ما هو قانون المرونة التشغيلية الرقمية (DORA)؟

يحدد قانون المرونة التشغيلية الرقمية (DORA) معايير تقنية تلزم الكيانات المالية ومزودي الخدمات التقنية الخارجين الحيويين. وقد دخل القانون حيز التنفيذ لأول مرة في 17 يناير 2025.

ولإدارة مخاطر تكنولوجيا المعلومات والاتصالات هدفان رئيسيان: معالجة إدارة مخاطر تكنولوجيا المعلومات والاتصالات في قطاع الخدمات المالية بشكل شامل، ومواءمة لوائح إدارة مخاطر تكنولوجيا المعلومات والاتصالات الموجودة بالفعل في كل دولة من الدول الأعضاء في الاتحاد الأوروبي.

قبل قانون المرونة التشغيلية الرقمية، ركزت لوائح إدارة المخاطر للمؤسسات المالية في الاتحاد الأوروبي في المقام الأول على ضمان أن يكون لدى الشركات رأس مال كافٍ لتغطية المخاطر التشغيلية. في حين أن بعض الجهات التنظيمية في الاتحاد الأوروبي أصدرت مبادئ توجيهية بشأن تكنولوجيا المعلومات والاتصالات وإدارة المخاطر الأمنية، إلا أن هذه المبادئ التوجيهية لم تنطبق على جميع الكيانات المالية على حد سواء، وغالبًا ما اعتمدت على مبادئ عامة بدلاً من معايير فنية محددة. في ظل عدم وجود قواعد لإدارة مخاطر تكنولوجيا المعلومات والاتصالات على مستوى الاتحاد الأوروبي، أصدرت الدول الأعضاء في الاتحاد الأوروبي متطلباتها الخاصة. وقد ثبت أن هذا الخليط من اللوائح التنظيمية يصعب على الكيانات المالية التعامل معه.

يهدف الاتحاد الأوروبي من خلال قانون المرونة التشغيلية الرقمية إلى إنشاء إطار عمل عالمي لإدارة مخاطر تكنولوجيا المعلومات والاتصالات والتخفيف من حدتها في القطاع المالي. من خلال مواءمة قواعد إدارة المخاطر في جميع أنحاء الاتحاد الأوروبي، يسعى قانون إدارة المخاطر في الاتحاد الأوروبي إلى إزالة الثغرات والتداخلات والتعارضات التي يمكن أن تنشأ بين اللوائح المتباينة في دول الاتحاد الأوروبي المختلفة. حيث سيُسهم وجود مجموعة موحَّدة من القواعد في تسهيل امتثال الكيانات المالية، إلى جانب تعزيز مرونة النظام المالي للاتحاد الأوروبي بأكمله من خلال ضمان خضوع جميع المؤسسات للمعايير نفسها.

ينطبق قانون المرونة التشغيلية الرقمية على جميع المؤسسات المالية في الاتحاد الأوروبي. يشمل ذلك الكيانات المالية التقليدية، مثل البنوك وشركات الاستثمار ومؤسسات الائتمان، والكيانات غير التقليدية، بما في ذلك مقدمي خدمات الأصل المشفر ومنصات التمويل الجماعي.

ومن الجدير بالذكر أن قانون المرونة التشغيلية الرقمية ينطبق أيضًا على بعض الكيانات التي تكون مستبعدة عادةً من اللوائح المالية. فعلى سبيل المثال، يجب على مزودي الخدمات الخارجيين الذين يزودون الشركات المالية بأنظمة وخدمات تكنولوجيا المعلومات والاتصالات—مثل مزودي الخدمات السحابية و مراكز البيانات—الالتزام بمتطلبات قانون المرونة التشغيلية الرقمية. كما يغطي قانون المرونة التشغيلية الرقمية الشركات التي تقدم خدمات معلومات خارجية حساسة، مثل خدمات التصنيف الائتماني ومزودي تحليلات البيانات.

هذا التركيز على مزودي الخدمات الخارجيين يعني أن الشركات الموجودة خارج أوروبا يمكن أن تكون مسؤولة أيضًا عن الامتثال التنظيمي. فعلى سبيل المثال، تقدم العديد من الشركات في الهند خدمات تكنولوجيا المعلومات و تعهيد عمليات الأعمال لعملاء أوروبيين؛ لذا يجب على هذه الشركات الهندية الانتباه لمتطلبات قانون المرونة التشغيلية الرقمية التنظيمية للحفاظ على الامتثال. ومن بين المتطلبات الأخرى، يجب على هذه الشركات إظهار المرونة الإلكترونية واتخاذ تدابير لضمان استمرارية الأعمال.

أصبح قانون المرونة التشغيلية الرقمية ساريًا وقابلاً للتنفيذ اعتبارًا من 17 يناير 2025، وذلك بعد سنوات من التطوير. 

اقتُرح قانون المرونة التشغيلية الرقمية لأول مرة من قِبل المفوضية الأوروبية—وهي الفرع التنفيذي للاتحاد الأوروبي المسؤول عن تقديم التشريعات—في سبتمبر 2020. وكان جزءًا من حزمة مالية رقمية أكبر تشمل أيضًا مبادرات لتنظيم الأصول المشفرة وتعزيز الإستراتيجية المالية الرقمية العامة للاتحاد الأوروبي. اعتمد مجلس الاتحاد الأوروبي والبرلمان الأوروبي (وهما الهيئات التشريعية المسؤولة عن الموافقة على قوانين الاتحاد الأوروبي) قانون المرونة التشغيلية الرقمية رسميًا في نوفمبر 2022.

بعد اعتماد القانون، تولت الهيئات الرقابية الأوروبية (ESAs) صياغة التفاصيل الرئيسية. والهيئات الرقابية الأوروبية هي الجهات التنظيمية التي تشرف على النظام المالي في الاتحاد الأوروبي، وتضم الهيئة المصرفية الأوروبية (EBA) وهيئة الأوراق المالية والأسواق الأوروبية والهيئة الأوروبية للتأمين والمعاشات المهنية.

وقد كانت الهيئات الرقابية الأوروبية مسؤولة عن صياغة المعايير الفنية التنظيمية (RTS) والمعايير الفنية للتنفيذ (ITS) التي يجب على الكيانات المشمولة تنفيذها. وقد اكتمل وضع العديد من هذه المعايير في عام 2024. فعلى سبيل المثال، في مارس 2024، قدمت الجهات التنظيمية معايير فنية تنظيمية تحدد أدوات وأساليب وعمليات وسياسات إدارة مخاطر تكنولوجيا المعلومات والاتصالات. كما حددت معايير تصنيف الحوادث الجسيمة المتعلقة بتكنولوجيا المعلومات والاتصالات والتهديدات الإلكترونية. وفي عام 2024 أيضًا، بدأت المفوضية الأوروبية في تطوير إطار رقابي لمزودي خدمات تكنولوجيا المعلومات والاتصالات الحيوية.

يُعد إطار قانون المرونة التشغيلية الرقمية مكتملاً اعتبارًا من يوليو 2025.

تقع مسؤولية التنفيذ الآن على عاتق الجهات التنظيمية المعينة في كل دولة عضو في الاتحاد الأوروبي، والمعروفة باسم "الجهات المختصة". يمكن للجهات المختصة هذه أن تطلب من الكيانات المالية اتخاذ تدابير أمنية محددة ومعالجة الثغرات الأمنية. ويمكنها أيضًا فرض عقوبات إدارية—وأحيانًا جنائية—على الكيانات التي لا تمتثل. وكل دولة عضو تقرر العقوبات الخاصة بها.

سيخضع مزودو خدمات تكنولوجيا المعلومات والاتصالات الذين تصنفهم المفوضية الأوروبية على أنهم "مهمون" لإشراف مباشر من قِبل مشرفين رئيسيين تابعين للهيئات الرقابية الأوروبية. في نوفمبر 2025، حدد الجهات التنظيمية 19 شركة ككيانات "حيوية"، وهي قائمة شملت أمازون وجوجل وIBM.

وكما هو الحال مع الجهات المختصة، يمكن للمشرفين الرئيسيين طلب اتخاذ تدابير أمنية ومعالجة المخاطر وفرض عقوبات على مقدمي خدمات تكنولوجيا المعلومات والاتصالات غير الممتثلين. يُجيز قانون المرونة التشغيلية الرقمية للمشرفين الرئيسيين فرض غرامات على مزودي خدمات تكنولوجيا المعلومات والاتصالات تصل إلى 1% من متوسط الإيرادات اليومية العالمية للمزود خلال السنة المالية السابقة. ويمكن فرض غرامات يومية على المزودين لمدة تصل إلى ستة أشهر، إلى حين تحقيق الامتثال.

يضع قانون DORA المتطلبات الفنية للمنشآت المالية ومقدمي خدمات تكنولوجيا المعلومات والاتصالات في أربعة مجالات:

• إدارة مخاطر تكنولوجيا المعلومات والاتصالات وحوكمتها
• الاستجابة للحوادث والإبلاغ عنها
• اختبار المرونة التشغيلية الرقمية
• إدارة مخاطر الجهات الخارجية

يتم تشجيع مشاركة المعلومات ولكنها غير مطلوبة.

