NIS2 مقابل DORA — تحليل التداخل للكيانات الخاضعة للتنظيم المزدوج

السياق: تحدي التنظيم المزدوج

منذ يناير 2025، أصبحت العديد من كيانات القطاع المالي في مختلف أنحاء الاتحاد الأوروبي خاضعة في آنٍ واحد لتشريعين رئيسيين في مجال الأمن السيبراني: توجيه NIS2 (التوجيه 2022/2555) وقانون الصمود التشغيلي الرقمي (اللائحة 2022/2554، المعروف باسم DORA). ويثير سيناريو التنظيم المزدوج هذا أسئلة مشروعة حول تداخل المتطلبات، والتعارضات المحتملة، وكيفية بناء برنامج امتثال يفي بكلا الإطارين بكفاءة.

هذا التحليل موجّه إلى مسؤولي الامتثال والمدققين ومديري المخاطر الذين يحتاجون إلى فهم مواطن التقارب بين هذين الإطارين ومواطن التباين بينهما، وكيفية تجنّب ازدواجية الجهد وثغرات الامتثال على حدٍّ سواء.

مبدأ القانون الخاص: المادة 4 من NIS2

تُرسي المادة 4 من توجيه NIS2 مبدأً قانونياً بالغ الأهمية: حيثما يُلزم عمل تشريعي قطاعي خاص للاتحاد الكيانات الأساسية أو المهمة باعتماد تدابير لإدارة مخاطر الأمن السيبراني أو بالإبلاغ عن الحوادث الجسيمة، وحيثما تكون تلك المتطلبات معادلة في أثرها على الأقل للالتزامات المنصوص عليها في NIS2، فإن العمل التشريعي القطاعي الخاص يسود.

ويُعترف بـ DORA صراحةً بوصفه عملاً تشريعياً قطاعياً خاصاً من هذا القبيل بالنسبة للقطاع المالي. وهذا يعني، من الناحية العملية:

في المجالات التي يوفر فيها DORA متطلبات معادلة أو أقوى، يكون لـ DORA الأسبقية بالنسبة للكيانات المالية.
في المجالات التي يغطي فيها NIS2 مسائل لا يتناولها DORA، تظل التزامات NIS2 سارية.
لا يُنشئ مبدأ القانون الخاص إعفاءً شاملاً من NIS2 — بل يُنشئ تسلسلاً هرمياً يجب تقييمه متطلباً تلو الآخر.

وكثيراً ما يُساء فهم هذا الفارق الدقيق. فعلى مسؤولي الامتثال إجراء مطابقة على مستوى المتطلبات، لا افتراض أن الامتثال لـ DORA يفي تلقائياً بجميع التزامات NIS2.

مقارنة شاملة: متطلبات NIS2 مقابل DORA

يقدّم الجدول التالي مطابقةً تفصيليةً لمجالات المتطلبات الرئيسية عبر كلا الإطارين، مع تحديد أوجه التداخل والثغرات والإطار الذي تكون له الأسبقية بالنسبة للكيانات المالية.

