DORA ve BİT hizmet sağlayıcıları: finansal kuruluşlar tedarikçi­lerinden ne bekliyor

012026 sonbaharında DORA

(AB) 2022/2554 sayılı Tüzük, yani Dijital Operasyonel Dayanıklılık Tüzüğü (harici bir site açılır), 17 Ocak 2025’ten bu yana uygulanıyor. Bir tüzük olarak her üye devlette doğrudan uygulanır; ulusal hukuk esas olarak yetkili makamları belirler ve yaptırımları düzenler. Ayrıntılar, Komisyonun BİT risk yönetimi çerçevesi, olayların sınıflandırılması ve bildirimi, bilgi sicili, sözleşme politikaları, alt yüklenicilik ve tehdit odaklı sızma testleri konusunda kabul ettiği teknik standartlarda yer alır.

Finansal kuruluşlar için DORA, BİT risk yönetimi, olay bildirimi ve denetim konularında NIS2 kurallarının yerini alan sektörel düzenlemedir. Üç Avrupa Denetim Otoritesi (EBA, EIOPA ve ESMA), 18 Kasım 2025’te doğrudan gözetecekleri kritik BİT üçüncü taraf hizmet sağlayıcılarının ilk listesini yayımladı (harici bir site açılır).

02Finansal kuruluşlar ve BİT hizmet sağlayıcıları

DORA, kredi kuruluşlarından, ödeme ve elektronik para kuruluşlarından ve yatırım şirketlerinden kripto varlık hizmet sağlayıcılarına, işlem platformlarına, fon yöneticilerine, sigorta şirketlerine, sigorta aracılarına, mesleki emeklilik kuruluşlarına, kredi derecelendirme kuruluşlarına ve kitle fonlaması platformlarına kadar yirmi tür finansal kuruluşu kapsar. Orantılılık düzenlemenin içine yerleştirilmiştir: 4. madde gereklilikleri büyüklüğe, risk profiline ve karmaşıklığa göre ölçeklendirir; 16. madde ise bazı küçük kuruluşlar için basitleştirilmiş bir çerçeve öngörür.

BİT üçüncü taraf hizmet sağlayıcısı, BİT hizmeti sunan her işletmedir ve DORA bu hizmetleri geniş tanımlar: BİT sistemleri aracılığıyla iç ya da dış kullanıcılara sürekli olarak sunulan dijital hizmetler ve veri hizmetleri. Barındırma, yönetilen hizmetler, hizmet olarak yazılım (SaaS), uygulama bakımı ve desteği ile veri hizmetleri genellikle bu tanıma girer. Tedarikçiler kritik olarak belirlenmedikçe DORA kapsamında denetlenmez; ancak müşterileri yükümlülüklerini her sözleşmeye taşır.

03BİT riskini yönetim organı taşır

5. madde, BİT riskine ilişkin nihai sorumluluğu yönetim organına verir. Yönetim organı BİT risk yönetimi çerçevesini tanımlar, onaylar ve gözetir; dijital operasyonel dayanıklılık stratejisini ve risk toleransını belirler; iş sürekliliği politikasını ve müdahale ve kurtarma planlarını onaylar; üçüncü taraf sağlayıcılardan alınan BİT hizmetlerinin kullanımına ilişkin politikayı onaylar ve gözden geçirir. Üyeleri, düzenli eğitimler dâhil, bilgilerini güncel tutmak zorundadır.

04Büyük olaylar: 4 saat, 72 saat, bir ay

Finansal kuruluşlar BİT ile ilgili olayları, 18. maddede belirlenen ve (AB) 2024/1772 sayılı Yetki Devrine Dayalı Tüzük (harici bir site açılır) ile ayrıntılandırılan ölçütlere göre sınıflandırır: etkilenen müşteriler ve işlemler, süre ve hizmet kesintisi, coğrafi yayılım, veri kayıpları, etkilenen hizmetlerin kritikliği ve ekonomik etki. Büyük bir olay yetkili makama üç adımda bildirilir; süreleri (AB) 2025/301 sayılı Yetki Devrine Dayalı Tüzük (harici bir site açılır) belirler:

Finansal çıkarları etkilenen müşteriler gecikmeksizin bilgilendirilmelidir. Finansal kuruluş bildirimin kendisini üçüncü bir tarafa devredebilir, ancak bildirimden tümüyle sorumlu olmaya devam eder (19(5). madde).

