بالنسبة إلى كثير من المؤسسات المالية الأوروبية، كان عام 2025 العام الذي صار فيه نظاما مرونة رقمية يتعايشان في العمل اليومي: اللائحة (الاتحاد الأوروبي) 2022/2554، المعروفة بـ DORA، السارية منذ 17 يناير 2025، والتوجيه (الاتحاد الأوروبي) 2022/2555، أي NIS2، الذي انتهت مهلة نقله إلى التشريعات الوطنية في 17 أكتوبر 2024.
القراءة الأكثر شيوعًا هي أن DORA «يحلّ محل» NIS2 في القطاع المالي. وهذا تبسيط مفيد لكنه ناقص. فبالنسبة إلى المجموعات متعددة الكيانات، ومزوّدي الخدمات الذين يعملون في أكثر من قطاع، والفرق التي تستجيب لجهات إشرافية مختلفة، فإن التداخل حقيقي وله كلفة: ضوابط تُوثَّق مرتين، وأدلة تُجمع بصيغ مختلفة، وتقارير حوادث تُكتب على عجل، بأرقام لا تتطابق دائمًا. وتقترح هذه المقالة نهجًا مختلفًا: بناء طبقة أدلة واحدة تخدم النظامين.
أين تنتهي NIS2 ويبدأ DORA
تنصّ NIS2 في مادتها 4 على أنه حين يشترط تشريع قطاعي للاتحاد تدابير لإدارة مخاطر الأمن السيبراني أو للإخطار بالحوادث ذات أثر مكافئ على الأقل، لا تسري الأحكام المقابلة في التوجيه على الكيانات التي يشملها ذلك التشريع. وتحدّد حيثيات NIS2 أن DORA أحد هذه التشريعات القطاعية بالنسبة إلى الكيانات المالية.
عمليًا، يعني هذا أن بنكًا أو شركة استثمار أو شركة تأمين يشملها DORA تفي بالتزامات إدارة مخاطر تقنية المعلومات والاتصالات وتصنيف الحوادث والإبلاغ عنها واختبارات المرونة من خلال DORA. لكن الحدود ليست واضحة دائمًا:
- المجموعات المختلطة. قد تضم مجموعة مالية كيانات ليست كيانات مالية بالمعنى الوارد في DORA، لكنها تعمل في قطاعات تشملها NIS2، مثل خدمات تقنية المعلومات والاتصالات المُدارة أو البنى التحتية الرقمية.
- مزوّدو خدمات تقنية المعلومات والاتصالات. قد يكون مزوّد خدمات الحوسبة السحابية كيانًا أساسيًا بموجب NIS2 وفي الوقت نفسه مزوّد خدمات تقنية معلومات واتصالات من طرف ثالث يخضع لإطار الإشراف في DORA.
- النقل الوطني. NIS2 توجيه؛ وقد نقلت كل دولة عضو النص بسلطاتها ومهلها وخصوصياتها. أما DORA، بوصفه لائحة، فيُطبَّق مباشرة.
- التعاون بين السلطات. حتى عندما يُطبَّق DORA، تنص الأنظمة على التعاون وتبادل المعلومات بين سلطات الإشراف المالي والسلطات الوطنية وفرق الاستجابة للحوادث (CSIRT).
ما يطلبه النظامان بصورة مشتركة
رغم اختلاف لغة النصّين، فإنهما يشترطان في جوهرهما القدرات نفسها. ويبيّن الجدول التالي بعض أوجه التطابق بين متطلبات DORA والحد الأدنى من التدابير في المادة 21 من NIS2.
| القدرة | DORA | NIS2 |
|---|---|---|
| الحوكمة ومسؤولية الإدارة | المادة 5 | المادة 20 |
| إطار إدارة المخاطر | المادة 6 | المادة 21، الفقرة 2، البند (أ) |
| جرد الأصول وتحديدها | المادة 8 | المادة 21، الفقرة 2، البند (ط) |
| كشف الحوادث وإدارتها | المادتان 10 و17 | المادة 21، الفقرة 2، البند (ب) |
| النسخ الاحتياطية والاستعادة والاستمرارية | المادتان 11 و12 | المادة 21، الفقرة 2، البند (ج) |
| مخاطر الأطراف الثالثة وسلسلة الإمداد | المادة 28 وما يليها | المادة 21، الفقرة 2، البند (د) |
| الإبلاغ عن الحوادث الجسيمة/الكبيرة | المادة 19 | المادة 23 |
التطابق ليس تامًا: فـ DORA أكثر تفصيلًا في اختبارات المرونة، بما فيها اختبارات الاختراق القائمة على التهديدات لبعض الكيانات، وفي تسجيل المعلومات المتعلقة بالترتيبات التعاقدية مع مزوّدي تقنية المعلومات والاتصالات. لكن القاعدة المشتركة واسعة بما يكفي لتبرير بنية أدلة واحدة.
المشكلة الحقيقية: أدلة مكرّرة ومتباينة
حين يُعامَل كل نظام على أنه مشروع منفصل، تظهر أنماط متوقعة. يحتفظ فريق المخاطر بجرد للأصول من أجل DORA؛ ويحتفظ فريق الأمن بجرد آخر من أجل NIS2. وتُوثَّق اختبارات الاستعادة في جدول بيانات لتدقيق ما، وفي تقرير مختلف لتدقيق آخر. وخلال الحادث، يُعاد بناء التسلسل الزمني من سجلات (logs) أنظمة متفرقة، لكلٍّ منها ساعته وصيغته.
