قاعدة CIRCIA للإبلاغ عن الحوادث خلال 72 ساعة يُتوقَّع إقرارها الآن في سبتمبر 2026
Dr. Abeer Alshammari · نُشر في 29/7/2026
منظور تنفيذي
أجّلت CISA مرة أخرى القاعدة النهائية لـ CIRCIA، وتستهدف الآن سبتمبر 2026 مقابل الموعد النهائي القانوني الأصلي في أكتوبر 2025. بعد إقرارها، ستحتاج أكثر من 300,000 جهة عبر 16 قطاعاً للبنية التحتية الحرجة إلى الإبلاغ عن الحوادث السيبرانية المشمولة لـ CISA خلال 72 ساعة ومدفوعات الفدية خلال 24 ساعة. القرار المطلوب: على المؤسسات الأمريكية للبنية التحتية الحرجة تأكيد قدرة خطط الإبلاغ عن الحوادث لديها على تلبية مهلة 72 ساعة الآن، بدلاً من انتظار إقرار القاعدة.
القاعدة لم تُقرَّ نهائياً بعد. أجّلتها CISA عدة مرات متجاوزة موعدها النهائي القانوني الأصلي في أكتوبر 2025 وتستهدف الآن سبتمبر 2026. ستحدّث CyberAbeer هذا المقال عند إقرار القاعدة فعلياً.
ماذا حدث
يتطلب قانون الإبلاغ عن الحوادث السيبرانية للبنية التحتية الحرجة (CIRCIA)، الذي أُقر عام 2022، من CISA إصدار لوائح تُلزم الجهات المشمولة بالإبلاغ عن الحوادث السيبرانية الكبرى خلال 72 ساعة ومدفوعات الفدية خلال 24 ساعة. تستهدف أجندة CISA الموحَّدة للإجراءات التنظيمية الفيدرالية الآن سبتمبر 2026 لإقرار القاعدة التنفيذية، بعد تجاوز موعدها النهائي القانوني الأصلي في أكتوبر 2025.
لماذا يهم هذا
هذا أول نظام إبلاغ إلزامي شامل وعابر للقطاعات عن الحوادث السيبرانية من الحكومة الفيدرالية الأمريكية. قدّرت CISA أن القاعدة ستنطبق على أكثر من 300,000 جهة عبر 16 قطاعاً للبنية التحتية الحرجة -- من مرافق الكهرباء وأنظمة المياه إلى المستشفيات والمنشآت الكيميائية -- نطاق أوسع بكثير من قواعد الإبلاغ الخاصة بقطاعات محددة الموجودة حالياً.
من المتأثر
المؤسسات العاملة في أي من القطاعات الـ16 للبنية التحتية الحرجة كما تحددها السياسة الأمريكية (الطاقة والمياه والرعاية الصحية والخدمات المالية والكيميائية وغيرها)، بما في ذلك فروع ومقاولو الجهات الأمريكية العاملة دولياً.
الأثر الحوكمي
الغرض من القاعدة هو تمكين CISA من نشر الموارد بسرعة للضحايا، وتحليل اتجاهات الحوادث عبر القطاعات، وتحذير الأهداف المحتملة الأخرى بشكل أسرع. بالنسبة للمؤسسات المشمولة، تحوّل القاعدة الإبلاغ عن الحوادث من التزام تقديري أو خاص بقطاع إلى موعد تنظيمي صارم وعابر للقطاعات بضغط زمني حقيقي.
ما ينبغي للتنفيذيين وفرق الأمن فعله
- حدد الآن ما إذا كانت مؤسستك تندرج ضمن أحد القطاعات الـ16 المشمولة للبنية التحتية الحرجة -- لا تنتظر القاعدة النهائية للتحقق
- اختبر خطة الاستجابة للحوادث لديك تحديداً مقابل مهلة إبلاغ 72 ساعة، بما يشمل السلسلة الداخلية من الكشف إلى موافقة الجهة القانونية/الامتثال
- تأكد من تحديد صلاحية قرار دفع الفدية ومسؤولية الإبلاغ عنه، نظراً لمتطلب الإبلاغ المنفصل عن مدفوعات الفدية خلال 24 ساعة
- تابع أجندة CISA الموحَّدة لمعرفة موعد الإقرار الفعلي بدلاً من التخطيط حول سبتمبر 2026 كموعد ثابت -- فقد تأجل هذا الموعد عدة مرات بالفعل
ما ينبغي للتنفيذيين معرفته
حتى قبل إقرار القاعدة نهائياً، الاتجاه واضح: الإبلاغ الإلزامي السريع والعابر للقطاعات عن الحوادث قادم للبنية التحتية الحرجة الأمريكية. المؤسسات التي تبني عمليات إبلاغ قادرة على تلبية مهلة 72 ساعة الآن تتجنب اندفاعاً مضغوطاً بمجرد إقرار القاعدة.
القرار الذي يفرضه هذا لا يتعلق بالنص النهائي للقاعدة -- بل بما إذا كانت ملكية الإبلاغ عن الحوادث وتوقيت التصعيد موجودَين بالفعل في مؤسستك بمعزل عن أي تنظيم. مهلة إبلاغ خارجية مدتها 72 ساعة لا تتسامح مع سلسلة تصعيد داخلية غير محددة؛ يجب اختبار تلك الساعة الداخلية الآن، لا بعد إقرار القاعدة.
CIRCIA تنظيم أمريكي محلي ولا يُلزم مباشرة المؤسسات الخليجية. أُدرج هنا كمؤشر تنظيمي مبكر: عموماً تتبع جهات تنظيم البنية التحتية الحرجة الخليجية اتجاهات الإبلاغ الإلزامي المماثلة بفارق زمني، وقد تتأثر الفروع الخليجية للجهات الخاضعة للتنظيم الأمريكي بشكل غير مباشر.
المصادر
صفحة برنامج CIRCIA الرسمية لدى CISA؛ Federal News Network؛ تحليل تنظيمي من Fisher Phillips وComplianceHub.Wiki.