Özet: DORA Madde 28–30 uyarınca finansal kuruluşların BİT üçüncü taraf risk yönetimi ve SaaS sağlayıcılarına yansıyan zorunlu sözleşme hükümleri, denetim hakları ve çıkış stratejileri rehberi.
Kapsam ve Çerçeve: DORA Madde 28–30 uyarınca finansal kuruluşların BİT üçüncü taraf risk yönetimi ve SaaS sağlayıcılarına yansıyan zorunlu sözleşme hükümleri, denetim hakları ve çıkış stratejileri rehberi.
Avrupa Birliği genelinde 17 Ocak 2025 tarihinde tam anlamıyla uygulanmaya başlanan Dijital Operasyonel Dayanıklılık Yasası (DORA - Regulation EU 2022/2554), finansal ekosistemin siber dayanıklılığını yalnızca finans kurumlarının kendi bünyelerinde değil, bu kurumlara hizmet sunan üçüncü taraf tedarik zincirinde de güvence altına almayı hedefler.
Özellikle Avrupa pazarındaki bankalara, sigorta kuruluşlarına, yatırım firmalarına ve e-para şirketlerine bulut tabanlı yazılım (SaaS), altyapı (IaaS) veya barındırma sağlayan teknoloji sağlayıcıları için DORA Madde 28–30 hükümleri kritik ticari ve teknik şartlar doğurmaktadır.
---
1. DORA Üçüncü Taraf BİT Riski Yönetiminin Temel İlkeleri (Madde 28)
DORA Madde 28, finansal kuruluşların dış kaynak kullandığı tüm BİT hizmetleri için kurumsal bir risk yönetimi çerçevesi kurmasını şart koşar. Finans kurumu, bir tedarikçiyle anlaşmadan önce şu gereklilikleri yerine getirmek zorundadır:
- Hizmetin Sınıflandırılması: Sağlanan hizmetin finansal kuruluşun "kritik veya önemli işlevlerini" (critical or important functions) destekleyip desteklemediğinin netleştirilmesi.
- Tedarikçi Ön Değerlendirmesi (Due Diligence): Tedarikçinin bilgi güvenliği kapasitesi, sertifikasyonları (ISO 27001, SOC 2 Type 2 vb.) ve finansal sürekliliğinin incelenmesi.
- Konsantrasyon Riski Analizi (Madde 29): Finansal kuruluşun tek bir SaaS sağlayıcısına veya aynı sağlayıcının birden fazla kritik sürecine bağımlı olup olmadığının değerlendirilmesi.
- Bilgi Kütüğü (Register of Information): Finans kuruluşunun tüm BİT üçüncü taraf sözleşmelerini merkezi bir kütükte kayıt altına alıp denetleyici otoritelere raporlama zorunluluğu.
---
2. Madde 30 ve ESA Standartları Kapsamında Zorunlu Şartlar
DORA Madde 30 ve Avrupa Denetim Otoritelerinin (ESA) İkincil Düzenleme Standartları (RTS), finansal kurumlar ile teknoloji sağlayıcıları arasındaki sözleşmelerin serbestçe esnetilemeyecek kamusal asgari şartlarını belirler:
| Düzenleyici Alan | Standart BİT Hizmetleri | Kritik / Önemli İşlevleri Destekleyen Hizmetler |
|---|---|---|
| Hizmet Kapsamı & Tanımı | Ayrıntılı hizmet ve SLA tanımı zorunlu | Kesintisiz performans hedefleri ve garanti edilen metrikler |
| Veri Lokasyonu | Verinin işlendiği ve saklandığı ülkelerin listesi | Veri lokasyonundaki herhangi bir değişiklik öncesinde onay şartı |
| Alt Yüklenici (Subcontracting) | Genel bilgilendirme | Dördüncü taraf zincirinin bildirilmesi, kritik alt yüklenici değişikliklerinde önceden onay ve itiraz/fesih hakkı |
| Denetim ve Erişim Hakları | Temel denetim hakları | Finansal kurum ve yetkili denetim otoritelerine tam ve engelsiz yerinde inceleme (on-site inspection) hakkı |
| Olay Bildirimi ve Destek | Güvenlik olaylarında iş birliği | Finans kurumuna DORA Madde 19 kapsamındaki 4 saatlik majör olay bildirimlerini yapabilmesi için anlık veri ve kök neden raporlama taahhüdü |
| Çıkış Stratejisi (Exit Strategy) | Temel fesih koşulları | Kesinti olmaksızın alternatif sağlayıcıya veya şirket içine geçiş planı desteği ve asgari geçiş süresi |
---
3. SaaS Şirketleri İçin Denetim ve Erişim Hakları Uygulaması
DORA Madde 30(3)(e), kritik işlevleri destekleyen BİT tedarikçilerinin, finansal kuruluşun iç denetçilerine, bağımsız denetçilerine ve yetkili regülatörlerine (örneğin ECB, BaFin, ACPR) sistemlere ve tesislere tam erişim hakkı tanımasını şart koşar.
Çok kiracılı (multi-tenant) mimaride çalışan modern SaaS firmaları için bu gereklilik operasyonel bir zorluk oluşturabilir. Bu durumu aşmak için DORA ve ESA kılavuzları şu pratik yöntemleri kabul etmektedir:
- Üçüncü Taraf Bağımsız Güvence Raporları: SaaS firmasının periyodik olarak aldığı bağımsız SOC 2 Type 2 raporları ve ISO/IEC 27001 denetim kanıtları.
- Ortak Denetimler (Pooled Audits): Birden fazla finans kuruluşunun aynı SaaS sağlayıcısını ortak bir bağımsız denetçi heyeti ile denetlemesi. Bu yaklaşım SaaS sağlayıcısının her hafta ayrı bir müşteri denetimiyle karşılaşmasını engeller.
- Kapsamlı Sızma Testleri: SaaS sağlayıcısının düzenli bağımsız penetrasyon testleri yürütmesi ve özet raporları finansal müşterisiyle paylaşması.
---
4. Çıkış Stratejisi (Exit Strategy) ve Geçiş Süreci (Madde 28(8))
DORA, finans kuruluşunun bir tedarikçiden ayrılmak istemesi veya tedarikçinin iflası/hizmeti durdurması durumunda finansal operasyonların aksamasını kabul etmez. SaaS sağlayıcıları sözleşmelerinde şu taahhütleri sunmalıdır:
- Asgari Geçiş Dönemi (Transition Period): Sözleşme feshedildikten sonra hizmetin en az 6 ila 12 ay boyunca mevcut şartlarla sürdürülmesi garantisi.
- Veri Taşınabilirliği: Müşteri verilerinin endüstri standardı, açık ve yapılandırılmış formatlarda (JSON, CSV, SQL dump) eksiksiz teslim edilmesi.
- Bilgi Güvenliği İmhası: Geçiş tamamlandıktan sonra tüm kopyaların ISO/IEC 27001 kontrol 8.10 prensiplerine uygun güvenli silinmesi (secure deletion).
---
5. Türk Teknoloji ve SaaS Firmaları İçin DORA Uyum Kontrol Listesi
Avrupa pazarına açılan veya Avrupa merkezli finansal kuruluşlara hizmet veren Türk yazılım şirketleri satış süreçlerinde tıkanmamak için şu 5 adımı tamamlamalıdır:
- DORA Uyumlu Sözleşme Eki (DORA Addendum): Standart B2B sözleşmelerine DORA Madde 30 ve ESA RTS hükümlerini içeren hazır bir ek doküman hazırlayın.
- Dördüncü Taraf Zincir Haritası (Subcontracting Mapping): Kullandığınız bulut altyapısı (AWS, GCP, Azure), e-posta servisleri ve analitik araçlarının veri lokasyonlarını ve alt sağlayıcı zincirini dokümante edin.
- Güvenlik Sertifikasyonu: ISO/IEC 27001:2022 sertifikasını tamamlayın ve tercihen SOC 2 Type 2 denetim periyodunu başlatın.
- Olay Müdahale Entegrasyonu: Olası bir siber ihlal durumunda finansal müşterinize azami 4 saat içinde teknik detayları raporlayacak prosedürü oluşturun.
- Çıkış Planı Şablonu: Müşterinin sistemden ayrılma sürecini anlatan teknik geçiş kılavuzunu satış öncesinde hazır bulundurun.
---
Sıkça Sorulan Sorular (FAQ)
Türkiye merkezli bir SaaS şirketi DORA'dan doğrudan etkilenebilir mi?
Evet. CTPP olmasa dahi, AB finansal otoriteleri finansal kuruluşa sağlayıcı ile olan sözleşmesini durdurma veya feshetme talimatı verebilir (Madde 50). Ayrıca denetim otoriteleri finans kuruluşunun teftişi kapsamında SaaS sağlayıcısının tesislerinde ve sistemlerinde inceleme talep edebilir. Dolayısıyla SaaS sağlayıcısının DORA yükümlülükleri salt bir müşteri sözleşmesinden ibaret olmayıp, regüle bir tedarik zincirinin parçasıdır.
DORA Madde 30'daki denetim hakkı şirketimizin kaynak kodlarını müşteriye açmamızı gerektirir mi?
Hayır. DORA denetim hakları bilgi güvenliği kontrolleri, operasyonel dayanıklılık, felaket kurtarma süreçleri ve veri saklama prosedürlerini kapsar. Fikri mülkiyet niteliğindeki kaynak kodların müşteriye veya denetçiye açılması zorunluluğu bulunmamaktadır.
DORA ve NIS 2 arasındaki üçüncü taraf tedarikçi farkı nedir?
NIS 2 kritik sektörlerdeki tüm tedarik zinciri güvenliğini genel hatlarıyla ele alırken; DORA yalnızca finansal sektöre odaklanır ve Madde 30 ile dünyadaki en detaylı, katı ve zorunlu sözleşme maddelerini şart koşar.
---
Okuyucu Yorumları
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya teknik değerlendirmelerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.