DORA Düzenlemesi Nedir? AB Dijital Operasyonel Dayanıklılık Yasası Açıklaması

DORA düzenlemesi — Dijital Operasyonel Dayanıklılık Yasası — finans sektörü için AB siber dayanıklılık yasasıdır. Finansal kuruluşların siber güvenlik ve IT riskini nasıl ele alacağını belirler. Basitçe, AB’deki her banka, ödeme şirketi, yatırım kuruluşu, sigortacı ve kripto borsası; bir saldırı, bulut kesintisi veya hatalı yazılım güncellemesi sırasında çalışmaya devam edebilmeli ve bağlı olduğu IT tedarikçilerini izlemelidir.

Bu rehber, hukuk veya IT geçmişi olmayan kişiler için yazılmıştır. DORA’nın kimlere uygulandığını, neleri gerektirdiğini, bir olayın ne kadar sürede bildirilmesi gerektiğini, NIS2 ve GDPR’den farklarını, yaptırımları, DORA gerekliliklerinin fintech ve kripto şirketleri için ne anlama geldiğini ele alır ve kısa bir DORA uyum kontrol listesiyle sona erer.

Basit Terimlerle DORA Nedir?

DORA — bazen AB DORA veya DORA Yasası olarak yazılır — finans sektörü için dijital operasyonel dayanıklılığa ilişkin (AB) 2022/2554 sayılı Tüzük‘tür. “Dijital operasyonel dayanıklılık” karmaşık görünür; ancak tek bir anlama gelir: Şirketinizin IT’sinde bir sorun olduğunda müşterilerine hizmet vermeyi sürdürebilir mi? Bir saldırgan sisteme girerse, güncelleme başarısız olursa veya tedarikçi çevrimdışı kalırsa ödemeler devam eder mi, müşteriler oturum açabilir mi, verileri güvende kalır mı? DORA, bu soruyu iyi uygulama olmaktan çıkarıp hukuki yükümlülüğe dönüştürür.

DORA’dan önce her AB ülkesinin ve finans sektörünün her bölümünün kendi IT güvenlik kuralları ve olay formları vardı. DORA, bu parçalı yapının yerine AB finans sektörünün tamamı için tek bir kural kitabı getirir. Direktif değil tüzük olduğu için her Üye Devlette kelimesi kelimesine uygulanır; yürürlüğe girmesi için ulusal kanun gerekmez.

DORA uyum süresi çoktan doldu. Kabulden sonraki iki yıllık hazırlık dönemi sona erdi, tüm DORA yükümlülükleri yürürlükte ve ulusal finansal düzenleyiciler bunları denetliyor. DORA çerçevesi beş sütuna dayanır; rehberin kalanında bunların her biri açıklanmaktadır:

• ICT risk yönetimi — yönetim organının (yönetim kurulunun) sahip olduğu, IT riski için yazılı plan;
• ICT ile bağlantılı olay yönetimi ve bildirimi — IT olaylarının tespiti, kaydı ve denetim makamına bildirilmesi;
• dijital operasyonel dayanıklılık testleri — rutin zafiyet taramalarından kapsamlı “red team” saldırı simülasyonlarına kadar;
• ICT üçüncü taraf riski yönetimi — şirketin bağlı olduğu IT tedarikçilerinin, tümünü içeren bir sicille kontrolü;
• bilgi paylaşımı — finansal kuruluşlar arasında tehdit istihbaratının gönüllü paylaşımı.

Temel DORA Terimleri Açıklaması

Tanımlanmış bazı terimler DORA düzenlemesinin her maddesinde, her denetim formunda ve her tedarikçi sözleşmesinde yer alır. Bunları öğrendiğinizde geri kalanı çok daha kolay okunur.

DORA Kimlere Uygulanır?