مجال المتطلب	متطلب NIS2	ما يعادله في DORA	تحليل التداخل / الثغرات
إدارة المخاطر	المادة 21(1): تدابير تقنية وتشغيلية وتنظيمية مناسبة ومتناسبة قائمة على نهج شامل لجميع المخاطر	المواد 6-16: إطار تفصيلي لإدارة مخاطر تقنية المعلومات والاتصالات مع متطلبات محددة للتحديد والحماية والكشف والاستجابة والتعافي والتعلّم	تكون الأسبقية لـ DORA. فـ DORA أكثر إلزاماً بكثير في إدارة مخاطر تقنية المعلومات والاتصالات. وينبغي للكيانات المالية أن تستخدم إطار DORA كأساس أولي للامتثال.
الإبلاغ عن الحوادث	المادة 23: إنذار مبكر خلال 24 ساعة، والإخطار بالحادث خلال 72 ساعة، وتقرير نهائي خلال شهر واحد	المادة 19: إخطار أولي، وتقارير مرحلية، وتقرير نهائي إلى السلطة المختصة. معايير تصنيف محددة للحوادث الكبرى المتصلة بتقنية المعلومات والاتصالات.	تكون الأسبقية لـ DORA في حوادث تقنية المعلومات والاتصالات. تختلف الجداول الزمنية للإبلاغ ومعايير التصنيف. وقد يظل NIS2 سارياً على الحوادث الأمنية غير المتصلة بتقنية المعلومات والاتصالات التي تؤثر في الشبكات ونظم المعلومات.
أمن سلسلة التوريد	المادة 21(2)(د): أمن سلسلة التوريد بما في ذلك الجوانب الأمنية للعلاقات بين الكيانات ومورّديها المباشرين أو مقدّمي الخدمات لها	المواد 28-44: إطار واسع لإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات، بما في ذلك المتطلبات التعاقدية، والإشراف على مقدّمي خدمات تقنية المعلومات والاتصالات الحيويين من الأطراف الثالثة، ومخاطر التركّز	يذهب DORA إلى ما هو أبعد من ذلك بكثير. إذ يُنشئ DORA إطاراً إشرافياً لمقدّمي خدمات تقنية المعلومات والاتصالات الحيويين من الأطراف الثالثة لا يوجد له ما يعادله في NIS2. وتستفيد الكيانات المالية من متطلبات سلسلة التوريد الأكثر تفصيلاً في DORA.
الاختبار	المادة 21(2)(و): سياسات وإجراءات لتقييم فعالية تدابير إدارة مخاطر الأمن السيبراني	المواد 24-27: اختبار الصمود التشغيلي الرقمي بما في ذلك اختبار الاختراق الموجّه بالتهديدات (TLPT) للكيانات المهمة، واختبار متناسب لغيرها	يذهب DORA إلى أبعد من ذلك. إذ يفرض DORA منهجيات اختبار محددة تشمل TLPT (المستند إلى إطار TIBER-EU). وNIS2 أقل إلزاماً في مناهج الاختبار.
الحوكمة	المادة 20: يجب على أجهزة الإدارة اعتماد تدابير إدارة مخاطر الأمن السيبراني والإشراف على تنفيذها، ويمكن مساءلتها. ويجب على الأعضاء تلقّي التدريب.	المادة 5: يتحمّل جهاز الإدارة المسؤولية النهائية عن إدارة مخاطر تقنية المعلومات والاتصالات. ويجب عليه تحديد إطار إدارة مخاطر تقنية المعلومات والاتصالات واستراتيجية الصمود التشغيلي الرقمي واعتمادهما والإشراف على تنفيذهما.	تداخل كبير. يشترط كلاهما مساءلة جهاز الإدارة. وDORA أكثر تحديداً بشأن إطار إدارة مخاطر تقنية المعلومات والاتصالات الذي يجب على جهاز الإدارة اعتماده. ومن شأن الامتثال للمادة 5 من DORA أن يفي إلى حدٍّ كبير بالمادة 20 من NIS2 في المسائل المتصلة بتقنية المعلومات والاتصالات.
تبادل المعلومات	المادة 29: ترتيبات طوعية لتبادل معلومات التهديدات السيبرانية بين الكيانات الأساسية والمهمة	المادة 45: تبادل طوعي لمعلومات ومعارف التهديدات السيبرانية فيما بين الكيانات المالية، بما في ذلك مؤشرات الاختراق والتكتيكات والتنبيهات	أحكام متوازية. يشجّع كلاهما على تبادل المعلومات الطوعي. وDORA خاص بالقطاع. ويجوز للكيانات المالية المشاركة في ترتيبات التبادل العامة (NIS2) وترتيبات القطاع المالي (DORA) على السواء.
استمرارية الأعمال	المادة 21(2)(ج): استمرارية الأعمال، بما في ذلك إدارة النسخ الاحتياطي والتعافي من الكوارث وإدارة الأزمات	المواد 11-12: سياسة استمرارية أعمال تقنية المعلومات والاتصالات، وخطط الاستجابة والتعافي، وسياسات النسخ الاحتياطي، وإجراءات الاستعادة والتعافي	تكون الأسبقية لـ DORA. إذ يوفّر DORA متطلبات أكثر تفصيلاً لاستمرارية وتعافي تقنية المعلومات والاتصالات. وقد تظل متطلبات NIS2 الخاصة باستمرارية الأعمال الأوسع (غير المتصلة بتقنية المعلومات والاتصالات) سارية.
معالجة الثغرات	المادة 21(2)(هـ): معالجة الثغرات والإفصاح عنها	المادتان 7-8 (ضمن إدارة المخاطر): تحديد وتقييم ثغرات تقنية المعلومات والاتصالات كجزء من إطار الحماية والوقاية	NIS2 أوسع نطاقاً. إذ يتناول NIS2 صراحةً الإفصاح المنسّق عن الثغرات. ويتناول DORA إدارة الثغرات ضمن إطار إدارة مخاطر تقنية المعلومات والاتصالات، لكنه لا يتناول عمليات الإفصاح العلني بالقدر ذاته من المباشرة.
التشفير والترميز	المادة 21(2)(ح): سياسات وإجراءات بشأن استخدام التشفير، وعند الاقتضاء، الترميز	المادة 9(4)(د): تدابير أمن البيانات بما في ذلك تقنيات التشفير كجزء من إدارة مخاطر تقنية المعلومات والاتصالات	نطاق متقارب. يشترط كلاهما ضوابط تشفير مناسبة. ويُدمج DORA هذا ضمن إطار إدارة مخاطر تقنية المعلومات والاتصالات الأوسع. أما NIS2 فيبرزه بوصفه مجال متطلبات مستقلاً.
التحكم في الوصول والمصادقة	المادة 21(2)(ط-ي): سياسات التحكم في الوصول؛ استخدام حلول المصادقة متعددة العوامل أو المصادقة المستمرة	المادة 9(4)(ج): سياسات التحكم في الوصول بما في ذلك آليات المصادقة القوية	نطاق متقارب. يشترط كلاهما ضوابط وصول متينة ومصادقة قوية. وDORA أقل تحديداً بشأن المصادقة متعددة العوامل، لكنه يشترط مصادقة قوية ضمن الإطار القائم على المخاطر.

