مشروع قانون الأمن السيبراني والمرونة

في 17 يوليو 2024، أُعلن خلال افتتاح البرلمان أن حكومة حزب العمال ستُقدم مشروع قانون الأمن السيبراني والمرونة (CS&R). ^{[ 1 ]} يهدف التشريع المقترح إلى تحديث لوائح أمن الشبكات والمعلومات لعام 2018، والمعروفة باسم UK NIS. ^{[ 2 ]} سيعزز مشروع قانون الأمن السيبراني والمرونة (CS&R) دفاعات المملكة المتحدة السيبرانية وقدرتها على الصمود في وجه الهجمات المعادية، مما يضمن حماية البنية التحتية والخدمات الحيوية التي تعتمد عليها الشركات البريطانية من خلال معالجة الثغرات الأمنية ، مع ضمان قدرة الاقتصاد الرقمي على تحقيق النمو . ^{[ 3 ]}

سيوسع التشريع نطاق اللوائح الحالية ويعزز دور الجهات التنظيمية، بالإضافة إلى زيادة متطلبات الإبلاغ المفروضة على الشركات للمساعدة في تكوين صورة أوضح عن التهديدات السيبرانية. ^{[ 4 ]} ويهدف إلى تعزيز الدفاعات السيبرانية في المملكة المتحدة، وضمان أمن البنية التحتية الحيوية والخدمات الرقمية التي تعتمد عليها الشركات. ^{[ 5 ]} وسيشمل نطاق تطبيق مشروع القانون المملكة المتحدة بأكملها. ^{[ 3 ]}

تُعدّ القوانين الجديدة جزءًا من التزام الحكومة بتعزيز وتطوير تدابير الأمن السيبراني في المملكة المتحدة وحماية الاقتصاد الرقمي. ^{[ 6 ]} ستُقدّم إدارة الأمن السيبراني والمسؤولية إطارًا تنظيميًا شاملًا مصممًا لفرض تدابير صارمة للأمن السيبراني في مختلف القطاعات. سيشمل هذا الإطار الامتثال الإلزامي لمعايير وممارسات الأمن السيبراني المُعتمدة لضمان تطبيق تدابير السلامة السيبرانية الأساسية. في نهاية المطاف، سيتعين على الشركات إثبات التزامها بهذه المعايير من خلال عمليات تدقيق وتقارير دورية. ^{[ 7 ]} كما تتضمن التشريعات آليات محتملة لاسترداد التكاليف لتوفير الموارد للهيئات التنظيمية ومنحها صلاحيات للتحقيق الاستباقي في الثغرات الأمنية المحتملة. ^{[ 8 ]}

عُرض مشروع قانون "الأمن السيبراني والمرونة (الشبكات وأنظمة المعلومات)" للقراءة الأولى في البرلمان البريطاني بتاريخ 12 نوفمبر 2025. ^{[ 9 ] [ 10 ] [ 11 ] [ 12 ]} ثم عُقدت قراءة ثانية في البرلمان في يناير 2026. بعد ذلك، وصل مشروع القانون إلى مرحلة اللجنة، حيث يخضع لمزيد من المراجعة. وقد طلبت لجنة مشروع القانون العام من أي شخص لديه "خبرة وتجربة ذات صلة أو اهتمام خاص" بمشروع القانون تقديم ملاحظات مكتوبة. ^{[ 13 ]}

أهم الحقائق الواردة في خطاب الملك هي: ^{[ 3 ]}

أولًا : تلعب لوائح الأمن السيبراني الحالية في المملكة المتحدة دورًا أساسيًا في حماية البنية التحتية الوطنية الحيوية للمملكة المتحدة، وذلك من خلال فرض واجبات أمنية على القطاعات المعنية بتقديم الخدمات الأساسية. ^{[ 14 ]} تشمل هذه اللوائح خمسة قطاعات رئيسية هي: النقل، والطاقة، ومياه الشرب ، والصحة، والبنية التحتية الرقمية، بالإضافة إلى بعض الخدمات الرقمية، بما في ذلك الأسواق الإلكترونية ، ومحركات البحث، وخدمات الحوسبة السحابية. وتتولى 12 جهة تنظيمية مسؤولية تطبيق هذه اللوائح.

ثانيًا، تستهدف الجهات الفاعلة الإلكترونية المعادية بشكل متزايد القطاعات الحيوية وسلاسل التوريد في المملكة المتحدة. وقد أبرزت الهجمات الخطيرة الأخيرة التي استهدفت مستشفيات لندن ووزارة الدفاع ، بالإضافة إلى هجمات برامج الفدية على المكتبة البريطانية والبريد الملكي ، مدى ضعف الخدمات والمؤسسات البريطانية أمام الهجمات.

ثالثًا: تُشكّل آثار الهجمات الإلكترونية على هذه القطاعات مخاطر جسيمة على مواطني المملكة المتحدة، والخدمات الأساسية، والاقتصاد ككل. فعلى سبيل المثال، نتيجةً لهجوم برامج الفدية الذي استهدف هيئة الخدمات الصحية الوطنية في إنجلترا في يونيو/حزيران [2024]، تم تأجيل 3396 موعدًا للمرضى الخارجيين و1255 عملية جراحية اختيارية في مستشفيات كينغز كوليدج ، وغاي، وسانت توماس ، وجميعها في جنوب لندن. وتشير التقديرات إلى أن تكلفة الجرائم الإلكترونية في المملكة المتحدة عام 2023 بلغت 320 مليار دولار، أي ما يقارب 225 مليار جنيه إسترليني. ^{[ 15 ]}

رابعًا: يرى المركز الوطني للأمن السيبراني أن التهديد المتزايد من الدول المعادية والجهات المدعومة من الدول لا يزال يتصاعد. وفي خطاب ألقته مؤخرًا في مؤتمر CyberUK، حذرت فيليسيتي أوزوالد، الرئيسة التنفيذية للمركز ، من أن مقدمي الخدمات الأساسية في المملكة المتحدة لا يمكنهم تجاهل هذه التهديدات. ^{[ 16 ]}

خامساً: خلصت مراجعتان أُجريتا بعد تطبيق لوائح أمن الشبكات والمعلومات في المملكة المتحدة إلى أن اللوائح الأصلية تُحدث أثراً إيجابياً، إلا أن التقدم لم يكن بالسرعة الكافية. ^{[ 17 ] [ 18 ]} وفي عام 2022، خلصت المراجعة إلى أنها "إطار عمل حيوي لتعزيز قدرة المملكة المتحدة على مواجهة تهديدات أمن الشبكات وأنظمة المعلومات"، ولكن يلزم تحديثها لمواكبة التهديدات المتزايدة. وقد قام ما يزيد قليلاً عن نصف مُشغّلي الخدمات الأساسية بتحديث أو تعزيز السياسات والإجراءات القائمة منذ بدء العمل بلوائح أمن الشبكات والمعلومات في المملكة المتحدة عام 2018، والتي تم إدخالها بعد توجيه الاتحاد الأوروبي بشأن أمن الشبكات والمعلومات 2016/1148. ^{[ 2 ] [ 19 ]}

سيفرض هذا النظام الإبلاغ الإلزامي عن برامج الفدية الخبيثة، ما يُمكّن السلطات من فهم التهديد بشكل أفضل، و"تنبيهنا إلى الهجمات المحتملة من خلال توسيع نطاق أنواع وطبيعة الحوادث التي يتعين على الجهات الخاضعة للتنظيم الإبلاغ عنها". ^{[ 6 ] [ 20 ]} وبينما يُرجّح أن يُعزز جمع هذه المعلومات القدرة على الصمود في وجه الهجمات، فإن العبء الإداري الذي سيترتب على الشركات جراء هذا الإبلاغ قد يُضيف تكاليف إضافية إلى جانب تكلفة الحادث الإلكتروني الأصلي. ^{[ 6 ]}

نظراً لترابط ممارسات الأعمال الحديثة، يجب على المنظمات ضمان التزام شركائها ومورديها أيضاً بالمعايير التي وضعتها لجنة معايير الامتثال والمسؤولية. ^{[ 6 ]}

في الاتحاد الأوروبي، يجري تحديث التوجيه الأصلي لأمن الشبكات والمعلومات (توجيه NIS 2016/1148) ليصبح التوجيه 2022/2555، المعروف باسم توجيه الاتحاد الأوروبي الثاني لأمن الشبكات والمعلومات (EU NIS 2). ^{[ 21 ] [ 22 ]} يُدخل توجيه الاتحاد الأوروبي الثاني لأمن الشبكات والمعلومات (EU NIS 2) تغييرات واسعة النطاق على قوانين الأمن السيبراني الحالية للاتحاد الأوروبي فيما يتعلق بشبكات وأنظمة المعلومات. ^{[ 21 ]} من المفترض أن تُوحّد لجنة الأمن السيبراني والبحوث (CS&R) لوائح أمن الشبكات والمعلومات البريطانية الحالية لعام 2018 مع إطار عمل مماثل لإطار عمل الاتحاد الأوروبي. ^{[ 21 ] [ 23 ]}

لم يتضمن مشروع القانون حتى الآن أي معلومات حول العقوبات المترتبة على عدم الامتثال، أو ما هي متطلبات الجهات التنظيمية لحماية البيانات من أي منظمة تعرضت لحادثة أمن سيبراني. ^{[ 24 ]} وقد أعلن بيتر كايل، وزير الدولة البريطاني للعلوم والابتكار والتكنولوجيا ، في أبريل 2025، عن فرض غرامات قدرها 100 ألف جنيه إسترليني يوميًا على التقاعس عن اتخاذ إجراءات ضد التهديدات ذات الصلة. ^{[ 25 ] [ 26 ]}

قال جون إليسون، مدير قسم المرونة الوطنية في المركز الوطني للأمن السيبراني، إن مشروع القانون المقترح يُمثل "لحظة تاريخية في التصدي للتهديد المتزايد الذي يواجه الأنظمة الحيوية في المملكة المتحدة". ^{[ 27 ]} وأضاف أنه سيكون "خطوة حاسمة نحو نظام تنظيمي أكثر شمولاً، يتناسب مع عالمنا المتقلب". ^{[ 27 ]}

رحّب الرئيس السابق للمركز الوطني للأمن السيبراني، كيران مارتن، إلى جانب خبراء آخرين، بالاقتراح التشريعي. وكتب على وسائل التواصل الاجتماعي أن التشريع المقترح يبدو منطقياً، وأن متطلبات الإبلاغ الإلزامي تُعدّ خطوات مهمة وإيجابية. ^{[ 28 ]}

صرح مات هول، ممثل حملة CyberUp، بأن المنظمة تتطلع إلى قيام الحكومة بتحديث قانون الأمن السيبراني في المملكة المتحدة، ولا سيما قانون إساءة استخدام الحاسوب لعام 1990. ومن شأن أي تحديثات لهذا القانون أن تساعد المتخصصين في مجال الأمن السيبراني على حماية المملكة المتحدة، والحفاظ على الاقتصاد الرقمي، وإطلاق العنان للنمو المحتمل في قطاع الأمن السيبراني. ^{[ 28 ]}

في أبريل 2025، نُشر بيان سياسة الأمن السيبراني والاستجابة له ، والذي يُحدد التدابير المُؤكدة والمُقترحة لإدراجها في مشروع القانون. ^{[ 29 ]} وجاء في البيان: "تُحدث الثورة الرقمية تحولًا جذريًا في بنيتنا التحتية الوطنية الحيوية وخدماتنا العامة الأساسية. إنها تُتيح فرصة استثنائية لتحسين حياة شعبنا وبلادنا. مع ذلك، قد تُؤدي أيضًا إلى ظهور ثغرات أمنية جديدة وخطيرة... في بيان السياسة هذا، أُقدم مقترحات تشريعية لهذا القانون. كما أُقر بأن المشهد السيبراني يتطور بوتيرة متسارعة، حيث يُمكن أن تحدث تطورات كثيرة في فترة وجيزة. يقترح هذا البيان عدة تدابير إضافية لمواجهة التهديدات التي نواجهها حاليًا." ^{[ 29 ]}

