مقارنة مزودي خدمات الإبلاغ عن الثغرات لقانون الصمود السيبراني (CRA)

• الإبلاغ عن الثغرات CRA إلزامي اعتبارًا من 11 سبتمبر 2026
• عدد قليل فقط من المزودين ينشرون الأسعار والتفاصيل المشمولة
• التمثيل يشمل نقل البلاغات فقط، وليس التقييم الفني
• قارن الاستثناءات، التجديدات وعمليات التحقق
• الغرامات على عدم الإبلاغ قد تصل إلى 15 مليون يورو أو 2.5% من الإيرادات
• تفويض الممثل لا يشمل التقييم، SBOM أو الدعم الفني

محدث 21 October 2026 · 12 المصادر تم التحقق منها

المزودون المقارنون

الأسعار كما هي منشورة على موقع كل مزود في 21 October 2026، باستثناء ضريبة القيمة المضافة ما لم يُذكر خلاف ذلك. كل صف يرتبط بمصدره.

ما تتطلبه القانون: الالتزامات، المواد والمواعيد النهائية

يقدم قانون الصمود السيبراني (CRA)، اللائحة (الاتحاد الأوروبي) 2024/2847، التزامات صارمة لمن يطرحون في سوق الاتحاد الأوروبي منتجات تحتوي على عناصر رقمية، سواء كانت أجهزة أو برامج، بغض النظر عن مكان التأسيس. الالتزامات الرئيسية هي:

• تعيين ممثل مفوض (المادة 18): إذا لم يكن المصنع مقيمًا في الاتحاد الأوروبي، يجب تعيين ممثل كتابيًا داخل الاتحاد. هذا الممثل مسؤول عن نقل تقارير الثغرات والحوادث الخطيرة للسلطات المختصة (CSIRT، ENISA).
• الإبلاغ عن الثغرات (المادة 14): اعتبارًا من 11 سبتمبر 2026، يجب على كل مصنع الإبلاغ خلال 24 ساعة من معرفته بثغرة مستغلة أو حادث خطير يؤثر على أمان المنتج. يتم الإبلاغ عبر منصة ENISA موجهة إلى CSIRT المنسق.
• الإشعار الكامل والتقرير النهائي: خلال 72 ساعة من الإبلاغ الأولي، يجب تقديم إشعار مفصل مع الإجراءات التصحيحية الأولى. خلال 14-30 يومًا، يجب إرسال تقرير نهائي بتفاصيل الثغرة والحل المعتمد.
• التطبيق على جميع المنتجات الرقمية: يشمل الالتزام المنتجات الجديدة والقائمة، ويغطي دورة الحياة كاملة، بما في ذلك التحديثات والدعم.
• العقوبات: عدم الامتثال قد يؤدي إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من الإيرادات العالمية، أيهما أعلى.

من المهم التمييز بين الإبلاغ CRA (ثغرات المنتج) والتزامات أخرى مثل GDPR (انتهاكات البيانات الشخصية) أو NIS2 (حوادث الخدمة). لكل نظام مستلمين، مواعيد ومنصات مختلفة.

كيفية اختيار المزود: معايير عملية ومخاطر

يجب أن يكون اختيار مزود خدمة الإبلاغ عن الثغرات CRA مبنيًا على معايير عملية وشفافة. النقاط الأساسية للتقييم:

• سعر منشور وشفاف: اختر مزودين يعلنون بوضوح السعر وتكلفة التجديد. تجنب العروض ذات الأسعار "التمهيدية" أو التجديدات المخفية.
• ما يشمله الخدمة: تحقق مما إذا كانت الخدمة تغطي فقط تفويض الممثل وتحويل البلاغات، أو تشمل أيضًا الدعم الفني، التوثيق، SBOM أو سير عمل متقدم. معظم المزودين يقتصرون على التمثيل القانوني.
• شهادة قابلة للتحقق: شهادة مع رمز QR وصفحة تحقق عامة تقلل من مخاطر الاعتراضات أثناء التدقيق أو الحوادث.
• مكتب خدمة نشط 24/7: يجب أن يكون الإبلاغ ممكنًا في أي وقت، بما في ذلك الليالي وعطلات نهاية الأسبوع والعطلات الرسمية. تحقق صراحة من عمل المكتب طوال العام.
• اللغة وأوقات الاستجابة: تأكد من قدرة المزود على التعامل مع الطلبات بالإنجليزية وإذا لزم الأمر بلغات الاتحاد الأوروبي الأخرى. التأخير في التحويل لأكثر من 24 ساعة قد يعرض الامتثال للخطر.
• الاستثناءات والقيود: لا يغطي أي ممثل التقييم الفني، اختبارات الأمان، إنشاء SBOM أو الدعم الهندسي: هذه مسؤولية المصنع أو مزودي خدمات متخصصين.

قيم دائمًا وضوح الاستثناءات: المزود الذي لا يوضحها قد لا يكون قد حدد نطاق الخدمة بدقة.

ما يشمله السعر فعليًا: جدول مقارنة وتحليل

معظم المزودين يقدمون تفويض الممثل وتحويل البلاغات، لكن القليل منهم يغطي خدمات فنية إضافية. إليك جدول مقارنة:

الفرق الجوهري بين المزودين "الكلاسيكيين" (REP27، kadano، Euverify) وأولئك الذين يقدمون خدمات أوسع (Attestra AI، Seentrix، Illicium) هو أن الأولين يقتصرون على الحد الأدنى من الالتزامات القانونية، بينما يقدم الآخرون سير عمل أمان، SBOM آلي أو اختبار اختراق. ومع ذلك، للامتثال فقط للمادتين 18 و14 CRA، يكفي تفويض الممثل وضمان تحويل البلاغات في الوقت المناسب.

