7 Ocak 2025 tarihiyle birlikte Avrupa Birliği’nin Dijital Operasyonel Dayanıklılık Düzenlemesi (DORA) artık günlük hayatın bir gerçeği kaçınılmaz bir gerçeğine dönüşüyor. Finansal kuruluşlar için “hazırlık süreci” bitti, şimdi gerçek anlamda uyuma sahip olduklarını ispatlama dönemi başladı.
Bu düzenleme, bilgi işlem kaynaklı kesintileri, siber saldırıları ve üçüncü taraflardan kaynaklanan aksaklıkları bilişim ekiplerinin olduğu kadar yönetim kurulu ve hukuki danışmanların da sorumluluğu hâline getiriyor. Üstelik bu sorumluluk itibarın yansıra birçok somut yaptırımlarla destekleniyor:
- Kurumlar için dünya çapındaki yıllık cironun yüzde ikisine kadar idari para cezası,
- Yönetim organı üyeleri için bir milyon avroya ulaşabilen kişisel para cezaları söz konusu.
Aslında tablo’nun bizlere verdiği mesaj gayet net artık siber risk, “teknik bir mesele” değil. Dijital operasyonel dayanıklılık hukuki bir yükümlülük ve bu alanda avukatlar en ön safta yerini alıyor.
Yeni Nesil Yönetim Kurulu hem “Bilgilendirilen” hem “Hesap Veren ”Taraf
DORA, finansal kuruluşların bilgi ve iletişim teknolojileri risklerini yönetim organının doğrudan sorumluluğuna veriyor. Yönetim kurulunun görevi yılda bir kez sunulan teknik bir rapora bakıp onay vermekten ziyade sistemli bir yönetişim yapısı kurmaları ve bunu düzenli olarak çalıştırmaları olarak güncelleniyor.
Bu bağlamda Yönetim kurulunun görev ve sorumluluklarını inceleyecek olursak;
- BİT risk yönetim politikasının kurul tarafından resmî karar ile kabul edilmesi,
- Bu politikanın en az yılda bir kez gözden geçirildiğinin toplantı tutanaklarıyla gösterilmesi,
- Kritik siber olaylardan sonra yönetim kurulunun nasıl bilgilendirildiğini ve hangi aksiyonların onaylandığını belgeleyen kayıtların oluşturulması ve takip edilmesi.
Böylelikle, olası bir denetimde ya da soruşturmada, yönetim organının “haberdardım, sorumluluğumu yerine getirdim” diyebilmesi için somut kanıt üretmiş olması kaçınılmaz bir gerçektir.
Sözleşmeler: DORA’nın Uygulamada Attığı İlk Adım
DORA’nın belki de en görünür etkisi, BİT hizmet sözleşmelerinde karşımıza çıkıyor. Özellikle 30. madde, bir finans kuruluşunun dışarıdan aldığı her tür bilgi teknolojisi hizmetinde bulunması gereken asgari hükümlerin listesini veriyor.
Kurumun mevcut BİT sözleşmeleri hangi işlevleri destekliyor?
- Hangi sözleşmeler kritik işlevleri destekliyor?
Ödeme sistemleri, müşteri verisinin tutulduğu altyapılar, uzaktan erişim çözümleri… Bunlar öncelikle belirleniyor. - Mevcut sözleşmeler DORA’nın aradığı unsurları içeriyor mu?
Örneğin:
- Denetim ve yerinde inceleme hakkı,
- Hizmetin kesintiye uğraması hâlinde uygulanacak olağanüstü durum planları,
- Hizmet sağlayıcının alt yüklenici kullanması hâlinde hangi şartlara tabi olacağı,
- Verilerin hangi ülkelerde saklanacağı ve işleneceği.
