مقررات DORA اتحادیه اروپا بخش مالی را مجبور به مقابله با ریسک تمرکز ابری و الزامات تاب‌آوری عملیاتی می‌کند

موضوع اینجاست. سال‌ها بود که بانک‌ها و مؤسسات مالی، قطعی‌های سرویس‌های ابری را به عنوان یک رویداد غیرقابل اجتناب (قضای آسمانی) تلقی می‌کردند—مشکلی که مربوط به شخص ثالث بود و می‌توانست تقصیر آمازون، مایکروسافت یا گوگل باشد. از سال ۲۰۲۶، اتحادیه اروپا رسماً این روزنه را بسته است.

تحت قانون تاب‌آوری عملیاتی دیجیتال (DORA)، که از ژانویه ۲۰۲۵ در تمام کشورهای عضو اتحادیه اروپا به طور کامل اجرایی شد، از کار افتادن یک ارائه‌دهنده ابری اکنون به منزله شکست نظارتی خود بانک است. این الزام، بخش مالی را مجبور می‌کند تا با یک آسیب‌پذیری سیستمی شناخته‌شده به عنوان ریسک تمرکز ابری مقابله کند.[1]

با تکیه بخش عمده‌ای از زیرساخت‌های مالی اروپا بر تنها چند ارائه‌دهنده بزرگ (هایپراسکالر)، اکنون یک نقص نرم‌افزاری واحد می‌تواند باعث توقف مالی در سراسر قاره شود. ارائه‌دهندگان ابری مدت‌هاست که قابلیت اطمینان «پنج نُه» (۹۹٫۹۹۹٪) و مقیاس‌پذیری بی‌نقص را تبلیغ می‌کنند، اما DORA رگولاتورها و بانک‌ها را مجبور می‌کند که فراتر از این وعده‌های تبلیغاتی را ببینند و برای قطعی‌های اجتناب‌ناپذیر آماده شوند.[4]

DORA اساساً مدل مسئولیت مشترک را بازنویسی می‌کند. این قانون از نهادهای مالی می‌خواهد که استقلال عملیاتی قابل تأییدی را حفظ کنند، به این معنی که آنها باید بتوانند بدون اتکای کامل به پشتیبانی فروشنده یا صرفاً ثبت یک تیکت پشتیبانی، از اختلالات محافظت کرده، آنها را شناسایی، مهار و بازیابی کنند.

مفاد این مقررات در مورد ریسک شخص ثالث، جایی است که تصمیمات زیرساختی بیشترین تأثیر را می‌گذارند. مؤسسات مالی اکنون باید ریسک تمرکز خود را مستند کنند و ثابت کنند که در صورت از کار افتادن ارائه‌دهنده اصلی خدمات ابری، یک استراتژی خروج عملی دارند.

این تغییر نظارتی پس از یک سری اختلالات مهم ابری در سال ۲۰۲۵، فوریت زیادی پیدا کرد. یک قطعی فاجعه‌بار جهانی در گوگل کلود (Google Cloud) در ژوئن ۲۰۲۵، که ناشی از یک نقص نرم‌افزاری در سیستم کنترل سرویس آن بود، احراز هویت را در سطح جهانی مختل کرد و به هزاران سرویس وابسته سرایت نمود.

ماه‌ها بعد، قطعی سرویس‌های وب آمازون (AWS) در اکتبر ۲۰۲۵، عملیات بانکداری بزرگ اروپا، از جمله بانک لویدز (Lloyds Bank) و هالیفاکس (Halifax) را مختل کرد. تحت پارادایم جدید DORA، این اختلالات به عنوان رویدادهای خارجی خارج از کنترل بانک‌ها تلقی نشدند، بلکه به عنوان شکست‌های عملیاتی خود مؤسسات در نظر گرفته شدند.