DORA’nın kapsamı, yirmi finansal kuruluş kategorisini sayan Madde 2 ile belirlenir. Bir finansal kuruluş AB’nin herhangi bir yerinde bu lisanslardan birine sahipse, özel bir istisna olmadıkça ne kadar küçük olursa olsun kapsam dahilindedir. Başlıca gruplar aşağıdadır.

Peki IT şirketlerinin kendileri? Bulut platformları, veri merkezleri, yazılım tedarikçileri ve yönetilen güvenlik şirketleri finansal kuruluş değildir; ancak DORA onlara iki yolla ulaşır. İlk olarak, her finansal kuruluş onlarla yaptığı sözleşmelere DORA tarzı şartlar koymalıdır; bunu kabul etmeyen tedarikçi müşterisini kaybetme riski taşır. İkinci olarak, en büyük sağlayıcılar — büyük bulut, veri merkezi, telekom ve finansal yazılım tedarikçileri — kritik ICT üçüncü taraf sağlayıcısı olarak belirlenir ve doğrudan AB düzeyinde denetlenir; liste her yıl güncellenir.

DORA AB dışı şirketlere uygulanır mı? Doğrudan yalnızca AB’de lisanslı şirketlere uygulanır; buna Birleşik Krallık, ABD veya Asya gruplarının AB iştirakleri ve şubeleri de dahildir. Dolaylı olarak ise, zorunlu sözleşme maddeleri tedarikçinin bulunduğu yerden bağımsız uygulandığı için AB finansal kuruluşlarına hizmet veren her yabancı tedarikçiye ulaşır. Kritik olarak belirlenen AB dışı sağlayıcı, on iki ay içinde AB’de bir iştirak kurmalıdır.

Son olarak DORA orantılıdır: yükümlülükler finansal kuruluşun büyüklüğü ve karmaşıklığıyla artar. On kişiden az çalışanı ve iki milyon avronun altında cirosu veya bilançosu bulunan mikro işletmeler, tehdit odaklı sızma testi ile bazı yönetişim ve raporlama yükümlülükleri dahil çeşitli gerekliliklerden muaftır. Küçük ve birbirine bağlı olmayan yatırım şirketleri ile belirli muaf ödeme ve elektronik para kuruluşları gibi tanımlı küçük şirket grubu, Madde 16 uyarınca sadeleştirilmiş ICT risk yönetimi çerçevesine tabidir. Küçük olmak lisanslı şirketi DORA kapsamından çıkarmaz; yalnızca yükünü hafifletir.

DORA Gereklilikleri: Beş Sütunun Açıklaması

DORA uyum gereklilikleri beş gruba ayrılır. Birlikte tek bir döngü oluştururlar: önleme, tespit, müdahale, kurtarma, öğrenme; düzenleyici her adım için kanıt bekler.

ICT Risk Yönetimi Çerçevesi (Maddeler 5–16)

Basitçe: sahip olduğunuz IT varlıklarını, bunlarda nelerin yanlış gidebileceğini bilin; onları korumak ve geri getirmek için yazılı bir planınız olsun. Çerçeve IT varlıklarını ve bağımlılıkları listelemeli; şirketin sorunları nasıl önlediğini ve tespit ettiğini, nasıl müdahale edip toparlandığını ve olaylardan nasıl ders çıkardığını açıklamalıdır. En az yılda bir ve her büyük olaydan sonra gözden geçirilir. Yönetim organı çerçeveyi onaylar, kabul edilebilir risk düzeyini belirler ve bütçeyi sağlar. Kritik işlevler haritalanmalı, yedekler gerçekten test edilmeli ve şirketin genel süreklilik planıyla birlikte işleyen bir IT süreklilik planı bulunmalıdır.

