ما هي لائحة DORA؟ شرح قانون المرونة التشغيلية الرقمية للاتحاد الأوروبي

لائحة DORA — قانون المرونة التشغيلية الرقمية — هي قانون الاتحاد الأوروبي بشأن المرونة السيبرانية للقطاع المالي. وهي تحدد للمؤسسات المالية كيفية التعامل مع مخاطر الأمن السيبراني ومخاطر تكنولوجيا المعلومات. وببساطة، يجب أن يتمكن كل بنك وشركة مدفوعات وشركة استثمار وشركة تأمين ومنصة لتداول العملات المشفرة في الاتحاد الأوروبي من مواصلة العمل عند حدوث اختراق أو تعطل خدمة سحابية أو فشل تحديث برمجي، وأن يراقب موردي تكنولوجيا المعلومات الذين يعتمد عليهم.

كُتب هذا الدليل لمن ليست لديهم خلفية قانونية أو تقنية. ويشرح من تنطبق عليه DORA، ومتطلباتها، والمهلة اللازمة للإبلاغ عن الحوادث، وفروقها عن NIS2 وGDPR، والعقوبات، وما تعنيه متطلبات DORA لشركات التكنولوجيا المالية والعملات المشفرة، ويختتم بقائمة موجزة للامتثال لـ DORA.

ما هي DORA ببساطة؟

تشير DORA — وتسمى أحياناً EU DORA أو قانون DORA — إلى اللائحة (EU) 2022/2554 بشأن المرونة التشغيلية الرقمية للقطاع المالي. قد يبدو مصطلح «المرونة التشغيلية الرقمية» معقداً، لكنه يعني شيئاً واحداً: هل تستطيع شركتك الاستمرار في خدمة عملائها عند تعطل أنظمة تكنولوجيا المعلومات؟ إذا اخترقها مهاجم، أو فشل تحديث، أو انقطع مورد عن الخدمة، فهل تستمر المدفوعات؟ وهل يستطيع العملاء تسجيل الدخول؟ وهل تظل بياناتهم آمنة؟ تحوّل DORA هذا السؤال من ممارسة جيدة إلى واجب قانوني.

قبل DORA، كانت لكل دولة في الاتحاد الأوروبي ولكل جزء من القطاع المالي قواعده الخاصة لأمن تكنولوجيا المعلومات ونماذجه الخاصة للإبلاغ عن الحوادث. تستبدل DORA هذا التشتت بدليل قواعد موحد للقطاع المالي في جميع أنحاء الاتحاد الأوروبي. ولأنها لائحة وليست توجيهاً، فهي تسري حرفياً في كل دولة عضو، من دون الحاجة إلى قانون وطني لتفعيلها.

انقضى بالفعل الموعد النهائي للامتثال لـ DORA. انتهت فترة الإعداد البالغة عامين بعد اعتمادها، وجميع التزامات DORA نافذة، وتتحقق الجهات الرقابية المالية الوطنية منها. ويقوم إطار DORA على خمسة ركائز، ويشرح هذا الدليل كل واحدة منها:

• إدارة مخاطر ICT — خطة مكتوبة لمخاطر تكنولوجيا المعلومات، يتحمل مسؤوليتها جهاز الإدارة (مجلس الإدارة)؛
• إدارة الحوادث المرتبطة بـ ICT والإبلاغ عنها — رصد حوادث تكنولوجيا المعلومات وتسجيلها والإبلاغ عنها للجهة الرقابية؛
• اختبار المرونة التشغيلية الرقمية — من فحوصات الثغرات الدورية إلى محاكاة هجمات «الفريق الأحمر» الكاملة؛
• إدارة مخاطر الأطراف الثالثة في ICT — ضبط موردي تكنولوجيا المعلومات الذين تعتمد عليهم المنشأة، مع سجل لجميعهم؛
• تبادل المعلومات — تبادل طوعي لاستخبارات التهديدات بين الكيانات المالية.

شرح المصطلحات الأساسية في DORA

تظهر مجموعة من المصطلحات المعرّفة في كل مادة من لائحة DORA، وكل نموذج رقابي وكل عقد مع مورد. وبمجرد معرفتها، يصبح فهم الباقي أسهل بكثير.

على من تنطبق DORA؟

يحدد نطاق DORA في المادة 2 التي تسرد عشرين فئة من الكيانات المالية. فإذا كانت مؤسسة مالية تحمل أحد هذه التراخيص في أي مكان داخل الاتحاد الأوروبي، فإنها مشمولة — مهما صغر حجمها — ما لم ينطبق إعفاء محدد. وفيما يلي المجموعات الرئيسية.

وماذا عن شركات تكنولوجيا المعلومات نفسها؟ لا تعد المنصات السحابية ومراكز البيانات وبائعو البرمجيات وشركات الأمن المُدار كيانات مالية، لكن DORA تصل إليها بطريقتين. أولاً، يجب على كل كيان مالي إدراج شروط على نهج DORA في عقوده معها، ولذلك يخاطر المورد الرافض بخسارة العميل. ثانياً، يُسمّى أكبر مقدمي الخدمات — كبار موردي الخدمات السحابية ومراكز البيانات والاتصالات والبرمجيات المالية — مقدمي خدمات ICT حرجين من أطراف ثالثة، ويخضعون لإشراف مباشر على مستوى الاتحاد الأوروبي؛ وتُحدّث القائمة كل عام.

هل تنطبق DORA على الشركات غير التابعة للاتحاد الأوروبي؟ مباشرةً، فقط على الشركات المرخصة في الاتحاد الأوروبي — بما يشمل الشركات التابعة والفروع الأوروبية للمجموعات البريطانية أو الأمريكية أو الآسيوية. وبصورة غير مباشرة، تصل إلى أي مورد أجنبي يخدم شركة مالية في الاتحاد الأوروبي، لأن بنود العقود الإلزامية تسري حيثما كان مقر المورد. ويجب على المقدم غير الأوروبي الذي يُسمّى حرجاً أن ينشئ شركة تابعة في الاتحاد الأوروبي خلال اثني عشر شهراً.

وأخيراً، DORA متناسبة: تزداد الالتزامات بحسب حجم المؤسسة المالية وتعقيدها. فالمؤسسات متناهية الصغر — أقل من عشرة موظفين وأقل من مليوني يورو من المبيعات أو إجمالي الميزانية — تُعفى من عدة متطلبات، بما فيها اختبار الاختراق الموجّه بالتهديدات وبعض واجبات الحوكمة والإبلاغ. وتتبع مجموعة محددة من الشركات الأصغر، مثل شركات الاستثمار الصغيرة وغير المترابطة وبعض مؤسسات الدفع والنقود الإلكترونية المعفاة، إطاراً مبسطاً لإدارة مخاطر ICT بموجب المادة 16. ولا يُخرج الحجم الصغير الشركة المرخصة من DORA؛ بل يخفف العبء فقط.

متطلبات DORA: شرح الركائز الخمس

تندرج متطلبات الامتثال لـ DORA في خمس مجموعات. وتشكل معاً دورة واحدة — الوقاية والكشف والاستجابة والتعافي والتعلم — وتتوقع الجهة الرقابية دليلاً على كل خطوة.

إطار إدارة مخاطر ICT (المواد 5–16)

بعبارات بسيطة: اعرف ما لديك من تكنولوجيا معلومات، واعرف ما الذي قد يخطئ فيها، وضع خطة مكتوبة لحمايتها واستعادتها. يجب أن يسرد الإطار أصول تكنولوجيا المعلومات والاعتماديات، ويبين كيفية منع المشكلات واكتشافها والاستجابة لها والتعافي منها والتعلم من الحوادث. ويُراجع مرة واحدة على الأقل سنوياً وبعد كل حادث جسيم. ويعتمده جهاز الإدارة، ويقرر مقدار المخاطر المقبولة ويوفر الميزانية. ويجب رسم خرائط للوظائف الحرجة، واختبار النسخ الاحتياطية فعلياً، ووجود خطة لاستمرارية تكنولوجيا المعلومات إلى جانب خطة الاستمرارية العامة للشركة.

