أمن المعلومات
DORA
Digital Operational Resilience Act (DORA)
DORA هي لائحة الاتحاد الأوروبي التي تضع قواعد موحدة للمرونة التشغيلية الرقمية للقطاع المالي. نساعدك على سد الفجوات عبر مخاطر تقنية المعلومات والاتصالات، والإبلاغ عن الحوادث، والاختبار، والإشراف على الأطراف الثالثة، وإثبات الامتثال.
ما هو DORA
إن Digital Operational Resilience Act هو قانون صادر عن الاتحاد الأوروبي يلزم الكيانات المالية بالصمود أمام الاضطرابات المتعلقة بتقنية المعلومات والاتصالات والاستجابة لها والتعافي منها. وهو يجمع إدارة مخاطر تقنية المعلومات والاتصالات، وتصنيف الحوادث والإبلاغ عنها، واختبار المرونة التشغيلية، والإشراف على مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة ضمن إطار موحد واحد.
DORA لائحة تثبت امتثالك لها وتشرف عليها السلطات المالية المختصة، وليست معياراً تمنحك جهة معتمدة شهادة بشأنه. وتنطبق التزاماتها على طيف واسع من الكيانات المالية، ومن خلال أحكام تعاقدية وإشرافية تمتد لتشمل مزودي تقنية المعلومات والاتصالات الذين يخدمونها.
ركائز DORA الخمس
الركيزة 1 · إدارة مخاطر تقنية المعلومات والاتصالات
يجب على الكيانات المالية الحفاظ على إطار محوكم من الاستراتيجيات والسياسات والأدوات لتحديد مخاطر تقنية المعلومات والاتصالات والحماية منها والتعافي منها، على أن تقع المسؤولية النهائية على عاتق الهيئة الإدارية.
الركيزة 2 · الإبلاغ عن الحوادث
يجب تصنيف الحوادث الكبرى المتعلقة بتقنية المعلومات والاتصالات وفق معايير محددة والإبلاغ عنها للسلطة المختصة المعنية عبر إخطارات أولية ومرحلية ونهائية ضمن مواعيد محددة.
الركيزة 3 · اختبار المرونة التشغيلية الرقمية
يجب على الكيانات تنفيذ برنامج اختبار متناسب، ويجب على أبرزها إجراء اختبارات اختراق موجهة بالتهديدات مرة واحدة على الأقل كل ثلاث سنوات.
الركيزة 4 · إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات
يجب أن تستوفي العقود مع مزودي خدمات تقنية المعلومات والاتصالات شروطاً إلزامية، وأن تُدرج في سجل للمعلومات، ويخضع المزودون الحرجون لنظام إشراف أوروبي مخصص.
الركيزة 5 · تبادل المعلومات
تتيح اللائحة للكيانات المالية تبادل معلومات التهديدات السيبرانية والمؤشرات ضمن مجتمعات موثوقة على أساس طوعي.
المعايير التقنية · RTS وITS
تُترجم الالتزامات عالية المستوى إلى تفاصيل تشغيلية عبر المعايير التقنية التنظيمية والتنفيذية التي تطورها السلطات الإشرافية الأوروبية.
من يحتاج إليه
- البنوك وشركات التأمين وشركات الاستثمار وغيرها من الكيانات المالية الخاضعة للتنظيم العاملة في الاتحاد الأوروبي
- مزودو خدمات الدفع والنقود الإلكترونية والأصول المشفرة الذين يقعون ضمن نطاق القواعد المالية للاتحاد الأوروبي
- مزودو خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة الذين تدعم خدماتهم الكيانات المالية في الاتحاد الأوروبي
ما تحصل عليه
- تقييم للفجوات وخارطة طريق مرتبة حسب الأولوية مقابل متطلبات DORA
- إطار لإدارة مخاطر تقنية المعلومات والاتصالات مع عمليات لتصنيف الحوادث والإبلاغ عنها
- سجل لترتيبات الأطراف الثالثة في تقنية المعلومات والاتصالات وبرنامج لاختبار المرونة
- حزمة أدلة امتثال وجاهزية للتعامل الإشرافي
تعتمد الجداول الزمنية على كيفية انطباق DORA عليك، ومدى نضج ترتيباتك المتعلقة بمخاطر تقنية المعلومات والاتصالات والأطراف الثالثة، وحجم بيئتك التقنية. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
دخلت DORA حيز النفاذ في يناير 2023 وأصبحت سارية بالكامل منذ 17 يناير 2025، لذا بات يُتوقع الآن من الكيانات المالية المشمولة بنطاقها ومزودي تقنية المعلومات والاتصالات التابعين لها الوفاء بالتزاماتها بدلاً من الاستعداد لها. ولا تزال المتطلبات التفصيلية تتشكل عبر المعايير التقنية التنظيمية والتنفيذية وعبر الإرشادات الإشرافية الصادرة عن السلطات الإشرافية الأوروبية، والتي اكتمل عدد منها قرب تاريخ السريان وبعده. وتتمثل مهمة الانتقال العملية في إبقاء إطارك وسجل معلوماتك وعمليات الحوادث لديك متوائمة مع استقرار تلك المعايير وتوضيح السلطات المختصة لتوقعاتها.
