انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

الامتثال لـDORA: ما الذي يشترطه قانون المرونة التشغيلية الرقمية

يُطبَّق DORA، اللائحة (الاتحاد الأوروبي) 2022/2554، منذ 17 يناير 2025. تعرّف على نطاقه وركائزه الخمس ومواعيد الإبلاغ عن الحوادث ومخاطر الأطراف الثالثة في مجال تقنية المعلومات والاتصالات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

يعني الامتثال لـDORA استيفاء اللائحة (الاتحاد الأوروبي) 2022/2554، وهي قانون المرونة التشغيلية الرقمية، المطبَّقة منذ 17 يناير 2025 على البنوك ومؤسسات الدفع ومؤسسات النقود الإلكترونية وشركات الاستثمار وشركات التأمين ومزودي خدمات الأصول المشفرة وغيرها من الكيانات المالية في الاتحاد الأوروبي. وتضع اللائحة متطلبات موحدة لإدارة مخاطر تقنية المعلومات والاتصالات، والإبلاغ عن الحوادث المتعلقة بها، واختبار المرونة التشغيلية الرقمية، ومخاطر الأطراف الثالثة في مجال تقنية المعلومات والاتصالات، وتبادل المعلومات، كما تنشئ إطارًا أوروبيًا للإشراف على مزودي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة. يلخص هذا الدليل اللائحة ومعاييرها الفنية استنادًا إلى النصوص المنشورة في EUR-Lex وصفحات الهيئات الإشرافية الأوروبية.

على من ينطبق DORA؟

تعدّد المادة 2 عشرين نوعًا من الكيانات المالية، إضافة إلى مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة. وتصف EIOPA قانون DORA بأنه ينطبق على 20 نوعًا مختلفًا من الكيانات المالية وعلى مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة. وتطبّق الكيانات المالية القواعد بما يتناسب مع حجمها ومستوى مخاطرها الإجمالي وطبيعة خدماتها ونطاقها ومدى تعقيدها (المادة 4).
1.مؤسسات الائتمان ومؤسسات الدفع ومزودو خدمات معلومات الحسابات ومؤسسات النقود الإلكترونية.
2.شركات الاستثمار ومنصات التداول والأطراف المقابلة المركزية ومراكز إيداع الأوراق المالية ومستودعات بيانات المعاملات ومزودو خدمات الإبلاغ عن البيانات.
3.مديرو صناديق الاستثمار البديلة وشركات الإدارة.
4.شركات التأمين وإعادة التأمين ووسطاء التأمين ومؤسسات معاشات التقاعد المهنية.
5.مزودو خدمات الأصول المشفرة ومصدرو الرموز المرتبطة بالأصول.
6.وكالات التصنيف الائتماني ومديرو المؤشرات المرجعية الحرجة ومزودو خدمات التمويل الجماعي ومستودعات بيانات التوريق.
7.تستثني المادة 2(3) بعض الكيانات، منها وسطاء التأمين من المؤسسات المتناهية الصغر أو الصغيرة أو المتوسطة، ومؤسسات معاشات التقاعد المهنية التي لا يتجاوز عدد أعضاء خططها مجتمعةً 15 عضوًا.

متى بدأ تطبيق DORA؟

نُشر DORA في الجريدة الرسمية في 27 ديسمبر 2022، ودخل حيز النفاذ في 16 يناير 2023، ويُطبَّق منذ 17 يناير 2025 (المادة 64). وبصفته لائحة، فهو ملزم بكامل أحكامه وقابل للتطبيق المباشر في جميع الدول الأعضاء. وترد التفاصيل في لوائح مفوَّضة ولوائح تنفيذية صادرة عن المفوضية الأوروبية، صاغتها الهيئات الإشرافية الأوروبية (ESAs): EBA وEIOPA وESMA.