Olay Bildirimi: 4 Saat, 72 Saat ve Bir Ay Süreleri

Her ICT ile bağlantılı olay AB genelinde aynı ölçütlerle kaydedilmeli ve derecelendirilmelidir: kaç müşterinin etkilendiği, şirket itibarının ne ölçüde zarar gördüğü, olayın ne kadar sürdüğü, ne kadar yayıldığı, hangi verilerin kaybolduğu, hizmetin ne kadar kritik olduğu ve ne kadar paranın risk altında bulunduğu. Eşikleri aşan olay “büyük” sayılır ve denetim makamına üç aşamada bildirilir: büyük olduğuna karar verildikten sonra dört saat içinde ilk bildirim (ve şirketin olaydan haberdar olmasından itibaren en geç 24 saat içinde), ilk bildirimden itibaren 72 saat içinde ara rapor ve ara rapordan itibaren bir ay içinde nihai rapor. Parası veya verisi etkilenen müşterilere gecikmeden bilgi verilmelidir. Olaya dönüşmemiş ciddi siber tehditler gönüllü olarak bildirilebilir.

Dayanıklılık Testleri ve Tehdit Odaklı Sızma Testi (TLPT)

Dijital operasyonel dayanıklılık testleri yıllık bir programdır: kritik veya önemli işlevi destekleyen her sistem zafiyet taramalarından, boşluk analizlerinden, kaynak kod incelemelerinden, senaryo testlerinden, performans testlerinden ve sızma testlerinden geçmelidir. Denetim makamının büyüklüğü veya başarısızlığının etkisi nedeniyle önemli gördüğü şirketler ayrıca en az üç yılda bir tehdit odaklı sızma testi yapmalıdır. Bu, tanınmış bir çerçeve izlenerek nitelikli etik hackerlarca canlı sistemlere yönelik kontrollü saldırıdır. Mikro işletmeler ve sadeleştirilmiş çerçevedeki şirketler TLPT’den muaftır; daha hafif, riske dayalı bir takvimde test yaparlar.

Üçüncü Taraf Riski, Dış Kaynak Kullanımı ve Bilgi Sicili

IT’nin bir bulut hizmet sağlayıcısına veya başka birine dış kaynak olarak verilmesi, sorumluluğu dış kaynak olarak vermez. ICT üçüncü taraf riski yönetimi, tedarikçi riski için yazılı stratejiyle başlar; şirket sözleşme imzalamadan önce tedarikçileri incelemeli, tek bir sağlayıcıya aşırı bağımlılıktan kaçınmalı ve en az yılda bir denetim makamına gönderilen, tüm IT sözleşmelerinin yapılandırılmış listesi olan bilgi sicilini tutmalıdır. Sözleşmelerin kendisi de sabit bir dizi madde içermelidir: hizmetin ne olduğu ve taahhüt edilen seviyesi, verilerin nerede saklandığı, inceleme ve denetim hakkı, olaylar sırasında yardım yükümlülüğü, sözleşmenin nasıl sona erdirilebileceği ve gerektiğinde şirketin başka sağlayıcıya nasıl geçeceği. Tedarikçi AB düzeyinde denetlenen kritik sağlayıcı olsa dahi şirket tamamen sorumlu kalır.

Siber Tehditlere İlişkin Bilgi Paylaşımı

Finansal kuruluşlar, güvenilir gruplar içinde saldırı kalıpları ve ihlal göstergeleri gibi tehdit istihbaratını paylaşabilir. Katılım zorunlu değildir; ancak katılan şirket denetim makamına bildirim yapmalı ve paylaşım gizlilik ile veri koruma kurallarına uymalıdır.

DORA, NIS2 ve GDPR: Kurallar Birbirine Nasıl Uyar?

Üç AB yasası siber dayanıklılık ve olay bildirimi bakımından örtüşür; birçok finansal kuruluş bunların birden fazlasına tabidir. Tablo, her birinin kimleri kapsadığını ve bildirim sürelerinin nasıl farklılaştığını gösterir.

