DORA: finansal sektörün BT dayanıklılığı

DORA, Dijital Operasyonel Dayanıklılık Yasası'nın kısa adıdır. Avrupa Birliği finans sektörünü BT risklerine karşı ortak bir çerçeveye bağlar. Bankalar, sigorta şirketleri, yatırım kuruluşları ve kripto varlık hizmet sağlayıcıları geniş bir finansal kuruluş grubu oluşturur. DORA, GDPR gibi bir tüzüktür; üye devletin ayrı bir kanun çıkarmasına gerek kalmadan doğrudan uygulanır. Avrupa Birliği'nde 17 Ocak 2025'ten beri yürürlüktedir. DORA'nın odağı dört başlıkta toplanır: BT risk yönetimi, olay bildirimi, dayanıklılık testi ve BT tedarikçisi risk yönetimi. Son başlık, DORA'yı diğer düzenlemelerden ayıran en somut yanıdır. Finans kuruluşu, kullandığı her BT tedarikçisini kendi risk kaydına yazar ve sözleşmesine belirli şartlar koyar. Bu dört başlık, finans kuruluşunun BT bütçesini de doğrudan etkiler.

DORA, bazı BT tedarikçilerini kritik ilan edebilir. Bu tedarikçiler Avrupa Birliği'nde yerleşik olmasa bile, Birliğin belirlediği gözetim otoritesinin doğrudan denetimine girer. Kritik sayılma ölçütü, tedarikçinin hizmet verdiği finans kuruluşlarının sayısı ve sistemik önemidir. Çok sayıda büyük bankaya aynı bulut ya da yazılım hizmetini veren bir tedarikçi bu eşiği geçebilir. Kritik sayılmayan tedarikçi için de yük tamamen kalkmaz. Finans kuruluşu, DORA'nın istediği bildirim, denetim hakkı ve çıkış stratejisi gibi şartları sözleşme yoluyla tedarikçisine taşır. Altay Kargo, bir Avrupa Birliği bankasına lojistik yazılımı ya da veri işleme hizmeti veriyorsa, bu sözleşme şartlarıyla karşılaşır. Sözleşmesiz ya da eksik sözleşmeli bir tedarikçi ilişkisi, denetimde ilk bulgu maddesi olur. Bu yüzden tedarikçi seçimi artık yalnız fiyat karşılaştırması değildir.