Avrupa Birliği DORA regülasyonu nedir? Finans kuruluşları ve kritik BT hizmet sağlayıcıları için siber operasyonel dayanıklılık ve denetim rehberi. İnceleyin.
Hızlı Özet (TL;DR)
DORA (Digital Operational Resilience Act - Dijital Operasyonel Dayanıklılık Yasası), Avrupa Birliği’nin finans ekosistemini (bankalar, sigorta şirketleri, ödeme kuruluşları, kripto varlık hizmet sağlayıcıları ve yatırım firmaları) ve bu kuruluşlara kritik bilişim hizmeti (özel yazılım, bulut altyapısı, veri analitiği, sunucu barındırma, siber güvenlik) sağlayan üçüncü taraf teknoloji tedarikçilerini doğrudan bağlayan en kapsamlı siber dayanıklılık tüzüğüdür (AB 2022/2554). DORA, kağıt üzerindeki geleneksel bilgi güvenliği politikalarının ötesine geçerek; ağır bir siber saldırı, tedarik zinciri kesintisi veya veri merkezi arızası anında kritik operasyonların kesintisiz sürdürülmesini, katı süre sınırları içinde siber olay bildirimini ve tehdit odaklı gelişmiş sızma testlerini (TLPT) yasal zorunluluk haline getirmiştir.
DORA Regülasyonu Neden Çıkarıldı ve Neyi Değiştiriyor?
Geçmişte finansal regülasyonlar kurumların likidite ve sermaye yeterliliğine odaklanırken, bilgi ve iletişim teknolojileri (BİT / ICT) risklerini ikincil bir operasyonel detay olarak ele alıyordu. Ancak finansal sistemlerin bulut sağlayıcılarına, API entegrasyonlarına ve dış kaynak (Outsource) yazılım firmalarına olan mutlak bağımlılığı, tek bir yazılım tedarikçisinde yaşanan zafiyetin tüm Avrupa finans piyasasında sistemik bir krize yol açabileceği gerçeğini ortaya çıkardı.
DORA ile birlikte “siber güvenlik sadece IT departmanının görevidir” anlayışı hukuken sona ermiştir. Tüzük, dijital operasyonel dayanıklılık stratejisinin onaylanmasından, bütçelenmesinden ve olası ihlallerde doğacak ağır idari yaptırımlardan doğrudan şirketlerin Yönetim Kurulu üyelerini ve üst düzey yöneticilerini (C-Level) şahsen sorumlu tutmaktadır.
DORA Düzenlemesinin 5 Ana Temel Direği
DORA uyumluluğu sağlamak isteyen finansal kuruluşların ve onların bilişim tedarikçilerinin eksiksiz inşa etmesi gereken 5 teknik ve idari sütun bulunmaktadır:
| Sütun No | DORA Temel Direği | Teknik Kapsam ve Mimari Gereksinim | Denetim ve Yaptırım Etkisi |
|---|---|---|---|
| 1 | BİT Risk Yönetimi Çerçevesi (ICT Risk Management) | Tüm sunucu, ağ, yazılım ve veri varlıklarının envanterinin çıkarılması, bağımlılık haritalarının oluşturulması ve otomatik yedeklilik (Redundancy) | Yönetim kurulu onaylı yıllık risk değerlendirmesi ve sürekli izleme zorunluluğu |
| 2 | BİT Kaynaklı Olay Yönetimi ve Bildirimi | Siber saldırıların ve sistem kesintilerinin otomatik tespiti, sınıflandırılması ve kök neden analizi (RCA) ile kayıt altına alınması | Kritik olaylarda ilk 4 saat içinde erken bildirim, 72 saatte ara rapor ve 1 ayda nihai rapor |
| 3 | Dijital Operasyonel Dayanıklılık Testleri | Yıllık zafiyet taramaları, kaynak kod analizleri, ağ güvenlik testleri ve 3 yılda bir Tehdit Odaklı Sızma Testi (TLPT - TIBER-EU) | Bağımsız akredite test kuruluşları tarafından doğrulanmış zafiyet kapatma raporları |
| 4 | Üçüncü Taraf BİT Risk Yönetimi (TPRM) | Yazılım, bulut ve veri merkezi tedarikçilerinin sözleşmesel denetimi, alt yüklenici (Sub-contractor) görünürlüğü ve çıkış stratejileri | Uyumsuz teknoloji tedarikçileriyle olan sözleşmelerin regülatör kararıyla feshedilmesi |
| 5 | Bilgi ve Siber İstihbarat Paylaşımı | Siber tehdit göstergelerinin (IoC), saldırı taktik ve tekniklerinin (TTPs) güvenilir finansal topluluklar arasında paylaşılması | Sektörel erken uyarı mekanizmalarına entegrasyon ve proaktif savunma |
Türkiye’deki Yazılım, ERP ve Bilişim Firmalarını Nasıl Etkiler?
Türkiye’de faaliyet gösteren ancak Avrupa Birliği sınırları içindeki finans kuruluşlarına, uluslararası bankaların Türkiye iştiraklerine, fintech şirketlerine veya küresel sigorta gruplarına yazılım geliştiren, Özel Yazılım Geliştirme projeleri yürüten, bulut/sunucu barındırma veya siber güvenlik hizmeti sunan tüm teknoloji şirketleri DORA’nın Üçüncü Taraf BİT Hizmet Sağlayıcısı (ICT Third-Party Service Provider) kapsamına girmektedir.
