DE
EN
FR
ITالامتثال لـ DORA
أصبح DORA جزءًا من عملكم اليومي. نحن نجعله أخف وطأة.
الحفاظ على سجل المعلومات محدثًا، والإبلاغ عن الحوادث في الوقت المناسب، ومتابعة الأطراف الثالثة عن كثب: أنتم تعرفون تمامًا ما ينبغي القيام به. ما ينقص غالبًا هو نظام يجمع كل ذلك معًا. تجمع منصة SwissGRC® مواضيع DORA الخاصة بكم في مكان واحد: بشكل منظم ومترابط وجاهز للإجابة في أي وقت.
DORA في 2026
من التحضير إلى الإشراف الفعلي
لم يعد DORA موضوعًا مستقبليًا. فالجهات الرقابية تجري فحوصاتها، ويُقدَّم سجل المعلومات سنويًا، وتخضع الجهات الحرجة من مقدمي خدمات تقنية المعلومات والاتصالات (ICT) لإشراف أوروبي مباشر. من لا يزال يعتمد على جداول البيانات يتخلف عن الركب.
دخول DORA حيز التنفيذ
دخلت اللائحة (EU) 2022/2554 حيز التنفيذ في 16 يناير 2023. وحصلت الجهات المالية ومقدمو خدمات ICT على مهلة عامين لمواءمة الحوكمة والعمليات والعقود مع الركائز الخمس للمرونة الرقمية. وبالتوازي مع ذلك، عملت الهيئات الأوروبية الإشرافية (ESAs) على تفصيل المتطلبات ضمن معايير تقنية تنظيمية وتنفيذية (RTS وITS).
بدء تطبيق DORA: التزامات الإبلاغ وسجل المعلومات تصبحان واقعًا
أصبح DORA ساري التطبيق منذ 17 يناير 2025. وتقوم الجهات المالية بالإبلاغ عن حوادث ICT الكبرى ضمن مهل زمنية ضيقة، وتقدم للمرة الأولى سجل المعلومات الذي يغطي جميع الترتيبات التعاقدية مع مقدمي خدمات ICT من الأطراف الثالثة. وقد رصدت الجهات الرقابية أخطاء متكررة منذ أول جولة تقديم: سجلات غير مكتملة، وغياب استراتيجيات الخروج، وعقود لم تتم مواءمتها بعد مع الحد الأدنى من المحتوى المطلوب وفق RTS.
الهيئات الأوروبية الإشرافية (ESAs) تحدد 19 مقدم خدمة ICT من الأطراف الثالثة الحرجة
في 18 نوفمبر 2025، نشرت EBA وESMA وEIOPA القائمة الأولى لمقدمي خدمات ICT الحرجة من الأطراف الثالثة (CTPPs)، وتشمل منصات سحابية كبرى، ومشغلي شبكات ومراكز بيانات، ومقدمي بيانات مالية متخصصين. وأصبح هؤلاء المزودون الآن خاضعين لإشراف أوروبي مباشر. والجدير بالذكر أن المسؤولية التشغيلية عن مخاطر الأطراف الثالثة تبقى بالكامل على عاتق الجهة المالية.
بدء الإشراف التشغيلي
أنشأت الهيئات الأوروبية الإشرافية (ESAs) فرق فحص مشتركة، وعينت مشرفًا رئيسيًا (Lead Overseer) لكل مقدم خدمة ICT حرج من الأطراف الثالثة، بصلاحيات واسعة للحصول على المعلومات والرقابة والتفتيش. وفي الوقت نفسه، تجري الجولة الثانية من تقديم سجل المعلومات، الذي يُرسل الآن إلى الهيئات الأوروبية الإشرافية (ESAs) سنويًا. وتنظم الجهات الوطنية مثل BaFin ورش عمل لتفادي تكرار أخطاء الجولة الأولى.
إشراف أعمق ونطاق متنامٍ
تتعمق الممارسة الرقابية: فحوصات موسعة، وقوائم CTPP تُحدَّث سنويًا، وتركيز متزايد على اختبارات الاختراق الموجهة بالتهديدات (TLPT) للمؤسسات ذات الأهمية. وفي ألمانيا، يوسع قانون FinmadiG النطاق أكثر. والمؤسسات التي تتعامل مع DORA كعملية مستمرة لا كمشروع محدد زمنيًا هي التي تحتفظ بالميزة التنافسية.
