الامتثال لـ DORA من أجل القطاع المالي

DORA ‏(Digital Operational Resilience Act، اللائحة (EU) 2022/2554) هو الإطار القانوني للاتحاد الأوروبي للمرونة التشغيلية الرقمية في القطاع المالي. وتسري اللائحة منذ 17 يناير 2025 مباشرة في جميع الدول الأعضاء — دون قانون تطبيق وطني؛ وفي ألمانيا يواكب قانون رقمنة الأسواق المالية (Finanzmarktdigitalisierungsgesetz) اختصاصات الرقابة.

يشمل DORA أكثر من 20 فئة من المؤسسات المالية — منها البنوك وشركات التأمين ومؤسسات الأوراق المالية ومؤسسات الدفع والنقود الإلكترونية وشركات إدارة رؤوس الأموال ومقدّمو خدمات الأصول المشفّرة. وإضافة إلى ذلك يخضع مقدّمو خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة المصنّفون حرجين (مثل مزوّدي الخدمات السحابية) لإطار رقابة أوروبي خاص.

يقوم DORA على خمس ركائز: إدارة مخاطر تقنية المعلومات والاتصالات، ومعالجة الحوادث المتعلقة بتقنية المعلومات والاتصالات والإبلاغ عنها، واختبار المرونة التشغيلية الرقمية (وصولًا إلى TLPT)، وإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات بما في ذلك سجل المعلومات والالتزامات التعاقدية وفق المادة 30، وتبادل المعلومات الطوعي حول التهديدات السيبرانية.

بعد تصنيف الحادث على أنه جسيم، يجب تقديم الإبلاغ الأولي في موعد أقصاه أربع ساعات من التصنيف، وفي جميع الأحوال خلال 24 ساعة من العلم به. ويلي ذلك التقرير المرحلي خلال 72 ساعة، ثم التقرير النهائي في موعد أقصاه شهر واحد بعد التقرير المرحلي. وفي ألمانيا تُقدَّم البلاغات عبر منصة MVP التابعة لـ BaFin.

يُعدّ TLPT (Threat-Led Penetration Testing) وفق المادتين 26/27 من DORA اختبار اختراق موجّهًا بالتهديدات يُجرى على أنظمة الإنتاج، ويستند منهجيًا إلى TIBER-EU. ويلتزم به المؤسسات المالية التي تحددها الجهة الرقابية لهذا الغرض — مرة كل ثلاث سنوات على الأقل، مع مرحلة استخبارات التهديدات وفريق Red Team خارجي.

يوثّق سجل المعلومات جميع الاتفاقيات التعاقدية المتعلقة بخدمات تقنية المعلومات والاتصالات مع مزوّدين من الأطراف الثالثة — استنادًا إلى نماذج ESA. ويُقدَّم سنويًا إلى الجهة الرقابية؛ وقد حددت BaFin لعام 2026 نافذة التقديم من 9 إلى 30 مارس عبر منصة MVP، إما كملف xBRL وفق تصنيف ESA أو كنموذج Excel.

يُعدّ DORA قانونًا خاصًا (lex specialis) للقطاع المالي: فحيثما ينطبق DORA تتقدّم متطلباته على التزامات NIS2 — ولذلك توجّه المؤسسات المالية برنامجها أساسًا نحو DORA. أما المجموعات التي لديها شركات خارج القطاع المالي فعليها الفصل بوضوح بين النظامين والاستفادة المقصودة من أوجه التآزر، مثلًا في إدارة المخاطر.

نقدّم مكوّنات DORA من مصدر واحد: تحليل الفجوات وإطار إدارة مخاطر تقنية المعلومات والاتصالات، وإنشاء سجل المعلومات وصيانته، وتحليل العقود وفق المادة 30، وعمليات الإبلاغ عن حوادث تقنية المعلومات والاتصالات، واختبارات المرونة وصولًا إلى TLPT — مع VamiRedTeam، وبمنهجية جاهزة لـ TIBER-EU.