والخطر ليس خطر كفاءة فحسب. فمهل الإبلاغ صارمة في النظامين. إذ تنص NIS2 على إنذار مبكر خلال 24 ساعة من العلم بحادث جسيم، وإخطار خلال 72 ساعة، وتقرير نهائي خلال شهر. ويحدد DORA ومعاييره التقنية إخطارًا أوليًا وتقارير وسيطة وتقريرًا نهائيًا للحوادث الجسيمة المتعلقة بتقنية المعلومات والاتصالات. وتحت هذا الضغط، تصبح نسختان من الوقائع نفسها مشكلة خطيرة: ففي نظر الجهة الإشرافية، يُعامَل التباين بين التقارير على أنه مسألة مصداقية.
الامتثال المزدوج لا يتطلب أدلة مزدوجة. بل يتطلب مصدرًا واحدًا للوقائع يمكن قراءته عبر إطارين تنظيميين.
تصميم طبقة أدلة واحدة
1. فصل الأدلة عن التقارير
التقرير تفسير؛ أما الدليل فهو الواقعة الأساسية. والخطوة الأولى هي جمع الدليل مرة واحدة فقط، عند نقطة المنشأ، ثم إنتاج عروض مختلفة لكل نظام. فاختبار استعادة نُفّذ في وقت معيّن وبنتيجة معيّنة هو الواقعة نفسها سواء عُرض بموجب المادة 12 من DORA أو البند (ج) من المادة 21 من NIS2.
2. جعل كل سجل قابلًا للتحقق
لكي تقبل جهات إشرافية مختلفة الدليل نفسه، يجب أن يصمد أمام تدقيق مستقل. ويقتضي ذلك أختامًا زمنية موثوقة، وإسنادًا واضحًا (من أو أي نظام أنتج السجل)، وسلامة يمكن إثباتها: أي القدرة على إثبات أن السجل لم يتغيّر منذ إنشائه.
3. مطابقة الضوابط مرة واحدة
بدلًا من الاحتفاظ بمصفوفتي ضوابط، احتفظ بمصفوفة واحدة للقدرات، مثل تلك الواردة في الجدول أعلاه، واربط كل قدرة بالأحكام ذات الصلة في كل نظام. وعندما يُحدَّث معيار تقني أو يُدخل نقل وطني خصوصية معيّنة، يُحدَّث الربط، لا الأدلة.
4. الاستعداد للإبلاغ قبل الحادث
تطلب نماذج الإخطار في النظامين معلومات متشابهة: لحظة الكشف، والأنظمة المتأثرة، والأثر، والإجراءات المتخذة. وإذا كانت هذه الحقول تُغذّى تلقائيًا من طبقة الأدلة، يتوقف الإبلاغ عن كونه تمرينًا في إعادة البناء ويصبح عملية تصدير.
5. إدراج الأطراف الثالثة في النموذج نفسه
مخاطر الأطراف الثالثة من المجالات التي يتقارب فيها النظامان أكثر من غيرها. ويجب أن تعيش الأدلة المتعلقة بالموردين الحرجين، بما فيها سلامة البيانات التي يتبادلونها مع المؤسسة، في الطبقة نفسها وتخضع لقواعد قابلية التحقق نفسها.
مثال على سير العمل
تخيّل تعديلًا غير مصرَّح به في جدول بقاعدة بيانات إنتاجية. في طبقة أدلة واحدة، يُكشف التعديل بالمقارنة بالحالة المختومة؛ ويسجّل التنبيه اللحظة الدقيقة للكشف؛ ويوثّق فريق الاستجابة الإجراءات في السجل نفسه؛ وتتم الاستعادة من نقطة جرى التحقق من سلامتها وتُسجَّل النتيجة. وعندما يحين وقت الإخطار، يخدم التسلسل الزمني نفسه سلطة الإشراف المالي، وعند الاقتضاء السلطة الوطنية للأمن السيبراني، بالوقائع نفسها والأوقات نفسها والإثبات نفسه.
كيف تساعد ROOTKey
تعمل ROOTKey بوصفها طبقة الأدلة هذه. يُثبَّت كل ملف وسجل وسياسة على إثبات تشفيري، ويُختم كل إجراء بختم زمني تشفيري وتوقيع، مكوّنةً سلسلة عهدة جاهزة للمدقّقين وقابلة للتصدير إلى الجهات التنظيمية.
تكشف المراقبة المستمرة التغييرات قياسًا إلى السجل المختوم، وتتيح نقاط الاسترداد استعادة الحالة التي جرى التحقق من سلامتها فقط، وتُنشأ تقارير الامتثال لـ NIS2 وDORA واللائحة العامة لحماية البيانات (GDPR) عند الطلب من قاعدة الوقائع نفسها. اطّلع على المزيد في الصفحتين المخصّصتين لـ DORA و NIS2، أو قيّم فجوتك باستخدام محاكي NIS2.