صنف توجيه الاتحاد الأوروبي المعروف باسم إن آي إس 2 لعام 2022 قطاع الرعاية الصحية قطاعًا ذا حرجية عالية، وحدد موعدًا نهائيًا لنقله إلى التشريعات الوطنية في السابع عشر من أكتوبر عام 2024، غير أن أربع دول فقط من الدول الأعضاء السبع والعشرين التزمت بهذا الموعد، إذ نقلت كرواتيا التوجيه قبل الموعد بثمانية أشهر، ونقلته إيطاليا قبل الموعد النهائي بيوم واحد، ولأن الفجوة التنظيمية الرسمية بين البلدين صغيرة، بل تصب على صعيد الأداة التشريعية الأساسية في صالح كرواتيا، تسأل هذه الورقة لا عما إذا كان البلدان يختلفان، بل كيف يتباعد بلدان عضوان بجداول نقل شبه متماثلة في الممارسة التشغيلية وشفافية الإبلاغ عن حوادث الأمن السيبراني في قطاع الرعاية الصحية
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تفسير التباعد بين كرواتيا وإيطاليا في شفافية الإبلاغ العام عن حوادث قطاع الرعاية الصحية رغم تقارب الإطار القانوني، مستندة إلى النظرية المؤسسية الجديدة واقتصاديات أمن المعلومات، فتولفت بين الأدبيات وقارنت أداتي النقل في البلدين بالنصوص القانونية الأساسية للتوجيه الأوروبي، وعوملت شفافية الإبلاغ العام بوصفها متغيرًا تابعًا قابلًا للقياس، واقتُرح مؤشر شفافية قابل للنقل مكوّن من أربعة مؤشرات فرعية، وطُبق في تجربة استطلاعية برمزين اثنين بلغ معامل الاتفاق الموزون بينهما 0.80، مع فحص متقاطع مستقل لتركيبة الحوادث المبلغ عنها للتحقق من اتساق النتائج
ثانيًا: أبرز النتائج
أظهرت المقارنة أن كلا البلدين أعاد إنتاج الجدول الزمني للإخطار المنصوص عليه في التوجيه الأوروبي بأمانة، فلا يمكن عزو التباعد إلى اختلاف الالتزامات القانونية النصية، غير أن وكالة الأمن السيبراني الوطنية الإيطالية، المستقلة منذ عام 2021، تنشر بيانات خاصة بقطاع الرعاية الصحية، بينما ينشر المركز الوطني للأمن السيبراني الكرواتي، الذي لم يصبح سلطة مختصة إلا منذ عام 2025، أرقامًا إجمالية فقط، وبذلك تكون اللاتماثلية بين البلدين مسألة استقلالية وتفويض مؤسسي لا مسألة عمر مؤسسي، وأيد الفحص المتقاطع المستقل لتركيبة الحوادث هذا الاستنتاج باتساقه مع صورة التباعد المرصودة في الشفافية
ثالثًا: دلالات الدراسة وتطبيقاتها
تقدم الدراسة مؤشر شفافية رباعيًا قابلًا للنقل إلى سياقات أوروبية وغير أوروبية لقياس مدى انفتاح السلطات المختصة في نشر بيانات الحوادث القطاعية، وتفيد صانعي السياسات بأن الامتثال النصي للتوجيهات الموحدة لا يضمن تقاربًا فعليًا في الممارسة، فالاستقلالية المؤسسية ووضوح التفويض هما ما يصنعان الشفافية التشغيلية، أما إدارات المستشفيات والجهات الصحية فتستفيد من بيانات الحوادث المنشورة قطاعيًا في تقدير مخاطرها السيبرانية والاستعداد لها، ويظل قطاع الرعاية الصحية الذي يتعامل مع بيانات شديدة الحساسية أحوج القطاعات إلى مثل هذه الشفافية المتبادلة داخل الاتحاد الأوروبي وخارجه
وتتجلى القيمة المقارنة لهذه الدراسة في اختيارها حالتين يصعب التمييز بينهما على الورق التشريعي، إذ تقدم بذلك اختبارًا صارمًا لفكرة أن النصوص الموحدة تصنع ممارسات موحدة، فإذا كان بلدان نقلا التوجيه الأوروبي نفسه في توقيتين متقاربين وبنصوص تكاد تتطابق قد تباعدا في الشفافية التشغيلية، فمعنى ذلك أن متغيرات مؤسسية وسيطة كاستقلالية الجهة المختصة وحداثة تفويضها ومواردها هي الحلقة الحاسمة بين القانون والممارسة، وهذا درس يتردد صداه في كل موجات التنظيم الأوروبي الموحد من حماية البيانات إلى الذكاء الاصطناعي، كما أن تركيز الدراسة على قطاع الرعاية الصحية يمنح نتائجها حساسية خاصة، فالحوادث السيبرانية في المستشفيات لا تهدد البيانات فحسب بل قد تعطل خدمات منقذة للحياة، ومن ثم فإن شفافية الإبلاغ عنها ليست ترفًا إداريًا بل جزء من بنية السلامة العامة والتعلم الجماعي من الحوادث عبر الحدود، ويوفر مؤشر الشفافية الرباعي المقترح أداة جاهزة للباحثين والجهات الرقابية لرصد هذا البعد المؤسسي ومقارنته دوريًا بين الدول الأعضاء
ويضاف إلى ذلك أن تجربة البلدين تحمل رسالة للحكومات التي تستعد لنقل موجات تنظيمية أوروبية مقبلة، مفادها أن بناء الجهة المختصة المستقلة ذات التفويض الواضح ينبغي أن يسبق المواعيد القانونية للنقل لا أن يلحق بها، فحين تتأخر البنية المؤسسية عن النص القانوني تولد فجوة شفافية وممارسة قد تستمر سنوات، بينما يتيح الاستعداد المؤسسي المبكر تحويل الالتزام الشكلي بالمواعيد إلى قدرة تشغيلية حقيقية منذ اليوم الأول
وخلاصة القول إن تقارب التشريعات لا يعني تقارب الممارسات، فبين كرواتيا وإيطاليا نصان شبه متماثلين وسلوكان مؤسسيان متباعدان في الشفافية، والفارق تصنعه استقلالية الجهة المختصة وتفويضها، وهو درس يتجاوز الأمن السيبراني الصحي إلى كل سياسة تنظيمية موحدة تُنفذ عبر مؤسسات وطنية متفاوتة النضج والصلاحيات
