17 Ocak 2025. Avrupa finans sektörü için bir milat. Bu tarihte yürürlüğe giren Dijital Operasyonel Dayanıklılık Yasası (DORA — Regulation EU 2022/2554), finans kuruluşlarının BT risk yönetimini kökten değiştirdi. Artık “sermaye ayırdık, riski karşılarız” dönemi kapandı. DORA ile birlikte operasyonel dayanıklılık, finansal tamponlardan bağımsız, ölçülebilir ve denetlenebilir bir yükümlülük haline geldi. Türkiye’de AB ile iş yapan bankalar, ödeme kuruluşları ve sigorta şirketleri için bu düzenleme doğrudan bağlayıcı.

DORA Neden Geldi?

AB finans sektörü, son 5 yılda BT kaynaklı kesintilerde %300 artış yaşadı. 2023’te Avrupa Merkez Bankası denetimine tabi bankaların %60’ı en az bir kritik BT olayı bildirdi. Mevcut düzenlemeler (EBA Guidelines, PSD2, GDPR) parçalıydı; her ülke, her sektör farklı kurallar uyguluyordu. DORA, 20’den fazla finansal kuruluş türünü tek bir çatı altında toplayarak bu dağınıklığı sona erdirdi.

DORA’nın getirdiği en büyük yenilik, BT riskini sermaye yeterliliğinden ayırması. Önceden bankalar operasyonel risk için sermaye tamponu ayırır, olay olduğunda bu tampondan karşılardı. DORA ise “önce engelle, sonra karşıla” yaklaşımı getiriyor. Bu, finans kuruluşlarının sadece bilançolarını değil, tüm BT altyapılarını ve süreçlerini yeniden gözden geçirmesini zorunlu kılıyor.

DORA’nın Beş Temel Sütunu

DORA, finans kuruluşları için beş ana başlıkta yükümlülük getiriyor:

Sütun	Kapsam	Kritik Gereklilik
BT Risk Yönetimi	Koruma, tespit, müdahale, kurtarma	Yönetim kurulu onaylı çerçeve ve iş sürekliliği planı
Olay Raporlama	Büyük BT olaylarının bildirimi	İlk bildirim (4 saat) → ara rapor (72 saat) → nihai rapor (1 ay)
Dayanıklılık Testi	Düzenli güvenlik testleri	Önemli kuruluşlara 3 yılda bir tehdit odaklı sızma testi (TLPT)
Üçüncü Taraf Riski	Tedarikçi BT yönetişimi	Yıllık Bilgi Kaydı (RoI) ve kritik tedarikçiler için çıkış stratejisi
Bilgi Paylaşımı	Siber tehdit istihbaratı	Gönüllü tehdit paylaşım ağlarına katılım

En kritik sütunlardan biri olan BT Risk Yönetimi, yönetim kurulunun doğrudan sorumluluğunda. Artık BT güvenliği sadece CISO’nun değil, tüm üst yönetimin hesap verdiği bir alan.

Kimler Kapsamda?

DORA’nın kapsamı son derece geniş. Bankalardan kripto varlık hizmet sağlayıcılarına, sigorta şirketlerinden kitlesel fonlama platformlarına kadar 21 farklı kuruluş türü düzenlemeye tabi. Kritik BT üçüncü taraf hizmet sağlayıcıları (CTPP) da Kasım 2025 itibarıyla doğrudan AB denetimine alındı. AWS, Microsoft Azure, Google Cloud, Oracle ve SAP’nin de aralarında bulunduğu 19 şirket “kritik” olarak sınıflandırıldı. Bu sağlayıcıları kullanan finans kuruluşları, yoğunlaşma riskini değerlendirmek ve alternatif stratejiler geliştirmek zorunda.