الركائز الخمس لـ DORA
خمس ركائز، منصة واحدة
توزّع لائحة DORA متطلباتها على خمسة مجالات عمل. تربط منصة SwissGRC® هذه المجالات في نموذج بيانات متكامل واحد: تتشابك المخاطر والحوادث والاختبارات والأطراف الثالثة بدلاً من أن تبقى في معازل منفصلة. اختاروا إحدى الركائز لتروا كيف يبدو التطبيق العملي لها.
الركيزة 1 · الأساس
إدارة مخاطر تقنية المعلومات والاتصالات
يجب على الكيانات المالية تشغيل إطار عمل سليم وموثّق لإدارة مخاطر تقنية المعلومات والاتصالات: جرد الأنظمة والأصول، وتحديد المخاطر وتقييمها ومعالجتها ورصدها باستمرار، مع مساءلة واضحة على مستوى هيئة الإدارة.
كيف تطبّقونها عبر منصة SwissGRC®
- جرد مترابط لتقنية المعلومات والاتصالات: رصد الأصول المحمية والأنظمة والعمليات وربطها بالمخاطر والضوابط والموردين.
- نظام إدارة أمن معلومات متكامل: أمن المعلومات ومخاطر تقنية المعلومات والاتصالات في نموذج بيانات واحد، مع متابعة التدابير.
- تقارير موجهة لهيئة الإدارة: لوحات معلومات وتقارير تلبي متطلبات الجهات الرقابية وتوقعات مجلس الإدارة في آن واحد.
الركيزة 2 · الاستجابة
إدارة الحوادث المرتبطة بتقنية المعلومات والاتصالات والإبلاغ عنها
يجب اكتشاف الحوادث وتصنيفها، وإبلاغ الجهة المختصة بالحالات الكبرى ضمن مهل زمنية صارمة: إشعار أولي، وتقرير وسيط، وتقرير نهائي، بأسلوب متسق وقابل للتتبع.
كيف تطبّقونها عبر منصة SwissGRC®
- إدارة شاملة للحوادث: من الرصد إلى التصنيف وصولاً إلى تحليل السبب الجذري ضمن سير عمل واحد.
- المهل الزمنية تحت السيطرة: عمليات إبلاغ منظمة بمسؤوليات واضحة، بحيث يُرسل الإشعار الأولي في الوقت المحدد.
- مرتبطة بإدارة المخاطر: يغذي كل حادث سلسلة السبب والحدث والأثر، ويعزز رؤيتكم للمخاطر.
الركيزة 3 · المرونة
اختبار المرونة التشغيلية الرقمية
يضمن الاختبار المنتظم، من تقييمات الثغرات إلى اختبارات الاختراق الموجهة بالتهديدات (TLPT) للمؤسسات الهامة، أن قدرات الحماية والكشف والتعافي تعمل فعليًا.
كيف تطبّقونها عبر منصة SwissGRC®
- تخطيط الاختبارات ومتابعتها: توثيق أنواع الاختبارات ودوراتها ونتائجها مركزيًا وإدارة الملاحظات كتدابير.
- إدارة استمرارية الأعمال مدمجة: إعداد خطط الطوارئ واختبارها وتغذية الدروس المستفادة مباشرة في المخاطر والضوابط.
- أدلة جاهزة للتدقيق: سجل كامل لجميع الاختبارات والتدابير لأغراض التدقيق والرقابة.
الركيزة 4 · محور التركيز الرقابي لعام 2026
إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات
يُرسَل سجل المعلومات الذي يغطي جميع الترتيبات التعاقدية مع موردي تقنية المعلومات والاتصالات من الأطراف الثالثة إلى الجهات الرقابية سنويًا. يضاف إلى ذلك العناية الواجبة، والمحتوى التعاقدي الأدنى، ومخاطر التركّز، واستراتيجيات الخروج للوظائف الحساسة. ومع رقابة الهيئات الأوروبية الإشرافية على مقدمي الخدمات الحرجين (CTPPs)، تحتل هذه الركيزة مكانة مركزية في عام 2026.
كيف تطبّقونها عبر منصة SwissGRC®
- سجل المعلومات بموجب DORA: تسجيله بشكل منظم، والحفاظ على تحديثه، وإبقاؤه جاهزًا للتقديم.
- إدارة مخاطر الأطراف الثالثة: تقييم الموردين ومراقبتهم، وإظهار مخاطر التركّز بوضوح، بما في ذلك الاعتماد على مقدمي الخدمات الحرجين.
- استراتيجيات خروج موثّقة: تسجيل خطط الخروج للخدمات الحساسة والحفاظ على تحديثها.
