DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعل
بالنسبة إلى الكيانات المالية في الاتحاد الأوروبي، يحلّ DORA محل قواعد الأمن في NIS2. معظم العمل واحد، وتكمن الفروق في مخاطر الأطراف الثالثة والاختبار وإعداد التقارير.
إذا كنت تعمل في كيان مالي داخل الاتحاد الأوروبي، فالسؤال ليس ما إذا كان DORA أو NIS2 ينطبق على برنامجك الأمني. يسمح NIS2 بأن يتقدّم عليه تشريع قطاعي للاتحاد الأوروبي تكون متطلباته للأمن السيبراني معادلة على الأقل، وبالنسبة إلى القطاع المالي فهذا التشريع هو قانون المرونة التشغيلية الرقمية، اللائحة (EU) 2022/2554، المطبّق منذ 17 يناير 2025.
السؤال العملي مختلف: إذا كنت قد بنيت برنامج NIS2 بالفعل، أو تديره لبقية مجموعتك، فما مقدار ما ينتقل منه؟ بياناتنا تجيب عن ذلك مادةً بمادة.
الرقم الرئيسي
من أصل 22 المواد في DORA، يُطابق 20 (91%) شيئًا في NIS2، وترتبط 1 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا. افتح تقرير الفجوات →
اقرأ هذا على أنه "ما تشير إليه أعمال NIS2 لديك حاليًا"، لا على أنه "مُنجَز". لا يوجد جدول مطابقة منشور يربط DORA بـNIS2، لذا فإن كل ربط هنا تحريري من ControlMapping: ربطنا DORA على مستوى الفقرة والبند بالمواضيع الأمنية نفسها الواردة في اللائحة التنفيذية لـNIS2، ويظهر سبب كل ربط في صفحة المتطلب.
DORA مادةً بمادة
| DORA | المتطلب | تطابق | NIS2 |
|---|---|---|---|
| Art.5(2)(a) | Governance and organisation | تحريري | 2.17.11.22.2 |
| Art.6(1) | ICT risk management framework | تحريري | 2.17.113.113.2 |
| Art.7 | ICT systems, protocols and tools | لا يوجد ربط في بياناتنا | — |
| Art.8(1) | Identification | تحريري | 12.112.42.16.5 |
| Art.9(1) | Protection and prevention | تحريري | 3.212.212.31.1 |
| Art.10(1) | Detection | تحريري | 3.23.410.210.4 |
| Art.11(1) | Response and recovery | تحريري | 4.14.33.13.5 |
| Art.12(1) | Backup policies and procedures, restoration and recovery procedures and methods | تحريري | 4.24.1 |
| Art.13(1) | Learning and evolving | تحريري | 3.53.68.18.2 |
| Art.14(1) | Communication | تحريري | 4.3 |
| Art.16(1) | Simplified ICT risk management framework | تحريري | 2.17.1 |
| Art.17(1) | ICT-related incident management process | تحريري | 3.13.54.3 |
| Art.18(1) | Classification of ICT-related incidents and cyber threats | تحريري | 3.13.33.5 |
| Art.19(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | تحريري | 3.3 |
| Art.24(1) | General requirements for the performance of digital operational resilience testing | تحريري | 2.17.1 |
| Art.25(1) | Testing of ICT tools and systems | تحريري | 6.56.10 |
| Art.26(1) | Advanced testing of ICT tools, systems and processes based on TLPT | تحريري | 6.56.10 |
| Art.27(1) | Requirements for testers for the carrying out of TLPT | تحريري | 6.56.10 |
| Art.28(2) | General principles | تحريري | 5.16.15.2 |
| Art.29(1) | Preliminary assessment of ICT concentration risk at entity level | تحريري | 5.16.1 |
| Art.30(2) | Key contractual provisions | تحريري | 5.15.26.112.5 |
| Art.45(1) | Information-sharing arrangements on cyber threat information and intelligence | 2.14.36.10 |
التداخل واسع لأن النصين يصفان البرنامج نفسه: إطارٌ موثّق لإدارة المخاطر، وتحديد الأصول، والحماية والكشف، ومعالجة الحوادث، واستمرارية الأعمال، وأمن الموردين. وحيث يوجد لدى DORA مقابل مباشر في اللائحة التنفيذية، يتطابق الموضوع، أما التفاصيل فكثيرًا ما لا تتطابق.
ما الذي يضيفه DORA
- سجل المعلومات. تشترط المادة 28(3) سجلًا لكل ترتيب تعاقدي لخدمات تقنية المعلومات والاتصالات، يُحفظ على مستوى الكيان والمجموعة، مع إعداد تقرير سنوي للسلطة المختصة. يطلب NIS2 منك إدارة أمن الموردين، لكنه لا يطلب سجلًا خاضعًا لشروط تنظيمية محددة.
- شروط تعاقدية إلزامية. تحدد المادة 30 ما يجب أن يتضمنه كل عقد لخدمات تقنية المعلومات والاتصالات، ويشمل ذلك مكان معالجة البيانات، والوصول إلى البيانات وإعادتها، والمساعدة في الحوادث دون تكلفة إضافية أو بتكلفة محددة مسبقًا، وحقوق الإنهاء. وتضيف العقود الخاصة بالوظائف الحرجة أو المهمة حقوق التدقيق، والمشاركة في الاختبارات المدفوعة بالتهديدات، وفترات الخروج.
- مخاطر التركّز والخروج. قبل التعاقد، تسأل المادة 29 عمّا إذا كان من الصعب استبدال مزوّد معيّن وكيف تؤثر سلاسل التعاقد من الباطن فيك؛ وتشترط المادة 28(8) استراتيجيات خروج مُختبَرة للوظائف الحرجة أو المهمة.
- اختبار الاختراق المدفوع بالتهديدات. يجب على الكيانات التي تختارها سلطتها أن تُجري اختبار TLPT على الأنظمة الإنتاجية الحية مرة واحدة على الأقل كل ثلاث سنوات (المادة 26)، بواسطة مختبِرين يستوفون متطلبات المادة 27. تطلب اللائحة التنفيذية لـNIS2 تقييم فعالية الإجراءات المتخذة، لكنها لا تفرض TLPT.
- تصنيف الحوادث والتقارير المرحلية. تحدد المادة 18 المعايير التي تقرر ما إذا كان الحادث جسيمًا، وتشترط المادة 19 إشعارًا أوليًا وتقارير مرحلية وتقريرًا نهائيًا. أما NIS2 فله جدوله الخاص: إنذار مبكر خلال 24 ساعة، وإشعار خلال 72 ساعة، وتقرير نهائي خلال شهر. وإذا كنت تُبلّغ وفق النظامين في أجزاء مختلفة من المجموعة، فاحتفظ بإجراءين منفصلين.
- مهام هيئة الإدارة المُحدَّدة. يجعل النظامان الإدارة مسؤولة. ويوضح DORA ما يجب على هيئة الإدارة اعتماده، بدءًا من استراتيجية المرونة التشغيلية الرقمية وصولًا إلى سياسة خدمات الأطراف الثالثة لتقنية المعلومات والاتصالات (المادة 5(2)).
الاتجاه الآخر
من أصل 49 نقاط المتطلبات في NIS2، يُطابق 44 (90%) شيئًا في DORA، وترتبط 5 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا. افتح تقرير الفجوات →
عند الانطلاق من DORA، لا تضيف اللائحة التنفيذية لـNIS2 إلا القليل الجديد من حيث المضمون. لا تتشارك بضع نقاط من المتطلبات مع DORA في بياناتنا إلا نتيجةً عامة، وغالبًا لأن DORA يغطي الموضوع في معاييره التقنية التي لا نربطها. راجع هذه النقاط:
| NIS2 | المتطلب | تطابق | DORA |
|---|---|---|---|
| 6.2 | Secure development life cycle | Art.8(1)Art.8(4)Art.8(6) | |
| 6.3 | Configuration management | Art.28(8)Art.30(2) | |
| 6.9 | Protection against malicious and unauthorised software | Art.9(1)Art.10(1)Art.10(3)Art.10(2) | |
| 10.1 | Human resources security | Art.5(4)Art.10(3)Art.13(6) | |
| 10.3 | Termination or change of employment procedures | Art.10(3) |
إذا كنت قد بنيت برنامجك وفق NIS2 بالفعل
- تحقّق من النظام المنطبق على كل كيان في المجموعة. تتبع الكيانات المالية DORA، ويمكن أن تبقى الشركات الأخرى في المجموعة تحت NIS2.
- أعد استخدام الجوهر. تنتقل إلى الإطار الجديد تقييمات المخاطر، وجرد الأصول، والتحكم في الوصول، والتسجيل، والاستجابة للحوادث، وخطط الاستمرارية؛ وعدّل وتيرة مراجعتها لتتوافق مع وتيرة DORA (على سبيل المثال، تُراجع أطر إدارة مخاطر تقنية المعلومات والاتصالات مرة واحدة على الأقل سنويًا).
- ابنِ طبقة الأطراف الثالثة. ابدأ سجل المعلومات مبكرًا وراجع نماذج عقودك وفق المادة 30. وهذا عادةً أكبر جزء من العمل الجديد.
- خطّط للاختبار. حتى لو لم تختَرك سلطتك لاختبار TLPT، تشترط المادة 24 برنامج اختبار، مع اختبارات سنوية للأنظمة التي تدعم الوظائف الحرجة أو المهمة.
- افصل إجراءات الإبلاغ حيثما ينطبق النظامان معًا في المجموعة.
أبرز النقاط
- يغطي عمل NIS2 معظم موضوعات DORA، ويوضح تحليل الفجوات ذلك متطلبًا بمتطلب.
- يتميز عمل DORA بمخاطر الأطراف الثالثة: السجل، وشروط العقود، ومخاطر التركّز، والخروج.
- لا يوجد مقابل في NIS2 لاختبار الاختراق المدفوع بالتهديدات ولتصنيف الحوادث في DORA.
إلى أين تتجه بعد ذلك
تسرد صفحة إطار DORA كل مادة نربطها مع نصها الرسمي، ويعرض مقارنة NIS2 مقابل DORA الاتجاهين بالكامل، ويغطي دليل NIS2 جانب NIS2.
الأسئلة
هل يجب على الكيان المالي الامتثال لكل من DORA وNIS2؟
فيما يخص إدارة مخاطر تقنية المعلومات والاتصالات والإبلاغ عن الحوادث، يتبع الكيان المالي الداخل في نطاق DORA قواعد DORA: إذ يسمح NIS2 بأن يتقدّم عليه تشريع قطاعي للاتحاد الأوروبي تكون متطلباته معادلة على الأقل، وDORA هو ذلك التشريع للقطاع المالي. أما المجموعات التي تضم أيضًا كيانات غير مالية، ومزودو تقنية المعلومات والاتصالات الذين يخدمون البنوك، فيمكنها أن تلبي الاثنين معًا.
هل يوجد ربط رسمي بين DORA وNIS2؟
لا يوجد جدول مطابقة منشور يربط بينهما. الروابط على ControlMapping تحريرية: ربطنا DORA على مستوى الفقرة والبند بالمواضيع الأمنية نفسها الواردة في اللائحة التنفيذية لـNIS2، ويعرض كل ربط سببه.
ما الذي يشترطه DORA ولا يشترطه NIS2؟
أساسًا: سجل معلومات بجميع عقود خدمات تقنية المعلومات والاتصالات، وقائمة مفصلة بالشروط التعاقدية الإلزامية، وتقييم لمخاطر تركّز تقنية المعلومات والاتصالات، واستراتيجيات الخروج، واختبار الاختراق المدفوع بالتهديدات مرة واحدة على الأقل كل ثلاث سنوات للكيانات التي تختارها سلطتها.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.