Tedarikçiler için bu somut bir konudur. Her BİT sözleşmesi, sağlayıcının hizmetiyle ilgili bir olay meydana geldiğinde ek ücret almadan ya da önceden kararlaştırılmış bir ücretle yardım etme yükümlülüğünü içermelidir (30(2)(f). madde). Müşterinin dört saatlik süresi ancak tedarikçinin izleme altyapısı, kayıtları ve iletişim bilgileri olaydan önce hazırsa işler.

05Testler: tehdit odaklı sızma testlerine kadar

24. madde, bağımsız iç ya da dış test uzmanlarınca yürütülen risk temelli bir test programı ve kritik ya da önemli işlevleri destekleyen tüm BİT sistemleri ve uygulamaları üzerinde en az yılda bir uygun testler ister. Yetkili makamlarınca belirlenen kuruluşlar ayrıca, TIBER-EU çerçevesini izleyen (AB) 2025/1190 sayılı Yetki Devrine Dayalı Tüzük (harici bir site açılır) kapsamında, canlı üretim sistemlerinde en az üç yılda bir tehdit odaklı sızma testi yapmak zorundadır.

Bir tedarikçinin hizmetleri bir TLPT kapsamındaysa finansal kuruluş tedarikçinin teste katılmasını sağlamalıdır (26(3). madde); kritik ya da önemli işlevlere ilişkin sözleşmeler bu yükümlülüğü içermelidir (30(3)(d). madde). Tedarikçinin katılımı diğer müşterilerine zarar verebilecekse DORA, tedarikçinin birden fazla finansal kuruluş adına doğrudan bir dış test uzmanıyla sözleşme yaptığı ortak testlere izin verir (26(4). madde).

06BİT üçüncü taraf riski: strateji, sicil ve çıkış

28. madde, BİT üçüncü taraf riskini BİT risk yönetimi çerçevesinin bir parçası yapar; finansal kuruluş, neyi dışarıdan alırsa alsın uyumdan tümüyle sorumlu kalır. Başlıca yükümlülükler:

• BİT üçüncü taraf riskine ilişkin bir strateji: kritik ya da önemli işlevleri destekleyen BİT hizmetlerine ilişkin bir politikayı da içerir ve yönetim organı tarafından düzenli olarak gözden geçirilir.
• Bir bilgi sicili: kuruluş ve grup düzeyinde BİT hizmetlerine ilişkin tüm sözleşme düzenlemelerini kapsar ve kritik ya da önemli işlevleri destekleyenleri ayırt eder. Şablonları (AB) 2024/2956 sayılı Uygulama Tüzüğü (harici bir site açılır) belirler. Kuruluşlar bu sicil hakkında yetkili makamlarına en az yılda bir raporlar ve talep üzerine sicilin tamamını sunar.
• İmzadan önce durum tespiti: hizmetin kritik ya da önemli bir işlevi destekleyip desteklemediği, yoğunlaşma riski dâhil riskler, tedarikçinin uygunluğu ve olası çıkar çatışmaları. Tedarikçiler uygun bilgi güvenliği standartlarını, kritik ya da önemli işlevler için ise en güncel ve en yüksek kaliteli standartları uygulamalıdır.
• Fesih hakları: diğerlerinin yanı sıra tedarikçinin ciddi bir ihlali, BİT risk yönetiminde kanıtlanmış zayıflıklar ya da etkili denetimi engelleyen durumlar için.
• Çıkış stratejileri: kritik ya da önemli işlevleri destekleyen BİT hizmetleri için belgelenmiş ve test edilmiş olmalıdır; böylece kuruluş, faaliyetlerini aksatmadan, uyumunu sınırlamadan ya da müşterilerine sunduğu hizmetlere zarar vermeden sağlayıcıdan ayrılabilir.

Sözleşmede neler yer almalı

30. madde asgari sözleşme şartlarını belirler. Her BİT sözleşmesi yazılı olmalı, hizmet seviyelerini de içeren tek bir belgede toplanmalı ve en az şunları kapsamalıdır:

• işlev ve hizmetlerin eksiksiz tanımı; alt yükleniciliğe izin verilip verilmediği ve hangi koşullarla verildiği;
• hizmetlerin sunulduğu ve verilerin işlendiği ve saklandığı yerler; herhangi bir değişikliğin önceden bildirilmesi;
• kişisel veriler dâhil verilerin kullanılabilirliği, özgünlüğü, bütünlüğü ve gizliliği;
• ödeme aczi, faaliyetin sona ermesi ya da sözleşmenin feshi hâlinde verilere erişim, verilerin kurtarılması ve kolayca erişilebilir bir biçimde iadesi;
• hizmet seviyesi tanımları;
• hizmetle ilgili BİT olaylarında ek ücret olmadan ya da önceden kararlaştırılmış bir ücretle yardım;
• yetkili makamlarla ve çözümleme makamlarıyla tam iş birliği;
• fesih hakları ve asgari bildirim süreleri;
• kuruluşun BİT güvenliği farkındalık programlarına ve dayanıklılık eğitimlerine katılım.

