Digital Operational Resilience Act (DORA) - Dijital Operasyonel Dayanıklılık Yasası
İnternet bankacılığı, anlık ödemeler, kripto varlıklar, bulut altyapıları ve benzeri tüm bu sistemler birbiriyle o kadar iç içe geçmiş durumda ki tek bir zincir halkasındaki kırılma, tüm ekosistemi sarsabiliyor.
İşte tam bu noktada Avrupa Birliği, finans sektörüne yönelik son yılların en kapsamlı dijital düzenlemesini hayata geçirdi. Digital Operational Resilience Act (Dijital Operasyonel Dayanıklılık Yasası) 17 Ocak 2025 tarihinde yürürlüğe girdi.
DORA kısaca şu anlama geliyor: Finans kuruluşları artık siber saldırı, sistem çöküşü veya BT kesintisi gibi olaylarda yalnızca kendilerini korumakla değil; bu olaylara karşı ayakta kalmak, hızlı yanıt vermek ve toparlanmakla yükümlüler. Ayrıca bu yükümlülüklerini yerine getirdiklerini kanıtlamaları gerekiyor.
DORA Öncesi: Parçalı Bir Tablo
Onlarca yıl boyunca Avrupa'da finansal kuruluşların BT güvenliğine dair kurallar ülkeden ülkeye farklılık gösterdi. Bir Alman bankası bir dizi yönergeyi takip ederken komşu ülkedeki finansal teknolojiler tamamen farklı standartlarla idare ediyordu. Pek çok şirket ise bu parçalı tablonun içindeki gri alanlarda faaliyet göstermeyi tercih etti.
Bu durumun finans sistemine iki temel zararı oldu:
- Birbiriyle bağlantılı kurumlar farklı güvenlik düzeylerinde çalışıyordu. Zincirin en zayıf halkası tüm sistemi tehdit edebiliyordu.
- Uluslararası faaliyet gösteren şirketler çakışan, bazen de çelişen birden fazla kurala aynı anda uymak zorunda kalıyordu. Bu hem maliyetli hem de yorucuydu.
DORA, Avrupa Birliği’nde tek ve bağlayıcı bir çerçeve oluşturarak bu parçalı tabloyu sonlandırdı. Artık tüm oyuncular aynı kurallara göre oynuyor.
DORA’nın 5 Önemli Alanı
DORA'yı anlamanın en pratik yolu, yasanın finansal kuruluşlardan ne beklediğine bakmak. Her şey beş temel alan üzerine inşa edilmiş:
1- Bilgi ve İletişim Teknolojisi Risk Yönetimi Çerçevesi
Tüm bilgi ve iletişim teknolojisi risklerini tanımlayan, sınıflandıran ve izleyen kapsamlı bir yönetim sistemi kurmak zorunlu. Kritik nokta: Yönetim kurulu artık bu çerçevenin sahibi. "Bilgi teknolojileri bir teknik ekip işidir." döneminin yasal olarak sonu geldi.
2- Olay Yönetimi ve Raporlama
Büyük bir bilgi teknolojileri olayı yaşandığında yetkili otoriteye 4 saat içinde ilk bildirimi yapmak zorunlu. Ara raporlar ve nihai kapama raporları için de sıkı takvimler var. Amaç, denetleyicilerin tehdit haritasını neredeyse gerçek zamanlı görebilmesi.
3- Dijital Operasyonel Dayanıklılık Testleri
Yılda bir kez temel dayanıklılık testleri zorunlu. Sistemik öneme sahip büyük kurumlar için ise her üç yılda bir Tehdit Tabanlı Sızma Testi (TLPT) yapılması gerekiyor. Simüle saldırılar ve stres testleri artık rutin bir yasal gereklilik.
4- Üçüncü Taraf Bilgi ve İletişim Teknolojisi Risk Yönetimi
Bankaların kullandığı bulut sağlayıcıları, veri merkezleri ve yazılım tedarikçileri de bu yasanın kapsamına giriyor. Sözleşmelere özel maddeler eklemek, tedarikçileri düzenli denetlemek ve kritik sağlayıcılar için çıkış stratejisi hazırlamak artık zorunlu.
5- Siber Tehdit İstihbaratı Paylaşımı
Kurumlar gönüllü bazda sektör genelinde tehdit bilgisi paylaşım mekanizmalarına katılabiliyor. Sektörün kolektif zekâsı bireysel savunmayı güçlendiriyor ve paylaşım teşvik ediliyor.
Bankalar için neden artık kaçınılmaz?
- Domino etkisi gerçek bir tehdit olmaya başladı.
- Finansal sistem birbirine sıkıca bağlıdır. Bir bankadaki bilgi teknolojileri kesintisi ödeme altyapısını, oradan sigorta sistemlerini, oradan da reel ekonomiyi etkileyebilir. DORA, bu zincirleme riski bütünlüklü bir yaklaşımla ele alıyor.
- Siber risk artık sermaye riskiyle eşdeğer olarak görülüyor.
- Yıllarca finans regülasyonları temel olarak şu soruya odaklandı: "Bankanın yeterli sermayesi var mı?" DORA ise paradigmayı değiştiriyor: Dijital ekonomide büyük çaplı bir sistem çöküşü, bir kredi krizi kadar yıkıcı olabilir. Hedef artık yalnızca korumak değil dayanıklı olmak.
- Tedarikçi zafiyeti artık kurumun sorumluluğu. Birçok finans kuruluşu kritik altyapısını az sayıda büyük teknoloji şirketine emanet ediyor. DORA, bu konsantrasyon riskinin sorumluluğunu doğrudan yönetime yüklüyor. Tedarikçinizin başına gelen bir sorunun artık sizin sorununuz olduğuna dikkat çekmek isteriz.
Dijital Dayanıklılığı Sağlamanın 10 Yolu
DORA bir uyum listesi değil, bir kültür değişimi. İşte başlangıç noktaları:
1. Yönetim Kurulu
Bilgi teknolojileri riski artık yalnızca bilgi teknolojileri departmanının işi değil. Yönetim kurulunun dijital dayanıklılık stratejisini onaylaması ve düzenli raporlama alması yasal zorunluluk. Üst yönetim için farkındalık eğitimleri başlatmak iyi bir ilk adım.
2. Varlık Envanteri ve Risk Haritası Oluşturun
Hangi sistemler hangi iş süreçlerini destekliyor? Tüm kritik bilgi ve iletişim teknolojileri varlıklarını ve birbirleriyle bağlantısını haritalayın. Bilinmeyen bir şeyi korumanız mümkün değil.
3. Olay Müdahale Planı Hazırlayın
Büyük bir siber olay yaşandığında dört saatlik bildirim süreniz var. Önceden yazılmış, tatbikatlarla test edilmiş bir müdahale planı olmadan bu süreye uymak son derece güç. Planı çekmecede bırakmayın, düzenli olarak prova yapın.
4. Düzenli Sızma Testleri Yapın
TLPT yalnızca bir kutu işaretleme egzersizi değil. Gerçek tehdit aktörlerinin davranışlarını simüle eden bu testler, savunmanızdaki gerçek açıkları ortaya çıkarır. Sonuçları ciddiye alın ve aksiyona dönüştürün.
5. Tedarikçi Sözleşmelerini Güncelleyin
Bulut, yazılım ve altyapı tedarikçilerinizle olan sözleşmelerinize DORA uyumlu maddeler ekleyin: olay bildirim yükümlülükleri, denetim hakları, iş sürekliliği taahhütleri ve çıkış planları. Sözleşmelerin yenilenmesini beklemek yerine proaktif olun.
6. 7/24 İzleme Altyapısı Kurun
Sürekli izleme olmadan ne güvenlik olaylarını ne de bilgi teknolojileri kesintilerini zamanında tespit etmek mümkün. Ağ, sistem, uygulama ve altyapı bileşenlerini izleyen çözümlerin bir arada kullanıldığı hizmetler ile güvenlik operasyon merkezi ve yönetilen tespit ve yanıt hizmetleri, sadece siber saldırıları değil, servis yavaşlamalarını, uygulama hatalarını, veri tabanı ve ağ kesintilerini de anlık olarak görünür kılar. Bu bütünsel izleme yaklaşımı sayesinde hem güvenlik ihlallerine hem de iş sürekliliğini etkileyen kesintilere hızlı müdahale edilebilir. Böylece dört saatlik bildirim yükümlülüğünün karşılanması ve kritik hizmetlerin en kısa sürede yeniden devreye alınması mümkün olur.