الإبلاغ عن الحوادث: مهل 4 ساعات و72 ساعة وشهر واحد

يجب تسجيل كل حادث مرتبط بـ ICT وتصنيفه باستخدام المعايير نفسها في أنحاء الاتحاد الأوروبي: عدد العملاء المتضررين، وحجم الضرر بالسمعة، ومدته، ومدى انتشاره، والبيانات المفقودة، وأهمية الخدمة، وحجم الأموال المعرضة للخطر. ويصبح الحادث الذي يتجاوز الحدود «جسيماً» ويجب إبلاغ الجهة الرقابية به في ثلاث مراحل: إشعار أول خلال أربع ساعات من تقرير أنه جسيم (ولا يتأخر أبداً عن 24 ساعة بعد علم الشركة به)، وتقرير مرحلي خلال 72 ساعة من الإشعار الأول، وتقرير نهائي خلال شهر من التقرير المرحلي. ويجب إخطار العملاء الذين تتأثر أموالهم أو بياناتهم من دون تأخير. ويمكن الإبلاغ طوعاً عن التهديدات السيبرانية الخطيرة التي لم تتحول إلى حوادث.

اختبار المرونة واختبار الاختراق الموجّه بالتهديدات (TLPT)

اختبار المرونة التشغيلية الرقمية برنامج سنوي: يجب أن يخضع كل نظام يدعم وظيفة حرجة أو مهمة لفحوصات الثغرات وتحليلات الفجوات ومراجعات الشفرة المصدرية واختبارات السيناريوهات والأداء والاختراق. ويجب على الشركات التي تعدها الجهة الرقابية مهمة — بسبب حجمها أو أثر فشلها — إجراء اختبار اختراق موجّه بالتهديدات مرة كل ثلاث سنوات على الأقل. وهو هجوم مضبوط على الأنظمة العاملة ينفذه مخترقون أخلاقيون مؤهلون وفق إطار معترف به. وتعفى المؤسسات متناهية الصغر والشركات الخاضعة للإطار المبسط من TLPT، وتختبر وفق جدول أخف قائم على المخاطر.

مخاطر الأطراف الثالثة والاستعانة بمصادر خارجية وسجل المعلومات

لا تعني الاستعانة بمصادر خارجية لتكنولوجيا المعلومات — بمقدم خدمة سحابية أو غيره — الاستعانة بمصادر خارجية للمسؤولية. تبدأ إدارة مخاطر الأطراف الثالثة في ICT باستراتيجية مكتوبة لمخاطر الموردين؛ ويجب على الشركة التحقق من الموردين قبل التوقيع، وتجنب الاعتماد المفرط على مقدم واحد، والاحتفاظ بسجل معلومات — قائمة منظمة بكل عقود تكنولوجيا المعلومات — يرسل للجهة الرقابية مرة واحدة سنوياً على الأقل. ويجب أن تتضمن العقود نفسها مجموعة ثابتة من البنود: ماهية الخدمة ومستواها الموعود، ومكان تخزين البيانات، وحق الفحص والتدقيق، وواجب المساعدة أثناء الحوادث، وكيفية إنهاء العقد، وكيف ستنتقل الشركة إلى مقدم آخر عند الضرورة. وتبقى الشركة مسؤولة بالكامل حتى عندما يكون المورد مقدماً حرجاً خاضعاً لإشراف الاتحاد الأوروبي.

تبادل المعلومات عن التهديدات السيبرانية

يجوز للكيانات المالية تبادل استخبارات التهديدات — أنماط الهجوم ومؤشرات الاختراق — ضمن مجموعات موثوقة. ولا يُجبر أحد على الانضمام، لكن على الشركة التي تفعل ذلك إبلاغ جهتها الرقابية، ويجب أن يحترم التبادل قواعد السرية وحماية البيانات.

DORA مقابل NIS2 مقابل GDPR: كيف تتكامل القواعد؟

تتداخل ثلاثة قوانين للاتحاد الأوروبي في المرونة السيبرانية والإبلاغ عن الحوادث، وتخضع مؤسسات مالية كثيرة لأكثر من واحد منها. يبين الجدول من يشمله كل منها واختلاف مهل الإبلاغ.

