إن لائحة الاتحاد الأوروبي للأدلة الإلكترونية (الاتحاد الأوروبي) 2023/1543 has applied directly across the participating Member States since 18 أغسطس 2026. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.
إذا كانت مؤسستك تقدم خدمات الاتصالات الإلكترونية أو الاستضافة أو السحابة أو الشبكات الاجتماعية أو السوق أو النطاق أو خدمات ترقيم بروتوكول الإنترنت للمستخدمين في الاتحاد الأوروبي، فمن شبه المؤكد أنك في نطاق القانون - حتى لو كان مقر شركتك خارج الاتحاد الأوروبي. قد يؤدي عدم الامتثال إلى فرض غرامات تصل إلى 2% من المبيعات السنوية العالمية, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.
هذه الوثيقة الشاملة قائمة التحقق من الامتثال للأدلة الإلكترونية walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.
ما هي لائحة الاتحاد الأوروبي للأدلة الإلكترونية؟
Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.
تقدم اللائحة صكين أساسيين. وهما European Production Order يجبر المزود على إنتاج بيانات إلكترونية محددة، في حين أن European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.
من هم المشمولون بلائحة الأدلة الإلكترونية؟
تضع اللائحة شبكة واسعة بشكل متعمد. من المحتمل أن تكون مقدم خدمة معين إذا كنت تقدم أيًا من الخدمات التالية للمستخدمين الموجودين في الاتحاد الأوروبي:
- خدمات الاتصالات الإلكترونية - الاتصالات الهاتفية والمراسلة والبريد الإلكتروني والصوت عبر بروتوكول الإنترنت والاتصالات الشخصية المستقلة عن الأرقام.
- اسم النطاق على الإنترنت وخدمات ترقيم IP - السجلات، وأمناء السجلات، وخدمات RIRs، وخدمات الخصوصية/الوكيل، ومقدمي خدمات خوادم أسماء النطاقات.
- خدمات مجتمع المعلومات حيث يعد تخزين البيانات عنصراً محدداً - الشبكات الاجتماعية والأسواق عبر الإنترنت وأدوات التعاون ومنصات المحتوى.
- الحوسبة السحابية ومقدمو خدمات الاستضافة - IaaS، وPaaS، وSAaS، والاستضافة المُدارة وشبكات توصيل المحتوى.
والأهم من ذلك، يتبع النطاق “اختبار ”الصلة الجوهرية": if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).
الفئات الأربع للأدلة الإلكترونية
تميز اللائحة بين أربع فئات من البيانات، لكل منها عتبات وضمانات مختلفة. يجب أن تكون عمليات جرد البيانات وسير عمل الإفصاح قادرة على التمييز بينها بدقة:
- بيانات المشتركين - الهوية وتفاصيل الاتصال ومعلومات الفواتير ونوع الخدمة المستخدمة.
- البيانات المطلوبة لغرض وحيد هو تحديد هوية المستخدم — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
- بيانات حركة المرور (بخلاف الفئة 2) - سجلات الاتصال، والطوابع الزمنية، والمصدر/الوجهة، ومعرّفات الأجهزة.
- بيانات المحتوى - مضمون الاتصالات والملفات المخزنة والرسائل والصور والوثائق.
يمكن طلب بيانات المشتركين وبيانات الهوية لأي جريمة جنائية. بيانات المرور والمحتوى محجوزة للجرائم التي يعاقب عليها بعقوبة أقصاها السجن لمدة لا تقل عن ثلاث سنوات، أو لقائمة محددة من الجرائم الإلكترونية الخطيرة والإرهاب وجرائم الاعتداء الجنسي على الأطفال. إن تحديد أي من أنظمتك يحتوي على أي فئة هي واحدة من أهم خطوات الإعداد - وغالبًا ما يتم تجاهلها -.
