DORA özünde istikrarı güçlendirmek, dinamik olduğu kadar esnek bir finansal ekosistem inşa etmeyi amaçlar. AB finans kurumları için, uyumluluk gerekliliklerini karşılamak üzere DORA’yı başarılı bir şekilde uygulamak, cezalardan kaçınmaktan daha fazlası anlamına gelir ki bu, savunmaları iyileştirmek, siber tehdit raporlama yeteneklerini geliştirmek ve operasyonların ne olursa olsun geri dönebilmesini sağlamak için bir fırsattır.
DORA yönetmeliğine kimler uymalıdır?
AB üye ülkelerinde iş yapan tüm finansal kuruluşlar, DORA gerekliliklerine uymak zorundadır:
- Finansal Hizmetler Endüstrisi
- Ödeme kuruluşları
- Yatırım firmaları
- Sigorta şirketleri
- Kredi derecelendirme kuruluşları
- Kripto varlık hizmet sağlayıcıları
- Kitlesel fonlama hizmet sağlayıcıları
- Veri analitiği ve denetim hizmetleri
- Fintech
- Ticaret mekanları
- Finansal sistem sağlayıcıları
- Kredi kuruluşları
Finans kurumları için bilgi ve iletişim teknolojisi (ICT) hizmetleri sağlayan üçüncü taraf tedarikçiler de DORA uyumluluğunu sağlamalıdır.
DORA, finansal kurumların dijital operasyonel dayanıklılığını artırmak için önemli düzenleyici değişiklikler getiriyor. Düzenleme, üçüncü taraf hizmet sağlayıcılara artan bağımlılık nedeniyle artan ICT (Bilgi ve İletişim Teknolojisi) risklerini azaltmayı ve finans sektörünün siber olaylara dayanabilmesini ve bu olaylardan hızlı bir şekilde kurtulabilmesini sağlamayı amaçlamaktadır. DORA, finans kuruluşlarına odaklanarak, ekonominin kritik bir bölümünü yaygın sonuçlar doğurabilecek aksaklıklardan korumayı amaçlamaktadır.
Finansal Kuruluşları Uyum için ne yapmalıdır?
- Sistematik risk değerlendirmeleri: Yalnızca potansiyel tehditleri belirlemekle kalmayıp, aynı zamanda faaliyetlerinizi etkilemeden önce bunları hafifletmek için sağlam stratejiler geliştiren ayrıntılı ve düzenli risk değerlendirmeleri yapmak.
- Geliştirilmiş siber güvenlik önlemleri: Siber olaylara karşı korunmak ve bunlara hızla yanıt vermek için gelişmiş teknolojileri ve metodolojileri entegre ederek savunmanızı güçlendirin.
- Esneklik testi: Olası aksaklıkları simüle etmek için düzenli sistem testleri artık bir zorunluluktur. Bu tatbikatlar BT altyapınızdaki zayıflıkları belirlemenize ve müdahale stratejilerinizi geliştirmenize yardımcı olacaktır.
- İş sürekliliği planlaması: İş sürekliliği planlarının güncellenmesi ve uyarlanması, tüm koşullar altında kritik işlevlerin sürdürülmesini sağlar. Bunu yapmak, müşteri güvenini ve mevzuata uygunluğu sürdürmenin anahtarıdır.
- Sözleşme revizyonları: DORA uyumlu hüküm ve koşulları içerecek şekilde sözleşmelerin gözden geçirilmesi ve potansiyel olarak yeniden müzakere edilmesi. Ayrıca, tüm üçüncü taraf sözleşmelerinin temel bileşenleri olarak esneklik ve güvenliği teşvik eder.
- Proaktif raporlama: İlgili makamlara hızlı olay raporlaması için net protokoller oluşturulması. Bunu yapmak, daha geniş finansal ekosistemin ortaya çıkan tehditlere daha etkili bir şekilde yanıt verebilmesini sağlar.
- İşbirliğine dayalı savunma: Kolektif finans sektörünün dayanıklılığını güçlendirmek için tehdit istihbaratının ve en iyi uygulamaların paylaşılması teşvik edilir.
DORA uyum tarihleri
DORA mevzuatı 16 Ocak 2023 tarihinde yürürlüğe girmiş ve kapsam dahilindeki kuruluşlar için 24 aylık bir uygulama süresine izin vermiştir.
17 Ocak 2024 tarihinde, üç Avrupa denetim otoritesi olan EBA (Avrupa Bankacılık Otoritesi), EIOPA (Avrupa Sigorta ve Mesleki Emeklilik Otoritesi) ve ESMA (Avrupa Menkul Kıymetler ve Piyasalar Otoritesi), DORA kapsamındaki ICT risk yönetimi gerekliliklerini özetleyen taslak Düzenleyici Teknik Standartları (RTS) nihai hale getirmiştir.
Etkilenen kurumların DORA gerekliliklerine uymak için 17 Ocak 2025 tarihine kadar süreleri bulunmaktadır.
DORA’ya uyulmaması halinde uygulanacak cezalar nelerdir?
DORA’ya uyulmamasına yönelik cezaların uygulanması, her AB ülkesinde “yetkili makamlar” olarak bilinen atanmış düzenleyicilerin elindedir. Uyumsuzluğun olası sonuçları arasında idari para cezaları, iyileştirici önlemler, kamu kınamaları, yetkinin geri alınması ve meydana gelen zararların tazmini yer almaktadır.
DORA’ya uymayan kapsam içi kuruluşlar, bir önceki iş yılında dünya çapındaki ortalama günlük cironun %1’ine kadar ceza ödemesine tabidir.