الركيزة 5 · الدفاع الجماعي
تبادل المعلومات حول التهديدات السيبرانية
تشجّع لائحة DORA التبادل الطوعي لمعلومات التهديدات بين الكيانات المالية، ضمن مجتمعات موثوقة وبما يتوافق مع حماية البيانات. فمن يشارك ويستقبل المعلومات يتمكن من رصد أنماط الهجمات مبكرًا.
كيف تطبّقونها عبر منصة SwissGRC®
- توثيق المشهد التهديدي: رصد المعلومات الخارجية بشكل منظم وربطها بمخاطركم وسيناريوهاتكم الخاصة.
- تحويل المعرفة إلى عمل: تتحول التنبيهات إلى مهام قابلة للتتبع بدلاً من رسائل بريد إلكتروني منسيّة.
- رؤية موحدة للجميع: التهديدات والحوادث والمخاطر في رؤية متسقة واحدة للمختصين والإدارة.
الحل
الامتثال لـ DORA مع منصة SwissGRC®
ست قدرات، ونموذج بيانات متكامل واحد. لكل متطلب من متطلبات DORA موضع واضح في منصة SwissGRC®، وكل موضع متصل بالمواضع الأخرى. يقلل ذلك من ازدواجية العمل، وعندما تسأل الجهات الرقابية، تكون الإجابة جاهزة بالفعل.
فحص الامتثال لـ DORA
تتبّعوا تنفيذ كل متطلب من متطلبات اللائحة (EU) 2022/2554، بما في ذلك المعايير التقنية التنظيمية (RTS) والمعايير التقنية التنفيذية (ITS) المرتبطة بها. تصبح الثغرات مرئية، وتُسند التدابير، ويظل التقدم شفافًا بالنسبة لهيئة الإدارة.
إدارة مخاطر تقنية المعلومات والاتصالات ونظام إدارة أمن المعلومات (ISMS)
قوموا بجرد منظومتكم التقنية بالكامل وربطها ببعضها. حدّدوا مخاطر تقنية المعلومات والاتصالات وقيّموها وراقبوها ضمن نظام إدارة أمن المعلومات (ISMS) متكامل، واتخذوا قرارات مبنية على أسس سليمة لتحسين وضعكم الأمني.
سجل المعلومات بموجب DORA
أنشئوا وحافظوا على سجل جميع الترتيبات التعاقدية مع مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة: توثيق منظم، وتحديثات دورية، وقابلية تتبع كاملة، جاهز للتقديم السنوي.
إدارة الحوادث
اكتشفوا الحوادث وصنّفوها وأبلغوا عنها بما يتوافق مع DORA. متكاملة تمامًا مع إدارة المخاطر، وتغطي السلسلة الكاملة من السبب والحدث والأثر وصولًا إلى التقرير النهائي.
إدارة استمرارية الأعمال (BCM)
خططوا لتدابير الطوارئ واختبروها حتى تستمر مؤسستكم في العمل حتى في حالة الأزمات. تُغذّي نتائج الاختبار المخاطر والتدابير مباشرة، وتعزز مرونتكم مع مرور الوقت.
إدارة مخاطر الأطراف الثالثة
اعتمدوا نهجًا يرتكز على البيانات تجاه جميع مخاطر تقنية المعلومات والاتصالات لدى الأطراف الثالثة: العناية الواجبة، والمراقبة المستمرة، ومخاطر التركز، واستراتيجيات الخروج، بما في ذلك اعتماديتكم على المزودين الحيويين الخاضعين لإشراف الهيئات الأوروبية للإشراف (ESA).
تفاعلي · دقيقتان
ما مدى جاهزية مؤسستكم لمتطلبات DORA؟
ستة أسئلة مبنية على أولويات الفحص الرقابي. تحصلون على تقييم فوري، مجهول الهوية ودون حاجة إلى التسجيل.
كيف تحتفظون بسجل المعلومات الخاص بمقدمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة؟
هل يمكنكم الإبلاغ عن حادثة كبرى في تقنية المعلومات والاتصالات إلى الجهة الرقابية خلال أربع ساعات من تصنيفها؟
هل تعرفون مدى اعتمادكم على مقدمي خدمات تقنية المعلومات والاتصالات الحرجين الـ19 الخاضعين لرقابة الهيئات الأوروبية للإشراف (ESA)؟
إلى أي مدى ترتبط قائمة جرد تقنية المعلومات والاتصالات لديكم بالمخاطر والضوابط؟
إلى أي درجة تختبرون المرونة التشغيلية الرقمية لديكم بشكل منهجي؟
هل يتلقى مجلس الإدارة لديكم تقارير موثوقة بانتظام حول تنفيذ DORA؟
هذا التقييم الذاتي غير ملزم ولا يحل محل الاستشارة التنظيمية. لا يتم حفظ أي إجابات أو نقلها.