حيث يذهب NIS2 إلى ما هو أبعد من DORA

ينبغي لمسؤولي الامتثال إيلاء اهتمام خاص للمجالات التي قد لا يغطيها الامتثال لـ DORA تغطيةً كاملةً من التزامات NIS2:

نطاق أوسع للشبكات ونظم المعلومات: ينطبق NIS2 على جميع الشبكات ونظم المعلومات المستخدمة في تقديم الخدمات، وليس فقط نظم تقنية المعلومات والاتصالات بالمعنى المقصود في DORA. فقد تندرج نظم التقنية التشغيلية (OT)، ونظم الأمن المادي ذات الاتصال الشبكي، ونظم إدارة المباني ضمن NIS2 لكن خارج نطاق تركيز DORA على تقنية المعلومات والاتصالات.
الإفصاح المنسّق عن الثغرات: يتناول NIS2 تحديداً عمليات الإفصاح عن الثغرات. وقد يكون على الكيانات المالية التي تكتشف ثغرات في برمجيات واسعة الاستخدام التزامات بموجب NIS2 لا يتناولها DORA.
سلسلة التوريد فيما يتجاوز تقنية المعلومات والاتصالات: تغطي المادة 21(2)(د) من NIS2 أمن سلسلة التوريد على نطاق واسع، بما في ذلك المورّدون غير المتصلين بتقنية المعلومات والاتصالات الذين تؤثر خدماتهم في أمن الشبكات ونظم المعلومات. أما DORA فيركّز تحديداً على مقدّمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة.
آليات التعاون بين الدول الأعضاء: يُنشئ NIS2 فرق الاستجابة لحوادث أمن الحاسوب (CSIRTs) ومجموعة التعاون وشبكة EU-CyCLONe للتعاون العابر للحدود. وقد تحتاج الكيانات المالية إلى التعامل مع هذه الآليات فيما يخص الجوانب غير المالية من عملياتها.

حيث يذهب DORA إلى ما هو أبعد من NIS2

يوفّر DORA متطلبات أكثر تفصيلاً بكثير في عدة مجالات:

إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات: تُنشئ المواد 28-44 من DORA إطاراً شاملاً لإدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات، بما في ذلك أحكام تعاقدية إلزامية (المادة 30)، وتقييم مخاطر التركّز، وإطار إشرافي لمقدّمي خدمات تقنية المعلومات والاتصالات الحيويين من الأطراف الثالثة (المواد 31-44) مع إشراف مباشر من السلطات الإشرافية الأوروبية. ولا يوجد في NIS2 ما يماثل ذلك.
اختبار الصمود التشغيلي الرقمي: يفرض DORA اختبار الاختراق الموجّه بالتهديدات (TLPT) على الكيانات المالية المهمة، مع متطلبات محددة لنطاق الاختبار ومنهجيته والإبلاغ عنه. ويشترط NIS2 اختبار الفعالية لكنه أقل إلزاماً بكثير.
تصنيف حوادث تقنية المعلومات والاتصالات: يوفّر DORA معايير تفصيلية لتصنيف الحوادث الكبرى المتصلة بتقنية المعلومات والاتصالات، بما في ذلك عتبات الأثر العابر للحدود. أما تصنيف الحوادث في NIS2 فأكثر عمومية.
استراتيجية الصمود التشغيلي الرقمي: يشترط DORA وجود استراتيجية رسمية للصمود التشغيلي الرقمي يعتمدها جهاز الإدارة، مع متطلبات محددة للمحتوى. ولا يفرض NIS2 وثيقة استراتيجية مماثلة.

مقارنة معمارية: كيف يشكّل النظامان مسارات CI/CD

تُظهر المطابقة على مستوى المتطلبات أعلاه أين يتداخل النظامان وأين يتباينان على الورق. ولا يقل عن ذلك أهميةً فهمُ كيفية ترجمة تلك الأهداف إلى معمارية — أي الطريقة التي تُهيكل بها فعلياً الحوكمةُ ومسارات CI/CD والأدلة والضوابط التشغيلية في كل إطار. وتتناول المقارنة أدناه NIS2 وDORA من هذا المنظور المعماري، وهو المستوى الذي كثيراً ما تكتشف عنده الكيانات الخاضعة للتنظيم المزدوج الفروق العملية.

مقارنة بين معماريتي NIS2 وDORA تُظهر الحوكمة، وموضع CI/CD، وتوقّعات الأدلة، والتركيز التشغيلي.

النطاق التنظيمي والغاية

NIS2: خط أساس واسع للأمن السيبراني

يُرسي NIS2 خط أساس أفقياً للأمن السيبراني عبر طائفة واسعة من الكيانات الأساسية والمهمة، بما في ذلك مؤسسات القطاع العام، والطاقة، والنقل، والرعاية الصحية، والبنية التحتية الرقمية، والمؤسسات الكبرى.

الأثر المعماري:

التركيز على إدارة المخاطر والتأهّب
مرونة في التنفيذ التقني
التأكيد على التناسب

يطرح NIS2 السؤال التالي:

«هل تُحدَّد المخاطر السيبرانية وتُدار وتُعالَج على نطاق المؤسسة؟»

DORA: الصمود التشغيلي للقطاع المالي

DORA لائحة خاصة بقطاع بعينه تستهدف الكيانات المالية ومقدّمي خدمات تقنية المعلومات والاتصالات لها. وهي تركّز على الصمود التشغيلي وإدارة مخاطر تقنية المعلومات والاتصالات والرقابة الإشرافية.

الأثر المعماري:

تُعامَل مسارات CI/CD ونظم تقنية المعلومات والاتصالات بوصفها أصولاً منظّمة
توقّعات أقوى للإنفاذ والقابلية للتتبّع
تدقيق إشرافي أكثر صرامة

يطرح DORA السؤال التالي:

«هل يمكنك أن تُثبت باستمرار التحكم في مخاطر تقنية المعلومات والاتصالات والصمود؟»

الموضعة المعمارية لمسارات CI/CD

منظور معمارية NIS2

بموجب NIS2، تُعدّ مسارات CI/CD جزءاً من منظومة التطوير الآمن وسلسلة التوريد.

الخصائص المعمارية:

تُنفِذ CI/CD ممارسات دورة التطوير الآمنة
تُعالَج مخاطر الاعتماديات وسلسلة التوريد
تركّز الحوكمة على الملكية والإشراف

تدعم مسارات CI/CD الامتثال لكنها لا تُصنّف دائماً صراحةً بوصفها نظماً منظّمة.

منظور معمارية DORA

بموجب DORA، تُعامَل مسارات CI/CD بوصفها نظم تقنية معلومات واتصالات منظّمة.

الخصائص المعمارية:

تُنفِذ CI/CD إدارة التغيير والفصل بين المهام
يجب أن تمرّ جميع تغييرات الإنتاج عبر المسارات
تولّد المسارات أدلة تدقيق مستمرة

تصبح CI/CD طبقة لإنفاذ الضوابط، لا مجرد آلية للتسليم.

طبقة الحوكمة وإدارة المخاطر

نموذج حوكمة NIS2

إدارة مخاطر الأمن السيبراني
تدابير تنظيمية وتقنية
مساءلة تنفيذية
إدارة مخاطر المورّدين

تدعم المعمارية قرارات الحوكمة، لكن الإنفاذ التقني قد يتفاوت.