Sözleşmesel Zorunluluklar ve Çıkış Stratejileri (Exit Strategies)
DORA Madde 28 ve 30 uyarınca, AB merkezli bir müşteriyle çalışan Türk teknoloji tedarikçisinin sözleşmesinde şu teknik taahhütlerin bulunması ve sahada kanıtlanması şarttır:
- Hizmet Seviyesi ve Kurtarma Hedefleri: Kesinti anında Maksimum Kabul Edilebilir Kesinti Süresi (RTO) ve Veri Kaybı Noktası (RPO) metriklerinin milisaniye ve dakika bazında garanti edilmesi.
- Denetim Hakkı (Right to Audit): Müşterinin veya Avrupa Denetim Otoritelerinin (EBA, ESMA, EIOPA) tedarikçinin veri merkezini ve yazılım geliştirme süreçlerini yerinde veya uzaktan denetleme yetkisi.
- Veri Taşınabilirliği ve Çıkış Planı: Tedarikçinin iflası, siber saldırıya uğraması veya sözleşme feshi durumunda, müşteriye ait tüm verilerin ve sistemlerin hizmeti aksatmadan başka bir sağlayıcıya veya şirket içi yapıya geri taşınabilmesini sağlayan test edilmiş göç (Migration) planları.
Teknik Uyum İçin Alınması Gereken Siber Güvenlik ve Altyapı Tedbirleri
Bilişim tedarikçilerinin ve finansal teknoloji şirketlerinin DORA denetimlerinden başarıyla geçebilmesi için altyapılarında dört kritik katmanı sıkılaştırması gerekir:
1. Gelişmiş Sızma Testleri ve Güvenli Yazılım Geliştirme (SecDevOps)
Geliştirilen uygulamaların yalnızca fonksiyonel olarak çalışması yeterli değildir; OWASP standartlarına göre kaynak kod analizinden (SAST), dinamik uygulama testlerinden (DAST) ve düzenli Sızma Testi (Pentest) süreçlerinden geçirilmesi zorunludur. Tespit edilen yüksek ve kritik bulguların SLA süreleri içinde kapatıldığı belgelenmelidir.
2. Ağ İzolasyonu, Sıfır Güven (Zero Trust) ve Yasal Loglama
Tedarikçi personeli müşteri sistemlerine bağlanırken çok faktörlü kimlik doğrulama (MFA), en az yetki prensibi (Least Privilege) ve şifreli VPN tünelleri kullanmalıdır. Ağ üzerindeki tüm paket hareketleri kurumsal Güvenlik Duvarı (Firewall) üzerinde denetlenmeli ve olay bildirim sürelerine (4 saat kuralı) uyum sağlayabilmek için merkezi log yönetimiyle izlenmelidir.
3. Değiştirilemez Yedekleme ve İş Sürekliliği Tatbikatları
DORA, kağıt üzerinde kalan felaket kurtarma planlarını kabul etmez. Yedeklerin fidye yazılımlarına karşı değiştirilemez (Immutable / WORM) mimaride tutulduğu ve yılda en az bir kez gerçek ortamda geri dönüş (Restore) tatbikatlarının yapılarak RTO/RPO sürelerinin doğrulandığı kanıtlanmalıdır.
Kurumunuzun veya geliştirdiğiniz yazılımların DORA regülasyonuna, uluslararası siber dayanıklılık standartlarına ve üçüncü taraf denetimlerine tam uyumlu hale getirilmesi için uzman mühendislik ekibimizden danışmanlık alabilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
DORA regülasyonu sadece Avrupa Birliği içindeki bankaları mı kapsıyor?
Hayır. DORA doğrudan AB içindeki 20’den fazla finansal kuruluş türünü (bankalar, sigorta, fintech, kripto borsaları, ödeme sistemleri) kapsadığı gibi, bu kurumlara dışarıdan yazılım, bulut, veri merkezi veya BT desteği veren Türkiye dahil tüm üçüncü ülke teknoloji tedarikçilerini de sözleşmesel ve denetimsel olarak bağlamaktadır.
DORA kapsamında TLPT (Tehdit Odaklı Sızma Testi) nedir ve kimlere zorunludur?
TLPT (Threat-Led Penetration Testing), kurumun canlı üretim sistemlerine gerçek dünyadaki gelişmiş siber saldırı gruplarının (APT) taktikleriyle yapılan kırmızı takım (Red Team) sızma testidir. Kritik öneme sahip finansal kuruluşların ve altyapıların her 3 yılda bir bağımsız uzmanlarca bu kapsamlı dayanıklılık testinden geçmesi zorunludur.
DORA kurallarına uyum sağlayamayan BT tedarikçilerini hangi yaptırımlar bekler?
Avrupa Denetim Otoriteleri, kritik BT tedarikçilerine küresel yıllık cirolarının %1’ine kadar günlük periyodik ceza kesme yetkisine sahiptir. Daha da önemlisi, regülatörler finans kuruluşlarına “DORA şartlarını karşılamayan tedarikçiyle olan sözleşmenizi askıya alın veya feshedin” talimatı vererek tedarikçiyi Avrupa pazarından tamamen çıkarabilir.