انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

NIS2 في البرتغال: ما الذي يشترطه المرسوم بقانون 125/2025

نقلت البرتغال توجيه NIS2 إلى قانونها بالمرسوم بقانون 125/2025، النافذ منذ 3 أبريل 2026. تعرّف على المشمولين والتسجيل لدى CNCS ومواعيد الإبلاغ عن الحوادث والغرامات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

نقلت البرتغال توجيه NIS2، أي التوجيه (الاتحاد الأوروبي) 2022/2555، إلى قانونها الوطني بموجب المرسوم بقانون رقم 125/2025 الصادر في 4 ديسمبر، الذي يعتمد الإطار القانوني الجديد للأمن السيبراني (Regime Jurídico da Cibersegurança). ودخل حيز النفاذ في 3 أبريل 2026 ليحل محل القانون رقم 46/2018 والمرسوم بقانون رقم 65/2021. ووفقًا للمركز الوطني للأمن السيبراني (CNCS)، وهو السلطة الوطنية للأمن السيبراني، يشمل النظام 17 قطاعًا إضافة إلى الإدارة العامة. يشرح هذا الدليل ما ينص عليه المرسوم بقانون وما يذكره CNCS، والتزامات NIS2 المطبقة في أنحاء الاتحاد الأوروبي.

ما توجيه NIS2؟

NIS2 هو توجيه الاتحاد الأوروبي بشأن التدابير الرامية إلى تحقيق مستوى عالٍ ومشترك من الأمن السيبراني في أنحاء الاتحاد. وكان على الدول الأعضاء اعتماد قواعدها الوطنية ونشرها بحلول 17 أكتوبر 2024 وتطبيقها اعتبارًا من 18 أكتوبر 2024، وهو تاريخ إلغاء توجيه NIS الأول. وينطبق NIS2 على الكيانات المتوسطة والكبيرة في القطاعات المدرجة في ملحقاته، وعلى بعض الكيانات بصرف النظر عن حجمها.
1.القطاعات ذات الأهمية الحرجة العالية (الملحق الأول): الطاقة، والنقل، والقطاع المصرفي، والبنية التحتية للأسواق المالية، والصحة، ومياه الشرب، ومياه الصرف، والبنية التحتية الرقمية، وإدارة خدمات تقنية المعلومات والاتصالات (بين الشركات)، والإدارة العامة، والفضاء.
2.القطاعات الحرجة الأخرى (الملحق الثاني): خدمات البريد والتوصيل، وإدارة النفايات، والمواد الكيميائية، والمنتجات الغذائية، والصناعة التحويلية، ومزودو الخدمات الرقمية، والبحث العلمي.
3.بصرف النظر عن الحجم: على سبيل المثال، يُعد مزودو خدمات الثقة المؤهلون وسجلات أسماء النطاقات العليا ومزودو خدمات DNS كيانات أساسية.
4.الكيانات الأساسية هي في الغالب كيانات كبيرة مدرجة في الملحق الأول، أما الكيانات الأخرى المشمولة فهي كيانات مهمة. ويجب على الفئتين اتخاذ تدابير لإدارة مخاطر الأمن السيبراني (المادة 21) والإبلاغ عن الحوادث الجسيمة (المادة 23).
5.تعتمد هيئات الإدارة تدابير إدارة المخاطر وتشرف عليها، ويمكن مساءلتها عن المخالفات، ويجب أن يتلقى أعضاؤها التدريب (المادة 20).

كيف نقلت البرتغال توجيه NIS2 إلى قانونها

نُشر المرسوم بقانون رقم 125/2025 في الجريدة الرسمية البرتغالية (Diário da República) في 4 ديسمبر 2025. ويعتمد في ملحقه الإطار القانوني للأمن السيبراني، ودخل حيز النفاذ بعد 120 يومًا من نشره، في 3 أبريل 2026. وألغى الإطار القانوني لأمن الفضاء السيبراني، أي القانون رقم 46/2018 الصادر في 13 أغسطس، ولائحته التنفيذية، أي المرسوم بقانون رقم 65/2021 الصادر في 30 يوليو. وإلى جانب الكيانات الأساسية والمهمة، يشمل النظام البرتغالي الكيانات العامة ذات الصلة، ويستثني الجهات العامة العاملة في مجالات الأمن الوطني والأمن العام والدفاع والاستخبارات، بما فيها الجهات المكلفة بالتحقيق الجنائي.

جهات الإشراف: CNCS والسلطات القطاعية

تحدد المادة 15 من النظام الإطار المؤسسي لأمن الفضاء السيبراني.
1.CNCS هو السلطة الوطنية للأمن السيبراني، ونقطة الاتصال الوحيدة للتعاون الأوروبي والدولي، والسلطة الوطنية لاعتماد الأمن السيبراني، وجزء من الفريق الوطني للاستجابة للحوادث CERT.PT.
2.ANACOM هي السلطة القطاعية للاتصالات الإلكترونية والخدمات البريدية، ومكتب الأمن الوطني (GNS) هو السلطة القطاعية لخدمات الثقة.
3.بنك البرتغال (Banco de Portugal) وهيئة سوق الأوراق المالية (CMVM) وهيئة الإشراف على التأمين وصناديق التقاعد (ASF) هي سلطات وطنية خاصة للأمن السيبراني في مجال المرونة التشغيلية الرقمية للقطاع المالي، وهو المجال الذي يغطيه DORA.
4.الأمين العام لنظام الأمن الداخلي هو السلطة الوطنية لإدارة أزمات وحوادث الأمن السيبراني واسعة النطاق.

التسجيل لدى CNCS

تعرّف الكيانات المشمولة بنفسها على المنصة الإلكترونية لـCNCS خلال 30 يومًا من بدء نشاطها، أو خلال 60 يومًا من إتاحة المنصة إذا كانت تمارس نشاطها عند دخول النظام حيز النفاذ، وتحافظ على تحديث هذه المعلومات (المادة 8). ويتضمن التسجيل اسم الكيان، ورقم التعريف الضريبي، والعنوان وبيانات الاتصال، بما فيها عناوين البريد الإلكتروني ونطاقات عناوين IP وأرقام الهاتف، والقطاع والقطاع الفرعي، والدول الأعضاء التي يقدم فيها خدماته (المادة 35). وتحدد لائحة CNCS رقم 756/2026، المنشورة في 22 يونيو 2026، قواعد المنصة وإجراءات التصنيف والإبلاغ عن الحوادث والإطار الوطني المرجعي للأمن السيبراني (QNRCS).

ما يجب على الكيانات الأساسية والمهمة فعله

يحوّل النظام التزامات NIS2 إلى واجبات محددة على الكيانات الأساسية والمهمة.
1.تعتمد هيئات الإدارة والتوجيه تدابير إدارة مخاطر الأمن السيبراني، وتشرف على تطبيقها، وتضمن تنظيم تدريب منتظم على الأمن السيبراني. ويمكن مساءلة أعضائها عن الأفعال أو الإغفالات المرتكبة عمدًا أو بإهمال جسيم (المادة 25).
2.تعيين مسؤول للأمن السيبراني يكون عضوًا في هيئة الإدارة أو يتبعها مباشرة، وإبلاغ السلطة المختصة بالتعيين خلال 20 يوم عمل (المادة 31).
3.توفير نقطة اتصال دائمة متاحة على مدار الساعة خلال فترات التفعيل التي تبدؤها السلطة المختصة وتنهيها (المادة 32).
4.اعتماد تدابير للأمن السيبراني تشمل معالجة الحوادث، واستمرارية الأعمال وإدارة الأزمات، وأمن سلسلة الإمداد، والأمن في الاقتناء والتطوير، وتقييم الفعالية، والنظافة السيبرانية والتدريب، والتشفير، وأمن الموارد البشرية، والتحكم في الوصول وإدارة الأصول، والمصادقة متعددة العوامل (المادة 27).
5.تحليل المخاطر المتبقية وإدارتها، وإعداد تقرير سنوي يتضمن إحصاءات فصلية للحوادث. وترسله الكيانات الأساسية إلى السلطة المختصة، عادةً بحلول آخر يوم عمل من يناير من العام التالي، بينما ترسله الكيانات المهمة عندما يطلبه CNCS (المادتان 29 و30).
6.التوقيت: بموجب المادة 10(2) من المرسوم بقانون، تسري واجبات تدابير الأمن السيبراني وسلسلة الإمداد والمخاطر المتبقية والتقرير السنوي بعد 24 شهرًا من نشر اللائحة التنفيذية. وقد نشر CNCS اللائحة رقم 756/2026 في 22 يونيو 2026.