نموذج حوكمة DORA

إطار رسمي لإدارة مخاطر تقنية المعلومات والاتصالات
إدراج CI/CD صراحةً ضمن نطاق المخاطر
ملكية ومساءلة صارمتان
ارتباط قوي بين الحوكمة والضوابط التقنية

تضمن المعمارية أن تُنفَّذ الحوكمة تقنياً.

الأدلة والقابلية للتدقيق

توقّعات الأدلة في NIS2

يشترط NIS2 على المؤسسات أن تُثبت:

تقييمات المخاطر
التدابير الأمنية المنفّذة
القدرة على معالجة الحوادث

قد تشمل الأدلة:

السياسات والإجراءات
السجلات وسجلات المراقبة
تقارير الحوادث

كثيراً ما تكون الأدلة سياقية ومتناسبة.

توقّعات الأدلة في DORA

يشترط DORA:

أدلة مستمرة مولّدة من الأنظمة
قابلية للتتبّع عبر دورة حياة تقنية المعلومات والاتصالات كاملةً
مسارات تدقيق قابلة لإعادة الإنتاج

يُتوقَّع أن تكون الأدلة:

مركزية
محفوظة
قابلة للإثبات عند الطلب

يجب أن تدعم المعمارية الامتثال المستمر، لا عمليات التدقيق في لحظة زمنية بعينها.

سلسلة التوريد ومخاطر الأطراف الثالثة

معمارية سلسلة التوريد في NIS2

حوكمة المورّدين وتقييم المخاطر
ضوابط متناسبة قائمة على درجة الحيوية
التركيز على التأهّب والتنسيق

تدعم CI/CD:

رؤية الاعتماديات
التخفيف من مخاطر المورّدين

معمارية سلسلة التوريد في DORA

إدماج إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات ضمن حوكمة تقنية المعلومات والاتصالات
تركيز قوي على مقدّمي خدمات تقنية المعلومات والاتصالات الحيويين
التوافق مع توقّعات الإشراف المالي

تدعم CI/CD:

سلامة القطع البرمجية
المنشأ والأصل
وصول مورّدين خاضع للرقابة

الاستجابة للحوادث والصمود التشغيلي

معمارية NIS2

الكشف عن الحوادث والاستجابة لها
التنسيق مع السلطات
التركيز على استمرارية الخدمة

تدعم المعمارية التأهّب وسرعة الاستجابة.

معمارية DORA

الصمود التشغيلي بوصفه هدفاً جوهرياً
إدارة حوادث تقنية المعلومات والاتصالات مدمجة بإحكام مع الحوكمة
التأكيد على قدرات الاختبار والتعافي

تدعم المعمارية الصمود بالتصميم.

مقارنة معمارية جنباً إلى جنب

البُعد	NIS2	DORA
النطاق التنظيمي	عابر للقطاعات	القطاع المالي
دور CI/CD	دعم التسليم الآمن	نظام تقنية معلومات واتصالات منظّم
إنفاذ الحوكمة	تنظيمي وتقني	تقني بقوة
نموذج الأدلة	متناسب وسياقي	مستمر وقائم على الأنظمة
كثافة التدقيق	متوسطة إلى عالية	عالية جداً
تركيز سلسلة التوريد	واسع	مقدّمو خدمات تقنية المعلومات والاتصالات الحيويون
الصمود التشغيلي	مطلوب	هدف جوهري

خلاصات عملية للمعماريين ومسؤولي أمن المعلومات

تُعطي معماريات NIS2 الأولوية لـ إدارة المخاطر والتأهّب
تُعطي معماريات DORA الأولوية لـ التحكم والأدلة المستمرَّين
مسارات CI/CD داعمة بموجب NIS2، ومحورية بموجب DORA
يجب على المؤسسات الخاضعة لكليهما تصميم معماريات بمستوى DORA

عموماً، تفي المعمارية المتوائمة مع DORA بتوقّعات NIS2، لكن العكس ليس صحيحاً دائماً.

تعزّز الخلاصة المعمارية التحليل على مستوى المتطلبات: يتقاسم NIS2 وDORA مبادئ مشتركة، لكنهما يتباينان بحدّة في الصرامة والإنفاذ. فحيث يعامل NIS2 مسار CI/CD بوصفه نظاماً يدعم التسليم الآمن، يعامله DORA بوصفه أصلاً منظّماً من أصول تقنية المعلومات والاتصالات يجب أن يولّد أدلة مستمرة قابلة للإثبات. والمعماريات التي تبني المسار بوصفه طبقة للإنفاذ وتوليد الأدلة—لا مجرد وسيلة تسليم مريحة—هي الأقدر على الوفاء بكلا الإطارين بأدنى قدر من الازدواجية، وهو بالضبط ما صُمّمت التوصيات العملية التالية لتحقيقه.

