1. تحديد حدود المنتج والجهة المسؤولة
ينبغي لمستشار قانون المرونة السيبرانية الأوروبي (CRA) تحديد نطاق المنتج والصفة القانونية ومسار تقييم المطابقة قبل طلب اختبارات المختبر أو إعداد إعلان المطابقة. والمخرج المفيد هو قرار معلل لكل عائلة منتجات، لا عرض عام للحصول على شهادة.
اللائحة (الاتحاد الأوروبي) 2024/2847 نافذة بالفعل. وتسري على المصنعين التزامات الإبلاغ عن الثغرات المستغلة فعلياً والحوادث الجسيمة منذ 11 سبتمبر 2026، بينما يبدأ تطبيق معظم الالتزامات الأخرى في 11 ديسمبر 2027. ولا يجوز الخلط بين المرحلتين.
1. تحديد حدود المنتج والجهة المسؤولة
حدد ما يُعرض فعلياً في سوق الاتحاد الأوروبي ومن يعرضه. فتسميات التسويق مثل «منصة» أو «إنترنت الأشياء» لا تحسم نطاق تطبيق القانون.
- احصر الأجهزة والبرمجيات والمكونات المباعة بصورة مستقلة والإصدارات والغرض المقصود والواجهات ومعالجة البيانات عن بُعد اللازمة لوظائف المنتج.
- حدد المصنع ومالك العلامة والمستورد والموزع؛ وادرس التطوير التعاقدي والتعديلات الجوهرية بدلاً من إسناد جميع الالتزامات تلقائياً إلى المصنع المادي.
- تحقق من التوريد التجاري والاستثناءات والقواعد القطاعية الأوروبية؛ وفي البرمجيات المفتوحة المصدر افحص النشاط الفعلي لا اسم الترخيص وحده.
2. مصفوفة المسارات: فئة المنتج لا تعني حجم الاختبارات
قارن الوظيفة الأساسية بالملحق الثالث (المنتجات المهمة) والملحق الرابع (المنتجات الحرجة) مع الأوصاف الفنية للمفوضية قبل اختيار الإجراء بموجب المادة 32.
| فئة المنتج | مسار التقييم الاستراتيجي |
|---|---|
| الفئة العادية | تتاح الرقابة الداخلية وفق الوحدة A؛ ولا يصبح المختبر الخارجي إلزامياً تلقائياً. |
| مهمة من الفئة الأولى | قد تتاح الوحدة A إذا استوفيت بالكامل الشروط ذات الصلة بالمعايير المنسقة أو المواصفات المشتركة أو الشهادات المؤهلة؛ وإلا يلزم الإجراء B+C أو H بمشاركة جهة مُبلَّغ عنها، ما لم ينطبق الاستثناء الخاص بالبرمجيات الحرة والمفتوحة المصدر الوارد في المادة 32(5). |
| مهمة من الفئة الثانية | خطط للإجراء B+C أو H بمشاركة جهة مُبلَّغ عنها، أو لنظام أوروبي مؤهل لشهادات الأمن السيبراني إذا كان متاحاً قانوناً ومنطبقاً صراحة؛ وتحقق بصورة مستقلة من الاستثناء الوارد في المادة 32(5) للبرمجيات الحرة والمفتوحة المصدر. |
| حرجة (الملحق الرابع) | اعتبر مشاركة الجهة المُبلَّغ عنها نقطة الانطلاق، مع التحقق من المادة 32 وأي بديل قانوني متاح للشهادات قبل اعتماد المسار. |
استثناء للمنتجات التي تُعد برمجيات حرة ومفتوحة المصدر: بموجب المادة 32(5)، يجوز لمصنّعي المنتجات الواردة في الملحق الثالث استخدام أحد الإجراءات المنصوص عليها في المادة 32(1)، بما فيها الوحدة A، شريطة إتاحة الوثائق الفنية المنصوص عليها في المادة 31 للجمهور عند طرح المنتج في السوق. ولا يُعدّ ذلك إعفاءً عاماً من متطلبات CRA.
في الفئة الأولى لا يكفي ذكر مشروع معيار أو اختبار بند واحد لإثبات جواز الوحدة A. وثّق نص التصنيف والأساس الفني والافتراضات التي لم تُحسم.
3. وقائع قد تغير التوصية
ينشأ المسار من التصنيف القانوني، لا من اسم المنتج أو وجود علامة CE عليه مسبقاً.
- وظيفة الحماية الأساسية: قد تكون وظيفة جدار الحماية أهم من اسم الجهاز؛ وإدماج مكون لا يغير تلقائياً تصنيف المنتج النهائي.
- نموذج الإتاحة: المكون المباع منفصلاً، والبرمجيات الثابتة، والاعتماد على السحابة، والمصدر المفتوح غير التجاري، والتعديل الجوهري بعد التسويق، مسائل تتطلب تحليلاً مختلفاً.
- حالة المعايير: ميّز المعايير المنسقة المنشورة التي تغطي المتطلبات ذات الصلة عن المسودات والمعايير الطوعية والأدلة التي لا تستوفي شرط المسار القانوني.
4. تحليل الفجوات: ربط كل نقص بقرار
قارن المتطلبات المنطبقة في الملحق الأول بالضوابط الفعلية والأدلة القابلة للاستعمال؛ وغياب العملية يختلف عن غياب المستند.
| الفجوة أو السبب | الدليل والقرار |
|---|---|
| تصنيف غير محسوم | علّق اختيار المسار إلى حين الحصول على البنية التقنية والاستخدام المقصود وتحليل الفئة وفق الملاحق. |
| مخاطر التصميم الأمني | اربط نموذج التهديدات والإعدادات الآمنة افتراضياً وضبط الوصول والاختبارات بتقييم مخاطر الأمن السيبراني الخاص بالمنتج. |
| إدارة الثغرات غير مثبتة | تحقق من مسؤول الإبلاغ واستقبال التقارير والإفصاح المنسق والإصلاحات والتحديثات ومبررات مدة الدعم. |
| سلسلة أدلة ضعيفة | طابق قائمة المكونات/SBOM وأدلة الموردين ونطاق الاختبارات والإصدارات والملف الفني؛ وحدد ما يلزم إعداده مجدداً. |
أعط الأولوية للفجوات التي تغير المسار القانوني أو تمنع ضبط المخاطر. سجّل الفجوة والمسؤول والدليل والقرار وعدم اليقين المتبقي كلّاً على حدة.
5. إعادة استعمال الأدلة دون تبني استنتاج غير مثبت
قد تقلل اختبارات الاختراق ومواد ISO/IEC 27001 وتقارير الموردين ووثائق CE تكرار العمل، لكنها لا تثبت بمفردها المطابقة لقانون CRA.
- لا تعِد استخدام تقرير إلا مع تطابق المنتج/الإصدار والخطر والمتطلب والطريقة؛ وحدد التغطية القديمة والحاجة إلى إعادة الاختبار.
- اربط مكونات الأطراف الأخرى واعتماديات البرمجيات بتقييم المصنع نفسه؛ وشهادات المورد لا تنقل المسؤولية القانونية تلقائياً.
- اجعل تقييم المخاطر والوثائق الفنية وإجراءات الثغرات متسقة مع مسار المطابقة المختار.
6. ترتيب القرارات قبل التنفيذ
يجب أن تنتج الاستشارة الاستراتيجية خطة قابلة للتتبع، لا وعداً بالموافقة التلقائية.
- أنشئ سجلاً لكل منتج يوضح النطاق والأدوار والاستثناءات وحدد مسائل التصنيف المفتوحة.
- أعد مذكرة معللة للمسار تتضمن الملاحق وحالة المعايير والإجراء المختار وأي اعتماد على جهة مُبلَّغ عنها.
- رتب فجوات الملحق الأول والوثائق وإجراءات الدعم، وحدد الفرق المسؤولة وقرارات إعادة استعمال الأدلة.
- فعّل بصورة مستقلة مسار الإبلاغ الملزم منذ 11 سبتمبر 2026، ثم خطط للمطابقة بحلول 11 ديسمبر 2027 بعد فحص الأحكام الانتقالية وتغييرات كل منتج.
7. حدود الاستشارة وبداية التنفيذ
تتناول هذه الصفحة اختيار المسار قبل التنفيذ. أما التطبيق وتنسيق الاختبارات وإعداد الملف الفني فهي خدمات منفصلة؛ وتحتاج الميزانية إلى تحليل مستقل لعوامل التكلفة. اطلب تبريراً مكتوباً للتصنيف وقائمة بالافتراضات غير المحسومة قبل شراء الخدمات اللاحقة.
المصادر الرسمية الأولية
الأسئلة الشائعة
هل يخضع خادم SaaS الموجه للاتحاد الأوروبي للقانون تلقائياً؟
لا. تحقق مما إذا كانت المعالجة عن بُعد جزءاً من المنتج ذي العناصر الرقمية ولازمة لوظائفه؛ فلا يجوز مساواة خدمة مستقلة بالأجهزة تلقائياً. راجع البنية والعقود.
هل تسمح الفئة الأولى المهمة دائماً بالتقييم الذاتي؟
لا. تحقق من شروط المادة 32(2) المتعلقة بالمعايير المنسقة أو المواصفات المشتركة أو الشهادات المناسبة. وإذا لم تتحقق، يلزم إجراء تشارك فيه جهة مُبلَّغ عنها، ما لم ينطبق الاستثناء الخاص بالبرمجيات الحرة والمفتوحة المصدر الوارد في المادة 32(5).
هل يستبعد استخدام شيفرة مفتوحة المصدر المنتج النهائي؟
لا. يهم طرح المنتج تجارياً ودور المؤسسة. ويجب تحليل الأنشطة غير التجارية المتعلقة بالبرمجيات الحرة والمفتوحة المصدر والجهات التي تقدم دعماً مستمراً لتطويرها تحليلاً منفصلاً.
ماذا عن الأجهزة المعروضة بالفعل في الاتحاد الأوروبي؟
تسري التزامات إبلاغ المصنعين منذ 11 سبتمبر 2026 بما يشمل المنتجات المعنية الموجودة في السوق. أما التزامات 2027 فتتطلب فحص أول طرح والتعديلات الجوهرية اللاحقة والأحكام الانتقالية.
هل يحل اختبار الاختراق أو شهادة ISO محل تقييم CRA؟
لا. يمكن الاستفادة من الأدلة المناسبة، لكن يجب توثيق نطاق التطبيق والمخاطر وشروط المسار وتقييم المطابقة والتزامات دورة الحياة بشكل مستقل.