عملياً، تبلغ الشركة المالية عن حوادث تكنولوجيا المعلومات إلى جهتها الرقابية المالية، لا إلى وكالة الأمن السيبراني الوطنية. ويسري GDPR بالتوازي: فإذا أدى هجوم سيبراني إلى تسريب بيانات العملاء، تبلغ الشركة مرتين — بموجب DORA إلى الجهة الرقابية المالية وبموجب GDPR إلى سلطة حماية البيانات — وفق مهلتين منفصلتين.

DORA والعملات المشفرة: ما معناها لـ CASPs وجهات إصدار الرموز

بالنسبة إلى شركات العملات المشفرة، تعمل لائحة DORA وإطار MiCA معاً. يحدد MiCA من يجوز له تقديم خدمات الأصول المشفرة أو إصدار الرموز في الاتحاد الأوروبي؛ وتحدد DORA كيفية تشغيل التكنولوجيا الكامنة وراء تلك الخدمات. ويُعد مقدم خدمات الأصول المشفرة المرخص بموجب MiCA كياناً مالياً بموجب DORA من لحظة منح ترخيصه، وكذلك أي جهة إصدار للرموز المرجعية للأصول. ويشير MiCA نفسه إلى DORA لمتطلبات تكنولوجيا المعلومات والأمن، ولذلك تقرأ كل جهة رقابية الاثنين معاً.

عملياً، تُفحص المرونة خلال عملية الترخيص نفسها، لا بعدها فقط. فعندما تراجع الجهة الرقابية طلب CASP، يكون إطار مخاطر تكنولوجيا المعلومات وخطة استمرارية الأعمال وإجراءات الحوادث وترتيبات الاستعانة بمصادر خارجية جزءاً من الملف، وتُقاس وفق DORA. ولا يمكن لمنصة تداول أو أمين حفظ للأصول المشفرة الحصول على ترخيصه — أو الاحتفاظ به — بخطة مرونة موجودة على الورق فقط.

لشركات العملات المشفرة أيضاً اعتماديات تقنية لا يملكها البنك: حفظ المفاتيح الخاصة، ومقدمو عقد البلوكتشين، والبنية التحتية لمحافظ الأطراف الثالثة، ومكونات العقود الذكية، وأسواق تتداول على مدار الساعة بلا نافذة صيانة. وبموجب DORA، يمثل كل منها أصلاً لتكنولوجيا المعلومات أو علاقة مع مورد يجب إدراجها وتصنيفها والتعاقد بشأنها واختبارها. وهكذا يلتزم الموردون غير المرخصين للاستضافة أو إدارة المفاتيح أو البنية التحتية للبلوكتشين بـ DORA: عبر عقود عملائهم.

عقوبات DORA وغراماتها وجزاءات عدم الامتثال

لا يوجد جدول واحد لعقوبات DORA على مستوى الاتحاد الأوروبي. بدلاً من ذلك، تطلب المادة 50 من كل دولة عضو تحديد جزاءات «فعالة ومتناسبة ورادعة»، وتمنح الجهات الرقابية سلطة طلب المستندات وإجراء التفتيش وفرض التصحيحات ونشر التحذيرات. وتطبقها السلطة الوطنية المختصة في كل دولة عضو بموجب قانون ترخيص القطاع الخاص بها، ولذلك يواجه البنك وشركة المدفوعات ومنصة العملات المشفرة سلم الجزاءات الخاص بقطاعه.

ربما رأيت «غرامة DORA» قدرها واحد في المائة من متوسط رقم الأعمال اليومي العالمي. هذا الرقم حقيقي، لكنه يستهدف جهة أخرى: إنه غرامة يومية تستطيع السلطات الإشرافية الأوروبية فرضها على مقدم خدمات ICT حرج من طرف ثالث يتجاهل قرار رقابة، ولمدة تصل إلى ستة أشهر. وليست غرامة للبنوك أو شركات العملات المشفرة. كما أن «2% من رقم الأعمال السنوي» المذكورة أحياناً معها ليست في DORA؛ بل تأتي من NIS2، حيث تمثل الحد الأدنى الذي يجب على الدول تحديده للكيانات الأساسية. وبالنسبة إلى الشركة المالية، تشمل العواقب الواقعية:

• تدابير رقابية — أوامر بتصحيح الأمور، وقيود على الأنشطة، وفي الحالات الخطيرة تعليق الترخيص أو فقدانه؛
• غرامات إدارية بموجب القانون الوطني للقطاع؛
• مسؤولية شخصية لأعضاء مجلس الإدارة، لأن DORA تجعل المجلس مسؤولاً عن إطار تكنولوجيا المعلومات؛
• مسؤولية جنائية في البلدان التي اختارت إضافتها، وهو ما تجيزه المادة 52؛
• ضرر بالسمعة والأعمال — فقدان العملاء والشركاء المصرفيين والمستثمرين.

من يشرف على DORA؟ الجهات الرقابية وطنياً وعلى مستوى الاتحاد الأوروبي

يبقى الإشراف اليومي على DORA بيد الجهة التنظيمية التي ترخص الشركة أصلاً — البنك المركزي أو سلطة الإشراف المالي في دولة العضو التي يقع فيها مقرها الرئيسي. وتتلقى هذه السلطة المختصة تقارير الحوادث وسجلات المعلومات، وتقرر من يجب عليه تنفيذ TLPT، وتتحقق من إطار مخاطر تكنولوجيا المعلومات ضمن الإشراف المعتاد. وينشر معظمها إرشادات DORA ونماذجها ومهلها على مواقعها.

على مستوى الاتحاد الأوروبي، تتقاسم ثلاث جهات العمل: هيئة الأوراق المالية والأسواق الأوروبية، والهيئة المصرفية الأوروبية، وEIOPA، وهيئة التأمين والمعاشات. وهي تضع المعايير الفنية التي تستكمل التفاصيل، وتعيّن معاً مقدمي خدمات ICT الحرجين من الأطراف الثالثة، ثم يخضع كل منهم لإشراف إحدى الجهات الثلاث بوصفها الجهة الرقابية الرئيسية.

قائمة التحقق من امتثال DORA: كيفية الامتثال

سواء كانت الشركة تتقدم بطلب ترخيص أو خاضعة للإشراف بالفعل، فإن المجموعة ذاتها من المستندات تثبت امتثال DORA أثناء التدقيق. نقطة بداية عملية لخطة تنفيذ DORA أو تحليل الفجوات:

• أكد نطاقك: فئة المادة 2 التي تنتمي إليها، وما إذا كان الإطار المبسط أو إعفاء المؤسسة متناهية الصغر ينطبق.
• ارسم خريطة لكل أصل تقني ونظام وتدفق بيانات يدعم وظيفة حرجة أو مهمة.
• اعتمد سياسة لإدارة مخاطر ICT يوافق عليها مجلس الإدارة، مع مسؤولين محددين ومراجعة سنوية.
• أنشئ تصنيف الحوادث وسجل الحوادث ونماذج الإبلاغ المطابقة للمواعيد القانونية.
• أعد تقويماً سنوياً للاختبارات وتحقق مما إذا كانت الجهة الرقابية قد أدرجتك في قائمة TLPT.
• اجمع سجل المعلومات لكل مقدمي تكنولوجيا المعلومات وحدّث عقودهم ببنود إلزامية.
• تحقق من مخاطر التركّز واكتب خطط خروج للمقدمين الذين يدعمون وظائف حرجة.
• اختبر النسخ الاحتياطية والاستعادة وخطة استمرارية تكنولوجيا المعلومات مرة واحدة على الأقل سنوياً.
• درّب مجلس الإدارة واحتفظ بدليل على إجراء التدريب.

تقدم Eesti Firma المشورة لشركات التكنولوجيا المالية والعملات المشفرة بشأن الجانب القانوني من DORA: تحديد الالتزامات المنطبقة، ومواءمة إطار تكنولوجيا المعلومات مع متطلبات ترخيص MiCA، ومراجعة عقود الموردين، وإعداد المستندات التي تتوقع الجهة الرقابية رؤيتها. تواصل معنا لمناقشة كيفية انطباق اللائحة على أعمالك.

اطلب استشارة

الأسئلة الشائعة حول DORA