قانون تاب‌آوری عملیاتی دیجیتال اتحادیه اروپا (DORA): راهنمایی برای ریسک فناوری اطلاعات و ارتباطات، نظارت بر اشخاص ثالث و اجرای ۲۰۲۶

دوره مهلت رسماً به پایان رسیده است. از سال ۲۰۲۶، قانون تاب‌آوری عملیاتی دیجیتال اتحادیه اروپا (DORA) قاطعانه از مرحله اجرا به مرحله اجرای فعال و سخت‌گیرانه منتقل شده است. برای تقریباً ۲۲,۰۰۰ نهاد مالی که در اتحادیه اروپا فعالیت می‌کنند، سؤال نظارتی دیگر این نیست که چگونه برای قوانین آماده شوند، بلکه این است که چگونه پایبندی مستمر خود به آن‌ها را اثبات کنند.[3]

DORA نشان‌دهنده بازنگری اساسی در نحوه برخورد بخش مالی با ریسک است. از لحاظ تاریخی، مقررات مالی به شدت بر ذخایر سرمایه متمرکز بود—اطمینان از اینکه بانک‌ها پول کافی در خزانه دارند تا از یک شوک اقتصادی جان سالم به در ببرند. امروزه، سیستم مالی کاملاً دیجیتال است، به این معنی که یک قطعی شدید سرویس ابری یا یک حمله سایبری پیچیده، به همان اندازه سقوط بازار، ریسک سیستمی ایجاد می‌کند.[5]

پیش از DORA، مدیریت ریسک دیجیتال در سراسر اتحادیه اروپا مجموعه‌ای پراکنده از دستورالعمل‌های ملی بود. برخی از کشورهای عضو استانداردهای سخت‌گیرانه امنیت سایبری را اعمال می‌کردند، در حالی که برخی دیگر به اصول کلی متکی بودند. DORA این ناهماهنگی را با ایجاد یک کتابچه قوانین واحد و هماهنگ که به طور یکسان برای بانک‌های جهانی، شرکت‌های بیمه، ارائه‌دهندگان دارایی‌های رمزنگاری شده و پلتفرم‌های تأمین مالی جمعی اعمال می‌شود، از بین می‌برد.[5][7]

این مقررات بر پنج ستون اصلی بنا شده است که برای ایجاد یک سپر جامع در اطراف عملیات مالی طراحی شده‌اند. این ستون‌ها شامل مدیریت سخت‌گیرانه ریسک فناوری اطلاعات و ارتباطات (ICT)، گزارش‌دهی سریع حوادث، آزمایش پیشرفته تاب‌آوری، نظارت بر ریسک اشخاص ثالث و اشتراک‌گذاری ساختاریافته اطلاعات است.[2]

تحت دو ستون اول، پاسخگویی به بالاترین سطح سلسله مراتب سازمانی منتقل می‌شود. اعضای هیئت مدیره و مدیران اجرایی اکنون شخصاً مسئول تاب‌آوری دیجیتال سازمان خود هستند. علاوه بر این، جدول زمانی برای گزارش‌دهی حوادث بزرگ فناوری اطلاعات و ارتباطات به شدت فشرده شده است، به طوری که اعلان‌های اولیه ظرف چند ساعت پس از وقوع اختلال مورد نیاز است.[4]

ستون سوم، عصر جدیدی از دفاع پیشگیرانه را از طریق «آزمایش نفوذ مبتنی بر تهدید» (TLPT) معرفی می‌کند. نهادهای مالی فراتر از اسکن‌های معمول آسیب‌پذیری، اکنون باید تمرین‌های پیشرفته «تیم قرمز» (red-team) مبتنی بر اطلاعات و بر اساس چارچوب TIBER-EU انجام دهند. این شبیه‌سازی‌ها حملات دنیای واقعی را تقلید می‌کنند تا نقاط ضعف را قبل از اینکه بازیگران مخرب بتوانند از آن‌ها سوءاستفاده کنند، آشکار سازند.[2]

با این حال، انقلابی‌ترین جنبه DORA در ستون چهارم آن نهفته است: مدیریت ریسک شخص ثالث فناوری اطلاعات و ارتباطات. این مقررات یک واقعیت حیاتی فناوری مدرن را رسمی می‌کند—برون‌سپاری یک عملکرد، ریسک مرتبط با آن را برون‌سپاری نمی‌کند. اگر یک بانک به یک ارائه‌دهنده نرم‌افزار خارجی متکی باشد، بانک همچنان مسئول کامل ثبات آن نرم‌افزار باقی می‌ماند.[6]

