الإبلاغ عن الثغرات خلال 24 ساعة بموجب قانون الصمود السيبراني: مقدمو الخدمة والأسعار (2026)

• المادة 14 من CRA تتطلب الإبلاغ خلال 24 ساعة عن الثغرات المستغلة إلى ENISA.
• يجب على المصنعين خارج الاتحاد الأوروبي تعيين ممثل معتمد مقره في الاتحاد الأوروبي للإبلاغ.
• REP27 — Europe Services, SE تفرض 490 يورو سنويًا مقابل التفويض بموجب المادة 18.
• أسعار المنافسين: kadano (999 يورو سنويًا)، Euverify (590 جنيهًا إسترلينيًا سنويًا)، وآخرون حسب الطلب.
• لا تشمل خدمة REP27 الاستشارات القانونية، أو توليد SBOM، أو تقييم المطابقة.
• لا يُطلب ذلك من المستوردين أو الموزعين أو المنتجات القديمة التي وُضعت في السوق قبل 11 سبتمبر 2026.

محدث 17 October 2026 · 8 المصادر تم التحقق منها

المزودون المقارنون

الأسعار كما هي منشورة على موقع كل مزود في 17 October 2026، باستثناء ضريبة القيمة المضافة ما لم يُذكر خلاف ذلك. كل صف يرتبط بمصدره.

ما يتطلبه القانون: المادة 14 و18 من CRA

يقدم قانون الصمود السيبراني (CRA) نظامًا صارمًا للمصنعين الذين يطرحون منتجات ذات عناصر رقمية في سوق الاتحاد الأوروبي. تحدد المادة 1 النطاق: الأجهزة والبرمجيات ذات العناصر الرقمية، بما في ذلك الأجهزة المتصلة، والبرامج الثابتة، والتطبيقات، مشمولة. تحدد المادة 10 المتطلبات الأساسية لإجراءات الأمن السيبراني طوال دورة حياة المنتج، بينما توضح المادة 11 التزامات المصنعين مثل تقييم المخاطر، التعامل مع الثغرات، وتقييم المطابقة.

المادة 14 هي المحورية: تتطلب من المصنعين الإبلاغ عن أي ثغرة مستغلة بنشاط أو حادث خطير يؤثر على أمان المنتج إلى ENISA عبر منصة الإبلاغ الموحدة خلال 24 ساعة من العلم بها. يبدأ الواجب عند وجود دليل موثوق على الاستغلال أو حدث أمني كبير، وليس بمجرد اكتشاف الثغرة. تُحسب 24 ساعة بالساعات التقويمية، بما في ذلك الليل وعطلات نهاية الأسبوع والعطلات الرسمية.

للمصنعين المقيمين خارج الاتحاد الأوروبي، تتطلب المادة 18 تعيين ممثل معتمد مقره في الاتحاد الأوروبي. يكون هذا الممثل مسؤولاً عن إدارة عملية الإبلاغ خلال 24 ساعة ويعمل كنقطة اتصال رسمية للسلطات الأوروبية. للمستوردين والموزعين التزاماتهم الخاصة بموجب المادة 12، لكن واجب الإبلاغ الأساسي يقع على عاتق المصنع أو ممثله المعتمد.

المنتجات التي وُضعت في سوق الاتحاد الأوروبي قبل 11 سبتمبر 2026 معفاة من متطلبات الإبلاغ خلال 24 ساعة لكنها يجب أن تلتزم بأحكام CRA الأخرى. عدم الامتثال قد يؤدي إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من حجم الأعمال السنوي العالمي، أيهما أعلى. القانون واضح: إذا كنت مصنعًا خارج الاتحاد الأوروبي تبيع منتجات رقمية في الاتحاد الأوروبي بعد هذا التاريخ، يجب أن يكون لديك ممثل معتمد جاهز للعمل خلال 24 ساعة من أي حادث مؤهل.

كيفية اختيار ممثل معتمد لقانون الصمود السيبراني

اختيار الممثل المعتمد المناسب أمر حاسم للامتثال والكفاءة التشغيلية. ابدأ بالتحقق من الكيان القانوني للمزود، وتأسيسه في الاتحاد الأوروبي، وسجله. على سبيل المثال، REP27 — Europe Services, SE تأسست في براغ، جمهورية التشيك، ونشطت منذ 2018، مع تفويضات موقعة لشركات في 24 دولة.

معايير الاختيار الرئيسية تشمل:

• الأسعار الشفافة: ابحث عن أسعار واضحة منشورة وشروط تجديد. تنشر REP27 أسعار السنة الأولى والتجديد. بعض المزودين مثل kadano وEuverify ينشرون الأسعار أيضًا، بينما يتطلب الآخرون طلب عرض.
• نطاق التفويض: تأكد من أن التفويض يقتصر على مهام المادة 18. التفويضات الواسعة قد تدعي تغطية التزامات المادة 13، وهو ما تحظره المادة 18(2). REP27 تحدد صراحة نطاقها على الإبلاغ بموجب المادة 18.
• التوفر: يجب أن يكون مكتب الإبلاغ موظفًا 24/7، بما في ذلك عطلات نهاية الأسبوع والعطلات الرسمية. تضمن REP27 التغطية المستمرة، بينما قد تحتاج تفاصيل المزودين الآخرين إلى تأكيد.
• التحقق من الشهادة: شهادة قابلة للتحقق (مثل رمز QR الخاص بـ REP27 والتحقق العام) توفر دليلًا على التعيين ويمكن التحقق منها من قبل السلطات أو العملاء.
• الاستثناءات: وضح ما لا يشمله، مثل الاستشارات القانونية، توليد SBOM، أو الاختبارات التقنية. تسرد REP27 جميع الاستثناءات بوضوح؛ العديد من المنافسين لا يفعلون ذلك.

قد تكون الخدمات المجمعة (مثل الفحص الفني، توليد SBOM) مفيدة إذا كانت مواردك الداخلية محدودة، لكن تحقق دائمًا من التكاليف الخفية، أسعار التجديد غير الواضحة، أو أوصاف الخدمات الغامضة. اطلب العملية كتابةً، بما في ذلك كيفية التعامل مع الطلبات، واللغات المستخدمة، وساعات العمل.

أخيرًا، تأكد من أن تفويض المزود قابل للتحقق وأن عملية تحويل طلبات السلطات سريعة وموثقة. هذا ليس مجرد خانة امتثال—فالتأخيرات أو سوء التواصل قد يكون لها عواقب قانونية وتجارية.

ما يشمله السعر فعليًا: مقارنة المزودين

فهم ما يشمله السعر المنشور ضروري لتجنب المفاجآت. فيما يلي مقارنة مفصلة لما يقدمه كل مزود بناءً على البيانات المتاحة:

سعر REP27 (490 يورو/سنة، 440 يورو عند التجديد) مخصص لتفويض المادة 18 فقط، مع استثناءات واضحة. تنشر kadano وEuverify الأسعار لكن لا يوضحان المشمولات أو الاستثناءات علنًا. يقدم مزودون مثل ResilienceWP وSeentrix خدمات تقنية إضافية (SBOM، الفحص، التوثيق)، لكن الأسعار والنطاق متاحة عند الطلب فقط.

اطلب دائمًا وصفًا تفصيليًا للخدمة وتأكيدًا على أسعار التجديد قبل التوقيع. الخطأ الأغلى هو افتراض أن الامتثال التقني أو الاستشارات القانونية مشمولة حين لا تكون كذلك.

التكاليف الخفية وما لا يقوله المزودون عادةً

بينما السعر الأساسي مهم، يمكن أن تؤثر التكاليف الخفية والاستثناءات بشكل كبير على ميزانية الامتثال ومخاطر التشغيل. إليك ما لا يكشف عنه المزودون غالبًا مقدمًا:

• الاستثناءات: REP27 صريح: لا يشمل الاستشارات القانونية، خدمات مسؤول حماية البيانات، تقييمات الامتثال التقنية، توليد SBOM، أو الاختبارات. العديد من المنافسين لا ينشرون مثل هذه الاستثناءات، لذا اسأل دائمًا. الامتثال التقني (SBOM، تقييم المطابقة، الهندسة) لا يشمله تفويض الممثل فقط ويجب تخصيص ميزانية منفصلة له.
• أسعار التجديد: بعض المزودين يقدمون سعرًا منخفضًا للسنة الأولى لكن لا ينشرون أسعار التجديد. تنشر REP27 كلا السعرين مقدمًا. احصل دائمًا على شروط التجديد كتابةً لتجنب زيادات غير متوقعة.
• رسوم الطلبات الفردية: قد يفرض بعض الممثلين رسومًا إضافية لكل طلب من السلطات أو أصحاب البيانات، أو للإيداعات العاجلة. REP27 لا يذكر أي رسوم من هذا النوع، لكن هذا ليس الحال دائمًا في أماكن أخرى. وضح ذلك قبل التوقيع.
• فترات الإشعار والإنهاء: نادرًا ما تُفصل عملية إنهاء التفويض أو تبديل المزودين. اسأل عن فترات الإشعار وأي رسوم مرتبطة.
• حدود المسؤولية: معظم الممثلين يحددون مسؤوليتهم عن المواعيد النهائية الفائتة أو الإيداعات غير الصحيحة. هذه الحدود لا تُكشف دائمًا في الصفحات العامة.
• الخدمات المجمعة: المزودون الذين يقدمون خدمات تقنية (مثل SBOM، الفحص) قد يفرضون رسومًا إضافية كبيرة أو يتطلبون عقودًا طويلة الأجل. أكد النطاق والتسعير كتابةً.

باختصار، التكلفة الحقيقية للامتثال تشمل ليس فقط رسوم الممثل، بل أيضًا الهندسة الداخلية، الامتثال التقني، وتكاليف الحفاظ على عملية استجابة للحوادث على مدار الساعة. اطلب دائمًا تفصيلًا كاملاً وتأكيدًا كتابيًا لجميع الشروط قبل الالتزام.

كيفية التعيين: خطوة بخطوة

تعيين ممثل معتمد لقانون الصمود السيبراني هو عملية تتطلب تخطيطًا دقيقًا وتوثيقًا. إليك دليل عملي خطوة بخطوة بناءً على أفضل الممارسات الحالية والمتطلبات القانونية:

1. تقييم القابلية للتطبيق: تأكد من أن منتجك عنصر رقمي (أجهزة/برمجيات) وُضع في سوق الاتحاد الأوروبي بعد 11 سبتمبر 2026. إذا كان كذلك، ينطبق متطلب الإبلاغ خلال 24 ساعة.
2. اختيار مزود: قارن المزودين بناءً على السعر المنشور، النطاق، الاستثناءات، والسمعة. اطلب جميع الشروط وأسعار التجديد كتابةً.
3. العقد والتفويض: وقع تفويضًا كتابيًا مع الممثل المعتمد الذي اخترته. تصدر REP27 تفويض المادة 18 موقعًا وشهادة قابلة للتحقق خلال 24 ساعة. تأكد من أن الكيان القانوني مؤسس في الاتحاد الأوروبي ومسجل في السجل التجاري.
4. تحديث الوثائق: سجل تفاصيل الممثل في دليل الامتثال الخاص بك. حضر عملية إبلاغ واضحة، بما في ذلك من يمكنه إعلان الحادث وكيف يتم توثيق الأدلة.
5. التحضير الداخلي: عيّن على الأقل موظفين اثنين كمقدمي تقارير لمنصة ENISA، ويفضل أن يكونا في مناطق زمنية مختلفة. اكتب نماذج تحذير مبكر مسبقًا وعيّن مسؤولية الإخطار خلال 72 ساعة والتواصل مع المستخدمين.
6. الاستجابة للحوادث: عند اكتشاف ثغرة مؤهلة أو حادث، أخطر ممثلك فورًا. يقوم الممثل بتقديم التحذير المبكر إلى ENISA/CSIRT خلال 24 ساعة، ثم يتابع بالإخطار خلال 72 ساعة والتقرير النهائي.
7. حفظ السجلات: احتفظ بسجلات مفصلة للوعي، أوقات التقديم، والاتصالات. هذا مهم إذا ما تم مساءلتك من قبل السلطات.
8. المراجعة المستمرة: راجع عملياتك بانتظام وقم بتحديث تفاصيل الاتصال، النماذج، والمسؤوليات حسب الحاجة.

تضمن هذه العملية الالتزام بالمواعيد الصارمة لقانون CRA وتجنب العقوبات. المفتاح هو التحضير: حدد المحفزات، عيّن الأدوار، وتدرب على سير العمل قبل سريان القانون.

المخاطر، الغرامات، ومواعيد الامتثال

يقدم قانون الصمود السيبراني مخاطر قانونية ومالية كبيرة عند عدم الامتثال. توضح المادة 15 إجراءات التنفيذ والعقوبات. الخطر الأكثر إلحاحًا هو تفويت مهلة الإبلاغ خلال 24 ساعة عن الثغرات المستغلة أو الحوادث الخطيرة. تبدأ الساعة عند العلم، وليس عند انتهاء التحقيق. التأخيرات قد تؤدي إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من حجم الأعمال العالمي، أيهما أعلى.

تشمل المخاطر الأخرى:

• تأخيرات في دخول السوق: عدم تعيين ممثل أو توفير شهادة قابلة للتحقق قد يؤخر إطلاق المنتجات أو يعرقل المشتريات، خاصة في دورات مبيعات المؤسسات.
• إجراءات تنفيذية: قد تبدأ السلطات تحقيقات، تطلب وثائق، أو تفرض تدابير تصحيحية إذا لم تُلبى واجبات الإبلاغ.
• ضرر السمعة: الإخفاقات في الإبلاغ العلني قد تضر بعلامتك التجارية وثقة العملاء.
• أنظمة إبلاغ متعددة: قد يؤدي حادث واحد إلى الإبلاغ بموجب CRA، NIS2، GDPR، وGPSR، كل منها بمواعيد وسلطات مختلفة. على سبيل المثال، هجوم فدية يستغل منتجك قد يتطلب ثلاثة تقارير منفصلة.

مواعيد الامتثال صارمة: ينطبق متطلب الإبلاغ خلال 24 ساعة اعتبارًا من 11 سبتمبر 2026 على المنتجات الجديدة. المنتجات القديمة التي وُضعت قبل هذا التاريخ معفاة من قاعدة 24 ساعة لكنها يجب أن تلتزم بأحكام CRA الأخرى. فترة الدعم لتحديثات الأمان - لا تقل عن خمس سنوات - هي تكلفة خفية أخرى يجب التخطيط لها وميزانتها كسطر إنتاج، وليس مشروعًا لمرة واحدة.

باختصار، مخاطر عدم الامتثال كبيرة، وتكلفة عدم الاستعداد أعلى بكثير من تكلفة تعيين ممثل مؤهل.

مصفوفة القرار: هل تحتاج إلى ممثل معتمد لقانون الصمود السيبراني؟

استخدم المصفوفة التالية لتحديد ما إذا كنت بحاجة إلى ممثل معتمد لقانون الصمود السيبراني:

تغطي هذه المصفوفة معظم السيناريوهات. إذا كنت غير متأكد، استشر مستشارك القانوني أو تواصل مع مزود للحصول على توضيح. تذكر، الواجب يقع على المصنع أو ممثله المعين، وليس على المستورد أو الموزع إلا إذا وضع المنتج باسمه الخاص.