التكلفة
DORA لائحة تثبت امتثالك لها لسلطتك الإشرافية، وليست معياراً له شهادة تُشترى، لذا لا تترتب عليها رسوم شهادة معتمدة. أما التكاليف المصاحبة فهي أتعابنا الاستشارية والتنفيذية محددة النطاق، التي نقدمها مسبقاً بمجرد فهمنا لحجمك ونطاقك ونقطة انطلاقك، وأي إسهام مستقل تختار إضافته، مثل اختبار مرونة موجه بالتهديدات أو تقني، أو تدقيق خارجي، أو استشارة قانونية ومتخصصة حول كيفية انطباق الالتزامات عليك. tr3labs ليست أبداً جهة الاعتماد أو التدقيق أو التنظيم الخاصة بك. نحدد نطاق العمل معك بدلاً من التسعير دون دراية.
كيف توصلك tr3labs إلى هناك
تقييم النطاق والفجوات
نؤكد كيفية انطباق DORA عليك، ونقارن إدارتك الحالية لمخاطر تقنية المعلومات والاتصالات وترتيباتك المتعلقة بالحوادث والاختبار والأطراف الثالثة بمتطلباتها، ونسلمك خارطة طريق مرتبة حسب الأولوية.
بناء الإطار
نساعدك على تنفيذ إطار إدارة مخاطر تقنية المعلومات والاتصالات، وعمليات تصنيف الحوادث والإبلاغ عنها، ومتطلبات مخاطر الأطراف الثالثة وسجل المعلومات التي تتوقعها اللائحة.
اختبار المرونة والأدلة
نقدم اختبارات الأمن والمراجعات لدعم برنامجك لاختبار المرونة التشغيلية، ونجمع الأدلة التي تثبت أن الإطار يعمل بفاعلية.
الجاهزية والدعم الإشرافي
نجهزك لإثبات الامتثال لسلطتك الإشرافية ونبقي الإطار محدثاً مع تطور المعايير التقنية في إطار DORA.
مقارنة بين DORA وISO 27001
يتناول كلاهما مخاطر تقنية المعلومات والاتصالات وأمن المعلومات، لذا كثيراً ما تفترض الشركات أن استيفاء أحدهما يفي بالآخر.
| DORA | ISO 27001 | |
|---|---|---|
| يغطي | المرونة التشغيلية الرقمية للكيانات المالية في الاتحاد الأوروبي | إدارة أمن المعلومات لأي منظمة |
| من يطلبه | المنظمون الماليون والسلطات الإشرافية في الاتحاد الأوروبي | العملاء والشركاء وفرق المشتريات |
| الفكرة الجوهرية | التزام قانوني يمتد عبر خمس ركائز للمرونة | معيار نظام إدارة قابل للاعتماد |
| نموذج التدقيق | إشراف رقابي دون شهادة | جهة اعتماد مستقلة ومعتمدة |
| نطاق الامتداد | الكيانات المالية وأطرافها الثالثة في تقنية المعلومات والاتصالات | أي منظمة، تبنٍّ طوعي |
| غالباً ما يُحتفظ به مع | ISO 27001 كأساس للضوابط | DORA وNIS2 واللوائح القطاعية |
الأسئلة الشائعة حول DORA
- هل تنطبق DORA على مزودي تقنية المعلومات والاتصالات كما تنطبق على الشركات المالية؟
- نعم. تفرض DORA التزامات مباشرة على الكيانات المالية وتمتد لتشمل مزودي تقنية المعلومات والاتصالات من الأطراف الثالثة عبر متطلبات تعاقدية، وقد يخضع المزودون الحرجون لنظام إشراف مخصص. نساعدك على تحديد كيفية انطباقها عليك أثناء تحديد النطاق.
- هل DORA شهادة اعتماد؟
- لا. إنها لائحة من الاتحاد الأوروبي تثبت امتثالك لها لسلطتك الإشرافية، وليست معياراً قابلاً للاعتماد. نبني الإطار والأدلة ونجهزك للتعامل الإشرافي.
- ما علاقة DORA بـ ISO 27001؟
- يمنحك نظام ناضج لإدارة أمن المعلومات أساساً متيناً، لكن DORA تضيف التزامات محددة بشأن الإبلاغ عن الحوادث واختبار المرونة والإشراف على الأطراف الثالثة في تقنية المعلومات والاتصالات. نقارن ما لديك بالفعل ونسد الفجوات الخاصة بـ DORA.
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق