DORA: finansal sektörün BT dayanıklılığı

Altay Kargo, Frankfurt'taki bir bankaya iki hizmet veriyor. Şubeler arasında değerli evrak taşıyor ve bu taşımaları izleyen bir takip yazılımını bulut üzerinden çalıştırıyor. Banka geçen ay sözleşmeyi yenilemek için yeni bir ek gönderdi. Ekte bildirim süreleri, denetim hakkı, veri konumu ve çıkış planı gibi maddeler var.

Bu maddelerin kaynağı DORA'dır. Bu derste önce DORA'nın kimi bağladığını ve kritik tedarikçi fikrini göreceksin. Ardından kritik tedarikçinin nasıl gözetildiğini görecek, bankanın bir olayı hangi saatlerde bildirdiğini hesaplayacaksın. En sonda bilgi kaydını, sözleşme maddelerini ve BDDK kurallarıyla farkı ele alacaksın.

DORA, Dijital Operasyonel Dayanıklılık Yasası'nın kısa adıdır ve 2022/2554 sayılı Avrupa Birliği tüzüğüdür. Finans sektörünü bilgi ve iletişim teknolojisi, kısaca BT riskine karşı ortak bir çerçeveye bağlar. GDPR gibi tüzük olduğu için üye devletin ayrı kanun çıkarmasına gerek kalmadan uygulanır.

DORA beş başlıkta toplanır. Birincisi BT risk yönetimidir ve nihai sorumluluğu yönetim organına verir. İkincisi BT olaylarının sınıflandırılması ve bildirimidir.

Üçüncüsü dijital dayanıklılık testidir. Dördüncüsü BT tedarikçisi riskinin yönetimidir. Beşincisi ise kuruluşlar arasında gönüllü siber tehdit bilgisi paylaşımıdır.

DORA'yı yalnız bankalar için sanmak sık bir hatadır. Madde 2 yirmi tür finansal kuruluş sayar. Kredi kuruluşları, ödeme ve elektronik para kuruluşları, yatırım şirketleri ve kripto varlık hizmet sağlayıcıları bunlardandır. Sigorta ve reasürans şirketleri, sigorta aracıları, emeklilik kuruluşları, merkezî karşı taraflar, işlem platformları, kredi derecelendirme kuruluşları ve kitle fonlaması sağlayıcıları da listededir.

Kurallar orantılı uygulanır. Bazı küçük kuruluşlar sadeleştirilmiş bir BT risk çerçevesine tabidir, mikro işletmeler de kapsamlı test programı kurmak zorunda değildir. Liste BT tedarikçilerini de anar, ama onları finansal kuruluş saymaz. Tedarikçi DORA'ya iki yoldan değer: sözleşme yoluyla ya da kritik ilan edilerek.

DORA'yı öteki düzenlemelerden ayıran en somut yan, kritik BT tedarikçisi kavramıdır. Avrupa denetim otoriteleri, yani bankacılık (EBA), sigorta (EIOPA) ve piyasa (ESMA) otoriteleri, bazı tedarikçileri ortak komiteleri aracılığıyla kritik ilan eder (madde 31). Ölçütler dörttür.

Birincisi sistemik etkidir: tedarikçi büyük çaplı bir arıza yaşarsa kaç finansal kuruluş ve ne kadar varlık etkilenir? İkincisi, tedarikçiye dayanan kuruluşların sistemik önemidir; küresel ya da yerel sistemik önemli bankaların sayısı burada belirleyicidir. Üçüncüsü, kuruluşların kritik işlevlerinin bu tedarikçiye bağlılığıdır. Dördüncüsü ise ikame edilebilirliktir: hizmeti makul sürede ve maliyetle başka bir sağlayıcıya taşımak mümkün mü?

DORA'nın tarihlerini doğru oku. Tüzük 16 Ocak 2023'te yürürlüğe girdi, ama hemen uygulanmadı. Finansal kuruluşlara ve tedarikçilere iki yıllık bir hazırlık süresi tanındı. Bu sürede Komisyon, olay sınıflandırması ve bildirim süreleri gibi konularda ayrıntılı teknik düzenlemeleri çıkardı.

Yükümlülükler 17 Ocak 2025'te uygulanmaya başladı. Bu tarihten itibaren yeni sözleşmeler kadar önceden imzalanmış sözleşmeler de DORA şartlarına uyarlanır. Frankfurt'taki bankanın Altay Kargo'ya gönderdiği yeni ek de bu yüzden geldi. Bir düzenlemenin yürürlüğe girdiği gün ile uygulanmaya başladığı gün çoğu zaman farklıdır.

Kritik ilan edilen tedarikçiye bir öncü gözetim otoritesi atanır. Öncü otorite, tedarikçinin hizmet verdiği finansal kuruluşlar içinde toplam varlıkta en büyük payı denetleyen otoritedir. Bankalar ağır basıyorsa EBA, sigortacılar ağır basıyorsa EIOPA olur. Öncü otorite bilgi ister, genel soruşturma yürütür ve yerinde inceleme yapar.

Tedarikçiye güvenlik, alt yüklenici ya da yoğunlaşma riski konusunda tavsiye verir. Tedarikçi gereken bilgiyi vermez ya da incelemeye uymazsa, öncü otorite periyodik ceza uygular. Ceza, önceki yılın ortalama günlük küresel cirosunun yüzde 1'ine kadar çıkar. Uyum sağlanana kadar her gün, en fazla altı ay boyunca işler.

Birlik dışındaki tedarikçi için madde 31/12 açık bir kural koyar. Üçüncü bir ülkede yerleşik bir tedarikçi kritik ilan edilirse, finansal kuruluşlar onun hizmetini ancak tedarikçi on iki ay içinde Birlik'te bir yan şirket kurarsa kullanmaya devam eder. Gözetim böylece Birlik dışındaki merkeze de uzanır. Kritik sayılmayan tedarikçi için yük kalkmaz, yalnız biçim değiştirir.

Finansal kuruluş, DORA'nın istediği bildirim, denetim hakkı ve çıkış stratejisi gibi şartları sözleşmeyle tedarikçisine taşır. Altay Kargo tek bir bankaya niş bir hizmet verir ve kritik ilan edilmekten çok uzaktır. Onun DORA'yla buluştuğu yer sözleşme ekidir.

Yoğunlaşma riski gerçek hayatta da görüldü. Temmuz 2024'te yaygın bir uç nokta güvenlik ürününün hatalı bir güncellemesi, dünya genelinde yaklaşık 8,5 milyon Windows cihazını çökertti. Bankalar, havayolları ve hastaneler saatlerce, bazıları günlerce hizmet veremedi.

Olayın arkasında bir saldırı yoktu, tek bir tedarikçinin tek bir hatası vardı. Birçok kuruluş aynı tedarikçiye dayandığı için hata aynı anda her yere yayıldı. DORA'nın kritik tedarikçi gözetimi ve çıkış stratejisi şartı tam bu tür bir zincirleme aksamayı hedefler.

DORA'da finansal kuruluş her BT olayını kaydeder ve sınıflandırır, ama yalnız büyük olayları yetkili makama bildirir (madde 19). Hangi olayın büyük sayıldığını 2024/1772 sayılı teknik düzenleme belirler. İlk şart, olayın kritik hizmetleri etkilemesidir. Buna ek olarak ya ağ ve bilgi sistemlerine başarılı, kötü niyetli ve yetkisiz bir erişim olur ya da en az iki önemlilik eşiği aşılır.

Örnek olarak dört eşiğe bak. Etkilenen müşteri, hizmeti kullananların yüzde 10'unu geçer. Kritik bir hizmet 2 saatten uzun kesilir.

Olay iki ya da daha çok üye devleti etkiler. Maliyet 100 bin avroyu aşar. Bildirim süreleri ise 2025/301 sayılı düzenlemenin 5. maddesindedir.

FRANKFURT'TAKİ BANKA: BÜYÜK OLAY SAAT HESABI
----------------------------------------------------------------------
Senaryo A  Farkındalık 21.09 Pzt 10:00 | Sınıflandırma 21.09 Pzt 15:00
           4 saat sınırı   -> 21.09 Pzt 19:00
           24 saat sınırı  -> 22.09 Sal 10:00
           İLK BİLDİRİM SON AN: 21.09 Pzt 19:00 (önce dolan)

Senaryo B  Farkındalık 21.09 Pzt 10:00 | Sınıflandırma 22.09 Sal 08:00
           4 saat sınırı   -> 22.09 Sal 12:00
           24 saat sınırı  -> 22.09 Sal 10:00
           İLK BİLDİRİM SON AN: 22.09 Sal 10:00 (önce dolan)

Senaryo C  Farkındalık 21.09 Pzt 10:00 | Sınıflandırma 23.09 Çar 09:00
           24 saat geçmiş, yalnız 4 saat kuralı işler
           İLK BİLDİRİM SON AN: 23.09 Çar 13:00

Ara rapor   : ilk bildirimin gönderilmesinden en geç 72 saat sonra
Nihai rapor : son ara rapordan en geç bir ay sonra

Hesabı satır satır oku. İlk bildirim için iki saat birlikte işler. Biri olayın büyük diye sınıflandırılmasından itibaren 4 saattir, öteki bankanın olayın farkına varmasından itibaren 24 saattir. Hangisi önce dolarsa o geçerlidir.

Senaryo A'da sınıflandırma 15:00'te yapılır; 4 saat 19:00'da, 24 saat ertesi sabah 10:00'da dolar. Son an 19:00'dur. Senaryo B'de sınıflandırma ertesi sabah 08:00'de gelir. 4 saat 12:00'ye uzanır, ama 24 saat sınırı 10:00'da dolar; son an 10:00'dur.

Senaryo C'de banka olayı ancak iki gün sonra büyük olarak sınıflandırır. Bu durumda ilk bildirim sınıflandırmadan sonraki 4 saat içinde gider. Ara rapor ilk bildirimden en geç 72 saat sonra, nihai rapor son ara rapordan en geç bir ay sonra verilir.