قائمة التحقق: خطوات الامتثال للإبلاغ خلال 24 ساعة بموجب CRA

1. حدد منتجاتك: أدرج جميع المنتجات ذات العناصر الرقمية المباعة في الاتحاد الأوروبي وتواريخ إطلاقها.
2. قيم العمليات الداخلية: راجع كيف تُكتشف الثغرات، وتُصعد، وتُوثق داخل مؤسستك.
3. اختر ممثلًا: قارن المزودين، واطلب تأكيدًا كتابيًا لجميع الرسوم، وأسعار التجديد، ونطاق الخدمة.
4. وقع التفويض: احصل على تفويض المادة 18 موقع وشهادة قابلة للتحقق من المزود المختار.
5. حدث الوثائق: أضف تفاصيل الممثل إلى دليل التشغيل والامتثال. حضر نماذج التحذير المبكر والإخطار.
6. عيّن أدوار الإبلاغ: سمِّ على الأقل مقدمين اثنين لمنصة ENISA، ويفضل أن يكونا في مناطق زمنية مختلفة.
7. اختبر سير العمل: نفذ تمرينًا محاكياً لثغرة مستغلة لضمان معرفة الجميع بمسؤولياتهم والجداول الزمنية.
8. درب فريقك: درب الموظفين على ما يحفز بدء عداد 24 ساعة وكيفية تصعيد الحوادث.
9. تابع التحديثات التنظيمية: ابقَ على اطلاع بأي تغييرات على متطلبات CRA أو منصات الإبلاغ قبل سبتمبر 2026.
10. راجع وحدث بانتظام: أعد النظر في عملياتك ووثائقك سنويًا أو بعد أي حادث كبير.

اتباع هذه القائمة يساعدك على الاستعداد للوفاء بالتزامات الإبلاغ الصارمة لقانون CRA وتجنب العقوبات المكلفة.

سيناريوهات واقعية: أي مسار ينطبق؟

• شركة SaaS أمريكية تبيع للشركات في الاتحاد الأوروبي: الشركة مصنع غير أوروبي يطرح منتجات رقمية في سوق الاتحاد الأوروبي. يجب أن تعين ممثلًا معتمدًا للإبلاغ بموجب المادة 18 (مثل REP27، kadano، Euverify). يكتشف فريق الأمان الداخلي الثغرات ويخطر الممثل الذي يتولى تقديم التقارير إلى ENISA/CSIRT خلال 24 ساعة. لا يوجد مستورد أو موزع، لذا الواجب مباشر.
• بائع أمازون صيني يشحن أجهزة إنترنت الأشياء للمستهلكين في الاتحاد الأوروبي: إذا كان البائع هو المصنع ومقيمًا خارج الاتحاد الأوروبي، يجب عليه تعيين ممثل معتمد. إذا كانت أمازون تعمل كمستورد مسجل، قد ينتقل واجب الإبلاغ إلى أمازون. يجب على البائع توضيح ذلك مع المنصة وإذا لزم الأمر تعيين ممثل وتحديث وثائق المنتج وفقًا لذلك.
• متجر إلكتروني بريطاني يبيع أجهزة راوتر بعلامته التجارية في الاتحاد الأوروبي: كشركة غير أوروبية، يجب على الشركة البريطانية تعيين ممثل معتمد للإبلاغ خلال 24 ساعة. يجب تضمين تفاصيل الممثل في وثائق الامتثال، ويجب أن تكون العمليات الداخلية جاهزة لتصعيد الحوادث بسرعة. إذا كان المتجر يعمل أيضًا كمستورد أو موزع باسمه الخاص، قد تنطبق التزامات إضافية.

توضح هذه السيناريوهات أهمية رسم خريطة سلسلة التوريد وتوضيح الأدوار. أبسط مسار امتثال هو تعيين ممثل، توثيق العملية، وضمان تدريب فريقك واستعداده للاستجابة السريعة.