Cezalar: Kağıt Üstünde Değil

DORA’nın yaptırım gücü ciddi: Finans kuruluşları için yıllık küresel cironun %2’sine kadar para cezası öngörülüyor. Kritik BT sağlayıcıları için bu rakam 5 milyon Euro’ya ulaşabiliyor. Daha da önemlisi, üst düzey yöneticilere 1 milyon Euro’ya kadar bireysel ceza ve geçici yönetim yasağı getirilebiliyor. Almanya, İtalya ve İrlanda gibi ülkeler kendi ulusal ceza rejimlerini de devreye soktu. 2026 itibarıyla denetimler “kağıt kontrolünden” “kanıt denetimine” geçti — artık gerçek zamanlı dayanıklılık kanıtı şart.

2025-2026: Kritik Gelişmeler

DORA’nın yürürlüğe girmesinden bu yana geçen 18 ay, uygulamanın hız kazandığını gösteriyor. Kasım 2025’te Avrupa Denetim Otoriteleri (ESA’lar) ilk kritik BT üçüncü taraf sağlayıcı listesini yayımladı. AWS, Microsoft, Google Cloud, Oracle gibi 19 dev şirket “kritik” statüsüyle doğrudan AB denetimine alındı. Mart 2026’da ikinci Bilgi Kaydı (RoI) teslim döngüsü tamamlandı — Deloitte araştırmasına göre kuruluşların %46’sı için bu, DORA’nın en zorlu gerekliliği. Almanya’nın BAFIN’i, Ocak 2026’da yapay zeka sistemlerinin DORA kapsamındaki BT risk yönetim çerçevesine nasıl entegre edileceğine dair kılavuz yayımladı. İskandinav denetim otoriteleri ise dijital dayanıklılığı 2026 için en öncelikli denetim konusu ilan etti.

Hangi Mevzuatlar Zorunlu Kılıyor?

DORA doğrudan AB tüzüğü olarak tüm üye ülkelerde bağlayıcı. Türkiye AB üyesi olmasa da, AB ile iş yapan Türk finans kuruluşları DORA kapsamına giriyor. Ayrıca Türk düzenleyici kurumlar da benzer gereklilikleri kendi mevzuatlarına entegre ediyor:

• BDDK (Bankacılık Düzenleme ve Denetleme Kurumu): Bankaların Bilgi Sistemleri Yönetmeliği kapsamında BT risk yönetimi, iş sürekliliği ve üçüncü taraf denetimi zorunlu. DORA ile büyük ölçüde örtüşen gereklilikler içeriyor.
• SPK (Sermaye Piyasası Kurulu): Aracı kurumlar ve portföy yönetim şirketleri için bilgi sistemleri bağımsız denetim tebliği, DORA’nın dayanıklılık testi sütunuyla paralellik gösteriyor.
• KVKK (Kişisel Verileri Koruma Kurumu): Veri ihlal bildirimi ve teknik tedbirler, DORA’nın olay raporlama ve BT risk yönetimi gereklilikleriyle kesişiyor.
• TÜBİTAK BİLGEM ve USOM: Ulusal siber olaylara müdahale ve kritik altyapı koruma çerçevesinde DORA benzeri dayanıklılık standartları geliştiriliyor.

Das Smart Teknoloji ile DORA Uyumluluğu

Das Smart Teknoloji olarak, finans sektöründeki kuruluşların DORA uyumluluk yolculuğunda ihtiyaç duyduğu tüm teknik yetkinlikleri sağlıyoruz:

• Tehdit Odaklı Sızma Testi (TLPT): DORA’nın 3. sütunu kapsamında zorunlu olan ileri seviye penetrasyon testleri, Argus AI platformumuz ve sertifikalı kırmızı takım uzmanlarımız tarafından gerçekleştirilir.
• BT Risk Yönetim Çerçevesi: ISO 27001, ISO 22301 ve NIS2 ile entegre, DORA’nın 1. sütununa uygun risk yönetim sistemleri kuruyoruz.
• Üçüncü Taraf Risk Denetimi: Tedarikçi BT güvenlik değerlendirmeleri ve Bilgi Kaydı (RoI) hazırlığı.
• Olay Müdahale ve Raporlama: DORA’nın sıkı zaman çizelgelerine uygun olay yönetimi süreçleri.