DORA: إطار إدارة مخاطر ICT وسجل المعلومات

تنطبق لائحة الصمود التشغيلي الرقمي — اللائحة (الاتحاد الأوروبي) 2022/2554، DORA — منذ 17 يناير 2025 على كل مؤسسة مالية منظَّمة تقريباً في الاتحاد الأوروبي: مؤسسات الائتمان، ومؤسسات الدفع والنقود الإلكترونية، ومقدّمي خدمات الأصول المشفَّرة، وشركات الاستثمار، ومديري الصناديق، ومقدّمي القروض بموجب أنظمة متعددة، وغيرهم. وهي تضع معياراً لإدارة مخاطر ICT وسجلاً للترتيبات التعاقدية مع مقدّمي خدمات ICT من الأطراف الثالثة. يوضح هذا الدليل ما تتطلبه DORA، ومن يجب عليه الامتثال لها، وكيف يعمل مبدأ التناسب للشركات الأصغر، وما يتضمنه سجل المعلومات، وما تقدّمه خدماتنا بشأن DORA.

هذا الدليل معلومة عامة، وليس استشارة قانونية.

الدعامات الخمس لـDORA

1. إطار إدارة مخاطر ICT (المواد 5–16) — قيادة من هيئة الإدارة، إطار موثَّق، تحديد وحماية أصول ICT، الاكتشاف والاستجابة والتعافي، سياسات النسخ الاحتياطي، التعلُّم والتواصل. وينطبق إطار مبسَّط على بعض الشركات الصغيرة (المادة 16).
2. معالجة والإبلاغ عن الحوادث المتعلقة بـICT (المواد 17–23) — تصنيف الحوادث والإبلاغ عن الحوادث الجسيمة إلى الجهة المختصة في غضون آجال محدَّدة.
3. اختبار الصمود التشغيلي الرقمي (المواد 24–27) — برنامج اختبار يتناسب مع الشركة؛ اختبارات اختراق موجَّهة بالتهديد فقط للشركات التي تحدِّدها الجهة.
4. خطر الأطراف الثالثة في ICT (المواد 28–30) — استراتيجية، وعناية واجبة قبل التعاقد، وبنود تعاقدية إلزامية، وخطط خروج، وسجل المعلومات عن جميع الترتيبات مع مقدّمي خدمات ICT من الأطراف الثالثة (المادة 28 الفقرة 3)، يُقدَّم إلى الجهة سنوياً.
5. تبادل المعلومات (المادة 45) — ترتيبات طوعية بشأن معلومات التهديدات السيبرانية.

من يجب عليه الامتثال لـDORA

تنطبق DORA على المؤسسات المالية المذكورة في مادتها 2، ومنها مؤسسات الدفع والنقود الإلكترونية، ومقدّمو خدمات الأصول المشفَّرة المرخَّص لهم بموجب MiCA، وشركات الاستثمار، ومديرو صناديق الاستثمار البديلة. إذا كانت شركتكم تحمل أحد هذه التراخيص أو تطلبه، فإن DORA تنطبق عليها من تاريخ بدء انطباق اللائحة — 17 يناير 2025 — أو من تاريخ الترخيص، أيهما أبعد. ونؤكِّد النطاق الدقيق لشركتكم كتابةً قبل بدء العمل.

مبدأ التناسب

تنطبق DORA على الشركات الكبيرة والصغيرة، لكن عمق الإطار يتبع حجم الشركة وملف مخاطرها وطبيعة خدماتها (المادة 4). فمؤسسة دفع صغيرة لا تحتاج إلى أدوات مصرف — لكنها تحتاج إلى كل مستند مطلوب، ومسؤول عن كل عملية، ودليل على أنها تعمل.

ما يتضمنه سجل المعلومات

بموجب المادة 28 الفقرة 3، تحتفظ كل مؤسسة مالية بسجل لجميع الترتيبات التعاقدية بشأن خدمات ICT من الأطراف الثالثة، وتضعه تحت تصرف الجهة المختصة عند الطلب، وتُبلّغ عن الترتيبات الجديدة مرة واحدة سنوياً على الأقل. ومن الناحية العملية، يذكر السجل لكل مقدّم خدمات ICT من الأطراف الثالثة: ما يقدّمه، وأي وظيفة من وظائف الشركة تعتمد عليه، وما إذا كانت هذه الوظيفة حرجة أو مهمة. ويجب أن يتطابق السجل مع العقود النافذة فعلاً — لا مع ما كان نافذاً عند إعداده لأول مرة — ولهذا يحتاج إلى تحديث سنوي، لا إلى قيد لمرة واحدة.