Kritik ya da önemli işlevleri destekleyen hizmetler için 30(3). madde şunları ekler: kesin nicel ve nitel performans hedefleri, bildirim ve raporlama yükümlülükleri, tedarikçinin uyguladığı ve test ettiği iş sürekliliği planları, TLPT’ye katılım, kuruluş ve denetim makamı için sınırsız erişim, inceleme ve denetim hakları ve zorunlu bir geçiş süresi içeren bir çıkış stratejisi. (AB) 2025/532 sayılı Yetki Devrine Dayalı Tüzük (harici bir site açılır) ise bu tür hizmetler alt yükleniciye verildiğinde kuruluşun neleri değerlendirmesi gerektiğini düzenler.

07Kritik BİT üçüncü taraf hizmet sağlayıcıları

31. maddeye göre Avrupa Denetim Otoriteleri, sistemik etkileri, kendilerine dayanan finansal kuruluşların önemi, kritik ya da önemli işlevlerdeki rolleri ve ne kadar kolay ikame edilebildikleri temelinde finans sektörü için kritik olan BİT sağlayıcılarını belirler. Her kritik sağlayıcıya, üç otoriteden biri olan bir Baş Gözetici (Lead Overseer) atanır; Baş Gözetici bilgi isteyebilir, soruşturma ve yerinde inceleme yapabilir ve tavsiyelerde bulunabilir.

18 Kasım 2025’te yayımlanan ilk liste (harici bir site açılır), bulut ve veri merkezi işletmecilerinden telekomünikasyon, BT hizmetleri, piyasa verisi ve kurumsal yazılım şirketlerine kadar 19 sağlayıcıyı belirledi. Bu belirleme finansal kuruluşun hiçbir yükümlülüğünü kaldırmaz: kuruluş bu sağlayıcıların her biri için sicili, sözleşme şartlarını ve bir çıkış stratejisini sürdürmeye devam eder.

08Bir BİT sağlayıcı­sının hazır tutması gerekenler

Finansal kuruluşlara hizmet veren tedarikçilerin çoğu hiçbir zaman kritik olarak belirlenmeyecek; ancak hepsi DORA ile sözleşmeler, durum tespiti ve denetimler yoluyla karşılaşır. Aşağıdakileri hazır tutan bir tedarikçi satın alma sürecini kısaltır ve müşterisinin denetim makamıyla diyaloğunu kolaylaştırır:

• Sicil verileri. Müşterinin bilgi sicili için ihtiyaç duyduğu bilgiler: tüzel kişilik ve tanımlayıcılar, sunulan hizmetler ve destekledikleri işlevler, hizmet yerleri ve zincirdeki alt yükleniciler.
• 30. maddeyle uyumlu sözleşme şartları. Her maddeyi sıfırdan müzakere etmek yerine, ideal olarak iki listeyi de kapsayan standart bir DORA eki.
• Olay kanıtları. İzleme, güvenilir zaman damgalı kayıtlar ve müşterinin saatler içinde sınıflandırma ve bildirim yapmasını sağlayan bir bildirim prosedürü.
• Test edilmiş süreklilik. Tarihleri ve sonuçlarıyla birlikte iş sürekliliği planları ve geri yükleme testleri.
• Gösterilebilir güvenlik. Bilgi güvenliği standartları, erişim kontrolü, güvenli yazılım geliştirme yaşam döngüsü ve zafiyet yönetimi; mümkün olduğunda bağımsız kanıtlarla.
• Denetime ve teste hazırlık. Denetimleri ve yerinde incelemeleri kabul etmenin ve uygun olduğunda ortak testler dâhil TLPT’ye katılmanın uygulanabilir bir yolu.
• Bir çıkış planı. Kullanılabilir biçimlerde veri iadesi, belgeler ve kararlaştırılan bir süre için geçiş desteği.

Finansal kuruluşlara BİT tedarikçisi olarak böyle çalışıyoruz: DORA’nın gerektirdiği sözleşme hükümlerini kararlaştırıyor, olayları üzerinde anlaşılan kanaldan bildiriyor, çıkış planlarını belgeliyor, dayanıklılık testlerine katılıyor ve sicilinizin ihtiyaç duyduğu bilgileri sağlıyoruz. Güven ve uyum sayfamız, ISO/IEC 27001 sertifikalı bilgi güvenliği yönetim sistemimiz dâhil, nasıl çalıştığımızı anlatır.

09İki taraf için pratik bir plan

1. 01Sicili tamamlayın. Her BİT sözleşmesini desteklediği işlevlerle ilişkilendirin ve kritik ya da önemli olanları işaretleyin.
2. 02Sözleşme boşluklarını kapatın. Her sözleşmeyi 30. maddeyle karşılaştırın ve eksik şartlar için bir ek üzerinde anlaşın.
3. 03Olay yönetimini uyumlu hâle getirin. Her kritik tedarikçiyle sınıflandırma girdileri, iletişim kişileri ve bildirim süreleri üzerinde anlaşın ve bunları test edin.
4. 04Testleri tedarikçilerle planlayın. Tedarikçileri test programına ve gerektiğinde bir TLPT’nin kapsamının belirlenmesine dâhil edin.
5. 05Çıkış stratejilerini yazın ve test edin. Her kritik ya da önemli işlev için: alternatifler, veri iadesi ve geçiş süresi.
6. 06Yoğunlaşmayı izleyin. Birden fazla kritik işlevin aynı sağlayıcıda toplanması, belgelenmesi ve yönetilmesi gereken bir risktir (29. madde).

10Kıbrıs Cumhuri­yeti’nde yetkili makamlar

DORA her yerde aynı metindir, ancak finansal kuruluşların çoğu için denetim ulusaldır. Kıbrıs Cumhuriyeti’nde yetkili makamları, Maliye Bakanı’nın 14 Ağustos 2025 tarihli Resmî Gazete’de yayımlanan bildirimi (Κ.Δ.Π. 252/2025) belirler. Her makam kendi denetimindeki kuruluşlar için yetkilidir:

• Kıbrıs Merkez Bankası (Central Bank of Cyprus): Avrupa Merkez Bankasının doğrudan denetlediği kuruluşlar dışındaki kredi kuruluşları, ödeme kuruluşları, elektronik para kuruluşları ve hesap bilgisi hizmeti sağlayıcıları.
• CySEC (Kıbrıs Sermaye Piyasası Komisyonu, Cyprus Securities and Exchange Commission): diğerlerinin yanı sıra yatırım şirketleri, lisans verdiği kripto varlık hizmet sağlayıcıları, yönetim şirketleri, kitle fonlaması hizmet sağlayıcıları ve denetlediği işlem platformları.
• Sigorta Denetçisi (Superintendent of Insurance): sigorta ve reasürans şirketleri ile sigorta aracıları.
• Mesleki Emeklilik Fonları Sicil Memuru (Registrar of Occupational Retirement Benefit Funds): mesleki emeklilik fonları.

CySEC, denetimindeki kuruluşların büyük BİT olaylarını doğrudan kendisine bildirdiğini belirtir. Bilgi sicili ve olay bildirimleri için biçim ve kanal ile TLPT’den sorumlu makam ulusal düzeyde belirlenir; kendi makamınızın yönlendirmelerini kontrol edin.

11Önümüzdeki aylarda izlenecekler

• Yetkili makamınızın bilgi sicili ve olay bildirimi konusundaki denetim öncelikleri ve bulguları.
• Kritik BİT üçüncü taraf hizmet sağlayıcılarının Baş Gözeticiler tarafından gözetimi ve kullandığınız hizmetleri ilgilendiren tavsiyeler.
• Komisyonun Dijital Omnibus önerisi (harici bir site açılır), COM(2025) 837: DORA kapsamındaki büyük olay raporlarının ENISA’nın işlettiği tek bir giriş noktasından geçmesini öngörüyor. Ekim 2026’da öneri hâlâ Avrupa Parlamentosundaydı; kabul edilip uygulanmaya başlayana kadar mevcut kanallar ve süreler geçerlidir.

Finans sektörü dışındaki kuruluşlar NIS2 kapsamında benzer tedarik zinciri yükümlülükleriyle karşılaşır; ayrıntılar için NIS2 ve yazılım tedarikçileri üzerine makalemizi okuyun. Avrupa Denetim Otoriteleri, teknik standartlara ve gözetim çerçevesine ilişkin genel bir bakışı DORA sayfalarında (harici bir site açılır) sunar.