شهد إطار KRITIS في ألمانيا لحماية البنية التحتية الحيوية للتو أكبر تحديث له خلال عقد. وقد دخل قانون تنفيذ NIS2 — Gesetz zur Umsetzung der NIS-2-Richtlinie، أو NIS2UmsG — حيّز النفاذ في 6 ديسمبر 2025، مُحدِثًا مراجعة جوهرية لقانون BSI (BSIG) الذي يحكم التزامات أمن تقنية المعلومات لمشغّلي البنية التحتية الحيوية منذ عام 2009.
بالنسبة للمؤسسات العاملة في قطاعات مثل الطاقة والمياه والرعاية الصحية والنقل أو تقنية المعلومات والاتصالات، فهذا ليس تحديثًا بسيطًا. فقد تغيّر نطاق الجهات الخاضعة للتنظيم، وما يجب عليها فعله، وكيفية إثبات ذلك، بطرق ملموسة. يوضح هذا المقال ما الذي تغيّر، وما الذي بقي كما هو، وما الذي يعنيه ذلك عمليًا عند اختيار منصة سحابية.
ما هو KRITIS وما الذي يعنيه الآن بموجب القانون الجديد
KRITIS — اختصارًا لـ Kritische Infrastrukturen — هو التصنيف الاتحادي الألماني للبنية التحتية الحيوية. وقد خضع مشغّلو المنشآت ذات الصلة بـ KRITIS منذ فترة طويلة لالتزامات محددة لأمن تقنية المعلومات بموجب BSIG، تحت إشراف BSI (Bundesamt für Sicherheit in der Informationstechnik).
بموجب القانون الجديد، تغيّرت المصطلحات. لم يعد BSIG المُنقَّح يتحدث عن “Kritische Infrastrukturen” بوصفها الفئة الأساسية. وبدلًا من ذلك، ينظّم besonders wichtige Einrichtungen (الكيانات ذات الأهمية الخاصة) وwichtige Einrichtungen (الكيانات المهمة). ويُعدّ مشغّلو ما يُسمّى الآن kritische Anlagen (المنشآت الحرجة) جزءًا فرعيًا من المجموعة الأولى وما زالوا يواجهون أشد المتطلبات صرامة. وقد تم إلى حد كبير ترحيل الالتزامات التي كانت لديهم بموجب BSIG السابق، لكن أُعيد تنظيمها وشُدِّدت في بعض المجالات.
لا تزال القطاعات المشمولة متقاربة إلى حد كبير: الطاقة، والنقل، والتمويل، والصحة، والمياه، والغذاء، وتقنية المعلومات والاتصالات، والفضاء، وإدارة النفايات. ما تغيّر هو منطق العتبات، وبعض القواعد الخاصة بكل قطاع، والنطاق العام للجهات التي يشملها الإطار — ليس فقط مشغّلي KRITIS، بل عشرات الآلاف من المؤسسات ضمن فئات NIS2 الأوسع.
تغيير هيكلي بارز: تم تقسيم قطاع التمويل إلى قسمين — Finanzwesen (التمويل) وLeistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende (منافع الضمان الاجتماعي والدخل الأساسي للباحثين عن عمل). لم تعد شركات التأمين الخاصة مشمولة. وتُعفى المؤسسات الخاضعة للائحة DORA في الاتحاد الأوروبي من بعض التزامات الإبلاغ والتدقيق بموجب BSIG، نظرًا للتداخل الكبير بين الإطارين.
ما الذي يجب على مشغّلي المنشآت الحرجة فعله الآن
بالنسبة لمشغّلي kritische Anlagen، لا تزال الالتزامات الأساسية — التسجيل، والإبلاغ عن الحوادث، وتنفيذ التدابير التقنية والتنظيمية المناسبة، وتقديم أدلة منتظمة على الامتثال — قائمة. لكن تغيّرت عدة تفاصيل.
أصبح التسجيل الآن على مسارين. يجب على مشغّلي KRITIS الحاليين التسجيل ليس فقط في بوابة MIP (Melde- und Informationsportal) الحالية التي استخدموها حتى الآن، بل أيضًا بوصفهم besonders wichtige Einrichtung في بوابة BSI الجديدة. الموعد النهائي لمن هم مسجّلون بالفعل هو ثلاثة أشهر من 6 ديسمبر 2025 — أي 6 مارس 2026. أما المشغّلون الجدد فيجب عليهم إجراء التسجيلين منذ البداية.