من المتوقع أن تُطبق المتطلبات بشكل نسبي، ما يعني أن الكيانات الأصغر لن تخضع للمعايير نفسها التي تخضع لها المؤسسات المالية الكبرى. وعلى الرغم من أن عمليات الإنفاذ الكبرى لم تتصدر العناوين بعد في عام 2025، فإن بعض الخبراء القانونيين يشيرون إلى عام 2026 كعام دخول قانون المرونة التشغيلية الرقمية مرحلة النضج. كتب Michael Huertas، رئيس الخدمات القانونية المالية العالمية والأوروبية في PwC Legal: "يجب أن تكون مجالس الإدارة مستعدة لإيقاع جديد من المشاركة الرقابية التي تركز على المرونة التشغيلية بدلاً من المقاييس الاحترازية التقليدية".

يُلقي قانون المرونة التشغيلية الرقمية على الهيئات الإدارية في الكيانات مسؤولية إدارة تكنولوجيا المعلومات والاتصالات. ومن المتوقع أن يضع أعضاء مجلس الإدارة، والقادة التنفيذيون، وكبار المديرين إستراتيجيات مناسبة لإدارة المخاطر، وأن يشاركوا بفعالية في تنفيذها، وأن يبقوا على اطلاع دائم على مشهد مخاطر تكنولوجيا المعلومات والاتصالات. كما يمكن تحميل القادة مسؤولية شخصية في حال عدم امتثال الكيان.

ومن المتوقع أن تضع المنشآت المشمولة إطارًا شاملًا لإدارة مخاطر تكنولوجيا المعلومات والاتصالات. ويجب عليها رسم خريطة لأنظمتها في مجال تكنولوجيا المعلومات والاتصالات، وتحديد وتصنيف الأصول والوظائف الحساسة، وتوثيق الارتباطات بين الأصول والأنظمة والعمليات والمزوّدين. كما يتعيّن على المنشآت إجراء تقييمات مستمرة للمخاطر على أنظمتها، وتوثيق التهديدات السيبرانية وتصنيفها، وتوثيق الخطوات المتخذة للتخفيف من المخاطر المحددة.

وفي إطار عملية تقييم المخاطر، يجب على الكيانات إجراء تحليلات لأثر الأعمال لتقييم مدى تأثير سيناريوهات محددة والاضطرابات الشديدة في سير الأعمال. وتستخدم الكيانات نتائج هذه التحليلات لتحديد مستويات تحمل المخاطر وتوجيه تصميم البنية التحتية لتكنولوجيا المعلومات والاتصالات لديها. كما يُطلب من الكيانات تنفيذ تدابير حماية الأمن الإلكتروني المناسبة، مثل سياسات إدارة الهوية والوصول (IAM) و إدارة التصحيحات، إلى جانب ضوابط تقنية مثل أنظمة الكشف والاستجابة الموسعة ، وبرمجيات إدارة المعلومات والأحداث الأمنية (SIEM) ، وأدوات التنسيق الأمني والأتمتة والاستجابة (SOAR) .

وتحتاج الكيانات أيضًا إلى إعداد خطط لاستمرارية الأعمال والتعافي من الكوارث تغطي مختلف سيناريوهات المخاطر الإلكترونية، مثل تعطل خدمات تكنولوجيا المعلومات والاتصالات، أو الكوارث الطبيعية، أو الهجمات الإلكترونية. ويجب أن تتضمن هذه الخطط تدابير النسخ الاحتياطي للبيانات واستردادها، وإجراءات لاستعادة الأنظمة، وخططًا للتواصل مع العملاء والشركاء والجهات المتأثرة.

كما يجب على الكيانات المشمولة إنشاء أنظمة لرصد الحوادث المرتبطة بتكنولوجيا المعلومات والاتصالات، وإدارتها، وتسجيلها، وتصنيفها، والإبلاغ عنها. وبحسب درجة خطورة الحادث، قد يُطلب من الكيانات تقديم تقارير إلى كل من الجهات التنظيمية والعملاء والشركاء المتأثرين.

ويُطلب من الكيانات إعداد ثلاثة أنواع متميزة من التقارير للحوادث الحرجة: تقرير أولي لإخطار السلطات، وتقرير وسيط حول التقدم المحرز في معالجة الحادث، وتقرير نهائي لتحليل الأسباب الأساسية لوقوع الحادث.

نُشرت قواعد إدارة الحوادث، وكيفية تصنيف الحوادث، والحوادث التي يجب الإبلاغ عنها، والجداول الزمنية للإبلاغ عنها في مارس 2024 .