برای اجرای این امر، اتحادیه اروپا در اواخر سال ۲۰۲۵ یک گام بی‌سابقه برداشت و رسماً AWS، مایکروسافت آژور (Microsoft Azure) و گوگل کلود پلتفرم (Google Cloud Platform) را به عنوان ارائه‌دهندگان شخص ثالث حیاتی فناوری اطلاعات و ارتباطات (CTPPs) تعیین کرد.

این تعیین، غول‌های فناوری آمریکایی را تحت نظارت مستقیم نظارتی اروپا قرار می‌دهد. برای اولین بار، رگولاتورها می‌توانند تاب‌آوری داخلی این هایپراسکالرها را ممیزی کنند و در صورت عدم انطباق، آنها را تا ۱ درصد از میانگین گردش مالی روزانه جهانی‌شان جریمه کنند.[2]

برای مؤسسات مالی، مجازات‌ها حتی سنگین‌تر است. شرکت‌هایی که مقررات DORA را نقض کنند، در صورتی که نتوانند ریسک‌های شخص ثالث خود را به درستی مدیریت کنند، ممکن است با جریمه‌هایی تا سقف ۲ درصد از کل گردش مالی سالانه جهانی خود مواجه شوند.[2]

در واکنش به این امر، صنعت به سرعت در حال فاصله گرفتن از معماری‌های تک‌فروشنده است. ارائه‌دهندگان ابری اغلب اکوسیستم‌های اختصاصی خود را به عنوان راه‌حل‌های همه‌جانبه تبلیغ می‌کنند، اما استراتژی‌های چندابری (Multi-Cloud) و ابری ترکیبی (Hybrid-Cloud) — که زمانی بیش از حد پیچیده یا گران تلقی می‌شدند — اکنون برای جلوگیری از وابستگی به یک فروشنده، به الزامات نظارتی تبدیل شده‌اند.[4]

با توزیع حجم کاری در میان ارائه‌دهندگان مختلف یا حفظ زیرساخت پشتیبان داخلی، بانک‌ها می‌توانند افزونگی (Redundancy) مورد نیاز DORA را نشان دهند. با این حال، دستیابی به تاب‌آوری واقعی چندابری از نظر فنی بسیار دشوار است.

این امر مستلزم راه‌حل‌های بازیابی فاجعه مستقل از ابر، فرمت‌های داده استاندارد شده و توانایی جابجایی بین مناطق دسترسی بدون از دست دادن یکپارچگی تراکنش‌ها است. شرکت‌ها باید فراتر از ممیزی‌های سالانه ایستا عمل کنند و تست‌های نفوذ مبتنی بر تهدید را انجام دهند تا با شبیه‌سازی اختلالات شدید، قابلیت‌های بازیابی خود را اثبات کنند.[3]

این مقررات همچنین به شدت با الزامات حاکمیت داده تلاقی دارد. اکنون قراردادها باید به صراحت مشخص کنند که داده‌ها در کجا پردازش می‌شوند و اطمینان حاصل کنند که داده‌های مالی اروپا برای برآورده کردن هم DORA و هم مقررات عمومی حفاظت از داده‌ها (GDPR) در داخل اتحادیه اروپا باقی می‌مانند.

در نهایت، DORA در حال تبدیل محاسبات ابری از یک ابزار صرفاً برای صرفه‌جویی در هزینه و مقیاس‌پذیری، به یک ابزار بسیار تنظیم‌شده و تحت نظارت است. اگرچه این گذار برای بخش مالی دردناک و پرهزینه است، اما یک استاندارد کیفی ایجاد می‌کند که سطح ثبات سیستمی را بالا می‌برد.[1]

در حالی که سایر حوزه‌های قضایی اجرای این قانون توسط اتحادیه اروپا را زیر نظر دارند، DORA آماده است تا به الگوی جهانی برای حاکمیت فناوری مالی تبدیل شود و تضمین کند که اقتصاد دیجیتال می‌تواند در برابر شکست‌های اجتناب‌ناپذیر زیرساخت‌های بنیادی خود مقاومت کند.[1]