7. İş Sürekliliği Planlarını Test Edin
Sadece plan yazmak yetmez. Yılda en az bir kez gerçekçi senaryolarla tatbikat yapın. "Sistemler çöktü, ne yapıyoruz?" sorusunun yanıtını kriz anında değil, çok öncesinde bulmakta fayda var.
8. ISO 27001 Sürecini Hızlandırın
Bilgi Güvenliği Yönetim Sistemi standardı ile DORA gereklilikleri arasında ciddi örtüşme var. Sertifikanız varsa eksik noktaları doldurabilirsiniz. Sertifikanız yoksa sertifikasyon süreci DORA uyumuna güçlü bir ivme kazandırır.
9. ISO 22301 Sürecini Hızlandırın
İş sürekliliği yönetimi standardı ile DORA gereklilikleri arasında ciddi örtüşme var. Sertifikanız varsa eksik noktaları doldurabilirsiniz. Sertifikanız yoksa sertifikasyon süreci DORA uyumuna güçlü bir ivme kazandırır.
10. Çalışan Farkındalık Programı Başlatın
Teknik kontrollerden çok daha sık başarısız olan şey insan faktörüdür. Kullanıcıları kandırarak onları sahte e postalara, sahte internet sitelerine veya zararlı bağlantılara tıklamaya yönlendirmeyi amaçlayan saldırı senaryoları (oltalama saldırısı), simülasyonlar, düzenli güvenlik eğitimleri, iş sürekliliği eğitimleri ve kurum genelinde güvenlik kültürü inşası hem en uygun maliyetli hem de en kalıcı savunma katmanıdır.
Türkiye'deki kuruluşlar için ne anlam taşıyor?
DORA doğrudan Türkiye’nin bir kanunu değil ancak Avrupa Birliği’nde faaliyet gösteren ya da Avrupa Birliği’ndeki finansal kuruluşlara teknoloji veya hizmet sağlayan Türk şirketler, dolaylı olarak bu yasanın kapsamına giriyor.
Türkiye'deki finansal sektör düzenleyicilerinin mevcut bilgi teknolojileri risk yönetimi gereksinimleriyle DORA arasında önemli paralellikler bulunuyor. Bununla birlikte DORA bazı alanlarda özellikle üçüncü taraf risk yönetimi ve sızma testleri konusunda çok daha ileri standartlar getiriyor.
DORA uyumu artık bir tercih değil, tüm olağanüstü durumlara karşı dayanıklı sistemler kurmanın rehberi.
DORA uyumu kolay değil. Yönetim kurulunu sürece dâhil etmek, tedarikçi sözleşmelerini yeniden müzakere etmek, sızma testleri yapmak, 7/24 izleme altyapısı kurmak… bunların hepsi zaman, para ve enerji gerektiriyor.
Dayanıklı olmak artık güvenilirliğin kanıtı. DORA bunu bir yasal zorunluluk olarak tanımlıyor ve sağlam çalışan her kuruluşun zaten yapması gereken şeyleri sistematikleştiriyor. "Yeterince iyi" artık yeterli değil. Kanıtlanabilir dayanıklılık yeni standardı oluşturuyor.
Nereden başlamalısınız?
Bir boşluk analizi (Gap Analysis) ile mevcut durumunuzu DORA gereksinimleriyle kıyaslayabilirsiniz. Ardından kritik bilgi ve iletişim teknolojileri sistemlerinizi ve tedarikçi bağımlılıklarınızı haritalayıp yönetim kurulunu sürecin içine dâhil etmeniz gerekir. Ve şunu unutmayın: Beklemek bu süreçte en pahalı seçenek.
Kaynaklar
European Banking Authority (EBA) — Digital Operational Resilience Act (DORA)
Avrupa Birliği Resmi Tüzük — Regulation (EU) 2022/2554, 14 Aralık 2022.
Deloitte Türkiye — Dijital Operasyonel Dayanıklılık Yasası (DORA) Nedir?
EY Türkiye — Dijital Operasyonel Dayanıklılık Yasası (DORA) Nedir?
Palo Alto Networks — What Is the DORA Act? Digital Operational Resilience Guide
IBM Cloud — Digital Operational Resilience Act (DORA)