كما استكشفت الهيئات الرقابية الأوروبية طرقًا لتبسيط عملية الإبلاغ من خلال إنشاء مركز إبلاغ مركزي على مستوى الاتحاد الأوروبي ونماذج تقارير موحدة. في يناير 2025، أصدرت الهيئات الرقابية الأوروبية "تقريرًا حول جدوى زيادة مركزية الإبلاغ عن الحوادث الكبرى المتعلقة بتكنولوجيا المعلومات والاتصالات". يخلص التقرير إلى أن "سيناريو مركز الاتحاد الأوروبي الموحد ممكن ويحقق مزايا معينة"، لكن مثل هذا المركز سيحتاج إلى خمس سنوات على الأقل لإطلاقه. في الوقت الحالي، توجد حلول للإبلاغ على المستوى الوطني. 

ويتعين على المنشآت اختبار أنظمتها في مجال تكنولوجيا المعلومات والاتصالات بشكل منتظم لتقييم مدى قوة الحماية وكشف ‌الثغرات. يتعيّن إبلاغ السلطات المختصة ذات الصلة بنتائج هذه الاختبارات وخطط معالجة أي نقاط ضعف تم اكتشافها، كما يجب التحقق من صحتها واعتمادها.

ويجب على الكيانات إجراء اختبارات أساسية مثل تقييمات الثغرات الأمنية ، والاختبارات المستندة إلى السيناريوهات، مرة واحدة في السنة. أما الكيانات المالية التي تُعد ذات دور محوري في النظام المالي، فستكون مطالبة بالخضوع لاختبار اختراق قائم على التهديدات (TLPT) مرة كل ثلاث سنوات. ويُطلب أيضًا من مزودي خدمات تكنولوجيا المعلومات والاتصالات المصنفين على أنهم مهمين لدى الكيانات المشاركة في هذه الاختبارات. وقد نُشرت المعايير الفنية حول كيفية إجراء اختبارات الاختراق القائمة على التهديدات في الجريدة الرسمية للاتحاد الأوروبي في 18 يونيو 2025 ودخلت حيز التنفيذ بعد 20 يومًا من ذلك.

ويتمثل أحد الجوانب الفريدة لقانون المرونة التشغيلية الرقمية في أنه لا ينطبق على الكيانات المالية فحسب، بل على مقدمي تكنولوجيا المعلومات والاتصالات الذين يخدمون القطاع المالي أيضًا.

من المتوقع أن تؤدي الشركات المالية دورًا فعالاً في إدارة مخاطر مزودي خدمات تكنولوجيا المعلومات والاتصالات الخارجيين و تقييم هذه المخاطر وإدارتها. وعند تعهيد وظائف حساسة أو جوهرية، يجب أن تتفاوض الكيانات المالية على بنود تعاقدية محددة تتعلق بإستراتيجيات الخروج، وعمليات التدقيق، وأهداف الأداء الخاصة بإتاحة الوصول والسلامة والأمان، وغيرها من الجوانب. ولا يُسمح للكيانات بالتعاقد مع مزودي خدمات تكنولوجيا المعلومات والاتصالات الذين لا يستطيعون الامتثال لهذه المتطلبات. تتمتع الجهات المختصة بصلاحية تعليق أو إنهاء العقود غير الممتثلة. 

يتعيّن على المؤسسات المالية أيضًا تحديد تبعياتها لمزودي خدمات تكنولوجيا المعلومات والاتصالات الخارجيين، كما يُطلب منها ضمان عدم تركز وظائفها الحساسة والمهمة أكثر من اللازم لدى مزود واحد أو مجموعة صغيرة من المزودين.

سيخضع مزودو خدمات تكنولوجيا المعلومات والاتصالات المصنفون كمزودين "مهمين" لإشراف مباشر من الهيئات الرقابية الأوروبية (ESAs) المعنية. وكما ذكرنا سابقًا، تفي 19 شركة حاليًا بهذه المعايير، وستُعيَّن إحدى الهيئات الرقابية الأوروبية كمشرف رئيسي. بالإضافة إلى تطبيق متطلبات قانون المرونة التشغيلية الرقمية على مزودي الخدمات الحساسة، يتمتع المشرفون الرئيسيون بصلاحية منع مزودي الخدمات من الدخول في عقود مع شركات مالية أو مزودي خدمات تكنولوجيا المعلومات والاتصالات الآخرين الذين لا يلتزمون بقانون المرونة التشغيلية الرقمية.

ويجب على الكيانات المالية وضع آليات للتعلم من الحوادث المرتبطة بتكنولوجيا المعلومات والاتصالات، سواء كانت داخلية أو خارجية. ولهذا الغرض، يحث قانون المرونة التشغيلية الرقمية الكيانات على المشاركة في ترتيبات طوعية لمشاركة معلومات استعلامات التهديدات . ويجب أن تظل أي معلومات تُجرى مشاركتها بهذه الطريقة محمية بموجب الإرشادات التنظيمية ذات الصلة—فعلى سبيل المثال، تظل معلومات التعريف الشخصية خاضعة لأحكام اللائحة العامة لحماية البيانات (GDPR) .