يهدف التشريع إلى تعزيز دفاعات المملكة المتحدة السيبرانية وتأمين البنية التحتية الحيوية والخدمات الرقمية الأساسية، وبالتالي تحسين حماية هذه البنية. ^{[ 30 ]} ويفصّل البيان خططًا لتوسيع الإطار التنظيمي ليشمل المزيد من الكيانات، وتمكين الجهات التنظيمية، وتحسين الرقابة. ويشمل ذلك تحسين الإبلاغ عن الحوادث، وتعزيز قدرات مكتب مفوض المعلومات (ICO) في جمع المعلومات، وتحسين آليات استرداد التكاليف لدى الجهات التنظيمية. كما يتناول مشروع القانون الحاجة إلى إطار تنظيمي قابل للتكيف لمواكبة المشهد السيبراني المتطور باستمرار. ^{[ 30 ]}

تسعى مبادرة الأمن السيبراني والاستجابة (CS&R) إلى توسيع نطاق المنظمات المُلزمة بتحسين تقييمات المخاطر لديها، وتعزيز تدابير الأمن السيبراني لما يقارب 1000 منظمة. ^{[ 31 ]} ستُعزز هذه التدابير حماية البيانات وأمن الشبكات ، ومن المرجح أن تشمل مُشغلي مراكز البيانات ومُقدمي الخدمات المُدارة . تتضمن المقترحات أيضًا منح الجهات التنظيمية المزيد من الأدوات لتعزيز معايير الأمان، وإلزامها بالإبلاغ المُفصل عن الحوادث، ومنح الحكومة صلاحيات تحديث الأطر التنظيمية مع تطور التهديدات والتكنولوجيا. ^{[ 31 ]}

يُقدّم البيان نظرة عامة مُفصّلة على التغييرات التي طرأت على برنامج Cyber ​​Essentials، بما في ذلك تحديثات تعريف البرمجيات، وإصلاحات الثغرات الأمنية، والمصطلحات المُتعلّقة بالعمل عن بُعد. ^{[ 32 ]} سيتم تحديث مواصفات اختبار Cyber ​​Essentials Plus بمؤشرات تحقق جديدة، والتحقق من الفصل حسب المجموعة الفرعية، والتحقق من أخذ العينات. كما يُحدّد البيان الخطوات التي ستحتاج المؤسسات إلى اتخاذها للحصول على شهادة Cyber ​​Essentials في عام 2025 وما بعده. وتشمل هذه الخطوات تغييرات في متطلبات البنية التحتية لتكنولوجيا المعلومات ، مثل إدخال المصادقة بدون كلمة مرور . ^{[ 32 ]}

1. 17 يوليو 2024 - تم الإعلان عن مشروع القانون. ^{[ 1 ]}
2. 1 أبريل 2025 - بيان سياسة الأمن السيبراني والمرونة. ^{[ 33 ]}
3. 12 نوفمبر 2025 - القراءة الأولى: تم تقديم مشروع القانون إلى البرلمان. ^{[ 9 ]}
4. 6 يناير 2026 - القراءة الثانية. ^{[ 34 ] [ 35 ]}
5. 22 يناير 2026 - جدول كيلينغ الخاص بمعهد البحوث العلمية والتقنية الوطنية (NISR) يوضح التغييرات المقترحة بموجب مشروع قانون CS&R. ^{[ 36 ]}
6. 24 فبراير 2026 - تم نشر ملخص مراحل اللجنة السبع حتى 24 فبراير 2026 (الحالي). ^{[ 37 ]}
7. 16 يونيو 2026 - تمت قراءة مشروع القانون للمرة الثالثة، وانتقل إلى مجلس اللوردات لمرحلة اللجنة. ^{[ 38 ]}

• قانون المرونة السيبرانية - لائحة الاتحاد الأوروبي لتحسين الأمن السيبراني والمرونة السيبرانية.
• تقنية التزييف العميق - وسائط واقعية مُولّدة اصطناعياً.
• اللائحة العامة لحماية البيانات (GDPR) .
• البرامج الضارة - تشمل الأمثلة فيروسات الكمبيوتر وبرامج التجسس وبرامج الإعلانات المتسللة .

• بيان سياسة الأمن السيبراني والمرونة، أبريل 2025
• موجز بحثي حول الأمن السيبراني في المملكة المتحدة - مكتبة مجلس العموم