DORA: ما الذي تشترطه، وكيف تُثبت امتثالك لها
إجابة مختصرة
DORA (لائحة المرونة التشغيلية الرقمية) لائحة أوروبية سارية منذ يناير 2025، تشمل الكيانات المالية في الاتحاد الأوروبي ومزوّدي تقنية المعلومات والاتصالات من الأطراف الثالثة الحرجة. وتشترط إدارة مخاطر تقنية المعلومات والاتصالات (المواد 5-16)، وتصنيف حوادث تقنية المعلومات والاتصالات الجسيمة والإبلاغ عنها (المواد 17-23)، مع إخطار أولي خلال 4 ساعات من التصنيف وتقرير وسيط خلال 72 ساعة وتقرير نهائي خلال شهر واحد، واختبارات المرونة (المواد 24-27)، وإدارة مخاطر الأطراف الثالثة (المواد 28-44). وتربط ROOTKey هذه المتطلبات ببنيتك التحتية القائمة، بأدلة تشفيرية قابلة للتحقق والتدقيق.
- غرامة المزوّدين الحرجين
- 1%من متوسط رقم الأعمال اليومي العالمي، يوميًا، لمدة أقصاها 6 أشهر
- الإخطار الأولي
- 4 ساعاتبعد تصنيف الحادث على أنه جسيم
- أنواع الكيانات
- 20+مالية تشملها اللائحة
- بدء الإنفاذ
- يناير 2025سارية في جميع أنحاء الاتحاد الأوروبي
الجهات المشمولة وما الذي على المحك
دخلت DORA (لائحة المرونة التشغيلية الرقمية) حيز التنفيذ في يناير 2025. وتسري على الكيانات المالية في الاتحاد الأوروبي، بما في ذلك المصارف وشركات التأمين وشركات الاستثمار ومزوّدو خدمات الأصول المشفّرة، وكذلك مزوّدو تقنية المعلومات والاتصالات من الأطراف الثالثة الحرجة. وتختلف العقوبات بحسب نوع الكيان.
| الكيان | العقوبة |
|---|---|
| مزوّدو خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة الحرجة | غرامات دورية تصل إلى 1% من متوسط رقم الأعمال اليومي العالمي في السنة المالية السابقة، تُفرض يوميًا حتى الامتثال ولمدة لا تتجاوز ستة أشهر (المادة 35، الفقرتان 7 و8) |
| الكيانات المالية | عقوبات إدارية وتدابير تصحيحية تحددها كل دولة عضو (المادة 50)؛ ولا يحدد DORA مبلغًا موحدًا على مستوى الاتحاد الأوروبي |
المصدر: اللائحة (الاتحاد الأوروبي) 2022/2554 على EUR-Lex، المادتان 35 و50.
ما تشترطه DORA، مادةً بمادة
تشترط DORA أطرًا موثقة لإدارة مخاطر تقنية المعلومات والاتصالات، وخطط استمرارية الأعمال، وتصنيف الحوادث والإبلاغ عنها، واختبارات المرونة التشغيلية الرقمية، وإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات مع أدلة تدقيق غير قابلة للتغيير. وفيما يلي كيف يرتبط كل متطلب بـ ROOTKey.
| المادة | المتطلب | ROOTKey | الحالة |
|---|---|---|---|
| المواد 5-16إدارة مخاطر تقنية المعلومات | يجب على الكيانات المالية تطبيق إطار متين لإدارة مخاطر تقنية المعلومات والاتصالات، بسياسات موثقة وضوابط وآليات استمرارية. | سجل غير قابل للتغيير لسياسات تقنية المعلومات والاتصالات، مع بصمة تشفيرية (hash) قابلة للتحقق لكل إصدار وسجل تاريخي مرسى، ويمكن كشف أي عبث بأثر رجعي تشفيريًا. | مغطّى |
| المواد 17-23تصنيف الحوادث | تصنيف حوادث تقنية المعلومات والاتصالات الجسيمة ومراقبتها والإبلاغ عنها وفق معايير محددة ومهل إخطار مقررة. | طوابع زمنية موقّعة تشفيريًا لكل حدث. سلسلة حيازة قابلة للتحقق مع تصدير منظم إلى الجهات التنظيمية خلال ثوانٍ. ويبيّن التقرير ما الذي تغيّر ومن ومتى وأين. | مغطّى |
| المواد 24-27اختبارات المرونة | برنامج لاختبارات منتظمة للمرونة التشغيلية الرقمية، يشمل تقييمات الثغرات والاختبارات القائمة على التهديدات. | نقاط استرداد بتحقق تشفيري من السلامة، وهي أدلة قابلة للتحقق على أن أنظمة الاسترداد لم تتعرض للاختراق قبل اختبارها. | مغطّى 26 · جزئي |
| المواد 28-44مخاطر الأطراف الثالثة | إدارة صارمة لمخاطر مزوّدي تقنية المعلومات والاتصالات من الأطراف الثالثة، تشمل العناية الواجبة والعقود وحقوق التدقيق. | تحقق تشفيري من الوصول بحكم التصميم: يُوثَّق كل وصول لطرف ثالث بإثبات تشفيري ويُسجَّل بشكل غير قابل للتغيير، دون أي ثقة ضمنية. | موثَّق · مسجَّل بشكل غير قابل للتغيير |
المواد 19-20: مهل الإخطار بالحوادث
تُلزم DORA بإبلاغ السلطات المختصة عن حوادث تقنية المعلومات والاتصالات ذات الأهمية. ويُنشئ إرساء البصمات التشفيرية (hash) في ROOTKey خطوطًا زمنية للحوادث مقاومة للعبث تشكّل الأساس الإثباتي للإبلاغ التنظيمي.
| المهلة | المرحلة | التفاصيل |
|---|---|---|
| T0 | الاكتشاف والتصنيف | سجلات بأطر زمنية غير قابلة للتغيير وتصدير منظم، وهي أدلة قابلة للتحقق على لحظة الاكتشاف والتصنيف، وجاهزة خلال دقائق. |
| 4 ساعات | الإخطار الأولي | إخطار أولي للسلطة المختصة خلال 4 ساعات من تصنيف الحادث على أنه جسيم. |
| 72 ساعة | التقرير الوسيط | تقرير وسيط خلال 72 ساعة من الإخطار الأولي. |
| شهر واحد | التقرير النهائي | تقرير نهائي خلال شهر واحد. |
كيف تندمج ROOTKey: فوق بنيتك التحتية، لا بديلًا عنها
لا تستبدل ROOTKey الأنظمة القائمة، بل تضيف طبقة تحقق تشفيري عبر API، دون ترحيل ودون الارتهان لمورّد واحد.
- أدلة تشفيرية قابلة للتدقيق
- يولّد كل إجراء حرج إثباتًا مستقلًا، يمكن للمدققين الخارجيين التحقق منه دون الوصول إلى البيانات الأصلية.
- نقاط استرداد قابلة للتحقق
- نسخ احتياطية تُتحقق سلامتها تشفيريًا: التاريخ والمحتوى والسلامة، وكلها قابلة للتحقق.
- أطر زمنية غير قابلة للتغيير
- سلسلة حيازة لكل حدث أمني، بأدلة قابلة للتحقق على وقت وقوعه.
أي ملف، الدليل نفسه
ملفات PDF والصور وWord وExcel وPowerPoint والجداول وقواعد البيانات: أيًا كان الملف، تقارنه ROOTKey بأصله المختوم وتُظهر فقط ما تم تعديله.
- النشر
- SaaS · سحابة خاصة · داخل المقر
- الموصلات
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · الجداول وقواعد البيانات · REST API وwebhooks
التكامل: جاهزة للتشغيل خلال أيام، لا أشهر
واجهة REST API موثقة مع webhooks ودعم مخصص للمؤسسات. تتكيف ROOTKey مع بنيتك التحتية، لا العكس.
التكامل عبر API
واجهة REST API موثقة مع webhooks. جاهزة للتشغيل خلال أيام، دون استبدال البنية التحتية القائمة.
إثباتات تلقائية
يولّد كل حدث حرج إثباتًا تشفيريًا غير قابل للتغيير وقابلًا للتدقيق، بجهد تشغيلي ضئيل.
إبلاغ فوري
لوحة امتثال في الوقت الفعلي وتصدير الأدلة إلى الجهات التنظيمية خلال ثوانٍ.
الأسئلة الشائعة
ما هي DORA ومن يجب عليه الامتثال لها؟
دخلت DORA (لائحة المرونة التشغيلية الرقمية) حيز التنفيذ في يناير 2025. وتسري على الكيانات المالية في الاتحاد الأوروبي، بما في ذلك المصارف وشركات التأمين وشركات الاستثمار ومزوّدو خدمات الأصول المشفّرة، وكذلك مزوّدو تقنية المعلومات والاتصالات من الأطراف الثالثة الحرجة.
ماذا تشترط DORA في إدارة مخاطر تقنية المعلومات والاتصالات؟
تشترط DORA أطرًا موثقة لإدارة مخاطر تقنية المعلومات والاتصالات، وخطط استمرارية الأعمال، وتصنيف الحوادث والإبلاغ عنها، واختبارات المرونة التشغيلية الرقمية، وإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات مع أدلة تدقيق غير قابلة للتغيير.
كيف تدعم ROOTKey الإبلاغ عن الحوادث بموجب DORA؟
تُلزم DORA بإبلاغ السلطات المختصة عن حوادث تقنية المعلومات والاتصالات ذات الأهمية. ويُنشئ إرساء البصمات التشفيرية (hash) في ROOTKey خطوطًا زمنية للحوادث مقاومة للعبث تشكّل الأساس الإثباتي للإبلاغ التنظيمي.
ما العقوبات المترتبة على عدم الامتثال لـ DORA؟
يواجه مزوّدو خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة الحرجة غرامات دورية تصل إلى 1% من متوسط رقم الأعمال اليومي العالمي في السنة المالية السابقة، تُفرض يوميًا لمدة لا تتجاوز ستة أشهر (المادة 35). وتحدد كل دولة عضو العقوبات المفروضة على الكيانات المالية (المادة 50)؛ ولا يحدد DORA مبلغًا موحدًا على مستوى الاتحاد الأوروبي.