من تشمل
البنوك، ومؤسسات الدفع والنقود الإلكترونية، وشركات الاستثمار، وشركات التأمين، ومزودو خدمات الأصول المشفرة، وغيرها من الكيانات المالية المدرجة في المادة 2. ويخضع المزودون الخارجيون الحيويون لخدمات تقنية المعلومات والاتصالات لإشراف مباشر من الاتحاد الأوروبي. أما المزودون الآخرون فيشعرون بها عبر عقود عملائهم.
الركائز الخمس
- إدارة مخاطر تقنية المعلومات والاتصالات (المواد 5 إلى 16): إطار موثق تكون هيئة الإدارة مسؤولة عنه.
- إدارة الحوادث المتعلقة بتقنية المعلومات والإبلاغ عنها (المواد 17 إلى 23): تصنيف الحوادث والإبلاغ عن الجسيمة منها إلى السلطة.
- اختبار المرونة التشغيلية الرقمية (المواد 24 إلى 27): برنامج اختبارات، واختبارات اختراق قائمة على التهديدات للكيانات المحددة.
- مخاطر الأطراف الثالثة المزودة لخدمات تقنية المعلومات (المواد 28 إلى 44): متطلبات تعاقدية، وسجل معلومات، واستراتيجيات خروج.
- تبادل المعلومات (المادة 45): تبادل طوعي لمعلومات التهديدات.
من أين تبدأ
- التأكد من أنك مشمول وهل ينطبق نظام مبسط.
- رسم خريطة لوظائفك الحيوية وتقنية المعلومات التي تدعمها.
- إنشاء سجل المعلومات عن عقود تقنية المعلومات لديك.
- مقارنة إجراء الحوادث لديك بمعايير التصنيف والمواعيد الواردة في المعايير التقنية.
- مراجعة العقود في ضوء المادة 30.
أسئلة
- هل DORA توجيه أم لائحة؟
- لائحة: تنطبق مباشرة في جميع الدول الأعضاء، خلافاً لـ NIS2 التي تُنقل إلى القانون الوطني.
- هل تحل DORA محل NIS2 للكيانات المالية؟
- DORA هي التشريع الخاص بالقطاع المالي في هذه المواضيع، لذا تتقدم قواعدها بالنسبة إلى الكيانات التي تشملها.