الجاهزية القانونية والتنظيمية
مهمتك الأولى هي تقييم النطاق. قم بتوثيق، مع التعليل، أي من خدماتك تندرج ضمن اللائحة، وأي الكيانات في مجموعتك ستتلقى الأوامر، وأي دولة عضو ستعمل “دولة التنفيذ”. يجب أن يتم التوقيع على هذا التقييم من قبل المستشار العام أو مدير العمليات ومراجعته سنويًا.
Next, designate one of your own EU establishments as the designated establishment (if you are established in the EU) or appoint a الممثل القانوني in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the المكتب الاتحادي للعدالة (BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.
- تعيين شخص معين قائد الامتثال للأدلة الإلكترونية مع سلطة متعددة الوظائف على الشؤون القانونية، والأمن، والهندسة، والعمليات.
- البناء أو الاحتفاظ الخبرة القانونية المتخصصة capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
- Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
- Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
- تحديث شروط الخدمة وإشعارات الخصوصية وإرشادات إنفاذ القانون لتعكس الإطار الجديد.
متطلبات البنية التحتية التقنية
Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the منصة الامتثال للأدلة الإلكترونية ICS supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.
- واجهة سحب آمنة — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
- التحقق من الهوية والطلب - التحقق الآلي من التواقيع الرقمية، وبيانات اعتماد سلطة الإصدار، وسلامة الشهادة، ومواءمة الفئات.
- اكتشاف البيانات واستخراجها - أدوات قادرة على تحديد موقع بيانات المشتركين وتحديد الهوية وحركة المرور والمحتوى عبر جميع الأنظمة ذات الصلة في غضون ساعات وليس أيام.
- Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
- قنوات التوصيل المشفرة — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
- مسار التدقيق الذي يمكن العبث به - سجلات موقعة بشكل مشفر لكل إجراء من الاستلام إلى التسليم، مما يدعم سلامة الأدلة والمراجعة اللاحقة.
- المرونة والتوافرية العالية - بنية تحتية احتياطية زائدة عن الحاجة قادرة على تلبية نافذة الاستجابة للطوارئ لمدة 8 ساعات على مدار الساعة طوال أيام الأسبوع/365.
- ضوابط تقليل البيانات والحد من الغرض منها - ضمان عدم الإفصاح إلا عما تم طلبه على وجه التحديد، بما يتماشى مع المادة 5 من اللائحة العامة لحماية البيانات.
العمليات التشغيلية وأوقات الاستجابة
تفرض اللائحة مواعيد نهائية صارمة وغير قابلة للتفاوض للردود التي يجب أن تقود تصميم نموذج التشغيل الخاص بك:
- طلبات الإنتاج القياسية: يجب إرسال البيانات ضمن 10 أيام الاستلام.
- طلبات الإنتاج الطارئة: في حالات الخطر الوشيك على الحياة أو السلامة المادية أو البنية التحتية الحيوية، يجب إرسال البيانات في غضون 8 ساعات.
- أوامر الحفظ: يجب الحفاظ على البيانات من أجل 60 يوماً, قابلة للتمديد لمدة 30 يومًا أخرى، في انتظار صدور أمر إنتاج أو طلب المساعدة القانونية المتبادلة.
إن الوفاء بهذه المواعيد النهائية يتطلب أكثر من مجرد التكنولوجيا - فهو يتطلب عمليات مدروسة وموثقة بشكل جيد. يجب أن يغطي دليل التشغيل الخاص بك ما يلي:
- الاستقبال والفرز على مدار 24/7 مع وجود مستجيبين قانونيين وهندسيين معينين تحت الطلب.
- تصنيف الخطورة التمييز بين أوامر الطوارئ والأوامر العادية وأوامر الحفظ.
- مسارات التصعيد للأوامر التي تثير مخاوف تتعلق بالحقوق الأساسية أو الحصانات أو حرية الصحافة أو عندما يبدو أن السلطة المُصدِرة تتصرف فائقة الصلاحيات.
- ضمان الجودة بمراجعة رباعية العيون قبل أن تغادر أي بيانات بيئتك.