Uygulamada bir finansal şirket IT olaylarını ulusal siber güvenlik kurumuna değil, finansal denetim makamına bildirir. GDPR paralel uygulanır: siber saldırı müşteri verilerini sızdırırsa şirket iki ayrı bildirim yapar — DORA kapsamında finansal denetim makamına, GDPR kapsamında veri koruma makamına — ve bunların süreleri ayrıdır.

DORA ve Kripto: CASP’ler ile Token İhraççıları İçin Anlamı

Kripto işletmeleri için DORA düzenlemesi ile MiCA çerçevesi birlikte işler. MiCA, AB’de kimin kripto hizmeti sunabileceğine veya token ihraç edebileceğine karar verir; DORA ise bu hizmetlerin arkasındaki teknolojinin nasıl işletilmesi gerektiğini belirler. MiCA kapsamında yetkilendirilmiş bir kripto varlık hizmet sağlayıcısı, lisansının verildiği andan itibaren DORA kapsamında finansal kuruluştur; varlığa dayalı token ihraççıları da böyledir. MiCA, IT ve güvenlik gereklilikleri için DORA’ya işaret ettiğinden tüm denetim makamları ikisini birlikte değerlendirir.

Uygulamada dayanıklılık, yalnızca sonradan değil, lisanslama sürecinin kendisi sırasında da incelenir. Denetim makamı bir CASP başvurusunu değerlendirirken IT risk çerçevesi, iş sürekliliği planı, olay prosedürleri ve dış kaynak kullanım düzenlemeleri dosyanın parçasıdır; DORA bunların ölçüldüğü kıstastır. Bir kripto borsası veya saklama hizmeti sağlayıcısı, yalnızca kâğıt üzerinde olan dayanıklılık planıyla lisans alamaz veya lisansını koruyamaz.

Kripto şirketlerinin bankalarda olmayan IT bağımlılıkları da vardır: özel anahtar saklama, blok zinciri düğüm sağlayıcıları, üçüncü taraf cüzdan altyapısı, akıllı sözleşme bileşenleri ve bakım aralığı olmadan günün her saati işlem gören piyasalar. DORA kapsamında bunların her biri listelenmesi, derecelendirilmesi, sözleşmeye bağlanması ve test edilmesi gereken bir IT varlığı veya tedarikçi ilişkisidir. Barındırma, anahtar yönetimi veya blok zinciri altyapısı için lisanssız sağlayıcıların DORA’ya uyması da müşterilerinin sözleşmeleri aracılığıyla gerçekleşir.

DORA İhlallerinde Cezalar, Para Cezaları ve Yaptırımlar

AB genelinde geçerli tek bir DORA yaptırım tablosu yoktur. Bunun yerine Madde 50, her Üye Devlete “etkili, orantılı ve caydırıcı” cezalar belirleme görevi verir; denetim makamlarına belge isteme, inceleme yapma, düzeltme emri verme ve uyarıları yayımlama yetkisi tanır. Her Üye Devletin ulusal yetkili makamı bunları sektörün kendi lisanslama kanunu uyarınca uygular; dolayısıyla banka, ödeme şirketi ve kripto borsası kendi sektörlerinin yaptırım skalasıyla karşılaşır.

Ortalama günlük dünya çapındaki cironun yüzde biri tutarında bir “DORA para cezası” görmüş olabilirsiniz. Bu rakam gerçektir, ancak başka bir muhataba yöneliktir: Gözetim kararını görmezden gelen kritik ICT üçüncü taraf sağlayıcısına Avrupa Denetim Otoritelerinin en fazla altı ay boyunca uygulayabileceği günlük cezadır. Bankalara veya kripto şirketlerine verilen ceza değildir. Bununla birlikte anılan “yıllık cironun %2’si” de DORA’da yer almaz; bu, NIS2’den gelir ve ülkelerin temel kuruluşlar için belirlemesi gereken asgari üst sınırdır. Finansal kuruluş için gerçekçi sonuçlar şunlardır:

• denetim tedbirleri — düzeltme emirleri, faaliyet kısıtlamaları ve ciddi durumlarda lisansın askıya alınması veya kaybı;
• sektörün ulusal hukuku uyarınca idari para cezaları;
• DORA yönetim kurulunu IT çerçevesinden sorumlu tuttuğu için yönetim kurulu üyelerinin kişisel sorumluluğu;
• Madde 52’nin izin verdiği, eklemeyi seçen ülkelerde cezai sorumluluk;
• itibar ve ticari zarar — müşteri, bankacılık ortağı ve yatırımcı kaybı.

