ورځ دمخه تصویب شو، پخپله د دې پروسو پای ته نه رسوي.
ایا دا زما په عرضه کونکو هم پلي کیږي؟
د اکمالاتو د لړۍ امنیت د پاملرنې د وظیفې څخه یو دی. د زیان مننې لویه برخه په عرضه کونکو او خدماتو چمتو کونکو کې رامینځته کیږي. د امنیتي ترتیباتو، د خبرتیا دندو او د تفتیش حقونو په اړه خپل قراردادونه بیاکتنه وکړئ.
