mcpField
D
dora-compliance-expert

dora-compliance-expert

github.com/borghei安全1.0k99 次安装5 天前更新
代码仓库

关于 dora-compliance-expert

面向金融机构的 DORA 合规技能，提供准备度评估、事件分类与第三方风险管理指导。还可协助设计数字运营韧性测试计划。

主要功能

  1. 01五大支柱准备度评分与差距分析
  2. 02ICT 事件分类及报告期限计算
  3. 03第三方风险登记与合同指导
  4. 04韧性测试计划设计，包括 TLPT

适用场景

  1. 01评估金融机构的 DORA 合规准备度
  2. 02判断 ICT 事件是否重大及其报告时限
  3. 03建立或审查第三方登记册与合同
  4. 04规划基本测试和 TLPT

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/borghei/claude-skills --skill dora-compliance-expert

安装后在 Claude Code 中输入/dora-compliance-expert确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
dora-five-pillars-guide.md
dora-third-party-management.md
five-pillars-detail.md
framework-overview.md
implementation-and-infrastructure.md
tools-and-cli.md
scripts/
dora_incident_classifier.py
dora_readiness_checker.py

详细介绍

DORA 合规专家

关于《欧盟条例 2022/2554》的工具和指南，该条例旨在提升金融行业的数字运营韧性（《数字运营韧性法案》——DORA）。DORA 是一项直接适用的欧盟条例（自 2025 年 1 月 17 日起适用），涵盖 20 类金融实体及其关键 ICT 第三方服务提供商。本技能可根据五大支柱评估准备情况、对 ICT 事件进行分类并计算报告期限，还可构建第三方风险管理和韧性测试计划。

核心能力

  • 五大支柱准备度评估——为 ICT 风险管理、事件管理、韧性测试、第三方风险和信息共享评分（每项 0–100 分），并进行差距分析和补救措施优先级排序
  • 事件分类与报告——依据第 18 条标准对 ICT 事件进行分类，判定是否属于重大事件，并计算 4h / 72h / 1 个月的报告期限
  • 第三方 ICT 风险——登记册结构、第 30 条合同条款、退出策略和集中度风险评估
  • 韧性测试计划设计——基础测试（12 种测试类型）以及依据 TIBER-EU 框架开展的高级威胁导向渗透测试（TLPT）

使用场景

  • 为金融实体开展 DORA 差距评估或准备度评分
  • 对 ICT 事件进行分类，并确认向主管机关报告的义务
  • 建立或审查 ICT 第三方登记册和合同
  • 设计数字运营韧性测试计划（基础测试 + TLPT）
  • 确定 DORA 是否以及如何适用于你的实体

先行确认

开始评估前，请先确认以下输入信息。如果某项信息缺失或含糊，且会影响结果，请先询问；如果不会影响结果，则采用合理的默认值，并说明所用默认值。

  • **实体范围：**该组织是否属于 DORA 涵盖的 20 类金融实体之一（决定条例是否适用及适用的比例原则）。
  • **任务：**五大支柱准备度、事件分类、第三方登记册或测试计划设计（决定选用的工具和工作流）。
  • **事件情况（如需分类）：**受影响的客户、持续时间、数据丢失、关键性、经济影响（决定是否构成重大事件以及 4h / 72h / 1 个月的报告期限）。

请优先询问与当前请求最相关的两三项信息，而非询问完整清单。如果用户希望立即获得结果，请直接提供，并在开头说明所采用的假设。

快速开始

# Generate and run a 5-pillar readiness assessment
python scripts/dora_readiness_checker.py --template > assessment.json
python scripts/dora_readiness_checker.py --config assessment.json --json

# Classify an ICT incident and get reporting deadlines
python scripts/dora_incident_classifier.py --clients-affected 5000 --duration-hours 4 \
  --data-loss yes --services-critical yes --economic-impact 500000