DORA’yı Kim Denetler? Ulusal ve AB Düzeyindeki Düzenleyiciler

Günlük DORA denetimi, şirketi zaten lisanslayan düzenleyicide kalır: şirketin yerleşik olduğu Üye Devletin merkez bankası veya finansal denetim makamı. Bu yetkili makam olay bildirimlerini ve bilgi sicillerini alır, kimin TLPT yapması gerektiğine karar verir ve olağan denetimin parçası olarak IT risk çerçevesini inceler. Çoğu, web sitelerinde DORA rehberleri, şablonları ve sürelerini yayımlar.

AB düzeyinde üç kuruluş çalışmayı paylaşır: Avrupa Menkul Kıymetler ve Piyasalar Otoritesi, Avrupa Bankacılık Otoritesi ve sigorta ile emeklilik otoritesi olan EIOPA. Ayrıntıları tamamlayan teknik standartları hazırlar ve kritik ICT üçüncü taraf sağlayıcılarını ortaklaşa belirlerler; bunların her biri daha sonra üç makamdan biri tarafından Baş Denetçi sıfatıyla denetlenir.

DORA Uyum Kontrol Listesi: Nasıl Uyum Sağlanır?

Bir şirket lisans başvurusu yapıyor veya zaten denetleniyor olsun, aynı belge seti denetimde DORA uyumunu kanıtlar. DORA uygulama planı veya boşluk analizi için pratik bir başlangıç noktası:

• Kapsamınızı doğrulayın: Hangi Madde 2 kategorisine girdiğinizi ve sadeleştirilmiş çerçevenin veya mikro işletme muafiyetinin uygulanıp uygulanmadığını belirleyin.
• Kritik veya önemli bir işlevi destekleyen tüm IT varlıklarını, sistemleri ve veri akışlarını haritalayın.
• Yönetim kurulu tarafından onaylanmış, sorumluları belirlenmiş ve yıllık gözden geçirme içeren bir ICT risk yönetimi politikası kabul edin.
• Yasal sürelerle uyumlu olay derecelendirmesi, olay kaydı ve bildirim şablonları oluşturun.
• Yıllık test takvimi hazırlayın ve denetim makamının sizi TLPT listesine alıp almadığını kontrol edin.
• Tüm IT sağlayıcılarına ilişkin bilgi sicilini derleyin ve sözleşmelerini zorunlu maddelerle güncelleyin.
• Yoğunlaşma riskini inceleyin ve kritik işlevleri destekleyen sağlayıcılar için çıkış planları hazırlayın.
• Yedekleri, geri yüklemeyi ve IT süreklilik planını en az yılda bir test edin.
• Yönetim kuruluna eğitim verin ve eğitimin yapıldığına ilişkin kanıtları saklayın.

Eesti Firma, fintech ve kripto şirketlerine DORA’nın hukuki yönü konusunda danışmanlık verir: hangi yükümlülüklerin uygulandığını belirleme, IT çerçevesini MiCA lisanslama gereklilikleriyle uyumlu hâle getirme, tedarikçi sözleşmelerini inceleme ve denetim makamının görmek isteyeceği belgeleri hazırlama. Düzenlemenin işletmenize nasıl uygulandığını görüşmek için bizimle iletişime geçin.

Danışmanlık Talep Edin

DORA Hakkında Sık Sorulan Sorular