تم تمديد دورة التدقيق. سابقًا، كان على المشغّلين تقديم أدلة الامتثال كل سنتين. وبموجب BSIG الجديد، أصبحت الدورة كل ثلاث سنوات. وقد أخطر BSI المشغّلين الحاليين مباشرةً بمواعيدهم النهائية الفردية الجديدة.
يتبع الإبلاغ عن الحوادث هيكل NIS2. تم الآن استيعاب التزام الإبلاغ السابق الخاص بـ KRITIS بالكامل ضمن إطار NIS2. لا يحتاج المشغّلون الذين يبلّغون عبر MIP إلى تكرار البلاغ في بوابة BSI — وقد أكد BSI أن هذا الترتيب الانتقالي سيبقى ساريًا على الأقل حتى 31 يوليو 2026.
تظل أنظمة اكتشاف الهجمات إلزامية. تم ترحيل متطلب نشر أنظمة قادرة على اكتشاف الأحداث ذات الصلة بالأمن — الذي أُدخل عبر IT-SiG 2.0 في عام 2021 — بموجب §31 من BSIG لمشغّلي المنشآت الحرجة تحديدًا. وقد نشر BSI إرشادات حول ما يجب أن تكون هذه الأنظمة قادرة على فعله (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung)، وهي متاحة عبر صفحة تنزيلات BSI.
تم إلغاء نقاط الاتصال المشتركة (GÜAS). يجب على المشغّلين الذين كانوا يتشاركون سابقًا هيكل اتصال موحّدًا مع نظرائهم في القطاع نفسه أن يحافظ كلٌّ منهم الآن على ترتيبات اتصال مباشرة خاصة به مع BSI.
لماذا يُعد اختيار منصة السحابة قرارًا للامتثال لـ KRITIS
يتطلب BSIG المُنقَّح صراحةً من المشغّلين تقييم موثوقية مورّدي التكنولوجيا لديهم — بما في ذلك المنصات التي تعمل عليها أعباؤهم الحرجة. هذا ليس جديدًا، لكنه أصبح الآن مُدمجًا بشكل أكثر رسمية في الإطار. وبالنسبة للبنية التحتية السحابية تحديدًا، يثير ذلك أسئلة تتجاوز الشهادات واتفاقيات مستوى الخدمة (SLAs).
تتسم منصات السحابة العامة فائقة النطاق — AWS وAzure وGCP — بخصائص بنيوية يصعب التوفيق بينها وبين متطلبات KRITIS. تُتخذ قرارات توجيه البيانات ديناميكيًا، ما يجعل من الصعب تقنيًا ضمان عدم مغادرة البيانات لألمانيا أو الاتحاد الأوروبي مطلقًا. كما لا يمكن تدقيق أنظمتها الداخلية — مثل الـ hypervisors ومكدسات الشبكات — بشكل مستقل، ما يخلق احتكاكًا مع متطلبات تقييم سلسلة التوريد. ولا يزال المزوّدون ذوو المقر في الولايات المتحدة خاضعين لقانون CLOUD (18 U.S.C. § 2713)، الذي قد يفرض الإفصاح عن البيانات بغض النظر عن مكان تخزينها — وهو تعارض مباشر مع التزامات سيادة البيانات ضمن إطار BSIG.
لا يعني أيٌّ من ذلك أن مزوّدًا فائق النطاق لا يمكن أن يكون جزءًا من بنية المشغّل التحتية. لكنه يعني أن مسألة المنصة، بالنسبة لأعباء العمل المصنّفة على أنها حرجة، تحمل وزنًا تنظيميًا وليس وزنًا تشغيليًا فقط.
ما الذي يجب البحث عنه في منصة سحابية متوافقة
استنادًا إلى المتطلبات الواردة في BSIG المُنقَّح وإرشادات BSI، يجب أن تعالج منصة سحابية تدعم أعباء العمل الخاضعة لتنظيم KRITIS عدة مجالات بشكل قابل للإثبات:
توافر عالٍ بالتصميم المعماري — ليس مجرد وقت تشغيل مُوعَد به تعاقديًا، بل تكرار مدمج في طبقات الحوسبة والتخزين والشبكات، دون نقاط فشل أحادية.
نشر داخل الموقع أو نشر خاص مع تحكم كامل في إقامة البيانات — يجب أن يكون المشغّل قادرًا على التحقق من مكان معالجة البيانات وتخزينها، دون أي توجيه خارجي غير مُعلَن.
تشفير البيانات أثناء التخزين وأثناء النقل، وإدارة المفاتيح تحت سيطرة المشغّل، وتقسيم شبكي صارم بين المستأجرين.
قدرة على اكتشاف الهجمات تتوافق مع إرشادات BSI — مراقبة في الوقت الحقيقي، واكتشاف الشذوذ، والتكامل مع أدوات SIEM.
تسجيل تدقيق كامل — كل استدعاء API، وكل تغيير في الإعدادات، وكل إجراء إداري، مع إمكانية تصديره لفحص BSI ولتقديم أدلة الامتثال كل ثلاث سنوات.
سلسلة توريد برمجيات قابلة للتدقيق — أسس مفتوحة المصدر مع قائمة مواد برمجية منشورة (SBOM)، بحيث يمكن للمشغّلين إجراء تقييم الموثوقية الذي يتطلبه القانون.
كيف يلبي FishOS متطلبات KRITIS
FishOS، الذي طوّرته Sardina Systems، هو منصة لإدارة السحابة تدمج OpenStack وKubernetes وCeph في حزمة مؤتمتة واحدة. وهو مصمم للنشر داخل الموقع وفي السحابة الخاصة، ما يعني أن المشغّلين يحتفظون بالتحكم المباشر في مكان إقامة بياناتهم ومعالجتها — دون اعتماد على بنية سحابية خارجية أو ولاية قضائية أجنبية.
على صعيد التوافر، يتضمن FishOS مكوّنًا مملوكًا باسم Health Monitoring Component يقوم بتحليل المقاييس وبيانات السجلات في الوقت الحقيقي بشكل مستمر. ووفقًا لـ Sardina Systems، فإنه يستخدم ما يصفونه بنهج “مناعة الحاسوب” — لتحديد ليس فقط حالات الفشل، بل أيضًا الحالات “المريضة” المتدهورة قبل أن تتسبب في انقطاعات. وهذا يختلف عن أدوات المراقبة التقليدية.
على صعيد الأمان والتدقيق، يوفر FishOS تسجيل تدقيق مركزيًا يغطي إجراءات المستخدم وإجراءات مستوى النظام عبر البنية التحتية، ويدعم التكامل مع SIEM. ووفقًا لمراجعات طرف ثالث للمنصة، يتضمن FishOS قدرة SIEM مدمجة لاكتشاف التهديدات الأمنية داخل البيئة والاستجابة لها.
فيما يتعلق بشفافية سلسلة التوريد، يعتمد FishOS على مكونات مفتوحة المصدر — OpenStack وCeph وKubernetes — مع قواعد شيفرة قابلة للتدقيق علنًا. وتوفر Sardina Systems وثائق SBOM، ما يدعم مباشرةً تقييم موثوقية سلسلة التوريد المطلوب بموجب BSIG المُنقَّح.
يدعم FishOS الترحيل من VMware ومنصات قديمة أخرى عبر جهاز FishOS Move It، باستخدام نهج تقليل وقت التوقف إلى الحد الأدنى أو تتبع كتل التغيير (CBT) للبيئات الحية. ولكلا الطريقتين سجل مثبت في مواقع الإنتاج.
يوفر FishOS الأساس المعماري — السيادة داخل الموقع، وقابلية تدقيق المصدر المفتوح، والتوافر العالي، وأدوات التشغيل — التي يحتاجها المشغّلون لبناء بنية تحتية متوافقة وإثبات امتثالها.
من أين تبدأ مع KRITIS
إذا كانت مؤسستك ضمن النطاق المحتمل بموجب BSIG المُنقَّح — سواء بصفتها مشغّل KRITIS قائمًا أو كيانًا خاضعًا للتنظيم حديثًا ضمن فئات NIS2 — فإن الأولويات الفورية هي:
أولًا، تحقّق مما إذا كنتِ مؤهلة بصفتك Betreiber kritischer Anlagen بموجب BSI-KritisV المُحدَّث، أو بصفتك besonders wichtige أو wichtige Einrichtung ضمن إطار NIS2 الأوسع. وقد نشر BSI أداة للتقييم الذاتي لهذا الغرض.
ثانيًا، إذا كنتِ مسجّلة بالفعل في MIP بصفتك مشغّل KRITIS، فابدئي التسجيل في بوابة BSI الجديدة بصفتك besonders wichtige Einrichtung قبل 6 مارس 2026.
ثالثًا، قيّمي بنيتكِ التحتية الحالية مقابل المتطلبات التقنية في §30 و§31 من BSIG — ولا سيما ما يتعلق باكتشاف الهجمات، وتسجيل التدقيق، ووثائق سلسلة التوريد.
