يشكّل نظام إدارة أمن المعلومات (ISMS) وفق ISO/IEC 27001 الأساس، وتُضيفون فروقات DORA كطبقة إضافية (Overlay) – بمنهجية مخاطر واحدة وإطار ضوابط واحد وأدلة مشتركة. ترافقكم VamiSec من تحليل الفجوات حتى التشغيل المتكامل.
مع DORA (اللائحة (EU) 2022/2554) يسري منذ 17 يناير 2025 إطار قانوني قابل للتطبيق المباشر للمرونة التشغيلية الرقمية في القطاع المالي – من البنوك وشركات التأمين وشركات الأوراق المالية حتى مؤسسات الدفع ومقدمي خدمات الأصول المشفرة. وتجمع اللائحة متطلباتها في خمس ركائز: إدارة مخاطر تقنية المعلومات والاتصالات (المواد 5–16)، وإدارة الحوادث والإبلاغ (المواد 17–23)، واختبارات المرونة (المواد 24–27)، ومخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات (المواد 28–44)، وتبادل المعلومات (المادة 45). وتُفصّل المعايير الفنية التنظيمية والتنفيذية المكمّلة الالتزامات حتى المستوى التشغيلي.
الخبر السار: طوّرت الهيئات الإشرافية الأوروبية (ESAs) المعايير الفنية مع مراعاة صريحة لعائلة ISO 27000، وتستخدم مصطلحاتها. وبذلك يوفر نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022 الحوكمة ومنهجية المخاطر وإطار الضوابط ودورة التدقيق التي يرتكز عليها تنفيذ DORA. ومن يُشغّل الإطارين بالتوازي، ينتج سياسات مزدوجة وتقييمات مخاطر مزدوجة وعمليات تدقيق مزدوجة. أما مع التنفيذ المتكامل فيبقى نظام إدارة واحد – وتُضيفون المتطلبات الخاصة بـ DORA كطبقة إضافية.
تعرض النظرة العامة ربطنا لمكوّنات DORA مع ISO/IEC 27001:2022 على مستوى الضوابط – وما يتطلبه DORA أبعد من ذلك.
ستة أسباب لبناء DORA على نظام إدارة أمن المعلومات لديكم بدلًا من بنائه بجانبه.
وفقًا لتصريحاتها، راعت الهيئات الإشرافية الأوروبية (ESAs) عائلة ISO 27000 في المعايير الفنية لإدارة مخاطر تقنية المعلومات والاتصالات، وتستخدم مصطلحاتها عن قصد. ومن يُشغّل نظام إدارة أمن المعلومات وفق ISO 27001، يعمل بالفعل ضمن منطق المصطلحات والضوابط الخاص بـ DORA.
يُوسَّع تقييم المخاطر وفق الفصل 6.1.2/6.1.3 ليشمل الوظائف والأصول والتبعيات المدعومة بتقنية المعلومات والاتصالات وفق المادتين 6 و8. تقيّمون مرة واحدة – وتخدمون الإطارين معًا.
تبقى السياسات وبيان قابلية التطبيق (SoA) وأدلة الإثبات ضمن مخزون وثائق واحد مُدار. وتخضع الوثائق الخاصة بـ DORA مثل استراتيجية المرونة التشغيلية الرقمية أو سجل المعلومات للإدارة نفسها – بدلًا من أن تتقادم في أرشيف موازٍ.
تشكّل الضوابط الـ93 في Annex A الأساس؛ وتُربط متطلبات DORA وRTS كطبقة إضافية على الضوابط القائمة. ويُنفَّذ كل إجراء مرة واحدة فقط ويُشغَّل مرة واحدة فقط.
تغطي عمليات التدقيق الداخلي وفق الفصل 9.2 ومراجعة الإدارة وفق الفصل 9.3 الإطارين في دورة واحدة. ويخدم كل دليل عدة سياقات فحص – من تدقيق الحصول على الشهادة حتى الاستفسار الرقابي.
بدلًا من بناء DORA من الصفر، تركّزون الميزانية والفريق على ما لا يغطيه ISO 27001: مهل الإبلاغ وصيغه، وسجل المعلومات، وبرنامج الاختبار وTLPT، والبنود التعاقدية، ومسؤولية الجهاز الإداري.
خمس خطوات من تحليل الفجوات حتى التشغيل المتكامل.
نفحص نطاق تطبيق نظام إدارة أمن المعلومات لديكم مقابل نطاق تطبيق DORA – فنظام إدارة أمن المعلومات الحاصل على شهادة بنطاق محدود لا يغطي DORA تلقائيًا للمؤسسة المالية بأكملها. ثم نحدد الفروقات لديكم مقابل المواد 5–45 ومعايير RTS وITS ذات الصلة.
تُربط متطلبات DORA وRTS بضوابط Annex A لديكم، ويُوسَّع بيان قابلية التطبيق، وتُحدَّد ضوابط الطبقة الإضافية. والنتيجة إطار ضوابط واحد للإطارين معًا.
نُكمل ما يشترطه DORA إضافةً: عمليات الإبلاغ بمهلها ونماذجها الإلزامية، وسجل المعلومات، وتعديلات العقود وفق المادة 30، وتقييم مخاطر التركّز، والوظيفة المستقلة لرقابة مخاطر تقنية المعلومات والاتصالات، وكذلك تدريبات الجهاز الإداري.
تُرسون برنامج اختبار لجميع أنظمة تقنية المعلومات والاتصالات التي تدعم وظائف حرجة أو مهمة، وتقيّمون جاهزيتكم لـ TLPT. ويُوسَّع التدقيق الداخلي ومراجعة الإدارة ليشملا منظور DORA – دورة فحص واحدة، وإطاران تنظيميان.
في التشغيل تتشابك الدورات: المراجعة السنوية لإطار إدارة مخاطر تقنية المعلومات والاتصالات وفق المادة 6، وتحديث سجل المعلومات، والدروس المستفادة من الحوادث وفق المادة 13. وتنعكس النتائج في عملية التحسين وفق الفصل 10 – لـ ISO وDORA على حد سواء.
تُفعّل منصة GRC الوكيلية والأصيلة بالذكاء الاصطناعي من VamiSec التنفيذَ المتكامل عمليًا.
تُجسّد VamiGRC كلًا من DORA وISO 27001:2022 معًا في محرك أطر عمل قائم على OSCAL – إلى جانب 22 لائحة من المستوى الأول (Tier-1) وأكثر من 50 معيارًا وإطار عمل إجمالًا. ويقود خط قابلية التطبيق المكوّن من خمس مراحل من المحركات التنظيمية مرورًا بالنطاق والربط حتى الأدلة وبيان قابلية التطبيق (SoA)؛ ويُعاد استخدام 63% من الضوابط عبر ثلاثة أطر عمل أو أكثر – تنفيذ مرة واحدة، واستيفاء متعدد. وتوجد المخاطر والضوابط وأدلة الإثبات والمورّدون في رسم بياني GRC قابل للاستعلام بدلًا من صوامع منفصلة. وتُشغَّل المنصة على T Cloud Public (المعروفة سابقًا بـ Open Telekom Cloud) – حصريًا في مراكز بيانات ألمانية.
يربط المحرك القائم على OSCAL المتطلبات عبر الأطر ويؤتمت الربط المتقاطع – وهو الأساس لطبقة DORA الإضافية لديكم على إطار ضوابط ISO.
يدير IMS Repository الوثائق في 12 فئة قياسية – من السياسات مرورًا ببيان قابلية التطبيق (SoA) حتى عمليات التدقيق. ويُسجَّل كل إجراء في سجل تدقيق غير قابل للتعديل، والأدلة مترابطة تشفيريًا.
تجمع لوحة المخاطر (Risk Dashboard) جميع المخاطر في خريطة حرارية 5×5 (متأصلة/متبقية) مع تقدير مالي للتعرض لكل وحدة أعمال ونمذجة Monte Carlo قائمة على FAIR.
تُشغّل إدارة الحوادث ساعات العدّ التنازلي للمهل التنظيمية، ومنها مهل DORA، وتتعرّف تلقائيًا على التزامات الإبلاغ، وتأتي مع أكثر من 15 نموذجًا لأدلة التشغيل.
تستنتج وحدة مخاطر الأطراف الثالثة درجة الأهمية الحرجة تلقائيًا من العمليات والبيانات، وتراقب المورّدين باستمرار؛ ويربط Supplier Contract Wizard أكثر من 220 بندًا رئيسيًا بالضوابط.
إجابات عن أكثر الأسئلة التي تصلنا حول DORA وISO 27001.
لا. DORA لائحة أوروبية سارية مباشرة؛ ولا يوجد اعتراف رسمي بشهادة ISO 27001 كدليل إثبات على DORA. غير أن الهيئات الإشرافية الأوروبية (ESAs) طوّرت المعايير الفنية مع مراعاة صريحة لعائلة ISO 27000 – وبذلك يشكّل نظام إدارة أمن المعلومات لديكم أساسًا داعمًا، بينما يتعين عليكم تنفيذ الفروقات مثل مهل الإبلاغ وسجل المعلومات أو TLPT إضافةً.
DORA (اللائحة (EU) 2022/2554) قابلة للتطبيق المباشر منذ 17 يناير 2025. وتسري على المؤسسات المالية مثل البنوك وشركات التأمين وشركات الأوراق المالية ومؤسسات الدفع والنقود الإلكترونية ومقدمي خدمات الأصول المشفرة. وتنقسم المتطلبات إلى خمس ركائز: إدارة مخاطر تقنية المعلومات والاتصالات، وإدارة الحوادث والإبلاغ، واختبارات المرونة، ومخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات، وتبادل المعلومات.
تحدد اللائحة المفوّضة (EU) 2025/301: إبلاغ أولي خلال 4 ساعات من التصنيف كحادث جسيم، وفي موعد أقصاه 24 ساعة من العلم به؛ وتقرير مرحلي خلال 72 ساعة من إرسال الإبلاغ الأولي؛ وتقرير نهائي خلال شهر واحد من التقرير المرحلي (آخر تحديث له). وتفرض اللائحة التنفيذية (EU) 2025/302 النماذج القياسية. وفي ألمانيا تُبلغون BaFin عبر بوابة MVP.
وفقًا للمادة 26، يجب على المؤسسات المالية التي تحددها الجهة الرقابية إجراء اختبار اختراق موجّه بالتهديدات (TLPT) كل ثلاث سنوات على الأقل على أنظمة الإنتاج الحية التي تدعم وظائف حرجة أو مهمة. وتتوافق معايير RTS المرتبطة (اللائحة المفوّضة (EU) 2025/1190) مع إطار TIBER-EU، وتنظّم النطاق والمنهجية والمتطلبات الخاصة بالمختبِرين. وتقرر الجهة الرقابية في كل حالة على حدة ما إذا كانت مؤسستكم ستُحدَّد – ولذلك يُعدّ تقييم الجاهزية المبكر أمرًا مفيدًا.
سجل معلومات لجميع الترتيبات التعاقدية مع مقدمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة في 15 نموذجًا قياسيًا (اللائحة التنفيذية (EU) 2024/2956)، وكتالوج البنود التعاقدية الملزم في المادة 30، وتقييم مخاطر التركّز قبل إبرام العقد (المادة 29)، وكذلك استراتيجيات خروج للوظائف الحرجة. ويُضاف إلى ذلك الإشراف الأوروبي (Oversight) على مقدمي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة: فقد صنّفت الهيئات الإشرافية الأوروبية (ESAs) في نوفمبر 2025 أول 19 مقدم خدمة، منهم AWS وMicrosoft وGoogle Cloud – ويتعين عليكم مراعاة هذا الوضع في إدارة مخاطر الأطراف الثالثة لديكم.
نعم. ترسّخ المادة 4 مبدأ التناسب وفق الحجم وملف المخاطر والتعقيد؛ وتحدد المادة 16 لبعض المؤسسات الصغيرة إطارًا مبسّطًا لإدارة مخاطر تقنية المعلومات والاتصالات، تُفصّله RTS (EU) 2024/1774 وإشعار إشرافي من BaFin بتاريخ 21 أغسطس 2025. لكن خلافًا لنظام إدارة أمن المعلومات، لا يمكن تحديد نطاق التطبيق بحرية – إذ يضع DORA حدًا أدنى من المتطلبات التنظيمية.
تحدثوا مع فريقنا حول وضع DORA لديكم ونظام إدارة أمن المعلومات – نوضح لكم أين تكمن أوجه التآزر وأي الفروقات تتطلب جهدًا فعليًا.