توصيات عملية للكيانات الخاضعة للتنظيم المزدوج

بناءً على تحليل التداخل أعلاه، ينبغي لمسؤولي الامتثال في الكيانات الخاضعة للتنظيم المزدوج النظر في النهج التالي:

1. البناء على DORA كإطار أولي

لأن DORA أكثر إلزاماً في معظم المتطلبات المتصلة بتقنية المعلومات والاتصالات، استخدم الامتثال لـ DORA كأساس لك. طابِق متطلبات NIS2 مع برنامج امتثالك لـ DORA لتحديد الثغرات بدلاً من بناء برنامجين منفصلين.

2. إجراء تحليل ثغرات رسمي

وثّق مطابقةً متطلباً تلو الآخر بين NIS2 وDORA لمؤسستك. حدّد أين يفي الامتثال لـ DORA بـ NIS2 (بالاستناد إلى مبدأ القانون الخاص)، وأين يضيف NIS2 متطلبات تتجاوز DORA، وأين يشترط الإطاران أدلة أو وثائق مختلفة.

3. معالجة الثغرات الخاصة بـ NIS2

في المجالات التي يذهب فيها NIS2 إلى ما هو أبعد من DORA، نفّذ ضوابط ووثائق إضافية. ومن المجالات الرئيسية التي يُرجَّح أن تتطلب تدابير تكميلية: أمن سلسلة التوريد غير المتصلة بتقنية المعلومات والاتصالات، والنطاق الأوسع للشبكات ونظم المعلومات، وعمليات الإفصاح عن الثغرات.

4. مواءمة عمليات الإبلاغ

تختلف التزامات الإبلاغ عن الحوادث بين الإطارين من حيث الجداول الزمنية والسلطات ومعايير التصنيف. أنشئ عملية واحدة لإدارة الحوادث قادرة على الوفاء بمجموعتي متطلبات الإبلاغ معاً، مع أشجار قرار واضحة لتحديد السلطة الواجب إخطارها والتوقيت المناسب لذلك.

5. الاحتفاظ بسجل مخاطر واحد

لا تحتفظ بسجلي مخاطر منفصلين لـ NIS2 وDORA. استخدم سجلاً واحداً متكاملاً لمخاطر تقنية المعلومات والاتصالات والمخاطر السيبرانية يُوسم فيه كل خطر بحسب اللائحة المنطبقة. فهذا يتجنّب الازدواجية ويضمن معالجة متسقة للمخاطر.

ما ينبغي للمدققين التحقق منه للامتثال المزدوج

ينبغي للمدققين الذين يقيّمون الكيانات الخاضعة للتنظيم المزدوج فحص ما يلي:

وثائق المطابقة: هل أعدّ الكيان مطابقةً رسميةً من NIS2 إلى DORA تحدّد الإطار المنطبق على كل مجال متطلبات؟
تحليل الثغرات: هل يوجد دليل على تحليل ثغرات منظّم يحدّد أين لا يغطي الامتثال لـ DORA التزامات NIS2؟
تبرير القانون الخاص: حيثما يعتمد الكيان على مبدأ القانون الخاص، هل التبرير موثّق وقابل للدفاع عنه في كل متطلب؟
تقييم النطاق: هل قيّم الكيان ما إذا كان أيّ من شبكاته ونظم معلوماته يقع خارج نطاق تقنية المعلومات والاتصالات في DORA لكن ضمن النطاق الأوسع لـ NIS2؟
إجراءات الإبلاغ عن الحوادث: هل لدى الكيان إجراءات واضحة لتحديد التزامات الإبلاغ المنطبقة على مختلف أنواع الحوادث؟
هيكل الحوكمة: هل يتلقى جهاز الإدارة تقارير تغطي التزامات NIS2 وDORA معاً، أم توجد نقاط عمياء في الحوكمة؟
أدلة على الضوابط التكميلية: بالنسبة للمتطلبات الخاصة بـ NIS2 التي لا يغطيها DORA، هل الضوابط قائمة ومدعومة بالأدلة؟

موارد ذات صلة

لمزيد من التحليل بشأن التداخل التنظيمي ومعمارية الامتثال، انظر: