الاتحاد الأوروبي

DORA — قانون المرونة التشغيلية الرقمية

يُطبَّق قانون المرونة التشغيلية الرقمية، Regulation (EU) 2022/2554، على الكيانات المالية في الاتحاد الأوروبي اعتباراً من 17 يناير 2025. ويلزمها بإدارة مخاطر تقنية المعلومات والاتصالات ضمن إطار موثق، وتصنيف الحوادث الكبرى المتعلقة بتقنية المعلومات والاتصالات والإبلاغ عنها ضمن مهل ثابتة، واختبار مرونتها الرقمية، والتحكم في المخاطر الناشئة عن مقدمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة والاحتفاظ بسجل لتلك الترتيبات، كما يُخضع مقدمي الخدمات الحرجين من الأطراف الثالثة لإشراف مباشر.

يطلب DORA من الكيانات المالية إثبات المرونة لا وصفها. وتنتج DECIMA هذا الإثبات من الأنظمة العاملة بالفعل.

في لمحة

الجهة المصدرة

البرلمان الأوروبي والمجلس الأوروبي، Regulation (EU) 2022/2554، مع معايير فنية من الهيئات الرقابية الأوروبية

ينطبق على

البنوك وشركات التأمين وشركات الاستثمار ومؤسسات الدفع والنقود الإلكترونية ومقدمي خدمات الأصول المشفرة وغيرها من الكيانات المالية في الاتحاد الأوروبي، إضافة إلى مقدمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة

ساري المفعول

يُطبَّق اعتباراً من 17 يناير 2025

الجهة المشرفة

السلطات الوطنية المختصة، مع إشراف الهيئات الرقابية الأوروبية (ESAs) على مقدمي خدمات تقنية المعلومات والاتصالات الحرجين من الأطراف الثالثة

ما يتطلبه التشريع

الالتزامات كما تنص عليها اللائحة، بالترتيب الذي يستوفيها به البرنامج.

1. 01

   إطار إدارة مخاطر تقنية المعلومات والاتصالات

   إطار موثق ومعتمد من مجلس الإدارة يغطي التحديد والحماية والرصد والاستجابة والتعافي لجميع أصول تقنية المعلومات والاتصالات، ويُراجع سنوياً على الأقل.

2. 02

   الإبلاغ عن الحوادث المتعلقة بتقنية المعلومات والاتصالات

   تصنيف الحوادث الكبرى وفق معايير موحدة والإبلاغ عنها إلى السلطة المختصة: إشعار أولي خلال أربع ساعات من التصنيف وفي موعد لا يتجاوز 24 ساعة من العلم بالحادث، وتقرير مرحلي خلال 72 ساعة، وتقرير نهائي خلال شهر واحد.

3. 03

   اختبار المرونة التشغيلية الرقمية

   برنامج اختبار سنوي لجميع أنظمة تقنية المعلومات والاتصالات الحرجة، واختبار اختراق قائم على التهديدات مرة كل ثلاث سنوات على الأقل للكيانات التي تحددها السلطة.

4. 04

   مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات

   عقود مع مقدمي خدمات تقنية المعلومات والاتصالات تتضمن البنود الإلزامية، وتقييم مخاطر التركّز، ووضع استراتيجيات خروج، والاحتفاظ بسجل معلومات عن جميع ترتيبات الأطراف الثالثة في تقنية المعلومات والاتصالات وتقديمه عند الطلب.

5. 05

   تبادل المعلومات

   ترتيبات لتبادل معلومات التهديدات السيبرانية مع الكيانات المالية الأخرى، ضمن مجتمعات موثوقة.

كيف توثّقه DECIMA

يُجاب عن كل متطلب من الأنظمة الحية بسجل مؤرخ قابل لإعادة التحقق، لا من استبيان يُستكمل من أجل التقييم.

• قراءة ضوابط الإطار باستمرار

  تُقرأ الضوابط التي يسميها إطار مخاطر تقنية المعلومات والاتصالات من الأنظمة التي تشغّلها وفق جدول زمني، وتُخزَّن كل قراءة مع طابعها الزمني وإصدار الإطار، فتصبح المراجعة السنوية تقريراً عن العام بأكمله.

• الوفاء بمهل الحوادث من السجل

  تُصنَّف الحوادث وفق معايير DORA من الأدلة التي تحتفظ بها DECIMA بالفعل، وتُصاغ الإشعارات الأولية والمرحلية والنهائية من ذلك السجل ضمن مهل الأربع ساعات و72 ساعة والشهر الواحد.

• سجل المعلومات محدّث باستمرار

  تُحفظ ترتيبات الأطراف الثالثة في تقنية المعلومات والاتصالات وبنودها التعاقدية ومخاطر تركّزها كسجلات مهيكلة وتُصدَّر بالصيغة التي تطلبها السلطة.

• توثيق الاختبارات أثناء تنفيذها

  تُسجَّل اختبارات المرونة واختبارات الاختراق القائمة على التهديدات مع نطاقها ونتائجها ومعالجتها، مرتبطة بالضوابط التي اختبرتها.

04

أسئلة يطرحها المشترون

إجابات موجزة يمكنكم اقتباسها.