علاقے کے لحاظ سے سائبرسیکیوریٹی ریگولیٹری تقاضے: عالمی کاروبار کے لیے ایک تعمیل کا نقشہ

70 سے زیادہ ممالک نے 2023 سے سائبر سیکیورٹی کے ضوابط کو نافذ یا اپ ڈیٹ کیا ہے۔ ریگولیٹری لینڈ اسکیپ زیادہ تر کمپنیاں ٹریک کرنے سے زیادہ تیزی سے تیار ہو رہی ہے۔ دو سال پہلے جو رضاکارانہ رہنمائی تھی وہ اب قابل اطلاق قانون ہے جس میں اہم سزائیں ہیں۔ یہ گائیڈ بڑے خطوں میں سائبرسیکیوریٹی ریگولیٹری تقاضوں کا نقشہ بناتا ہے، جس سے عالمی کاروباروں کو ان کی ذمہ داریوں کو سمجھنے اور تعمیل کو ترجیح دینے میں مدد ملتی ہے۔

اہم ٹیک ویز

• NIS2 (EU) نے سائبرسیکیوریٹی ذمہ داریوں کو 160,000+ تنظیموں تک بڑھا دیا، جس میں مینجمنٹ کی ذاتی ذمہ داری ہے۔
• SEC سائبرسیکیوریٹی افشاء کے قوانین کے تحت امریکی پبلک کمپنیوں کو 4 کاروباری دنوں کے اندر مادی واقعات کی اطلاع دینے کی ضرورت ہوتی ہے۔
• اے پی اے سی کے ضوابط بڑے پیمانے پر مختلف ہوتے ہیں: سنگاپور اور آسٹریلیا آگے ہیں، جبکہ دیگر اب بھی فریم ورک تیار کر رہے ہیں
• ایک متحد سیکورٹی فریم ورک (ISO 27001 یا NIST CSF) عالمی سطح پر 60-80% علاقائی ضروریات کو پورا کرتا ہے

---

علاقائی ریگولیٹری نقشہ

یورپی یونین

| ضابطہ | موثر | دائرہ کار | کلیدی تقاضے | سزائیں | |------------|------------|------|-------| | NIS2 ہدایت | اکتوبر 2024 | ضروری اور اہم ادارے (18 شعبے) | رسک مینجمنٹ، واقعے کی رپورٹنگ (24 گھنٹے/72 گھنٹے)، سپلائی چین سیکیورٹی، انتظامی احتساب | EUR 10M یا 2% ریونیو (ضروری)، EUR 7M یا 1.4% (اہم) | | ڈورا | جنوری 2025 | مالیاتی شعبہ (بینک، انشورنس، سرمایہ کاری، آئی سی ٹی فراہم کرنے والے) | آئی سی ٹی رسک مینجمنٹ، واقعے کی درجہ بندی/رپورٹنگ، لچک کی جانچ، فریق ثالث کا خطرہ | ہستی کے سائز کے متناسب | | سائبر لچک ایکٹ | 2027 (مرحلہ وار) | ڈیجیٹل عناصر کے ساتھ مصنوعات | ڈیزائن، خطرے سے نمٹنے، SBOM، CE مارکنگ کے ذریعے محفوظ | EUR 15M یا 2.5% آمدنی | | جی ڈی پی آر (سیکیورٹی پہلو) | 2018 | EU کے ذاتی ڈیٹا پر کارروائی کرنے والی کوئی بھی تنظیم | "مناسب تکنیکی اور تنظیمی اقدامات" | EUR 20M یا 4% آمدنی |

NIS1 سے NIS2 کلیدی تبدیلیاں:

• ~10,000 سے ~160,000 تنظیموں تک پھیلا ہوا ہے۔
• انتظامی ادارے ذاتی طور پر تعمیل کے ذمہ دار ہیں۔
• اہم واقعات کے لیے 24 گھنٹے کی "ابتدائی وارننگ" لازمی ہے۔
• سپلائی چین سیکیورٹی کی ضروریات
• ضروری اداروں کے لیے کم از کم EUR 10M جرمانے

ریاستہائے متحدہ

| ضابطہ | موثر | دائرہ کار | کلیدی تقاضے | سزائیں | |------------|------------|------|-------| | SEC سائبرسیکیوریٹی رولز | دسمبر 2023 | امریکی عوامی کمپنیاں | مادی واقعہ کا انکشاف (4 کاروباری دن)، سالانہ رسک گورننس رپورٹنگ | SEC کے نفاذ کے اقدامات | | CISA رپورٹنگ (CIRCIA) | 2026 (مجوزہ) | اہم بنیادی ڈھانچہ (16 شعبے) | 72 گھنٹے واقعے کی رپورٹنگ، 24 گھنٹے رینسم ویئر کی ادائیگی کی رپورٹنگ | دیوانی سزائیں | | FTC ایکٹ (سیکشن 5) | جاری | تجارت میں مصروف کمپنیاں | "مناسب" حفاظتی طرز عمل، "غیر منصفانہ" طرز عمل کا نفاذ | مختلف ہوتی ہے (رضامندی کے احکامات، جرمانے) | | ریاستی رازداری کے قوانین (CA, CO, CT, VA, وغیرہ) | مختلف | کمپنیاں ریاست کی حدوں کو پورا کرتی ہیں | سیکورٹی کے طریقے، خلاف ورزی کی اطلاع (ریاست کے لحاظ سے مختلف ہوتی ہے) | اسٹیٹ AG نفاذ | | HIPAA سیکورٹی رول | 2005 (تازہ کاری شدہ) | صحت کی دیکھ بھال کرنے والے ادارے اور کاروباری ساتھی | PHI کے لیے انتظامی، جسمانی، تکنیکی تحفظات | $1.9M تک فی خلاف ورزی کے زمرے ہر سال | | GLBA حفاظتی اصول | اپ ڈیٹ 2023 | مالیاتی ادارے | رسک اسیسمنٹ، رسائی کنٹرول، MFA، خفیہ کاری، واقعہ کا جواب | وفاقی ایجنسی نفاذ |

برطانیہ

| ضابطہ | موثر | دائرہ کار | کلیدی تقاضے | سزائیں | |------------|------------|------|-------| | UK NIS ریگولیشنز | 2018 (تازہ کاری) | ضروری خدمات، ڈیجیٹل خدمات | رسک مینجمنٹ، واقعے کی رپورٹنگ، سپلائی چین | GBP 17M | | UK GDPR | 2021 | برطانیہ کے رہائشی ڈیٹا پر کارروائی کرنے والی تنظیمیں | حفاظتی اقدامات، خلاف ورزی کی اطلاع (72hr) | GBP 17.5M یا 4% ریونیو | | ایف سی اے کے تقاضے | جاری | مالیاتی خدمات کی فرمیں | آپریشنل لچک، واقعے کی رپورٹنگ، فریق ثالث کا خطرہ | ایف سی اے کا نفاذ | | مجوزہ سائبر سیکورٹی اور لچک بل | 2025-2026 | موجودہ NIS دائرہ کار سے توسیع شدہ | واقعہ کی بہتر رپورٹنگ، سپلائی چین کی ضروریات | TBD |

ایشیا پیسیفک

مشرق وسطیٰ اور افریقہ

---

یونیورسل کمپلائنس فریم ورک بنانا

میپ کنٹرولز ٹو ریگولیشنز

ہر ضابطے کے لیے الگ الگ کنٹرول نافذ کرنے کے بجائے، ایک متحد فریم ورک بنائیں:

تجویز کردہ بیس فریم ورک

اپنی بنیاد کے طور پر NIST سائبرسیکیوریٹی فریم ورک 2.0 یا ISO 27001:2022 کے ساتھ شروع کریں:

• NIST CSF 2.0: مفت، لچکدار، امریکہ اور بین الاقوامی سطح پر وسیع پیمانے پر تسلیم شدہ
• ISO 27001: قابل تصدیق، EU میں ترجیحی اور انٹرپرائز صارفین کے ذریعہ

دونوں فریم ورک زیادہ تر ضوابط کے لیے درکار بنیادی کنٹرول ڈومینز کا احاطہ کرتے ہیں۔ سب سے اوپر ریگولیٹری مخصوص ضروریات (رپورٹنگ ٹائم لائنز، دستاویزات کی شکلیں) شامل کریں۔

---

واقعے کی رپورٹنگ کا موازنہ

| دائرہ اختیار | رپورٹنگ کی آخری تاریخ | کو رپورٹ کریں | مواد کی ضرورت ہے | |---------------|-------------------------------| | EU (NIS2) | 24 گھنٹے قبل از وقت وارننگ، 72 گھنٹے مکمل | قومی CSIRT/اتھارٹی | اثر، اشارے، سرحد پار اثر | | EU (GDPR) | 72 گھنٹے (اختیار کو)، "بغیر کسی تاخیر کے" (ان افراد کے لیے اگر زیادہ خطرہ ہو) سپروائزری اتھارٹی | نوعیت، زمرہ جات، تخمینی ریکارڈ، نتائج، اقدامات | | EU (DORA) | درجہ بندی پر منحصر ہے (1 گھنٹے سے 1 ماہ تک) | فنانشل سپروائزری اتھارٹی | درجہ بندی کی بنیاد پر تفصیل | | US (SEC) | 4 کاروباری دن (مادی واقعات) | SEC فائلنگ (8-K) | فطرت، دائرہ کار، وقت، مادی اثرات | | US (CISA) | 72 گھنٹے کے واقعات، 24 گھنٹے رینسم ویئر | CISA | واقعے کی تفصیلات، اثرات، اشارے | | UK (NIS) | 72 گھنٹے | NCSC/متعلقہ اتھارٹی | اثرات کی تشخیص، اٹھائے گئے اقدامات | | انڈیا (CERT-In) | 6 گھنٹے | CERT-In | واقعہ کی قسم، متاثرہ نظام، اثر | | آسٹریلیا (SOCI) | 12 گھنٹے (اہم)، 72 گھنٹے (اہم) | ACSC | اثر، ردعمل کے اعمال، اشارے | | سنگاپور (CSA) | مقررہ ٹائم فریم | CSA | واقعے کی تفصیلات، اثر، ردعمل |

---

تعمیل کی ترجیح

ایک سے زیادہ خطوں میں کام کرنے والی کمپنیوں کے لیے

1. آئی ایس او 27001 یا NIST CSF کو بنیاد کے طور پر نافذ کریں (تمام ضروریات کا 60-80% پورا کرتا ہے)
2. ہر اس دائرہ اختیار کے لیے جہاں آپ کام کرتے ہیں نقشہ ریگولیٹری خلا
3. جرمانے کی شدت کے لحاظ سے ترجیح دیں: EU (NIS2/GDPR) اور SEC کے قوانین سب سے زیادہ سزائیں رکھتے ہیں
4. رپورٹنگ کو ہم آہنگ کریں: ایک واقعہ کی رپورٹنگ کا عمل تیار کریں جو سخت ترین ڈیڈ لائن (ہندوستان کے لیے 6 گھنٹے) کو پورا کرے اور ہر اتھارٹی کے لیے آؤٹ پٹ کو اپنائے
5. ہر چیز کو دستاویز کریں: زیادہ تر ضوابط میں صرف سیکورٹی کی نہیں، بلکہ قابل تعمیل عمل کی ضرورت ہوتی ہے

---

اکثر پوچھے گئے سوالات

کیا NIS2 ہماری کمپنی پر لاگو ہوتا ہے؟

NIS2 لاگو ہوتا ہے اگر آپ EU میں کام کرتے ہیں اور 18 شعبوں (توانائی، ٹرانسپورٹ، بینکنگ، صحت کی دیکھ بھال، ڈیجیٹل انفراسٹرکچر، پبلک ایڈمنسٹریشن، جگہ، پوسٹل، فضلہ، خوراک، مینوفیکچرنگ، کیمیکل، تحقیق، اور ICT خدمات) میں سے کسی ایک میں آتے ہیں۔ ضروری ادارے اہم شعبوں میں بڑے ادارے ہیں۔ اہم ادارے ان شعبوں میں درمیانے درجے کے ادارے ہیں۔ توسیع شدہ دائرہ کار NIS1 سے کہیں زیادہ کمپنیوں کو پکڑتا ہے۔ یہاں تک کہ اگر آپ براہ راست دائرہ کار میں نہیں ہیں، تو آپ کے کلائنٹس کو اپنی سپلائی چین سے NIS2 کی تعمیل کی ضرورت ہو سکتی ہے۔

ہم متعدد ممالک میں سائبر سیکیورٹی کے ضوابط کی تعمیل کیسے کرتے ہیں؟

ایک متحد سیکورٹی فریم ورک (ISO 27001 یا NIST CSF) بنائیں جو مشترکہ ضروریات کا احاطہ کرے۔ ایک ریگولیٹری میپنگ دستاویز بنائیں جو یہ دکھائے کہ کون سا فریم ورک کنٹرول کن ضوابط کو پورا کرتا ہے۔ مخصوص دائرہ اختیار کے لیے منفرد تقاضوں کے لیے (رپورٹنگ ٹائم لائنز، دستاویزی فارمیٹس)، اپنے بنیادی فریم ورک میں ضمیمہ بنائیں۔ یہ الگ الگ تعمیل پروگرام بنانے سے کہیں زیادہ موثر ہے۔

کیا خاص طور پر ERP سسٹمز کے لیے سائبر سیکیورٹی کے تقاضے ہیں؟

ERP کے لیے مخصوص نہیں ہے، لیکن ERP نظام عام طور پر متعدد ریگولیٹری دائرہ کار کے تحت آتے ہیں کیونکہ وہ مالیاتی ڈیٹا (SOX، DORA)، ذاتی ڈیٹا (GDPR، NIS2) پر کارروائی کرتے ہیں، اور اکثر اہم کاروباری نظام تصور کیے جاتے ہیں۔ یقینی بنائیں کہ آپ کے ERP میں یہ ہے: کردار پر مبنی رسائی کنٹرول، آڈٹ لاگنگ، خفیہ کاری، باقاعدہ پیچنگ، اور واقعہ کے ردعمل کے طریقہ کار۔ ECOSIRE فراہم کرتا ہے Odoo سیکیورٹی سخت جو ان ضروریات کو پورا کرتا ہے۔

---

آگے کیا آتا ہے۔

سائبرسیکیوریٹی ریگولیٹری تعمیل آپ کے گورننس پروگرام کی ایک جہت ہے۔ اسے ڈیٹا کے مخصوص ضوابط کے لیے ڈیٹا گورننس، افرادی قوت کے ڈیٹا کے لیے ملازمین ڈیٹا پرائیویسی، اور ویب پراپرٹیز کے لیے کوکی رضامندی کا نفاذ کے ساتھ جوڑیں۔

متعدد دائرہ اختیار میں سائبرسیکیوریٹی تعمیل مشاورت کے لیے ECOSIRE سے رابطہ کریں۔

---

ECOSIRE کے ذریعہ شائع کیا گیا -- کاروباروں کو عالمی ریگولیٹری لینڈ اسکیپ میں تشریف لانے میں مدد کرنا۔