تنبيه: السعر المنشور يغطي فقط ما هو معلن صراحة. غالبًا ما تُسعر الخدمات الفنية الإضافية بشكل منفصل وقد تكون أكثر تكلفة بكثير.

التكاليف الخفية، الاستثناءات وما لا يذكره المزودون

الكثير من المزودين لا ينشرون سعر التجديد أو يفرضون رسومًا إضافية على الطلبات خارج أوقات العمل، إصدار شهادات إضافية أو الدعم بلغات غير الإنجليزية. ما يجب الانتباه إليه:

• التجديدات: اسأل دائمًا عن سعر التجديد مكتوبًا قبل التوقيع. REP27 ينشره بوضوح (€440)، والبعض الآخر يقدمه عند الطلب فقط.
• الاستثناءات: لا يغطي أي مزود تقييم الامتثال، اختبارات الأمان، إنشاء SBOM أو الدعم الهندسي. هذه خدمات منفصلة وغالبًا ما تكون أكثر تكلفة من تفويض الممثل.
• حدود المسؤولية: المزودون لا يتحملون مسؤولية الأخطاء الفنية، عدم الإبلاغ من العميل أو إدارة الثغرات نفسها.
• فترة الإشعار: بعض المزودين قد يطلبون إشعارًا مسبقًا لإنهاء الخدمة أو تغيير الممثل. تحقق دائمًا من الشروط العقدية.
• رسوم الطلبات الخاصة: في غياب معلومات عامة، اسأل عن وجود رسوم للطلبات الإضافية، إصدار شهادات جديدة أو الدعم الطارئ.

جدول قرار:

باختصار، الوضوح حول الاستثناءات والتكاليف الخفية ضروري لتجنب المفاجآت وضمان الامتثال الكامل.

كيفية التعيين: خطوات وقائمة تحقق عملية

تعيين ممثل CRA يتبع خطوات رئيسية. إليك دليل مفصل:

1. تحقق من الالتزام: هل أنت مصنع لمنتجات رقمية (أجهزة/برامج) تُباع في الاتحاد الأوروبي وليس لديك مقر هناك؟ إذا نعم، أنت ملزم.
2. اختر المزود: قارن الأسعار، المشمولات، الاستثناءات وعمليات التحقق. فضل المزودين ذوي مكتب خدمة 24/7 وشهادة تحقق عامة.
3. وقع التفويض: يجب أن يكون التفويض كتابيًا، موقعًا من الكيان القانوني للمزود (مثل Europe Services, SE لـ REP27)، ومقتصرًا على التزامات المادة 18. تجنب التفويضات التي تشمل المادة 13.
4. استلم الشهادة: يصدر المزود شهادة تعيين، ويفضل أن تكون مع رمز QR وصفحة تحقق عبر الإنترنت.
5. جهز دليل التشغيل الداخلي: أدخل بيانات الممثل، إجراءات التصعيد وجهات الاتصال للإبلاغ في الوثائق الداخلية.
6. هيئ قناة الإبلاغ: أنشئ قناة داخلية لجمع تقارير الثغرات والحوادث، مع تعيين شخصين على الأقل كمقدمين على منصة ENISA.
7. درب الفريق: تأكد من معرفة الموظفين ما يجب الإبلاغ عنه ومتى، وأن الإجراءات تم اختبارها بمحاكاة.

قائمة تحقق عملية:

1. هل حددت فئات المنتج ووجهتها في الاتحاد الأوروبي؟
2. هل خرّطت جميع قنوات البيع والتوزيع؟
3. هل اخترت مزودًا بمكتب 24/7 وسعر تجديد شفاف؟
4. هل كتبت إجراءات التصعيد والإبلاغ؟
5. هل عينت على الأقل مقدمين اثنين على منصة ENISA؟
6. هل اختبرت سير الإبلاغ بمحاكاة؟

باتباع هذه الخطوات تقلل من مخاطر عدم الامتثال والعقوبات.

المخاطر، الغرامات والسيناريوهات الواقعية: ماذا يحدث عمليًا

عدم الإبلاغ عن ثغرة خلال 24 ساعة قد يؤدي إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من الإيرادات العالمية، بالإضافة إلى أضرار سمعة وحظر المبيعات في الاتحاد الأوروبي. إليك ثلاثة سيناريوهات واقعية لتوضيح تطبيق الالتزامات:

• شركة SaaS أمريكية: يجب على شركة SaaS أمريكية تقدم خدمات لعملاء في الاتحاد الأوروبي تعيين ممثل CRA، تفعيل قناة إبلاغ 24/7 والإبلاغ عن كل ثغرة مستغلة. يقوم المزود بتمرير البلاغات عبر ENISA والرد على طلبات السلطات.
• بائع أمازون صيني: إذا كان البائع أيضًا مصنعًا للمنتج الرقمي، يجب عليه تعيين ممثل CRA والامتثال لمواعيد الإبلاغ. إذا كان مجرد بائع تجزئة، تقع المسؤولية على المصنع. يجب أن تكون قناة الإبلاغ جاهزة من 11 سبتمبر 2026.
• متجر إلكتروني بريطاني: يجب على متجر إلكتروني بريطاني يبيع أجهزة ببرمجيات ثابتة لعملاء الاتحاد الأوروبي تعيين ممثل CRA. إذا كان يقدم خدمات غير رقمية فقط، فلا يخضع للالتزام. في حالة حادث، يجب الإبلاغ خلال 24 ساعة حتى لو كان المقر خارج الاتحاد.

في جميع الحالات، عدم الاستعداد (غياب دليل التشغيل، قناة إبلاغ غير مختبرة، ممثل غير قابل للتحقق) قد يبطئ الاستجابة ويزيد من العواقب القانونية والمالية.