مواعيد الإبلاغ عن الحوادث في البرتغال

تبلغ الكيانات الأساسية والمهمة والعامة ذات الصلة عن كل حادث جسيم إلى السلطة المختصة عبر المنصة الإلكترونية لـCNCS (المادة 40). ولتحديد ما إذا كان الحادث جسيمًا، تراعي عدد المستخدمين المتأثرين، والعدد الإجمالي لمستخدمي الخدمة، والمدة، وشدة الاضطراب، والأثر في الأنشطة الاقتصادية والاجتماعية.
1.الإخطار الأولي: دون تأخير غير مبرر وخلال 24 ساعة من التوصل إلى وجود حادث جسيم أو احتمال وقوعه (المادة 42).
2.التحديث: عند الحاجة، خلال 72 ساعة، مع تقييم أولي لشدة الحادث وأثره، ومؤشرات الاختراق إن توفرت.
3.انتهاء الأثر الجسيم: خلال 24 ساعة من انتهاء الأثر (المادة 43). وإذا عولج الحادث خلال ساعتين من كشفه، فهذا هو الإخطار الوحيد المطلوب.
4.التقرير النهائي: خلال 30 يوم عمل من إخطار انتهاء الأثر الجسيم. وإذا ظل الحادث مستمرًا عند حلول موعد التقرير النهائي، يجوز للسلطة طلب تقارير مرحلية أسبوعية (المادة 44).
5.وينص التوجيه نفسه على إنذار مبكر خلال 24 ساعة، وإخطار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر (المادة 23 من NIS2).

غرامات NIS2 في البرتغال

تشمل المخالفات الجسيمة جدًا عدم اعتماد تدابير الأمن السيبراني، أو عدم تعيين مسؤول للأمن السيبراني، أو عدم توفير نقطة اتصال دائمة، أو عدم الإبلاغ عن الحوادث. وبالنسبة إلى الأشخاص الاعتباريين، يُعاقب عليها بغرامات تتراوح بين 2,000 يورو و10 ملايين يورو أو 2% من حجم الأعمال السنوي على مستوى العالم، أيهما أعلى، للكيانات الأساسية، وبين 1,250 يورو و7 ملايين يورو أو 1.4% من حجم الأعمال السنوي على مستوى العالم للكيانات المهمة (المادة 61). ويشترط التوجيه ألا تقل الحدود القصوى للغرامات عن هذه المبالغ (المادة 34 من NIS2)، ويصف CNCS نظام العقوبات البرتغالي بأنه أشد بكثير من النظام السابق.

أين تساعد السجلات والتحقيقات وسجلات الحوادث

يتضمن الإطار QNRCS في اللائحة رقم 756/2026 تدبيرًا خاصًا بسجلات الأنظمة: ينبغي جمعها وتخزينها وحمايتها ومراجعتها بانتظام، مع تحديد مدة الاحتفاظ بها بناءً على تحليل المخاطر، والدليل المتوقع هو إثبات تقني لعمليات الجمع والتخزين والمراجعة هذه. ويساعدك Vigilbase OS على إعداد الأدلة لهذا التدبير وللإبلاغ عن الحوادث.
1.السجلات: يربط Vigilbase OS أدوات الأمان التي تدفع مقابلها بالفعل، ويحفظ سجلاتها وأحداثها في مكان واحد قابلة للتدقيق والاستعلام. وتُحدَّد فترة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا، لذا قارنها بالمدة التي يحددها تحليل المخاطر لديك.
2.سجلات الحوادث: يسجل كل تحقيق الأدلة والإجراءات المتخذة والتحقق منها. ويمكن لفريقك الاستعانة بهذا السجل في الإخطار الأولي وإخطار انتهاء الأثر والتقرير النهائي.
3.الصلاحيات: أنت تختار ما إذا كانت الإجراءات معطلة، أو تُقترح للموافقة، أو تُنفَّذ عندما تكون منخفضة المخاطر وقابلة للتراجع عنها.
4.الحماية على الحافة: يشغّل Managed Cloudflare جدار حماية تطبيقات الويب (WAF) والحماية من هجمات DDoS لمواقعك الإلكترونية وواجهات API ضمن نطاق متفق عليه، مع ضبط التغييرات.

المسؤولية وملاحظة قانونية

لا تجعل Vigilbase أي كيان ملتزمًا بالإطار القانوني للأمن السيبراني، ولا تسجّلك لدى CNCS، ولا تحل محل مسؤول الأمن السيبراني لديك. يلخص هذا الدليل المرسوم بقانون رقم 125/2025 ولائحة CNCS رقم 756/2026 ومعلومات CNCS كما كانت متاحة في أكتوبر 2026. وهو ليس استشارة قانونية: فالنصوص المنشورة في الجريدة الرسمية البرتغالية (Diário da República) هي المرجع الحاسم، ومستشاروك القانونيون هم من يحددون كيفية تطبيق النظام عليك.

أبرز النقاط

✓نقلت البرتغال توجيه NIS2 بالمرسوم بقانون رقم 125/2025، النافذ منذ 3 أبريل 2026.
✓CNCS هو السلطة الوطنية للأمن السيبراني، بينما يتولى بنك البرتغال وCMVM وASF المرونة التشغيلية الرقمية للقطاع المالي.
✓تسجّل الكيانات المشمولة على منصة CNCS وتعيّن مسؤولًا للأمن السيبراني ونقطة اتصال دائمة.
✓تتطلب الحوادث الجسيمة إخطارًا أوليًا خلال 24 ساعة، وإخطارًا بانتهاء الأثر خلال 24 ساعة من انتهائه، وتقريرًا نهائيًا خلال 30 يوم عمل.
✓تسري واجبات تدابير الأمن السيبراني والمخاطر المتبقية والتقرير السنوي بعد 24 شهرًا من لائحة CNCS الصادرة في 22 يونيو 2026.
✓تصل الغرامات على الكيانات الأساسية إلى 10 ملايين يورو أو 2% من حجم الأعمال السنوي على مستوى العالم، أيهما أعلى.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

Vigilbase في البرتغال

اعرف المزيد

Vigilbase في أوروبا

اعرف المزيد

SOC مُدار

اعرف المزيد

باقات Managed Cloudflare

اعرف المزيد

اتفاقية مستوى الخدمة لدى Vigilbase

اعرف المزيد

الأسئلة الشائعة

هل نقلت البرتغال توجيه NIS2 إلى قانونها؟

نعم. نقل المرسوم بقانون رقم 125/2025 الصادر في 4 ديسمبر توجيه NIS2 واعتمد الإطار القانوني للأمن السيبراني، الذي دخل حيز النفاذ في 3 أبريل 2026. وCNCS هو السلطة الوطنية للأمن السيبراني.حل النظام محل القانون رقم 46/2018 والمرسوم بقانون رقم 65/2021. ونشر CNCS اللائحة التنفيذية، أي اللائحة رقم 756/2026، في 22 يونيو 2026.إرشادات الخدمة الإقليمية وبدء الخدمةناقشوا نطاق العمل مع Vigilbase

من يجب عليه الامتثال لـNIS2 في البرتغال؟

الكيانات الأساسية والمهمة والعامة ذات الصلة. ووفقًا لـCNCS، يشمل النظام 17 قطاعًا والإدارة العامة. وتُشمل معظم الكيانات بحسب نوعها وحجمها، ابتداءً من المؤسسات المتوسطة، بينما تُشمل بعض الكيانات، مثل مزودي خدمات DNS ومزودي خدمات الثقة المؤهلين، بصرف النظر عن حجمها.تعرّف الكيانات بنفسها على المنصة الإلكترونية لـCNCS، ثم يتولى CNCS تصنيفها. وينبغي أن يؤكد مستشاروك القانونيون تصنيف كيانك.إرشادات الخدمة الإقليمية وبدء الخدمةالخصوصية والتعامل مع البيانات

كيف نسجّل لدى CNCS؟

عرّف كيانك على المنصة الإلكترونية لـCNCS خلال 30 يومًا من بدء النشاط، أو خلال 60 يومًا من إتاحة المنصة إذا كنت تمارس نشاطك عند دخول النظام حيز النفاذ. وحافظ على تحديث المعلومات، وأبلغ عن أي تغييرات خلال 30 يوم عمل.يتضمن التسجيل الاسم ورقم التعريف الضريبي وبيانات الاتصال ونطاقات عناوين IP والقطاع والدول الأعضاء التي تقدم فيها خدماتك. وتحدد لائحة CNCS رقم 756/2026 قواعد المنصة.ناقشوا نطاق العمل مع Vigilbaseالخصوصية والتعامل مع البيانات

ما مواعيد الإبلاغ عن الحوادث بموجب NIS2 في البرتغال؟

أرسل إخطارًا أوليًا خلال 24 ساعة من التوصل إلى وجود حادث جسيم، وتحديثًا خلال 72 ساعة عند الحاجة، وإخطارًا خلال 24 ساعة من انتهاء الأثر الجسيم، وتقريرًا نهائيًا خلال 30 يوم عمل من ذلك الإخطار.إذا عولج الحادث خلال ساعتين من كشفه، فلا يُطلب سوى إخطار انتهاء الأثر الجسيم. وتُقدَّم الإخطارات عبر المنصة الإلكترونية لـCNCS.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

ما غرامات NIS2 في البرتغال؟

في المخالفات الجسيمة جدًا التي يرتكبها أشخاص اعتباريون، تواجه الكيانات الأساسية غرامات تتراوح بين 2,000 يورو و10 ملايين يورو أو 2% من حجم الأعمال السنوي على مستوى العالم، أيهما أعلى، وتواجه الكيانات المهمة غرامات تتراوح بين 1,250 يورو و7 ملايين يورو أو 1.4% من حجم الأعمال السنوي على مستوى العالم.ويمكن أيضًا مساءلة أعضاء هيئات الإدارة عن الأفعال أو الإغفالات المرتكبة عمدًا أو بإهمال جسيم.الخصوصية والتعامل مع البياناتوثائق الأمان في مركز الثقة

ما العلاقة بين NIS2 وDORA بالنسبة إلى المصارف في البرتغال؟

بالنسبة إلى الكيانات المالية، يُعد DORA القانون القطاعي للاتحاد الأوروبي، ولا تنطبق أحكام NIS2 عندما تكون متطلبات DORA معادلة لها على الأقل. ويحدد المرسوم بقانون رقم 125/2025 بنك البرتغال وCMVM وASF بوصفها سلطات وطنية خاصة للأمن السيبراني في مجال المرونة التشغيلية الرقمية للقطاع المالي.اختيار باقة للخدمات الماليةالتغطية والتزامات الاستجابة للحوادث

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أساسيات الأمن

ما SOC؟

الامتثال والحوكمة

PCI DSS 6.4.3 و11.6.1

الامتثال والحوكمة

الامتثال لـDORA

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم