Avrupa finans sektörünün dijital dayanıklılık standardı; etkisi çok daha geniş bir perimetreye yayılıyor.
DORA Eğitimi; Avrupa Birliği’nde 17 Ocak 2025’te yürürlüğe giren Dijital Operasyonel Dayanıklılık Yasası’nın (Digital Operational Resilience Act) gerekliliklerini, Türkiye’deki finans sektörünü ve AB iş yapan teknoloji tedarikçilerini nasıl etkilediğini, BT risk yönetimi, olay raporlama, dayanıklılık testleri, üçüncü taraf yönetimi ve bilgi paylaşımı başlıkları altında uçtan uca ele alır. Eğitim, BDDK düzenlemeleriyle karşılaştırmalı yürütülür.
DORA, sadece Avrupa bankalarını ilgilendiren bir yönetmelik değil; AB ile iş yapan tüm finans ve teknoloji ekosistemini doğrudan ya da dolaylı bağlar.
DORA (Digital Operational Resilience Act / EU Regulation 2022/2554), Avrupa Birliği’nin finans sektörünün dijital dayanıklılığını sağlamak amacıyla çıkardığı kapsamlı bir tüzüktür. 17 Ocak 2025’te yürürlüğe girmiş olan tüzük; bankalardan sigorta şirketlerine, yatırım kuruluşlarından ödeme hizmeti sağlayıcılarına, kripto varlık hizmet sağlayıcılarına ve hatta bu kurumlara hizmet veren bulut, yazılım ve veri merkezi sağlayıcılarına kadar geniş bir perimetreyi düzenler.
Türkiye’deki finans kurumları DORA’ya doğrudan tabi olmasa da; Avrupa’da iştiraki olan, AB pazarında müşterisi bulunan, AB merkezli kurumlara hizmet sağlayan, ya da bu zincirde alt yüklenici konumunda olan tüm Türkiye merkezli kuruluşlar DORA gerekliliklerinden etkilenir. Eğitim, DORA’nın 5 temel sütununu (BT risk yönetimi, olay raporlama, dayanıklılık testleri, üçüncü taraf yönetimi, bilgi paylaşımı) BDDK düzenlemeleriyle karşılaştırmalı olarak ele alır; uyum yapısının nasıl kurulacağını pratik örneklerle aktarır.
Bu eğitim, klasik BT risk yönetiminin üzerine DORA’nın bütüncül dayanıklılık çerçevesini ekler.
Pek çok finans kuruluşunda BT riski, BT departmanının iç konusu olarak ele alınır. DORA bu yaklaşımı kökten değiştirir: dijital dayanıklılık, yönetim kurulu sorumluluğunda, bütüncül bir kurum disiplini olarak tanımlanır.
Klasik BT Risk Yaklaşımı BT departmanı odaklı, parçalı uygulama
- BT riski sadece BT departmanının konusu
- Olay raporlama gevşek tanımlı süreler
- Üçüncü taraf yönetimi sözleşme odaklı
- Dayanıklılık testi düzensiz veya yapılmıyor
- Yönetim kurulu sınırlı görünürlük sahibi
- Sektör arası bilgi paylaşımı zayıf
- Düzenleyici ile etkileşim sınırlı
- Sonuç: parçalı, ölçülmeyen dayanıklılık
DORA Bütüncül Dayanıklılık Çerçevesi 5 sütun, yönetim kurulu sorumluluğu
- BT riski yönetim kurulunun doğrudan sorumluluğunda
- Olay raporlama saatlik, 72 saatlik ve aylık akış
- ICT üçüncü taraf rejimi sıkı izleme ve denetim
- Düzenli dayanıklılık testleri ve TLPT zorunluluğu
- Yönetim kurulu raporlaması yapılandırılmış
- Sektör bilgi paylaşımı teşvik edilen mekanizma
- Yetkili otoriteyle yapılandırılmış iletişim
- Sonuç: ölçülebilir, denetlenebilir dayanıklılık
Katılımcılar DORA’yı 5 sütun yapısı altında bütüncül bir dayanıklılık disiplini olarak öğrenir.
Eğitim, tüzüğü madde madde okutmak yerine 5 ana sütun çevresinde örer. Her sütun BDDK düzenlemeleri ile karşılaştırmalı, somut örnekler ve tedarikçi sözleşme örnekleri üzerinden ele alınır.
BT riskini yönetim kurulu seviyesine taşır.
DORA’nın temel sütunu; BT risk yönetimi çerçevesi, varlık envanteri, risk değerlendirme metodolojisi, koruma ve önleme kontrolleri ve sürekli izleme süreçlerinin yönetim kurulu sorumluluğunda kurulması.
- BT risk çerçevesi (madde 5-15)
- Yönetim kurulu sorumluluğu
- Politika ve doküman hiyerarşisi
Olayları sınıflandırma ve raporlama disiplinini kurar.
BT olaylarının sınıflandırılması, ciddi olayların belirlenmesi, ilk bildirim, ara rapor (72 saat) ve nihai rapor süreleri; yetkili otoriteyle yapılandırılmış iletişim akışı.
- Olay sınıflandırma ölçütleri
- İlk, ara, nihai rapor zaman çizelgesi
- Yetkili otorite akışı
Dayanıklılığı test ile kanıtlanmış hale getirir.
Düzenli dayanıklılık testleri (zafiyet taraması, sızma testi, senaryo testi); kritik kuruluşlar için her 3 yılda bir Tehdit Liderliğinde Sızma Testi (TLPT) zorunluluğu; bulgu yönetim disiplini.
- Test türleri ve sıklığı
- TLPT metodolojisi
- Bulgu kapanış izleme
BT tedarikçisini sıkı bir rejime sokar.
BT tedarikçi yaşam döngüsü, sözleşme zorunlu maddeleri, kritik ICT üçüncü taraf (CTPP) tanımı, kritik tedarikçi kayıt yükümlülüğü ve doğrudan AB denetim rejimine giriş.
- Sözleşme zorunlu maddeleri
- CTPP tanımı ve etkisi
- Çıkış stratejisi planlaması
Sektör arası tehdit istihbaratını teşvik eder.
Tehdit göstergesi paylaşımı, sektörel istihbarat ağları, ISAC yapıları; kurumun bilgi paylaşım anlaşmalarına katılma kararlarının nasıl alınacağı ve hukuki çerçeve.
- Tehdit göstergesi türleri
- ISAC ve sektör ağları
- Hukuki ve sözleşme çerçevesi
Türkiye finans kuruluşları için çift uyum yapısı.
BDDK Bilgi Sistemleri ve Elektronik Bankacılık Yönetmeliği ile DORA’nın paralel ilerlediği ve ayrıştığı noktalar; her iki rejimin tek bir uyum çerçevesinde nasıl yönetileceği.
- Ortak ve farklı yükümlülükler
- Paralel uyum stratejisi
- Tek seferlik kontrol haritalaması
İki günlük yoğun program; tüzüğü tanımaktan kuruma özel uyum yol haritasına uzanan kapsamlı içerik.
Program; kurumun finans-teknoloji konumuna ve katılımcı profiline göre 1 gün üst yönetim brifingi, 2 gün uygulayıcı veya 3 gün uzman/sorumlu yetkinliği biçiminde uyarlanabilir.
Tüzük, uygulama ve denetim disiplini tek programda buluşur.
Eğitim, gerçek finans-teknoloji vakaları üzerinden öğrenmeyi kalıcı hale getirir.
Katılımcılar yalnızca dinlemez; kapsam analizi yapar, BT risk çerçevesi tasarlar, olay sınıflandırma matrisi kurar, üçüncü taraf sözleşmesi hazırlar ve kendi kurumları için yol haritası çıkarır.
DORA kapsamındaki finans kuruluşları, teknoloji sağlayıcıları ve danışmanlar için tasarlanmış eğitim.
Eğitim sonunda kurumun DORA uyum olgunluğu ölçülebilir ve sürdürülebilir hale gelir.
Katılımcı kazanımları
- DORA tüzüğünün kapsamını ve etki perimetresini netlikle açıklayabilme
- Kuruluşun DORA kapsamında olup olmadığını analiz edebilme
- BT risk yönetimi çerçevesi tasarlayabilme
- Ciddi olay sınıflandırması ve raporlama akışı kurabilme
- Dayanıklılık test programı planlayabilme
- ICT üçüncü taraf sözleşmesine zorunlu maddeleri ekleyebilme
- BDDK ile paralel uyum yapısını yönetebilme
Kurum çıktıları
- DORA kapsam analizi şablonu
- BT risk yönetimi çerçevesi şablonu
- Olay sınıflandırma ve raporlama matrisi
- 72 saatlik ilk-ara-nihai rapor zaman çizelgesi
- Dayanıklılık test programı şablonu
- ICT üçüncü taraf sözleşmesi zorunlu maddeleri kütüphanesi
- BDDK ile paralel uyum kontrol haritası
- Kuruma özel 90 günlük DORA uyum yol haritası
Eğitim hakkında bilmek istediğiniz her şey tek bakışta.
Süre, format, katılımcı sayısı, sertifika, içerik kapsamı ve teslim edilen materyaller netleştirilmiştir. Kuruma özel programlarda parametreler ihtiyaca göre uyarlanır.
| Eğitim Adı | DORA Eğitimi (Dijital Operasyonel Dayanıklılık Yasası — EU Regulation 2022/2554) |
|---|---|
| Süre | 2 gün (14 saat). Kurumun olgunluğuna göre 1 gün üst yönetim brifingi veya 3 gün uzman/sorumlu yetkinliği programı olarak uyarlanabilir. |
| Eğitim Formatı | Yüz Yüze (Kurum Lokasyonu) Online Canlı (Zoom / Teams) Hibrit |
| Eğitim Başlıkları | DORA tüzüğü genel çerçevesi · Kapsam ve etki haritası · Türkiye etkisi ve BDDK karşılaştırması · BT risk yönetimi çerçevesi · BT olay sınıflandırma ve raporlama (4 saat / 72 saat / 1 ay) · Dijital dayanıklılık test programı · TIBER-EU ve TLPT · ICT üçüncü taraf yaşam döngüsü · Sözleşme zorunlu maddeleri · Kritik üçüncü taraf rejimi (CTPP) · Bilgi paylaşımı ve ISAC · BDDK paralel uyum stratejisi. |
| Hedef Kitle | CIO ve bilgi sistemleri yöneticileri, CISO ve bilgi güvenliği ekipleri, operasyonel risk yöneticileri, uyum birimi, iç denetim ve risk yöneticileri, iş sürekliliği yöneticileri, ICT tedarik ve sözleşme yönetimi, üst yönetim ve yönetim kurulu üyeleri. |
| Ön Koşul | BT risk yönetimi, ISO 27001 veya BDDK Bilgi Sistemleri Yönetmeliği hakkında temel düzeyde bilgi tavsiye edilir; ancak zorunlu değildir. Üst yönetim katılımcıları için yönetici brifingi formatında ayrı uyarlama yapılabilir. |
| Katılımcı Sayısı | Optimum verim için 8 – 20 kişi. Kuruma özel programlarda en fazla 25 kişiye kadar grup açılabilir. |
| Sertifika | Katılım Sertifikası Eğitim tamamlandığında Secure Fors tarafından imzalı dijital katılım sertifikası verilir. Doğrulanabilir QR kod içerir. |
| Eğitim Materyali | Sunum dosyası (PDF) · Atölye çalışma defteri · DORA kapsam analizi şablonu · BT risk yönetimi çerçevesi şablonu · Olay sınıflandırma ve raporlama matrisi · 72 saatlik ilk-ara-nihai rapor zaman çizelgesi · Dayanıklılık test programı şablonu · ICT üçüncü taraf sözleşmesi zorunlu maddeleri kütüphanesi · BDDK ile paralel uyum kontrol haritası · 90 günlük DORA uyum yol haritası şablonu. |
| Uygulama | Kuruluş etki haritalaması, BT risk çerçevesi şablon kurulumu, olay sınıflandırma matrisi tasarımı, 72 saat ilk-ara-nihai rapor canlandırması, ICT sözleşmesi zorunlu madde tasarımı, BDDK paralel kontrol haritalaması ve 90 günlük yol haritası tasarımı atölyeleri içerir. |
| Eğitmen | ISO 27001 Lead Auditor, CEH ve finansal hizmetler güvenliği alanında deneyimli kıdemli danışman. AB ve Türkiye finans sektörü düzenleyici çerçevelerinde projeler yürütmüş; BDDK Bilgi Sistemleri Yönetmeliği ile DORA arasındaki paralel uyum konusunda saha deneyimi olan profesyonel. |
| Fiyatlandırma | Kuruma özel teklif. Katılımcı sayısı, format (yüz yüze / online), program süresi ve özelleştirme ihtiyacına göre fiyat oluşturulur. |
Eğitim öncesinde aklınıza takılabilecek soruların yanıtları.
Hayır, Türk bankaları doğrudan tabi değildir; ancak AB’de iştiraki olan, AB merkezli müşterileri bulunan veya AB kurumlarına hizmet sağlayan Türk bankaları DORA gerekliliklerinden sözleşme yoluyla etkilenir. Eğitim, Türkiye perspektifinden bu dolaylı etkiyi netlikle gösterir.
Evet, AB finans kuruluşlarına hizmet veren bulut, SaaS veya veri merkezi sağlayıcıları DORA’nın ICT üçüncü taraf rejimine dahil olur. Belirli kriterleri aşan sağlayıcılar Kritik Üçüncü Taraf (CTPP) olarak doğrudan AB denetimine girer. Eğitim bu konuyu detaylandırır.
Önemli bir avantajdır ancak yeterli değildir. BDDK ile DORA pek çok başlıkta paraleldir ancak olay raporlama süreleri, üçüncü taraf rejimi sıkılığı, TLPT zorunluluğu ve yönetim kurulu raporlama detayları gibi alanlarda DORA daha sıkıdır. Eğitim, paralel uyum stratejisini ve farkları somut biçimde gösterir.
Tehdit Liderliğinde Sızma Testi (TLPT) zorunluluğu, DORA kapsamında “kritik” sayılan finans kuruluşları için her 3 yılda bir uygulanır. TIBER-EU çerçevesine uyumlu yürütülür. Tüm DORA kapsamındaki kuruluşların TLPT yapması zorunlu değildir; ancak kapsam dışı olanlar için bile düzenli sızma testi şarttır. Eğitim, kimlerin TLPT yapmak zorunda olduğunu net biçimde gösterir.
Eğitim hibrit yapıdadır: BT risk çerçevesi, dayanıklılık testleri ve olay raporlama gibi başlıklar teknik düzlemde işlenirken; yönetim kurulu sorumluluğu, sözleşme yönetimi, denetim hazırlığı ve yol haritası gibi başlıklar yönetimsel düzlemde işlenir. Üst yönetim katılımcıları için ayrı bir 1 günlük brifing formatı da mevcuttur.
Eğitim, DORA uyumuna giden yolun temel adımıdır. Tam uyum için kurumun BT risk çerçevesi, olay raporlama prosedürü, dayanıklılık test programı, üçüncü taraf sözleşmeleri ve doküman setinin oluşturulup yetkili otorite incelemesine hazır hale getirilmesi gerekir. Eğitim, bu hazırlığın kontrol listesini ve eksik alanları net biçimde ortaya koyar; talep durumunda Secure Fors uyum projesi danışmanlığı sunar.
DORA, AB ile iş yapan tüm finans-teknoloji ekosistemi için yeni bir dayanıklılık standardı; uyum hazırlığı bugün başlamalı.
Kurumunuzun konumuna ve mevcut BT risk olgunluğuna özel hazırlanan DORA eğitim programı ile uyum yolculuğunuza ölçülebilir bir başlangıç yapın.
Referanslar: EU Regulation 2022/2554 — Digital Operational Resilience Act · ESA (EBA, ESMA, EIOPA) Joint Committee Final Reports · TIBER-EU Framework · BDDK Bilgi Sistemleri ve Elektronik Bankacılık Yönetmeliği · ISO/IEC 27001:2022 · ISO/IEC 22301 · NIST Cybersecurity Framework · Basel III Operational Resilience Principles.