الأسئلة الشائعة
فهم DORA، حتى عام 2026
أبرز الأسئلة حول قانون المرونة التشغيلية الرقمية، محدّثة بأحدث التطورات: من الإشراف على مقدمي الخدمات التقنية الحساسة (CTPP) إلى التقديم السنوي لسجل المعلومات.
ما هو قانون المرونة التشغيلية الرقمية (DORA)؟
DORA هو اللائحة الأوروبية (EU) 2022/2554. دخلت حيز النفاذ في 16 يناير 2023 وأصبحت سارية منذ 17 يناير 2025. وهي توحّد متطلبات المرونة التشغيلية الرقمية لنحو 20 نوعًا من الكيانات المالية في الاتحاد الأوروبي، من البنوك وشركات التأمين إلى مؤسسات الدفع ومقدمي خدمات الأصول المشفرة، كما تُدخل مقدمي خدمات تقنية المعلومات من الأطراف الثالثة ضمن نطاقها مباشرة.
الهدف: أن يكون القطاع المالي الأوروبي قادرًا على رصد الاضطرابات الرقمية الحادة وإدارتها والتعافي منها دون تعريض استقرار النظام المالي للخطر.
ما هي الركائز الخمس لقانون DORA؟
- إدارة مخاطر تقنية المعلومات: إطار موثّق لتحديد مخاطر تقنية المعلومات وتقييمها وإدارتها ومراقبتها.
- إدارة الحوادث وإعداد التقارير: تصنيف حوادث تقنية المعلومات الكبرى وإبلاغها إلى الجهة المختصة ضمن المهل المحددة.
- اختبار المرونة الرقمية: اختبارات دورية، تصل إلى اختبار الاختراق الموجّه بالتهديدات (TLPT) للمؤسسات ذات الأهمية.
- إدارة مخاطر الأطراف الثالثة في تقنية المعلومات: بما في ذلك سجل المعلومات، والمحتوى التعاقدي الأدنى، ومخاطر التركّز، واستراتيجيات الخروج.
- تبادل المعلومات: تبادل طوعي لمعلومات التهديدات السيبرانية بين الكيانات المالية.
ما الذي تغيّر مع قائمة CTPP الصادرة في نوفمبر 2025؟
في 18 نوفمبر 2025، حددت الجهات الرقابية الأوروبية EBA وESMA وEIOPA للمرة الأولى 19 مقدم خدمة تقنية معلومات من الأطراف الثالثة باعتبارهم حساسين (CTPPs)، تتراوح بين مزودي الحوسبة فائقة الحجم ومشغلي الشبكات ومراكز البيانات ومقدمي خدمات وبيانات مالية متخصصة. ومنذ عام 2026، باتت هذه الجهات تخضع لإشراف مباشر من الجهات الرقابية الأوروبية (ESA) عبر مشرفين رئيسيين وفرق فحص مشتركة.
مهم للكيانات المالية: تبقى المسؤولية التشغيلية على عاتقكم. إذا كنتم تستخدمون مقدم خدمة من فئة CTPP، فيجب أن ينعكس هذا الارتباط في سجلكم الخاص وفي تقييمكم لمخاطر التركّز، كما يجب أن تنعكس نتائج الإشراف الصادرة عن الجهات الرقابية الأوروبية في إدارتكم الخاصة لمخاطر تقنية المعلومات. وإذا لم يستجب مقدم خدمة حساس لتوصيات الجهات الرقابية، يمكن للجهات الوطنية، كملاذ أخير، أن تطلب من الكيانات المالية تعليق استخدام خدماته أو إنهاءه.
ما هو سجل المعلومات وما الذي يسري اعتبارًا من 2026؟
يوثّق سجل المعلومات جميع الترتيبات التعاقدية مع مقدمي خدمات تقنية المعلومات من الأطراف الثالثة، مع الإشارة تحديدًا إلى الخدمات التي تدعم وظائف حساسة أو مهمة. ويُرسل هذا السجل سنويًا إلى الجهات الرقابية الأوروبية عبر الجهة الرقابية الوطنية.