Çoğu zaman cevap “hayır” oluyor. Çünkü bu sözleşmeler DORA yürürlüğe girmeden önce imzalanmış ve bu ayrıntıların bir kısmı hiç masaya gelmemiş oluyor. Böyle durumlarda devreye sözleşme ekleri giriyor. Tarafların üzerinde uzlaştığı, DORA’nın zorunlu tuttuğu hükümleri içeren ekleri hazırlıyor ve mevcut sözleşmelere bağlıyoruz. Böylece finansal kuruluşun sözleşmeleri DORA ile uyumlu hâle geliyor.
Üçüncü Taraf Bilgi ve İletişim Teknoloji Sağlayıcıları: AB Sınırlarının Ötesinde Sorumluluk
DORA, bazı Bilgi ve İletişim Teknoloji Sağlayıcıları (BİT) şirketlerini “kritik üçüncü taraf” olarak tanımlıyor. Bu şirketler, tek bir finans kuruluşuna hizmet verse bile, sistemdeki ağırlıkları nedeniyle doğrudan AB denetimine tabi oluyorlar.
Bu durum özellikle AB dışındaki sağlayıcılar için önemli sonuçlar doğuruyor:
- Kritik kabul edilen bir sağlayıcı, atama tarihinden itibaren bir yıl içinde AB’de bir bağlı ortaklık kurmak zorunda kalabiliyor.
- AB denetim otoritesi, bu sağlayıcıdan her türlü bilgi ve belgeyi talep edebiliyor, yerinde inceleme yapabiliyor.
- Uyumsuzluk hâlinde, sağlayıcıya kesilebilecek para cezaları günlük ortalama ciro üzerinden hesaplanabiliyor.
Bu durumda hem finans kuruluşu hem de hizmet sağlayıcı için kritik soruları beraberinde getiriyor. Finans kuruluşu açısından temel soru şu: Bu sağlayıcı kritik ilan edilirse, tedarik sürekliliğimiz, veri güvenliğimiz ve mali risklerimiz nasıl etkilenir?”
Hizmet sağlayıcı açısından ise: “AB içinde kurulacak şirket, hangi yükümlülükleri taşıyacak, bu yükümlülükler mevcut iş modelini nasıl değiştirecek?”
Olay Yönetimi: Dakikalar İçinde Doğru Kararı Verme Baskısı
Bir diğer önemli konu DORA, bilgi teknolojisi kaynaklı olayların bildirilmesinde ayrıntılı zaman çizelgeleri getiriyor. Yani “önce olayı kapatalım, sonra bildiririz” yaklaşımı geçerli değil.
Olayın türüne göre, tespitten sonraki saatler içinde ilk bildirimin yapılması gerekebiliyor. Bu da şu anlama geliyor:
Kuruluş, siber olayı fark ettiğinde hem teknik hem hukuki açıdan önceden kararlaştırılmış bir planı hemen devreye sokmak zorunda. Hukuk ekibinin burada üstlendiği temel görevler ise şunlar:
- Hangi büyüklükteki olayın “raporlanması gereken olay” sayıldığını netleştirmek,
- Bildirimlerin hangi sırayla yapılacağını, hangi kurumlara hangi içerikte bilgi verileceğini yazılı hâle getirmek,
- Olay sırasında kullanılacak basın açıklaması, müşteri bilgilendirme metni ve benzeri içerikleri önceden hazırlamak.
Olay anında herkes ne yapacağını bildiğinde panik azalıyor, daha önce üzerinde çalışılmış bir B planı devreye giriyor. Denetim otoritesiyle yazışmalar da önceden belirlenmiş kurallara göre yürütüldüğünde hem kurum hem de yönetim organı için gereksiz riskler minimuma iniyor. Kısacası bu hazırlık, DORA uyumunun en zor ama en kritik adımını oluşturuyor.
Biz CFECERT olarak, DORA kapsamında hem eğitim hem de denetim hizmetleriyle yönetim kurulları, hukuk ve bilgi teknolojileri ekiplerine bu yapıyı kurma konusunda destek veriyoruz.
Kurumunuza özel eğitim programı veya denetim süreci hakkında bilgi almak isterseniz, bize info@cfecert.co.uk adresinden ulaşabilirsiniz.