تكلفة الإبلاغ عن الثغرات خلال 24 ساعة للمنتجين غير الأوروبيين (CRA 2026)
- الالتزام يبدأ من 11 سبتمبر 2026 لجميع منتجي المنتجات الرقمية المباعة في الاتحاد الأوروبي
- REP27 تقدم الخدمة بسعر €490/سنة، تجديد €440، السعر منشور
- Kadano: €999/سنة، Euverify: £590/سنة (حوالي €690)، الأسعار منشورة
- الخدمة تغطي فقط نقل الإبلاغ، ولا تشمل اختبارات أو تقييمات تقنية
- عدم الالتزام: غرامات تصل إلى €15 مليون أو 2.5% من الإيرادات العالمية
- لا يشمل المستوردين أو الموزعين أو من يبيعون فقط خارج الاتحاد الأوروبي
المزودون المقارنون
| المزود | تأسس في | السعر المنشور | ما يشمله السعر | الأفضل لـ |
|---|---|---|---|---|
| REP27 — Europe Services, SE | جمهورية التشيك | €490/سنة (تجديد €440) | تفويض ممثل المادة 18 CRA، قناة إبلاغ 24 ساعة، نقل الإبلاغ إلى CSIRT/ENISA، لا تقييمات تقنية أو اختبارات | منتجون غير أوروبيين يبيعون منتجات رقمية في الاتحاد الأوروبي |
| Kadanoالمصدر | النمسا | €999/سنة | تفويض ممثل CRA (التفاصيل غير منشورة) | شركات تبحث عن مزود نمساوي |
| Euverifyالمصدر | أيرلندا | £590/سنة (~€690) | تفويض ممثل CRA (التفاصيل غير منشورة) | شركات تفضل مزود أيرلندي |
الأسعار كما هي منشورة على موقع كل مزود في 22 October 2026، باستثناء ضريبة القيمة المضافة ما لم يُذكر خلاف ذلك. كل صف يرتبط بمصدره.
ما تطلبه القانون: المادة 14 من CRA
تنص المادة 14 من قانون الصمود السيبراني (اللائحة الأوروبية 2024/2847) على التزام صارم بالإبلاغ لجميع منتجي المنتجات الرقمية المباعة في الاتحاد الأوروبي، بغض النظر عن موقعهم. اعتباراً من 11 سبتمبر 2026، يجب على كل منتج الإبلاغ خلال 24 ساعة من معرفته بثغرة تُستغل فعلياً أو حادث أمني خطير يؤثر على المنتج. يتم الإبلاغ عبر منصة موحدة تديرها ENISA، موجهة إلى CSIRT المنسق في الدولة الأوروبية المعنية.
- الإبلاغ يتم على ثلاث مراحل: الإنذار المبكر (خلال 24 ساعة)، الإخطار التفصيلي (خلال 72 ساعة)، التقرير النهائي (خلال 14 يوماً).
- الإبلاغ إلزامي أيضاً للمنتجين خارج الاتحاد الأوروبي الذين يبيعون مباشرة أو عبر الأسواق الإلكترونية لعملاء في الاتحاد الأوروبي.
- لا يُطلب من الممثل إجراء اختبارات أمان أو تقييمات تقنية؛ دوره هو نقل الإبلاغ والعمل كنقطة اتصال.
- الالتزام يشمل الحوادث التي تؤثر على أمان المنتج، وليس فقط الثغرات المستغلة.
عدم الإبلاغ أو التأخير قد يؤدي إلى غرامات تصل إلى €15 مليون أو 2.5% من الإيرادات العالمية السنوية، أيهما أعلى. هذه القواعد تنطبق على كل من يطرح منتجات رقمية في سوق الاتحاد الأوروبي، بما في ذلك منتجي البرمجيات، الأجهزة، أجهزة إنترنت الأشياء، SaaS وغيرها.
المصادر: NIS2.gov.ie، Licentium
كيفية اختيار المزود: معايير عملية ومقارنة
اختيار المزود المناسب للإبلاغ عن الثغرات وفق CRA يتطلب الانتباه لعدة جوانب عملية بالإضافة إلى السعر. إليك أهم المعايير:
- سعر منشور وشفاف: اختر مزودين يوضحون تكلفة الاشتراك السنوي والتجديد لتجنب المفاجآت.
- التغطية الجغرافية: يجب أن يضمن المزود تمثيلك في جميع دول الاتحاد الأوروبي التي تبيع فيها منتجاتك.
- الشهادة والتحقق: وجود تفويض موقع إلكترونياً وقابل للتحقق علناً دليل على الجدية.
- قناة إبلاغ نشطة 24/7: يجب أن يكون الخدمة متاحة على مدار الساعة طوال أيام السنة، بما في ذلك العطل ونهايات الأسبوع.
- وضوح الاستثناءات: لا يقدم أي مزود ضمن السعر الأساسي اختبارات أمان، SBOM أو دعم فني؛ التفويض يغطي فقط نقل الإبلاغ.
مقارنة تفصيلية:
| المزود | مشمول | غير مشمول | رسوم إضافية |
|---|---|---|---|
| REP27 | تفويض المادة 18، قناة إبلاغ 24 ساعة، نقل الإبلاغ | تقييمات تقنية، اختبارات، SBOM، إعداد السياسات | لا يوجد |
| Kadano | تفويض ممثل CRA | حسب الطلب | حسب الطلب |
| Euverify | تفويض ممثل CRA | حسب الطلب | حسب الطلب |
نصيحة عملية: استفسر دائماً مسبقاً عن ما يشمله السعر، وجود أي رسوم لكل إبلاغ، وآلية التجديد. فضّل المزودين الذين يقدمون شهادة قابلة للتحقق علناً ويعلنون بوضوح كيانهم القانوني والتغطية الجغرافية.
ما يشمله السعر فعلياً: تفاصيل عملية
السعر المنشور من المزودين يغطي فقط تفويض التمثيل للإبلاغ عن الثغرات وفق المادة 18 من CRA. وهذا يعني أن الممثل:
- يستقبل وينقل تقارير الثغرات أو الحوادث الأمنية إلى الجهات المختصة (CSIRT/ENISA) عبر المنصة الرسمية.
- يعمل كنقطة اتصال للسلطات الأوروبية في حال طلبات أو استفسارات.
- يقدم تفويض موقع وموثق، غالباً مع رمز QR للتحقق العلني.
- يضمن وجود قناة إبلاغ نشطة 24/7 (على الأقل REP27 كما هو معلن في صفحاتهم الرسمية).
غير مشمول في السعر الأساسي:
- اختبارات أمان أو تقييمات الثغرات
- إنشاء قائمة مكونات البرمجيات (SBOM)
- الدعم الفني أو القانوني أو التشغيلي في إعداد الإبلاغ
- إدارة الأزمات أو التواصل مع المستخدمين النهائيين (بخلاف نقل الإبلاغ)
مثال: توضح REP27 أن "تقييم المطابقة من اختصاص الهيئات المعتمدة، والاختبارات لشركات الأمان، وإنشاء SBOM لخط إنتاجك، والإبلاغ لفريق الأمان الخاص بك". التفويض يغطي فقط النقل والاستقبال مع السلطات. لا توجد رسوم إضافية معلنة لكل إبلاغ، ولا مبيعات خفية.
نصيحة: تأكد من وجود خبرات داخلية لإعداد الإبلاغات والرد على طلبات التوضيح من السلطات.
تكاليف خفية، حدود الخدمة ومخاطر عملية
تكلفة تفويض التمثيل هي جزء فقط من الميزانية المطلوبة للامتثال لقانون الصمود السيبراني. التكاليف الخفية وحدود الخدمة غالباً ما تُغفل:
- الإعداد الداخلي: جمع المعلومات، إعداد الإبلاغات، والتواصل مع الممثل مسؤولية المنتج.
- التدقيق والتقييم: في حال طلب السلطات، قد تتحمل تكاليف تدقيق خارجي أو تقييمات تقنية غير مغطاة بالتفويض.
- الدعم الفني والقانوني: الممثل لا يقدم استشارات فنية أو قانونية سوى نقل الإبلاغ؛ أي استشارات إضافية منفصلة.
- المسؤولية المحدودة: لا يتحمل أي مزود مسؤولية الأخطاء أو السهو في المحتوى المقدم من العميل.
- التجديد والتبديل: تحقق دائماً من شروط التجديد وأي غرامات لتغيير المزود: REP27 تنشر أسعار التبديل والتجديد، والبقية لا.
مخاطر عملية:
- إذا لم تكن الإجراءات الداخلية جاهزة، يرتفع خطر عدم الالتزام بالمواعيد.
- عدم الإبلاغ أو التأخير قد يؤدي إلى غرامات إدارية عالية وحظر المبيعات في الاتحاد الأوروبي.
نصيحة: اعتبر التفويض "بوليصة عملية" وليس حلاً فنياً. الامتثال الفعلي يعتمد على تنظيمك الداخلي.
كيفية التعيين: خطوات وقائمة تحقق
تعيين ممثل CRA يتبع خطوات واضحة. إليك الإجراءات وقائمة تحقق:
- تحقق إذا كنت تبيع منتجات رقمية في الاتحاد الأوروبي: إذا نعم، تحقق إن كنت المنتج (وليس فقط موزع/مستورد).
- اختر المزود: قارن الأسعار، المشمولات، الاستثناءات، والشفافية التعاقدية.
- اطلب الخدمة عبر الإنترنت: املأ نموذج الطلب واستلم تفويض التمثيل المادة 18.
- وقع واحتفظ بالتفويض: يجب توقيع التفويض من الطرفين وحفظه للمراجعات المحتملة.
- أدرج تفاصيل الممثل في وثائق الشركة: حدّث الدلائل التشغيلية، السياسات الداخلية، ووثائق الامتثال.
- أعد إجراء الإبلاغ الداخلي: حدد من يمكنه الإبلاغ، كيفية جمع الأدلة، وكيفية تعبئة نماذج الإبلاغ (إنذار مبكر، إخطار، تقرير نهائي).
- عيّن على الأقل شخصين للإبلاغ: تأكد من أن شخصين على الأقل لديهم وصول لمنصة ENISA لتجنب توقف العمل عند غياب أحدهم.
- سجل كل الخطوات: وثّق من ومتى وكيف تم الإبلاغ. هذا أساسي في حال التدقيق.
قائمة تحقق تشغيلية:
- تحقق موقعك (منتج، مستورد، موزع)
- اختر وعين الممثل
- أعد إجراء الإبلاغ الداخلي
- عيّن المبلّغين وحدث الوثائق
- جهز نماذج الإبلاغ مسبقاً
- سجل كل إبلاغ وتواصل
نصيحة: وضوح الإجراءات هو القيمة الحقيقية لخدمة التمثيل.
مصفوفة القرار: من يحتاج الخدمة؟
ليست كل الشركات بحاجة لتفويض تمثيل للإبلاغ عن الثغرات. إليك مصفوفة قرار بناءً على حالات واقعية:
| إذا كنت... | هل تحتاج إبلاغ 24 ساعة؟ | السبب |
|---|---|---|
| منتج غير أوروبي (الولايات المتحدة، المملكة المتحدة، الصين، إلخ) يبيع منتجات رقمية في الاتحاد الأوروبي | نعم | التزام مباشر بالمادة 14 CRA |
| مستورد/موزع في الاتحاد الأوروبي | لا | الالتزام فقط إذا بعت باسمك |
| بائع على سوق إلكتروني (Amazon, Etsy, eBay) غير أوروبي | نعم، إذا كنت المنتج | التزام مباشر إذا المنتج ملكك |
| برمجيات مفتوحة المصدر غير تجارية | خطة مخففة | نظام مخفف لكن الإبلاغ إلزامي إذا استُغلت ثغرة |
| شركة في الاتحاد الأوروبي ومقرها الرئيسي في الاتحاد الأوروبي | لا ممثل، بل إبلاغ مباشر | تبلغ مباشرة إلى CSIRT الوطني |
نصيحة: إذا كنت موزع أو مستورد ولا تطرح المنتج باسمك، لا تحتاج تعيين ممثل. إذا كنت منتج غير أوروبي، التعيين ضروري لتجنب الغرامات.
ما لا يقوله المزودون (لكن يجب أن تعرفه)
الكثير من المزودين لا ينشرون تفاصيل مهمة قد تؤثر على امتثالك وتكاليفك الحقيقية:
- الاستثناءات: لا يقدم أي مزود ضمن السعر الأساسي اختبارات أمان، SBOM أو تقييمات تقنية. التفويض يغطي فقط نقل الإبلاغ.
- المسؤولية: تبقى مسؤولية صحة وتوقيت الإبلاغ على المنتج. الممثل لا يتحقق أو يعدل المحتوى المقدم.
- التجديد والتبديل: بعض المزودين لا ينشرون أسعار التجديد أو شروط تغيير الممثل. REP27 تنشر كلاهما، والبقية لا.
- اللغات وساعات العمل: تحقق من أن المزود فعلاً نشط 24/7 وقادر على التعامل مع الطلبات بعدة لغات إذا لزم الأمر.
- حدود الخدمة: الممثل لا يدير التواصل مع المستخدمين النهائيين، إدارة الأزمات أو الاستشارات القانونية.
نصيحة: اطلب دائماً قائمة مكتوبة بالاستثناءات وحدود المسؤولية قبل التوقيع.
سيناريوهات عملية: ثلاث حالات واقعية وأبسط مسار
- شركة SaaS أمريكية تبيع في الاتحاد الأوروبي: يجب تعيين ممثل CRA، إعداد إجراء الإبلاغ، وإدراج الممثل في الوثائق الرسمية. عند وجود ثغرة مستغلة، ترسل الإبلاغ للممثل الذي ينقله إلى ENISA/CSIRT. أبسط مسار هو اختيار مزود بقناة نشطة 24/7 وتفويض قابل للتحقق.
- بائع صيني على Amazon: إذا كان منتج المنتج الرقمي، ملزم بالإبلاغ ويجب تعيين ممثل؛ إذا كان موزع فقط، لا. أبسط مسار هو توضيح الدور التعاقدي والاعتماد على مزود ذو خبرة في التجارة الإلكترونية إذا لزم الأمر.
- متجر إلكتروني في المملكة المتحدة: إذا يبيع منتجات رقمية لعملاء في الاتحاد الأوروبي، يجب تعيين ممثل واتباع إجراء الإبلاغ؛ إذا يبيع فقط في المملكة المتحدة، لا التزام. أبسط مسار هو تقييم ما إذا كانت مبيعات الاتحاد الأوروبي تبرر تكلفة الامتثال.
في جميع الحالات، الإعداد الداخلي ووضوح الإجراءات أساسيان للالتزام بالمواعيد وتقليل مخاطر الغرامات.
عندما لا تحتاج إلى ذلك
- المستوردون والموزعون في الاتحاد الأوروبي الذين لا يبيعون باسمهم
- الشركات التي تبيع فقط خارج الاتحاد الأوروبي
- المنتجات غير الرقمية أو التي لا تحتوي على مكونات برمجية
- الهيئات العامة أو الخاصة غير المنتجة للمنتجات الرقمية
الأسئلة المتكررة
من يجب عليه تعيين ممثل للإبلاغ عن الثغرات وفق CRA؟
يجب على كل منتج للمنتجات الرقمية يبيع في الاتحاد الأوروبي ولا يملك مقرًا داخل الاتحاد تعيين ممثل معتمد للإبلاغ عن الثغرات وفق المادة 18 CRA. لا ينطبق الالتزام على المستوردين أو الموزعين الذين لا يطرحون المنتج باسمهم.
هل تشمل الخدمة التقييم الفني للثغرات؟
لا، لا يقدم أي مزود مذكور في هذا الدليل تقييمات فنية أو اختبارات أمان ضمن السعر الأساسي. الخدمة تغطي فقط نقل الإبلاغ إلى الجهات المختصة. إعداد الإبلاغ الفني مسؤولية المنتج.
ماذا يحدث إذا لم أبلغ عن ثغرة خلال 24 ساعة؟
عدم الالتزام بالمواعيد قد يؤدي إلى غرامات تصل إلى €15 مليون أو 2.5% من الإيرادات العالمية، بالإضافة إلى مخاطر سمعة وحظر المبيعات في الاتحاد الأوروبي. قد تطلب السلطات أيضاً تدقيقات أو تقييمات إضافية.
هل يمكن أن يكون الممثل هو نفس ممثل GDPR؟
نعم، بعض المزودين (مثل REP27) يقدمون حزم تشمل تفويض GDPR المادة 27 وCRA المادة 18، لكن المهام منفصلة والأسعار تختلف حسب الحزمة. تحقق دائماً من المشمولات والاستثناءات لكل حزمة.
كيف يتم تفعيل خدمة الإبلاغ 24 ساعة؟
بعد اختيار المزود، توقع التفويض وتدرج تفاصيل الممثل في وثائقك. عند وقوع حادث، ترسل الإبلاغ للممثل الذي ينقله إلى CSIRT/ENISA. وجود إجراء داخلي واضح ونماذج جاهزة أمر أساسي.
هل الخدمة متاحة 24/7 حتى في العطل ونهايات الأسبوع؟
نعم، على الأقل REP27 توفر قناة إبلاغ نشطة طوال العام، بما في ذلك الليالي، العطل، ونهايات الأسبوع. تحقق دائماً من أن المزود المختار يقدم خدمة فعالة 24/7 ويعالج الإبلاغات بسرعة.
ما مدة التفويض وكيف يتم التجديد؟
مدة التفويض سنة واحدة مع تجديد سنوي. REP27 تنشر سعر التجديد (€440)، بينما لا يعلن بعض المزودين الآخرين ذلك بوضوح. اسأل دائماً عن سعر التجديد وشروط التبديل قبل التوقيع.
ماذا يجب أن أعد داخلياً للامتثال؟
يجب وضع إجراء داخلي يحدد من يمكنه الإبلاغ عن الثغرات، كيفية جمع الأدلة، وكيفية تعبئة نماذج الإبلاغ. الممثل ينقل فقط ما يتلقاه؛ مسؤولية صحة البيانات تقع عليك.
هل الخدمة إلزامية لمن يبيع عبر الأسواق الإلكترونية؟
إذا كنت منتج المنتج الرقمي المباع عبر الأسواق (Amazon، Etsy، إلخ)، نعم. إذا كنت موزعاً أو بائعاً فقط، لا. تأكد من دورك التعاقدي قبل تحديد الحاجة لتعيين ممثل.
هل الممثل مسؤول عن إخطارات GDPR أو NIS2؟
لا، تفويض CRA يغطي فقط الإبلاغ المطلوب بموجب قانون الصمود السيبراني. تحتاج إلى تفويضات منفصلة لـ GDPR أو NIS2، رغم أن بعض المزودين يقدمون حزم مشتركة. إجراءات الإبلاغ مختلفة ويجب إدارتها بشكل منفصل.
ماذا لو غيرت المزود خلال السنة؟
تحقق من الشروط التعاقدية: REP27 توضح أسعار التبديل، وقد يفرض مزودون آخرون غرامات أو إشعارات مسبقة. من المهم التخطيط لتغيير المزود لتجنب فترات عدم تغطية أو فواتير مزدوجة.
هل الخدمة تغطي سويسرا؟
لا، تمثيل CRA يخص الاتحاد الأوروبي فقط. تقدم REP27 تقييم مجاني لسويسرا (nFADP)، لكنها لا تعمل كممثل سويسري. إذا كنت تبيع في سويسرا، تحقق من الالتزامات القانونية المحلية.
المصادر
- النص الرسمي لقانون الصمود السيبراني — nis2.gov.ie
- REP27 — Europe Services, SE | تكلفة ممثل CRA المعتمد — gdprrepresentative.com
- تمثيل Kadano CRA — kadano.io
- تمثيل Euverify CRA — euverify.com
- Licentium: قانون الصمود السيبراني الأوروبي – الإبلاغ عن الثغرات — licentium.io
- ITPro: غرامات قانون الصمود السيبراني — itpro.com
- EU-representa: الإبلاغ عن قانون الصمود السيبراني — eu-representa.com
Related guides
- بدائل تعيين ممثل معتمد لقانون الصمود السيبراني: مقدمو الخدمة
- ما هي التزامات المنتج خارج الاتحاد الأوروبي وفق قانون السيبرانية؟
- مقارنة مزودي خدمات الإبلاغ عن الثغرات لقانون الصمود السيبراني
- تكلفة الممثل المعتمد لقانون الصمود السيبراني للمصنعين خارج
- كيفية الإبلاغ عن الثغرات خلال 24 ساعة بموجب قانون الصمود السيبراني
- هل أحتاج ممثلًا معتمدًا إذا كنت أصنع خارج الاتحاد الأوروبي؟