برای اجرای این امر، مؤسسات مالی اکنون باید یک «سجل جامع اطلاعات» (RoI) نگهداری کنند. این پایگاه داده زنده، تک تک ترتیبات قراردادی با ارائه‌دهندگان شخص ثالث فناوری اطلاعات و ارتباطات را مستند می‌کند و شبکه پیچیده وابستگی‌های دیجیتالی را که سازمان را سرپا نگه می‌دارد، ترسیم می‌نماید.[3]

این شفافیت زنجیره تأمین، یک ترس بزرگ نظارتی را برطرف می‌کند: ریسک تمرکز. ناظران تشخیص دادند که هزاران مؤسسه مالی به زیرساخت ابری یکسان متکی هستند. اگر یکی از آن ارائه‌دهندگان بزرگ ابری دچار نقص شود، اثر آبشاری آن می‌تواند اقتصاد اروپا را فلج کند.[6][8]

برای کاهش این آسیب‌پذیری سیستمی، DORA اختیارات بی‌سابقه‌ای به مقامات نظارتی اروپا اعطا می‌کند. در اواخر سال ۲۰۲۵، ناظران ۱۹ فروشنده بزرگ فناوری—از جمله غول‌های ابری جهانی مانند آمازون، گوگل و آی‌بی‌ام—را به عنوان «ارائه‌دهندگان حیاتی شخص ثالث فناوری اطلاعات و ارتباطات» (CTPPs) تعیین کردند.[1][5]

این تعیین، اساساً رابطه بین شرکت‌های بزرگ فناوری و بخش مالی اروپا را تغییر می‌دهد. این ارائه‌دهندگان حیاتی دیگر فقط فروشنده نیستند؛ آن‌ها نهادهایی هستند که مستقیماً تحت نظارت قرار دارند و مشمول بازرسی‌ها، حسابرسی‌ها و جریمه‌های احتمالی از سوی ناظران مالی اتحادیه اروپا می‌شوند.[7][8]

در داخل مؤسسات مالی، DORA یک برخورد فرهنگی بین تیم‌های انطباق و مهندسان نرم‌افزار ایجاد می‌کند. سال‌هاست که تیم‌های DevOps موفقیت را از طریق معیارهای سرعت مانند فراوانی استقرار اندازه‌گیری می‌کنند. تحت DORA، ناظران خواستار اثبات این هستند که تحویل سریع نرم‌افزار، بدهی امنیتی ایجاد نمی‌کند یا زمان بازیابی سیستم را به خطر نمی‌اندازد.[4]

مرحله اجرا همچنین موج عظیمی از مذاکرات مجدد قراردادها را به دنبال داشته است. DORA حکم می‌کند که توافق‌نامه‌ها با ارائه‌دهندگان فناوری اطلاعات و ارتباطات شامل مقررات خاصی برای استراتژی‌های خروج، حقوق حسابرسی و اهداف عملکردی سخت‌گیرانه باشند. فروشندگانی که نمی‌توانند این استانداردهای تاب‌آوری را برآورده کنند، به سرعت در حال تبدیل شدن به مسئولیت‌های انطباقی هستند.[1]

با وجود الزامات سخت‌گیرانه، DORA با در نظر گرفتن تناسب طراحی شده است. در حالی که بانک‌های بزرگ چندملیتی باید آزمایش‌های نفوذ پیچیده مبتنی بر تهدید را اجرا کنند، نهادهای کوچک‌تر ملزم به رعایت استانداردهایی هستند که متناسب با اندازه و مشخصات ریسک آن‌ها باشد، و اطمینان حاصل می‌شود که این مقررات ناخواسته نوآوری فین‌تک را از بین نبرد.[5]

تأثیر DORA بسیار فراتر از مرزهای اروپا گسترش می‌یابد. از آنجا که این مقررات برای هر ارائه‌دهنده فناوری که به یک نهاد مالی اتحادیه اروپا خدمات می‌دهد اعمال می‌شود، الزامات سخت‌گیرانه آن به سرعت در حال تبدیل شدن به یک مبنای جهانی بالفعل برای تاب‌آوری دیجیتال است، درست همانطور که GDPR برای حفظ حریم خصوصی داده‌ها عمل کرد.[6]

در نهایت، DORA صرفاً یک تمرین انطباق تنبیهی نیست؛ بلکه یک بلوغ حیاتی برای اکوسیستم فناوری مالی است. با مجبور کردن سازمان‌ها به ترسیم وابستگی‌های خود، آزمایش دفاعیات خود و پاسخگو نگه داشتن فروشندگان خود، این مقررات نقشه‌ای واضح برای ساختن یک سیستم مالی ارائه می‌دهد که واقعاً ضد سقوط باشد.[7]