İki sık hata var. Birincisi, 4 saati olayın gerçekleştiği andan saymaktır. Saat sınıflandırmayla başlar; sınıflandırmayı geciktirmek ise 24 saat sınırına çarpar.

İkincisi, hafta sonu kuralını her kuruluşa uygulamaktır. Son an hafta sonuna ya da resmî tatile düşerse bazı kuruluşlar bildirimi ertesi iş gününün öğlesine kadar yapabilir. Kredi kuruluşları, merkezî karşı taraflar, işlem platformu işleticileri ve NIS2'ye göre temel ya da önemli sayılan kuruluşlar ise ilk bildirim ve ara rapor için bu kolaylıktan yararlanamaz.

Frankfurt'taki banka bir kredi kuruluşudur, saati hafta sonu da işler. Altay Kargo'nun payı da bu hesaba girer. Banka, takip yazılımındaki bir aksamayı çoğu zaman ancak Altay Kargo haber verince öğrenir.

Madde 28/3, her finansal kuruluştan bir bilgi kaydı (register of information) tutmasını ister. Kayıt, BT hizmeti alınan bütün sözleşmeleri listeler. Kritik ya da önemli işlevleri destekleyen sözleşmeler ötekilerden ayrı işaretlenir.

Kuruluş yılda en az bir kez yeni sözleşmelerin sayısını, tedarikçi türlerini ve sunulan hizmetleri yetkili makama bildirir. Banka bu kaydı doldurmak için Altay Kargo'dan somut bilgiler ister: hizmetin türü, hangi işlevi desteklediği, verinin hangi ülkede işlendiği ve saklandığı, alt yüklenicilerin kimler olduğu. Takip yazılımı bir bulut sağlayıcıda çalışıyorsa o sağlayıcı da alt yüklenici olarak kayda girer.

Madde 30 sözleşmenin asgari içeriğini sayar. Her BT sözleşmesi hizmetin açık tanımını içerir. Hizmetin ve verinin hangi ülkelerde işleneceği yazılır, konum değişecekse tedarikçi önceden haber verir.

Veri koruma, tedarikçi iflas ederse ya da sözleşme biterse verinin geri alınması, hizmet düzeyi tanımı ve olay anında destek de sözleşmede yer alır. Kritik ya da önemli bir işlevi destekleyen sözleşmeye ek maddeler girer. Bunlar ölçülebilir hizmet hedefleri, iş sürekliliği planının test edilmesi, kuruluşun sızma testine katılım ve sınırsız erişim, inceleme ve denetim hakkıdır. Son ek madde, geçiş süresi tanımlanmış bir çıkış stratejisidir.

KONU              DORA (AB)                               BDDK yönetmeliği (TR)
----------------  --------------------------------------  ---------------------------------------
Hukuki araç       Tüzük, doğrudan uygulanır               5411 sayılı Kanuna dayanan yönetmelik
Kapsam            20 tür finansal kuruluş                 Bankalar
Nihai sorumluluk  Yönetim organı (md. 5)                  Yönetim kurulu (md. 8)
Test              Yıllık test, en az 3 yılda bir TLPT     Yılda en az bir bağımsız sızma testi
Olay bildirimi    4 / 24 saat, 72 saat, bir ay            Belirli olaylarda Sektörel SOME'ye derhal
Veri konumu       Sözleşmede yazılır, değişim bildirilir  Birincil ve ikincil sistem yurt içinde

Tabloyu satır satır oku. İki kural da güvenliği yönetimin en üstüne bağlar. Test tarafında DORA iki katman ister.

Kritik işlevleri destekleyen bütün sistemler yılda en az bir kez test edilir (madde 24). Yetkili makamın belirlediği kuruluşlar ayrıca en az üç yılda bir tehdit odaklı sızma testi, kısaca TLPT yaptırır (madde 26). TLPT canlı üretim sistemlerinde yapılır; kritik işlevi destekleyen tedarikçi de teste katılmak zorundadır.

Bildirim satırında DORA saatleri ölçülebilir kılar, BDDK ise hız ister. Veri konumunda BDDK daha katıdır: birincil ve ikincil sistemler yurt içinde durur. Türkiye'de bir bankaya da hizmet veren Altay Kargo, iki kurala aynı sözleşme ailesinde uyar.

DORA sektöre özel bir çerçeveydi ve kuruluşa bakıyordu. Sıradaki derste ürüne bakan iki Avrupa Birliği düzenlemesini göreceksin: Yapay Zekâ Yasası ve Siber Dayanıklılık Yasası. Bu iki yasa kuruluşun sektörünü değil, pazara sürülen sistemi ve ürünü sorar. İkisi de yürürlüğe aşama aşama girer ve Birlik dışındaki üreticiyi de kapsayabilir.

Altay Kargo'nun yazılımları ve cihazları bu yüzden yeni bir soruyla karşılaşacak. Önce bu dersteki kavramları son bir eşleştirmeyle pekiştir.