كيف نبني الإطار خطوة بخطوة

1. تحليل الثغرات. نقارن حوكمة ICT الحالية للشركة، ومستنداتها، وعقودها مع الأطراف الثالثة، بالدعامات الخمس أعلاه.
2. الإطار والسياسات. نصمِّم إطار إدارة مخاطر ICT والسياسات المساندة له، مصمَّماً للشركة وفقاً لمبدأ التناسب.
3. إجراء تصنيف الحوادث والإبلاغ عنها. نحدِّد كيفية تصنيف حادث ICT، ومن يبلِّغ به الجهة المختصة، وضمن أي آجال.
4. برنامج الاختبار. نصمِّم برنامج اختبار يتناسب مع الشركة.
5. سياسة خطر الأطراف الثالثة. نصمِّم عملية العناية الواجبة وقائمة بنود العقد لمقدّمي خدمات ICT الجدد، ونراجع البنود النافذة حالياً.
6. سجل المعلومات. نُعدّ السجل الأول بالنموذج المقرَّر من عقودكم.

أخطاء متكررة

• فهم مبدأ التناسب كاستثناء. حتى الشركة الصغيرة تحتاج إلى كل مستند مطلوب ومسؤول عن كل عملية — مبدأ التناسب يغيِّر العمق، لا القائمة.
• السماح للسجل بأن يصبح قديماً. يجب تحديث السجل عند كل تغيير في عقد ICT، لا مرة واحدة فقط سنوياً عند التحديث الرسمي.
• عدم وجود مسؤول معيَّن. الإطار الذي لا يكون لكل جزء منه مسؤول هو مستند، لا إطار عملي.
• معاملة DORA كمشروع لمرة واحدة. الإبلاغ عن الحوادث والتحديث السنوي للسجل واجبان متكرِّران، لا نتيجة واحدة.

ما هو مشمول وما ليس مشمولاً

تشمل خدمتنا إطار إدارة مخاطر ICT، والسياسات، وإجراء تصنيف الحوادث والإبلاغ عنها، وبرنامج الاختبار، وسياسة خطر الأطراف الثالثة، وسجل المعلومات. ولا تشمل أنظمة ICT نفسها والاختبارات التقنية نفسها — وهي تُنفَّذ من قسم تقنية المعلومات الخاص بالشركة أو مورِّدها التقني؛ وتصفها مستنداتنا وتوجِّهها وتوثِّقها.

المدة المستغرَقة

يستغرق إعداد أول إطار DORA مع السجل عادةً 8 إلى 12 أسبوعاً؛ ويُعدّ التحديث السنوي للسجل مهمة متكرِّرة وأقصر.

خدماتنا المتعلقة بـDORA

• إطار وأدوات إدارة مخاطر ICT بموجب DORA — ابتداءً من €39,500: تحليل الثغرات، الإطار والسياسات، إجراء تصنيف الحوادث والإبلاغ عنها، برنامج الاختبار، سياسة خطر الأطراف الثالثة مع قائمة بنود العقد، وسجل المعلومات الأول؛
• سجل معلومات DORA — تحديث سنوي — ابتداءً من €2,400 / سنة: تحديث السجل بالنموذج ITS والمساعدة في التقديم السنوي.

تُعدّ مستندات ICT المتوافقة مع DORA أيضاً جزءاً من طلب MiCA، وطلبات مؤسسات الدفع ومؤسسات النقود الإلكترونية؛ ومن يطلب DORA مع الترخيص لا يكتب نفس المستندات مرتين.

ما تحصلون عليه

• إطار DORA يتناسب مع شركتكم، مع مسؤولين وأدلة؛
• سجل المعلومات بالصيغة المقرَّرة؛
• إذا طُلب، التحديث السنوي للسجل.

المبالغ هي أتعابنا عن النطاق القياسي، دون ضريبة القيمة المضافة. وتتم جميع الاتصالات عبر البريد الإلكتروني.

لا نقدم خدماتنا لمواطني روسيا ولا للشركات الروسية.

طلب إطار DORA الأسعار الشرح بالإنجليزية