- تتبع سداد التكاليف حيث يسمح القانون الوطني بسداد تكاليف الامتثال.
- تمارين الطاولة محاكاة سيناريوهات الطوارئ مرتين في السنة على الأقل.
- التدريب المستمر للموظفين القانونيين والأمنيين وموظفي دعم العملاء والموظفين الهندسيين الذين قد يواجهون الطلبات.
أسباب الرفض وحماية المستخدم
The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.
التفاعل مع اللائحة العامة لحماية البيانات (GDPR)، وNIS2 وDSA
لا توجد الأدلة الإلكترونية بمعزل عن غيرها. يجب أن تظل الإفصاحات متوافقة مع اللائحة العامة لحماية البيانات العامة (المشروعية، والتقليل إلى الحد الأدنى، وسجلات المعالجة، والتزامات تقييم الأثر البيئي DPIA)، و توجيه NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the قانون الخدمات الرقمية (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.
عقوبات عدم الامتثال
Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 2% من إجمالي المبيعات السنوية لمقدم الخدمة في جميع أنحاء العالم in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.
A Practical 6-Month Remediation Roadmap
- الشهران 1-2 - الاكتشاف وتقييم الثغرات. تأكيد النطاق، وتعيين البيانات، ومراجعة عمليات إنفاذ القانون القائمة، وقياسها مع متطلبات اللائحة.
- الشهرين 2-3 - الأسس القانونية. تعيين المؤسسة/الممثل، والتسجيل لدى السلطة الوطنية، ووضع اللمسات الأخيرة على السياسات وتحديث العقود.
- الأشهر 3-4 - البناء التقني. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
- الأشهر 4-5 - الاستعداد التشغيلي. قم بتجنيد وتدريب فريق الاستجابة ووضع اللمسات الأخيرة على دليل العمليات، وإجراء تمارين محاكاة وتدريبات الطوارئ.
- الشهر 6 - الضمان. Independent compliance audit, board-level sign-off and a go-live rehearsal.
الأسئلة الشائعة
للاطلاع على مرجع أطول، راجع موقعنا المخصص الأسئلة الشائعة حول الأدلة الإلكترونية.
متى تنطبق لائحة الاتحاد الأوروبي للأدلة الإلكترونية؟
Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 أغسطس 2026. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.
هل تنطبق اللائحة على مقدمي الخدمات من خارج الاتحاد الأوروبي؟
نعم. أي مزود يقدم خدمات في الاتحاد الأوروبي يدخل في نطاق التطبيق، بغض النظر عن مكان تأسيسه. يجب على مقدمي الخدمات من خارج الاتحاد الأوروبي تعيين ممثل قانوني في إحدى الدول الأعضاء لتلقي الطلبات والتصرف بناءً عليها.
ماذا يحدث إذا فاتتني مهلة الـ 8 ساعات الطارئة؟
يمكن أن يؤدي عدم الالتزام بالموعد النهائي إلى الإنفاذ من قبل السلطة المختصة في الدولة المنفذة، بما في ذلك الغرامات الإدارية التي تصل إلى 2% من حجم الأعمال السنوي العالمي. تُعد الجهود الموثقة والمتناسبة للامتثال - والأدلة الواضحة على سبب أي تأخير - ضرورية للتخفيف من التعرض للخطر.
هل يمكنني إخطار المستخدمين عند طلب بياناتهم؟
No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.
كيف يمكن أن يساعدك ICS على الاستعداد
إذا كنت لا تستطيع الحفاظ على الجاهزية على مدار الساعة طوال أيام الأسبوع داخلياً، أو كنت تريد ببساطة ضماناً مستقلاً بأن برنامجك سيصمد أمام التدقيق، فإن ICS يوفر تقييم الامتثال للأدلة الإلكترونية وخدمة العمليات المدارة. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.
اتصل بـ ICS اليوم لتحديد موعد لتقييم جاهزيتك للإثبات الإلكتروني and put a clear, defensible remediation plan in place.