参考资料

根据任务加载相应的参考资料——保持此文件精简，按需查阅详细信息：

  • references/framework-overview.md — DORA 背景、法律性质、与 NIS2/GDPR/PSD2/MiCA/ISO 27001 的关系、20 类适用实体、比例原则、CTPP 指定，以及处罚与执法制度。在界定适用范围或评估执法风险时阅读。
  • references/five-pillars-detail.md — 5 大支柱（第 5 至 45 条）的逐条要求、事件分类与报告期限、测试/TLPT，以及第三方合同条款。在评估某一支柱或将要求对应到具体条文时阅读。
  • references/dora-five-pillars-guide.md — 5 大支柱的完整实施指南，包含 ISO 27001 控制映射、金融行业特定要求，以及 RTS/ITS 参考。在实施符合 ISO 27001 的控制措施时阅读。
  • references/dora-third-party-management.md — ICT 第三方登记册模板、合同要求清单、退出策略框架、集中度风险方法，以及关键服务提供商的监督。在建立登记册或审查合同时阅读。
  • references/implementation-and-infrastructure.md — 9 个月实施路线图、快速见效措施、基础设施核验清单、故障排除表和成功标准。在规划项目或诊断评估结果时阅读。
  • references/tools-and-cli.md — 两个 Python 脚本的完整命令示例、功能列表，以及逐项标志参考。在运行工具或编写脚本调用工具时阅读。

范围与限制

范围内：

  • 针对全部 5 大 DORA 支柱进行准备情况评估，并按支柱评分
  • 根据第 18 条标准对 ICT 事件进行分类，并判定是否为重大事件
  • 计算报告期限（4 小时内初步报告、72 小时内中期报告、1 个月内最终报告）
  • 生成提交给主管机关的事件通知模板
  • 提供第三方风险管理指导，包括登记册模板和合同要求
  • 设计韧性测试计划，涵盖基础测试和高级测试（TLPT）
  • 进行差距分析，并提供按优先级排序的整改建议

范围外：

  • 实际执行渗透测试或漏洞扫描——本技能提供规划和评估框架，而非测试工具
  • 直接与主管机关或欧洲监督机构（EBA、ESMA、EIOPA）交互
  • 对实体适用范围作出法律认定（即确定您的组织是否属于 DORA 规定的 20 类实体）——请咨询监管法律顾问
  • 遵守 CTPP（关键第三方服务提供商）监督框架——仅适用于由欧洲监督机构指定的服务提供商
  • 实时 ICT 监控或 SIEM 实施——技术安全控制请使用 infrastructure-compliance-auditor

重要说明：

  • DORA 自 2025 年 1 月 17 日起适用；监管机构将 2025 年视为过渡年，但预计 2026 年执法力度会加强
  • 不合规的处罚最高可达全球年度总营业额的 2%；对 CTPP，处罚最高可达全球日均营业额的 1%，最长持续 6 个月

集成点

技能集成方式适用场景
information-security-manager-iso27001ISO 27001 控制措施直接对应 DORA 支柱 1 的要求；ISO 27001 认证可作为 DORA 合规证据构建同时符合 ISO 27001 和 DORA 的 ICT 风险管理框架时
nis2-directive-specialistDORA 是适用于金融行业的特别法；NIS2 作为补充适用；协调事件报告时限金融实体的非金融 ICT 服务也属于 NIS2 范围时
infrastructure-compliance-auditor技术基础设施检查可验证 DORA 支柱 1（保护、检测）和支柱 3（韧性测试）中的控制措施根据 DORA 要求评估实际基础设施安全状况时
nist-csf-specialistNIST CSF 2.0 的功能对应 DORA 各支柱；适用于在美国开展业务的组织构建兼顾美国和欧盟要求的统一韧性框架时

最后更新：2026 年 6 月 法规参考：EU 2022/2554 适用日期：2025 年 1 月 17 日

评论

支持 Markdown