قانون DORA بعد ثمانية عشر شهرًا
أصبح قانون المرونة التشغيلية الرقمية (Digital Operational Resilience Act، اللائحة (EU) 2022/2554) ساري المفعول رسميًا منذ 17 يناير 2025. وبعد ثمانية عشر شهرًا، انتقلت السلطات الرقابية (البنك المركزي الأوروبي، والهيئة المصرفية الأوروبية، وهيئة الأوراق المالية والأسواق الأوروبية، والهيئة الأوروبية للتأمين والمعاشات المهنية، والسلطات الوطنية المختصة) بشكل حاسم من مرحلة التوعية إلى مرحلة التطبيق الفعلي. تطرح دورة الرقابة لعام 2026 أسئلة محددة قائمة على الأدلة.
إذا كنت مدير أمن معلومات في كيان مالي يخضع لقانون DORA (بنوك، شركات استثمار، شركات تأمين، مديرو صناديق، مؤسسات دفع، مؤسسات نقود إلكترونية، أطراف مقابلة مركزية، منصات تداول، وكالات تصنيف ائتماني، مزودو خدمات التمويل الجماعي، أو مزودو خدمات تقنية معلومات واتصالات من طرف ثالث ذوو أهمية حرجة)، فمن المتوقع أن تطلب لجنة التدقيق لديك أدلة تثبت الامتثال للركائز الخمس لقانون DORA بحلول الربع الرابع من 2026 على أقصى تقدير.
يستعرض هذا المقال كل ركيزة مع طرح السؤال العملي: ماذا يريد المفتش أن يرى فعليًا؟
الركيزة الأولى: إدارة مخاطر تقنية المعلومات والاتصالات
المواد من 5 إلى 14. وهي الأساس. يتطلب قانون DORA وجود إطار موثق ومعتمد من مجلس الإدارة لإدارة مخاطر تقنية المعلومات والاتصالات يغطي التحديد والحماية والكشف والاستجابة والتعافي والتعلّم والتواصل. من الناحية العملية، يغطي برنامجا ISO 27001 وNIST CSF معظم هذه المتطلبات، مع ثلاث إضافات خاصة بقانون DORA:
- مساءلة صريحة لمجلس الإدارة. يجب أن يعتمد الجهاز الإداري الإطار، ويراجعه سنويًا على الأقل، ويشرف على تنفيذه. ويجب أن تُظهر محاضر اجتماعات مجلس الإدارة ذلك.
- استراتيجية المرونة التشغيلية الرقمية. وثيقة محددة، مستقلة عن سياسة الأمن، توضح كيف يعتزم الكيان الحفاظ على مرونته التشغيلية. تكتشف كيانات عديدة أن لديها جميع العناصر (سياسات، خطط استمرارية الأعمال، خطط الاستجابة للحوادث) لكن بلا وثيقة استراتيجية شاملة.
- سجل وتصنيف أصول المعلومات. جرد لأصول المعلومات وأصول تقنية المعلومات والاتصالات مصنّف حسب الأهمية الحرجة. تجعل المادة 8 هذا المتطلب صريحًا وقابلًا للمراجعة الرقابية.
ما يطلبه المفتش: وثيقة الإطار، والاستراتيجية، وسجل الأصول مع تاريخ آخر تحديث، وثلاث مجموعات من محاضر مجلس الإدارة تُظهر مناقشات الإشراف.
الركيزة الثانية: إدارة حوادث تقنية المعلومات والاتصالات والإبلاغ عنها
المواد من 15 إلى 23. هذه هي النقطة التي يفرض فيها قانون DORA أشد ضغط تشغيلي. يجب أن تكون الحوادث الكبرى المتعلقة بتقنية المعلومات والاتصالات:
- مصنّفة وفقًا للمعايير الواردة في المعايير التقنية التنظيمية (المعاملات المتأثرة، الانتشار الجغرافي، المدة، الأثر الاقتصادي، الأثر على السمعة، أهمية الخدمات الحرجة).
- مُبلَّغ عنها إلى السلطة المختصة عبر إشعار من ثلاث مراحل: إشعار أولي خلال 4 ساعات من التصنيف (وفي موعد لا يتجاوز 24 ساعة من الاكتشاف)، وإشعار متوسط، وإشعار نهائي.
- متبوعة بتحليل السبب الجذري خلال شهر واحد.
واقعان عمليان:
- عتبات التصنيف منخفضة بشكل مفاجئ. يمكن أن يشكّل عدد قليل من معاملات الدفع المتأثرة عبر عدة دول أعضاء حادثًا "كبيرًا". تكتشف معظم المؤسسات، عند تطبيق المعايير فعليًا على حوادث العام الماضي، أن عدة حوادث كانت من الناحية الفنية واجبة الإبلاغ.
- تبدأ مهلة الأربع ساعات فور اكتمال التصنيف. أدرج خطوة التصنيف ضمن دليل الاستجابة للحوادث حتى تتم بسرعة وتُوثَّق.
يُشجَّع أيضًا الإبلاغ الطوعي عن التهديدات السيبرانية الكبيرة. اعتمدت عدة كيانات سياسة الإفصاح الطوعي عن أي حادث يتجاوز عتبة داخلية أدنى من الحد الإلزامي، على أساس أن ذلك يبني حسن النية لدى الجهات الرقابية.
الركيزة الثالثة: اختبار المرونة التشغيلية الرقمية
المواد من 24 إلى 27. يتطلب قانون DORA أن تختبر الكيانات مرونتها فعليًا، لا أن تكتفي بتوثيقها. تشمل الاختبارات المطلوبة:
- برنامج اختبار شامل سنويًا على الأقل للعمليات الاعتيادية.
- اختبار الاختراق الموجّه بالتهديدات (TLPT) كل ثلاث سنوات على الأقل للكيانات المصنّفة كذات أهمية. يجب أن يتبع اختبار TLPT إطار عمل TIBER-EU أو ما يعادله.
- إجراء الاختبارات بواسطة أطراف مستقلة، داخلية أو خارجية، لا تربطها أي مصلحة متعارضة.
يُعد اختبار TLPT العنصر الأكثر استهانة به لدى معظم المؤسسات. وخلافًا لاختبار الاختراق التقليدي، يتضمن TLPT محاكاة تكتيكات وتقنيات وإجراءات واقعية لجهات التهديد ضد أنظمة الإنتاج، مع وعي داخلي محدود بالاختبار. ويتطلب تنسيقه فريقًا أبيض مخصصًا، وعلاقات تعاقدية مع مزودي خدمات الفريق الأحمر، وتنسيقًا مسبقًا مع الجهة الرقابية. خصص ميزانية تتراوح بين 300 و800 ألف يورو ومدة زمنية تتراوح بين 6 و9 أشهر لكل دورة.
الركيزة الرابعة: مخاطر أطراف تقنية المعلومات والاتصالات من الغير
المواد من 28 إلى 44. تُعد هذه الركيزة الأكثر تأثيرًا من الناحية التشغيلية لمعظم المؤسسات. يفرض قانون DORA متطلبات تفصيلية بشأن إدارة مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة:
- سجل شامل لجميع الترتيبات التعاقدية مع مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة، مع التمييز بين تلك التي تدعم وظائف حرجة أو مهمة.
- العناية الواجبة قبل التعاقد مع تقييمات موثقة.
- بنود تعاقدية موحدة تغطي عناصر محددة: اتفاقيات مستوى الخدمة، مكان تخزين البيانات، متطلبات الأمن، الإبلاغ عن الحوادث، حقوق التدقيق، استراتيجيات الخروج.
- مراقبة مخاطر التركّز: يجب ألا تصبح الكيانات معتمدة بشكل مفرط على مزود واحد من أطراف تقنية المعلومات والاتصالات.
- تُحدَّد الجهات المزودة الحرجة لخدمات تقنية المعلومات والاتصالات من الأطراف الثالثة (CTPP) من قبل الهيئات الرقابية الأوروبية وتصبح كيانات خاضعة للرقابة المباشرة.
يُعد متطلب السجل وحده أمرًا غير بسيط. تمتلك معظم المؤسسات جردًا ضمن نظام المشتريات لديها، لكن ليس بالصيغة التي يفرضها قانون DORA. تسرد المادة 28(3) تسعة عشر حقل بيانات محددًا لكل ترتيب تعاقدي.
تمتد المتطلبات التعاقدية لتشمل الإدارات القانونية والمشتريات والأمن. تُعد إعادة التفاوض على العقود القائمة لإضافة البنود التي يفرضها قانون DORA مشروعًا يستغرق عدة أرباع سنوية لمعظم المؤسسات، وهو ما تراجعه بنشاط عمليات التفتيش في الربع الرابع من 2026.
الركيزة الخامسة: تبادل المعلومات والاستخبارات
المادة 45. أقل الركائز إلزامًا، لكن التركيز عليها يتزايد باستمرار. يسمح قانون DORA صراحةً للكيانات المالية بتبادل معلومات التهديدات السيبرانية فيما بينها، بما في ذلك مؤشرات الاختراق والتكتيكات والتقنيات والإجراءات، ضمن مجتمعات موثوقة. ويكتسب هذا الترخيص أهمية لأنه يتجاوز بعض اعتبارات السرية التي كانت تثني سابقًا عن التبادل.
ما تبحث عنه الجهات الرقابية هنا هو أنك قد نظرت في المشاركة في ترتيب لتبادل المعلومات، وإما انضممت إلى أحدها (FS-ISAC، أو مراكز تبادل معلومات وطنية، أو مجموعات قطاعية متخصصة)، أو وثّقت أسباب عدم القيام بذلك. ويتزايد التوقع بأن عبارة "نحن لا نتبادل معلومات استخباراتية عن التهديدات" لم تعد إجابة مقبولة لمؤسسة ذات أهمية.
التداخل مع NIS2
تقع العديد من الكيانات المالية في آن واحد ضمن نطاق NIS2 (كيان أساسي، قطاع مالي). ويُعد قانون DORA قانونًا خاصًا (lex specialis): فهو يسود عندما يغطي نفس المجال. ومن الناحية العملية، يعني هذا:
- بالنسبة لإدارة مخاطر تقنية المعلومات والاتصالات والإبلاغ عن الحوادث، يُطبَّق قانون DORA وتتنحى NIS2.
- بالنسبة للجوانب التي لا يغطيها قانون DORA (النظافة السيبرانية العامة، التدريب، إلخ)، تظل NIS2 سارية.
- عادةً ما يفي الإبلاغ عن حادث لسلطة واحدة بموجب DORA بمتطلبات كلا القانونين، لكن يجب التحقق من ذلك مع السلطة الوطنية المختصة لأن الإجراءات قد تختلف.
ما الذي سيطلبه المفتش في 2026
استنادًا إلى الفحوصات المبكرة لقانون DORA، تبدو قائمة التحقق الرقابية على النحو التالي تقريبًا:
- وثيقة إطار إدارة مخاطر تقنية المعلومات والاتصالات، معتمدة من مجلس الإدارة، ومُراجَعة خلال الاثني عشر شهرًا الماضية.
- استراتيجية المرونة التشغيلية الرقمية.
- سجل أصول المعلومات، مصنّف، ومُحدَّث خلال الستة أشهر الماضية.
- إجراء تصنيف الحوادث الكبرى.
- إشعارات الحوادث للاثني عشر شهرًا الماضية.
- وثيقة برنامج الاختبار السنوي وآخر تقارير الاختبار.
- جدول اختبارات TLPT وآخر عملية تم إنجازها (إن وجدت).
- سجل ترتيبات أطراف تقنية المعلومات والاتصالات الثالثة، بالصيغة الواردة في المادة 28(3) من DORA.
- ثلاثة عقود نموذجية مع أطراف ثالثة تُظهر البنود المطلوبة.
- تحليل مخاطر التركّز.
- ترتيبات تبادل الاستخبارات المتعلقة بالتهديدات.
الحضور بهذا الملف جاهزًا يوفر جهدًا هائلاً في معالجة أوجه القصور لاحقًا.
كيف تساعد منصة GRC
تُعد جميع متطلبات الأدلة الخاصة بقانون DORA تقريبًا أمورًا تدعمها منصة GRC متخصصة بشكل أصيل: السجلات، وربط الأدلة بالضوابط، وسجلات الحوادث، وجرد الموردين مع مستويات المخاطر، ومسارات التدقيق، والتقارير الجاهزة لمجلس الإدارة. المؤسسات التي تواجه أكبر صعوبة مع قانون DORA هي تلك التي تتعامل معه كسلسلة من مشاريع الامتثال المنفصلة في جداول بيانات، بدلًا من اعتباره عمليات مستمرة لمنصة تُنتج الأدلة كنتيجة طبيعية لعملها.
خاتمة
يُعد قانون DORA أكثر التشريعات المتعلقة بالمرونة التشغيلية إلزامًا وتفصيلًا التي أصدرتها أي ولاية قضائية كبرى. وهو أيضًا من بين الأفضل تصميمًا: تتوافق ركائزه الخمس مع طريقة عمل برامج الأمن والمرونة الناضجة فعليًا. المؤسسات التي ستواجه أسوأ النتائج في دورة الرقابة لعام 2026 هي تلك التي تعاملت مع قانون DORA كتمرين توثيقي بدلًا من اعتباره إعادة تأسيس لطريقة عمل الوظيفة يوميًا.