الركائز الخمس لـDORA

تلخص EIOPA ما يغطيه DORA في خمسة مجالات تُعرف غالبًا بركائزه الخمس، إلى جانب الإشراف على مزودي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة.
1.إدارة مخاطر تقنية المعلومات والاتصالات (الفصل الثاني): إطار سليم وشامل وموثق لإدارة هذه المخاطر، يُراجَع مرة واحدة سنويًا على الأقل. ويحدد مجلس الإدارة هذا الإطار ويعتمده ويشرف عليه ويكون مسؤولًا عنه، ويتحمل المسؤولية النهائية عن مخاطر تقنية المعلومات والاتصالات.
2.إدارة الحوادث المتعلقة بتقنية المعلومات والاتصالات وتصنيفها والإبلاغ عنها (الفصل الثالث): عملية لكشف الحوادث وإدارتها والإبلاغ عنها، وتقارير عن الحوادث الجسيمة المتعلقة بتقنية المعلومات والاتصالات تُرفع إلى السلطة المختصة.
3.اختبار المرونة التشغيلية الرقمية (الفصل الرابع): برنامج اختبارات يتضمن اختبارات مناسبة مرة سنويًا على الأقل لجميع أنظمة وتطبيقات تقنية المعلومات والاتصالات التي تدعم الوظائف الحرجة أو المهمة. وتُجري الكيانات التي تحددها سلطتها المختصة اختبارات اختراق قائمة على التهديدات مرة كل ثلاث سنوات على الأقل.
4.إدارة مخاطر الأطراف الثالثة في مجال تقنية المعلومات والاتصالات (الفصل الخامس): استراتيجية لمخاطر الأطراف الثالثة، وسجل معلومات لعقود تقنية المعلومات والاتصالات، وأحكام تعاقدية أساسية.
5.تبادل المعلومات (الفصل السادس): يجوز للكيانات المالية تبادل المعلومات والمعطيات الاستخباراتية عن التهديدات السيبرانية ضمن مجتمعات موثوقة، وإخطار سلطتها المختصة عند الانضمام إلى هذه الترتيبات أو الخروج منها.

الإبلاغ عن حوادث تقنية المعلومات والاتصالات بموجب DORA

تشترط المادة 17 وجود عملية لإدارة الحوادث المتعلقة بتقنية المعلومات والاتصالات، وتسجيل جميع هذه الحوادث والتهديدات السيبرانية الجسيمة، مع تحديد أسبابها الجذرية وتوثيقها ومعالجتها. وتحدد المادة 18 معايير التصنيف: العملاء والمعاملات المتأثرة، والمدة وفترة التوقف، والانتشار الجغرافي، وفقدان البيانات، ومدى أهمية الخدمات المتأثرة، والأثر الاقتصادي. ويُبلَّغ عن الحوادث الجسيمة المتعلقة بتقنية المعلومات والاتصالات إلى السلطة المختصة بموجب المادة 19، وفق المواعيد المحددة في اللائحة المفوَّضة (الاتحاد الأوروبي) 2025/301 الصادرة عن المفوضية.
1.الإخطار الأولي: خلال أربع ساعات من تصنيف الحادث بوصفه جسيمًا، وفي موعد لا يتجاوز 24 ساعة من العلم به.
2.التقرير المرحلي: خلال 72 ساعة من الإخطار الأولي، ثم يُحدَّث عند استعادة الأنشطة الاعتيادية.
3.التقرير النهائي: في موعد لا يتجاوز شهرًا واحدًا من آخر تقرير مرحلي.
4.إذا صادف الموعد النهائي عطلة نهاية أسبوع أو عطلة رسمية، يجوز تقديم التقرير حتى ظهر يوم العمل التالي. ولا يحق لمؤسسات الائتمان والأطراف المقابلة المركزية ومشغلي منصات التداول والكيانات الأساسية أو المهمة بموجب NIS2 الاستفادة من ذلك في الإخطارات الأولية والتقارير المرحلية.
5.عندما يؤثر حادث جسيم في المصالح المالية للعملاء، تبلغ الكيانات المالية هؤلاء العملاء دون تأخير غير مبرر، مع التدابير المتخذة للتخفيف من آثاره.

مخاطر الأطراف الثالثة في مجال تقنية المعلومات والاتصالات وسجل المعلومات

يظل الكيان المالي الذي يستخدم خدمات تقنية المعلومات والاتصالات المقدَّمة من أطراف ثالثة مسؤولًا مسؤولية كاملة عن الوفاء بالتزاماته بموجب DORA (المادة 28). ويحتفظ بسجل معلومات لجميع الترتيبات التعاقدية الخاصة بخدمات تقنية المعلومات والاتصالات، مع التمييز بين تلك التي تدعم وظائف حرجة أو مهمة وغيرها، ويرفع تقريرًا إلى سلطته المختصة مرة سنويًا على الأقل عن الترتيبات الجديدة، ويتيح السجل كاملًا عند الطلب. وتحدد المادة 30 ما يجب أن تتضمنه عقود تقنية المعلومات والاتصالات، ومن ذلك وصف الخدمات، والمواقع التي تُعالَج فيها البيانات، وأحكام حماية البيانات، ومستويات الخدمة، والمساعدة أثناء حوادث تقنية المعلومات والاتصالات دون تكلفة إضافية أو بتكلفة محددة مسبقًا، والتعاون مع السلطات، وحقوق الإنهاء. وتحدد الهيئات الإشرافية الأوروبية مزودي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة، وتعيّن لكل منهم جهة إشراف رئيسية (Lead Overseer) يحق لها فرض غرامات دورية تصل إلى 1% من متوسط حجم الأعمال اليومي للمزود على مستوى العالم (المادتان 31 و35).

العلاقة بين DORA وNIS2

بالنسبة إلى الكيانات المالية التي تُعد كيانات أساسية أو مهمة بموجب توجيه NIS2، يُعتبر DORA قانونًا قطاعيًا صادرًا عن الاتحاد (المادة 1(2) من DORA). وبموجب المادة 4 من NIS2، عندما تكون متطلبات إدارة المخاطر والإبلاغ عن الحوادث في مثل هذا القانون معادلة على الأقل، لا تنطبق الأحكام المقابلة في NIS2 على تلك الكيانات. ويجوز للدول الأعضاء أيضًا أن تطلب من الكيانات المالية إرسال تقارير حوادث DORA إلى سلطات NIS2 أو فرق الاستجابة لحوادث أمن الحاسوب (CSIRT). وفي البرتغال، يحدد المرسوم بقانون رقم 125/2025 بنك البرتغال (Banco de Portugal) وهيئة سوق الأوراق المالية (CMVM) وهيئة الإشراف على التأمين وصناديق التقاعد (ASF) بوصفها سلطات وطنية خاصة للأمن السيبراني في مجال المرونة التشغيلية الرقمية للقطاع المالي.

العقوبات بموجب DORA

لا يحدد DORA غرامة موحدة على مستوى الاتحاد الأوروبي. فالدول الأعضاء تضع عقوبات إدارية وتدابير تصحيحية فعالة ومتناسبة ورادعة، ويحق للسلطات المختصة الاطلاع على الوثائق وإجراء عمليات تفتيش ميدانية وفرض تدابير تصحيحية (المادة 50). راجع القانون الوطني الذي ينطبق على كيانك.

أين تساعد السجلات والتحقيقات وسجلات الحوادث

يشترط DORA وجود آليات كشف ذات عتبات تنبيه (المادة 10)، وسجلًا لكل حادث يتعلق بتقنية المعلومات والاتصالات (المادة 17)، ومراجعات بعد الحوادث الجسيمة (المادة 13). وتضيف معايير إدارة مخاطر تقنية المعلومات والاتصالات في اللائحة المفوَّضة (الاتحاد الأوروبي) 2024/1774 إجراءات لتسجيل الأحداث تحدد الأحداث الواجب تسجيلها ومدة الاحتفاظ بها وحماية السجلات من العبث (المادة 12). ويساعدك Vigilbase OS على إعداد الأدلة اللازمة لذلك.
1.الكشف: يربط Vigilbase OS أدوات الأمان التي تدفع مقابلها بالفعل، ويحفظ سجلاتها وأحداثها في مكان واحد قابلة للتدقيق والاستعلام. ويحقق وكيل Vigil في الحوادث عالية الخطورة، ويتولى محللو Vigilbase الحالات الاستثنائية.
2.سجلات الحوادث: يسجل كل تحقيق الأدلة والإجراءات المتخذة والتحقق منها، ويمكن لفريقك الاستعانة بذلك عند تصنيف الحادث والإبلاغ عنه.
3.الاحتفاظ بالسجلات: تُحدَّد فترة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا. قارنها بفترة الاحتفاظ التي تحددها إجراءات تسجيل الأحداث لديك.
4.الصلاحيات: أنت تختار ما إذا كانت الإجراءات معطلة، أو تُقترح للموافقة، أو تُنفَّذ عندما تكون منخفضة المخاطر وقابلة للتراجع عنها.
5.الأطراف الثالثة: إذا كنت تستخدم Vigilbase، فسجّلها في سجل المعلومات لديك مثل أي خدمة أخرى لتقنية المعلومات والاتصالات.

المسؤولية وملاحظة قانونية

لا تجعل Vigilbase الكيان المالي ملتزمًا بـDORA، فاللائحة تُبقي المسؤولية على عاتق الكيان المالي ومجلس إدارته. يلخص هذا الدليل اللائحة (الاتحاد الأوروبي) 2022/2554 ومعاييرها الفنية كما نُشرت في EUR-Lex في أكتوبر 2026. وهو ليس استشارة قانونية: فرق الامتثال والشؤون القانونية لديك هي التي تحدد كيفية تطبيق DORA على كيانك.

أبرز النقاط

✓يُطبَّق DORA، اللائحة (الاتحاد الأوروبي) 2022/2554، على الكيانات المالية في الاتحاد الأوروبي منذ 17 يناير 2025.
✓ركائزه الخمس هي إدارة مخاطر تقنية المعلومات والاتصالات، والإبلاغ عن الحوادث، واختبار المرونة، ومخاطر الأطراف الثالثة في هذا المجال، وتبادل المعلومات.
✓تتطلب الحوادث الجسيمة المتعلقة بتقنية المعلومات والاتصالات إخطارًا أوليًا خلال أربع ساعات من التصنيف وفي موعد لا يتجاوز 24 ساعة من الكشف، وتقريرًا مرحليًا خلال 72 ساعة، وتقريرًا نهائيًا خلال شهر.
✓تحتفظ الكيانات المالية بسجل معلومات لجميع عقود تقنية المعلومات والاتصالات، وتظل مسؤولة مسؤولية كاملة عند الاستعانة بمصادر خارجية.
✓السجلات وسجلات التحقيق وسجلات الحوادث أدلة ستحتاج إليها، لكن المسؤولية تبقى على عاتق الكيان ومجلس إدارته.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

Vigilbase OS

اعرف المزيد

SOC مُدار

اعرف المزيد

الأمن السيبراني للمصارف والخدمات المالية

اعرف المزيد

الأمن السيبراني لشركات التقنية المالية

اعرف المزيد

اتفاقية مستوى الخدمة لدى Vigilbase

اعرف المزيد

الأسئلة الشائعة

متى دخل DORA حيز النفاذ؟

دخل DORA حيز النفاذ في 16 يناير 2023، ويُطبَّق منذ 17 يناير 2025. وهو لائحة، لذا فهو قابل للتطبيق المباشر في جميع الدول الأعضاء في الاتحاد الأوروبي دون حاجة إلى نقله إلى القانون الوطني.اختيار باقة للخدمات الماليةناقشوا نطاق العمل مع Vigilbase

من يجب عليه الامتثال لـDORA؟

ينطبق DORA على 20 نوعًا من الكيانات المالية في الاتحاد الأوروبي، منها مؤسسات الائتمان ومؤسسات الدفع والنقود الإلكترونية وشركات الاستثمار وشركات التأمين ومزودو خدمات الأصول المشفرة ومديرو الصناديق، وكذلك على مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة. وتُستثنى بعض الكيانات الصغيرة، مثل وسطاء التأمين من المؤسسات الصغيرة والمتوسطة.تطبّق الكيانات المالية القواعد بما يتناسب مع حجمها ومستوى مخاطرها وطبيعة خدماتها ونطاقها ومدى تعقيدها.اختيار باقة للخدمات الماليةالتغطية والتزامات الاستجابة للحوادث

ما مواعيد الإبلاغ عن الحوادث في DORA؟

في حالة الحادث الجسيم المتعلق بتقنية المعلومات والاتصالات، يجب تقديم الإخطار الأولي خلال أربع ساعات من تصنيفه بوصفه جسيمًا، وفي موعد لا يتجاوز 24 ساعة من العلم به. ويجب تقديم التقرير المرحلي خلال 72 ساعة من الإخطار الأولي، والتقرير النهائي في موعد لا يتجاوز شهرًا واحدًا من آخر تقرير مرحلي.ترد هذه المواعيد في اللائحة المفوَّضة (الاتحاد الأوروبي) 2025/301 الصادرة عن المفوضية. ويجوز لبعض الكيانات تقديم التقرير حتى ظهر يوم العمل التالي إذا صادف الموعد النهائي عطلة نهاية أسبوع أو عطلة رسمية.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

ما سجل المعلومات في DORA؟

هو سجل يحتفظ به كل كيان مالي لجميع ترتيباته التعاقدية الخاصة بخدمات تقنية المعلومات والاتصالات المقدَّمة من أطراف ثالثة، مع التمييز بين تلك التي تدعم وظائف حرجة أو مهمة وغيرها. وترفع الكيانات تقارير بشأنه إلى سلطتها المختصة مرة سنويًا على الأقل، وتتيح السجل كاملًا عند الطلب.عمليات التكامل المدعومة ونطاق التشغيلالخصوصية والتعامل مع البيانات

هل يمكن لـVigilbase أن تجعلنا ملتزمين بـDORA؟

لا. يُبقي DORA المسؤولية على عاتق الكيان المالي ومجلس إدارته. ويساعدك Vigilbase OS على إعداد الأدلة: فهو يحفظ السجلات والأحداث في مكان واحد قابلة للتدقيق، وتسجل تحقيقاته الأدلة والإجراءات المتخذة والتحقق منها.تُحدَّد فترة الاحتفاظ الافتراضية بالسجلات لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا، لذا قارنها بإجراءات تسجيل الأحداث لديك.ابدأ مع Vigilbase OSكيف يعمل الأمن السيبراني القائم على الوكلاء

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

الامتثال والحوكمة

أي مستوى من Managed Cloudflare ينبغي لفريق الخدمات المالية شراؤه؟

الامتثال والحوكمة

PCI DSS 6.4.3 و11.6.1

الامتثال والحوكمة

NIS2 في البرتغال

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم