DORA: المرونة التشغيلية الرقمية في القطاع المالي

تسري DORA على طيف واسع من المؤسسات المالية الخاضعة للرقابة – من مؤسسات الائتمان مرورًا بشركات التأمين ومؤسسات الدفع والأوراق المالية حتى بعض مقدّمي خدمات الأصول المشفرة – وكذلك على مقدّمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة للقطاع المالي. ومن حيث المضمون تقوم اللائحة على خمس ركائز: إدارة مخاطر تقنية المعلومات والاتصالات (المواد 5–16)، وإدارة الحوادث المتعلقة بتقنية المعلومات والاتصالات والإبلاغ عنها (المواد 17–23)، واختبار المرونة التشغيلية الرقمية بما في ذلك TLPT (المواد 24–27)، وإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات مع الرقابة (المواد 28–44)، واتفاقيات تبادل المعلومات بشأن التهديدات السيبرانية (المادة 45). وتُفصَّل المتطلبات التفصيلية على مستوى ثانٍ عبر RTS وITS، التي تسري مباشرةً بصفتها لوائح مفوَّضة أو تنفيذية.

الجوهر هو إطار موثق لإدارة مخاطر تقنية المعلومات والاتصالات تتحمل هيئة الإدارة المسؤولية الشاملة عنه. ويتبع دورة حياة تشمل التحديد، والحماية والوقاية، والكشف، والاستجابة والاستعادة، والتعلم والتطوير – بما في ذلك إجراءات النسخ الاحتياطي والاستعادة وخطط الاتصال والمراجعة المنتظمة. ولبعض الشركات الأصغر والأقل ترابطًا تنص المادة 16 على إطار مبسّط لإدارة مخاطر تقنية المعلومات والاتصالات بمتطلبات مخففة.

يجب على المؤسسات المالية تسجيل الحوادث المتعلقة بتقنية المعلومات والاتصالات وتصنيفها وفق عملية محددة والإبلاغ عن الحوادث الجسيمة إلى الجهة المختصة – وفي ألمانيا تؤدي BaFin دور مركز الإبلاغ الوطني. وتنظم اللائحة المفوَّضة (EU) 2024/1772 معايير التصنيف؛ وتحدد اللائحة المفوَّضة (EU) 2025/301 واللائحة التنفيذية (EU) 2025/302 المهل والمحتويات والنماذج: الإبلاغ الأولي في الغالب خلال أربع ساعات من التصنيف كحادث جسيم وخلال 24 ساعة كحد أقصى من العلم به، وتقرير مرحلي خلال 72 ساعة من الإبلاغ الأولي، وتقرير ختامي خلال شهر. ويمكن إضافةً إلى ذلك الإبلاغ طوعًا عن التهديدات السيبرانية الكبيرة.

يجب على جميع المؤسسات المالية باستثناء المؤسسات متناهية الصغر تشغيل برنامج قائم على المخاطر لاختبار المرونة التشغيلية الرقمية، من تقييمات الثغرات الأمنية حتى الاختبارات القائمة على السيناريوهات. وعلاوة على ذلك يجب على الشركات التي تحددها السلطات لهذا الغرض إجراء اختبارات اختراق موجَّهة بالتهديدات (TLPT) وفق المادتين 26/27 مرة كل ثلاث سنوات على الأقل – على أنظمة الإنتاج الحية وبما يشمل عدة وظائف حرجة أو مهمة أو جميعها؛ ويجوز للجهة المختصة تعديل التواتر. وتحدد اللائحة المفوَّضة (EU) 2025/1190 (RTS الخاصة بـ TLPT)، القابلة للتطبيق منذ 8 يوليو 2025، المعايير والنطاق والمنهجية والمتطلبات المفروضة على المختبِرين الداخليين والخارجيين. ويُستخدم إطار TIBER-EU الخاص بمنظومة اليورو كدليل تنفيذ، وقد وائمه البنك المركزي الأوروبي في 11 فبراير 2025 مواءمة كاملة مع DORA ومعايير RTS.

يُلزم الفصل V المؤسسات المالية بإدارة المخاطر الناشئة عن عقود خدمات تقنية المعلومات والاتصالات عبر دورة الحياة كاملة: الاستراتيجية والمبادئ بما في ذلك استراتيجيات الخروج (المادة 28)، وتقييم مخاطر التركّز في تقنية المعلومات والاتصالات (المادة 29)، والحد الأدنى من المحتويات التعاقدية مثل حقوق الأمن والتدقيق والإنهاء (المادة 30). والأداة المحورية هي سجل المعلومات (Register of Information) وفق المادة 28(3) الذي يشمل جميع الاتفاقيات التعاقدية مع مقدّمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة؛ وتفرض اللائحة التنفيذية (EU) 2024/2956 لذلك قوالب قياسية مُلزِمة. وتُستخدم السجلات المقدَّمة في الوقت ذاته قاعدة بيانات للجهات الرقابية – ومن ذلك تصنيف مقدّمي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة.

بموجب DORA تحصل الجهات الرقابية الأوروبية الثلاث EBA وEIOPA وESMA (ESAs) لأول مرة على تفويض رقابي مباشر على مقدّمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة المصنّفين كحرجين للقطاع المالي. وفي 18 نوفمبر 2025 سمّت ESAs أول 19 مقدّم خدمات تقنية معلومات واتصالات حرجًا من الأطراف الثالثة، ومنهم كبار مزوّدي الحوسبة السحابية ومراكز البيانات والشبكات؛ وكان أساس تقييم الأهمية الحرجة سجلات المعلومات لدى المؤسسات المالية. ويُسند كل مزوّد مصنَّف إلى جهة رقابية رئيسية (Lead Overseer) من بين ESAs، يمكنها طلب المعلومات وإجراء التحقيقات وإصدار التوصيات. ولا يمس ذلك مسؤولية المؤسسات المالية عن مخاطر الأطراف الثالثة الخاصة بها.