DORA (Regulation (EU) 2022/2554)
ما هو
لائحة من الاتحاد الأوروبي بشأن المرونة التشغيلية الرقمية للقطاع المالي، تُطبَّق مباشرةً في كل دولة عضو منذ 17 يناير 2025. وتقوم على ركائز هي: إدارة مخاطر تقنية المعلومات والاتصالات (المواد من 5 إلى 16)، وإدارة الحوادث المتعلقة بها والإبلاغ عنها (من 17 إلى 23)، واختبار المرونة التشغيلية الرقمية (من 24 إلى 27)، ومخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات (من 28 إلى 44)، وتبادل المعلومات (45). وتضيف المعايير التقنية التنظيمية، مثل اللائحة المفوَّضة (EU) 2024/1774 بشأن إطار إدارة مخاطر تقنية المعلومات والاتصالات، التفاصيل اللازمة.
من يحتاجه
نحو عشرين نوعاً من الكيانات المالية في الاتحاد الأوروبي، تشمل مؤسسات الائتمان، ومؤسسات الدفع ومؤسسات النقود الإلكترونية، وشركات الاستثمار، ومزودي خدمات الأصول المشفرة، وشركات التأمين وإعادة التأمين. كما تشرف السلطات الأوروبية للرقابة الاحتياطية على مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة ذوي الأهمية الحرجة بشكل مباشر. وبالنسبة إلى الكيانات المالية، تتقدم قواعد DORA على الإجراءات المكافئة في توجيه NIS2.
كيف يُقيَّم
لا توجد شهادة. تتولى السلطات الوطنية المختصة، والبنك المركزي الأوروبي بالنسبة إلى البنوك الهامة، الإشراف على الامتثال. تُبلَّغ الحوادث الجسيمة المتعلقة بتقنية المعلومات والاتصالات على مراحل (إخطار أولي، وتقارير مرحلية، وتقرير نهائي) وفق مواعيد تحددها المعايير التقنية. ويجب على الكيانات التي تختارها سلطتها أن تُجري اختبار اختراق يقوده تهديد (TLPT) مرة واحدة على الأقل كل ثلاث سنوات.
الأعداد: المواد التي تُلزم الجهات المالية (5–14، 16–19، 24–30، 45)، مربوطة على مستوى الفقرة.
يقصد DORA هنا المواد التي تُلزم الجهات المالية، وقد رُبطت تحريريًا على مستوى الفقرة. أما المعايير التقنية التي تضيف التفاصيل، مثل اللائحة المفوضة (EU) 2024/1774، فلم تُربط، لذلك لا يظهر رابط للموضوعات التقنية التي تغطيها.
المتطلبات
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
| ID | المتطلب | الموضوعات | مُطابَق في |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | إدارة المخاطر, سياسة الحوكمة, الأدوار والمسؤوليات, الامتثال, التوعية والتدريب | 10 من 13 |
| Art.6 | ICT risk management framework | إدارة المخاطر, الأمن المادي, الأدوار والمسؤوليات, سياسة الحوكمة, الامتثال | 10 من 13 |
| Art.7 | ICT systems, protocols and tools | — | لا شيء |
| Art.8 | Identification | إدارة الأصول, بيئة الأعمال, تصنيف البيانات, تقييم المخاطر, إدارة الثغرات, استخبارات التهديدات | 13 من 13 |
| Art.9 | Protection and prevention | المراقبة المستمرة, حماية البيانات, التشفير, سياسة الحوكمة, جدار الحماية / تجزئة الشبكة, التحكم في الوصول, الوصول المميز, الأمن المادي, المصادقة متعددة العناصر, إدارة الرقع | 10 من 13 |
| Art.10 | Detection | كشف التسلل, اكتشاف الشذوذ, SIEM / SOC, المراقبة المستمرة, التسجيل والتدقيق, التهديدات الداخلية | 10 من 13 |
| Art.11 | Response and recovery | استمرارية الأعمال, الاستجابة للحوادث, التخفيف, التواصل والاستعادة, تخطيط الاستعادة, بيئة الأعمال, التعافي من الكوارث | 8 من 13 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | النسخ الاحتياطي والاستعادة, التعافي من الكوارث, تخطيط الاستعادة | 11 من 13 |
| Art.13 | Learning and evolving | استخبارات التهديدات, الطب الشرعي الرقمي, الدروس المستفادة, التوعية والتدريب | 6 من 13 |
| Art.14 | Communication | الاتصالات | 8 من 13 |
| Art.16 | Simplified ICT risk management framework | إدارة المخاطر | 10 من 13 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | الاستجابة للحوادث, الطب الشرعي الرقمي, الاتصالات, التخفيف | 12 من 13 |
| Art.18 | Classification of ICT-related incidents and cyber threats | الاستجابة للحوادث, الإبلاغ | 12 من 13 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | الإبلاغ | 12 من 13 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | إدارة المخاطر | 10 من 13 |
| Art.25 | Testing of ICT tools and systems | إدارة الثغرات | 13 من 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | إدارة الثغرات | 13 من 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | إدارة الثغرات | 13 من 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | مخاطر سلسلة التوريد, إدارة مخاطر الموردين, أمن السحابة | 9 من 13 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | مخاطر سلسلة التوريد | 9 من 13 |
| Art.30 | Key contractual provisions | أمن السحابة, إدارة مخاطر الموردين | 12 من 13 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | استخبارات التهديدات | 6 من 13 |
تغطية الموضوع
الموضوعات ذات متطلبات DORA المربوطة (39):
لا يوجد ربط في بياناتنا لا يوجد متطلب DORA (11):