منذ الجولة الأولى من التقديم، رصدت الجهات الرقابية نقاط ضعف شائعة: سجلات غير مكتملة (مثل أنظمة تقنية معلومات غير معلنة)، وخطط خروج مفقودة، وعقود لا تزال دون الحد الأدنى من المحتوى المطلوب في المعايير التقنية. وبالنسبة للجولات الجارية، تمثل جودة البيانات العامل الحاسم. إن استخدام سجل مدعوم بأداة ومرتبط بالعقود والمخاطر والوظائف يقلّص الأخطاء والجهد بشكل كبير.
ما هي المهل الزمنية للإبلاغ عن حوادث تقنية المعلومات الكبرى؟
بمجرد تصنيف حادثة ما بأنها كبرى، يجب تقديم الإشعار الأولي خلال أربع ساعات، وفي موعد أقصاه 24 ساعة بعد اكتشافها. يليه تقرير وسيط في موعد أقصاه 72 ساعة بعد الإشعار الأولي، ثم تقرير نهائي يتضمن تحليل الأسباب الجذرية في موعد أقصاه شهر واحد بعد آخر تقرير وسيط. وهذه المهل ضيقة، ولهذا يُعد وجود عملية إبلاغ مدعومة بأداة ومُختبرة مسبقًا، مع أدوار واضحة، أمرًا حاسمًا. وتؤكد الممارسة ذلك: فمنذ سريان DORA، أُبلغ عن مئات الحوادث الكبرى في تقنية المعلومات في ألمانيا وحدها، ويرتبط جزء كبير منها بمقدمي خدمات خارجيين.
هل يؤثر DORA على الشركات السويسرية أيضًا؟
DORA لائحة أوروبية، لكن آثارها تتجاوز حدود الاتحاد الأوروبي. فالشركات المالية السويسرية التي لديها فروع أو أنشطة تجارية في الاتحاد الأوروبي معنية بها، وكذلك مقدمو خدمات تقنية المعلومات السويسريون الذين يخدمون كيانات مالية أوروبية: إذ يطالب عملاؤهم بعقود متوافقة مع DORA، وبالقدرة على تقديم الأدلة، وبالتعاون في إعداد سجل المعلومات. كما أن الممارسة الرقابية السويسرية تتجه بشكل متزايد نحو مبادئ مماثلة للمرونة التشغيلية. ومن يطبّق منطق DORA اليوم يكون في موقع جيد في كلا السوقين.
ما الفرق بين DORA وNIS2؟
NIS2 توجيه ذو نطاق واسع وشامل لعدة قطاعات، يغطي الكيانات الأساسية والمهمة. أما DORA فهي لائحة تسري تحديدًا ومباشرة على القطاع المالي. وبالنسبة للكيانات المالية، تحظى DORA بالأولوية على NIS2 باعتبارها النظام القطاعي المتخصص. ولا تزال العديد من المؤسسات بحاجة إلى مراعاة كلا الإطارين، مثلًا في المجموعات التي تضم شركات مالية وغير مالية. تجمع منصة SwissGRC الإطارين في منصة واحدة، بحيث لا يلزم إعداد الأدلة إلا مرة واحدة.
كيف تدعم Swiss GRC الامتثال لـ DORA؟
تغطي منصة SwissGRC متطلبات DORA كمنظومة متكاملة: فحص امتثال DORA مع تتبّع الإجراءات، وإدارة مخاطر تقنية المعلومات مع نظام إدارة أمن المعلومات (ISMS)، وسجل المعلومات بموجب DORA، وإدارة شاملة للحوادث مع عملية إبلاغ متكاملة، وإدارة استمرارية الأعمال (BCM)، وإدارة مخاطر الأطراف الثالثة بما في ذلك استراتيجيات الخروج وارتباطات CTPP.
وبصفته حلًا قابلًا للتوسع، فإنه ينمو معكم: ابدأوا بالمواضيع الأساسية لـ DORA ثم وسّعوا عمليات GRC لديكم تدريجيًا لتشمل مجالات إضافية. مع إمكانية استضافة البيانات في سويسرا اختياريًا، وبدعم من فريقنا الذي يعرف السوق الناطق بالألمانية الخاضع للتنظيم (DACH) من واقع سنوات من العمل الميداني.
SwissGRC® Platform
الجهات الرقابية تسأل. وأنتم تجيبون.
تعرفوا على كيفية إدارة سجل المعلومات لديكم، والإبلاغ عن الحوادث، ومخاطر الأطراف الثالثة باستخدام منصة SwissGRC®.
