AB’nin Dijital Operasyonel Dayanıklılık Tüzüğü (DORA), 17 Ocak 2025 itibarıyla tam anlamıyla yürürlüğe girdi. Avrupa’da faaliyet gsteren finansal kuruluşlar için bağlayıcı olan bu düzenleme, Türkiye’deki pek çok banka, fintech, sigorta şirketi ve BT hizmet sağlayıcısı için de doğrudan yükümlülükler doğuruyor.
Ancak “DORA nedir?” sorusunun yanıtı artık yaygın biçimde bilinir hâle geldi. Asıl yanıtlanması gereken soru şu: Türkiye’deki hangi firmalar, tam olarak ne yapmalı? Bu yazı, DORA’nın Türkiye boyutunu, beş temel yükümlülüğünü ve kurumların uyum sürecinde izleyebileceği adımları ele alıyor.
1. DORA Türkiye’deki Firmaları Nasıl Etkiliyor?
DORA bir AB tüzüğüdür; Türkiye AB üyesi olmadığından Türkiye merkezli kuruluşlara doğrudan uygulanmıyor. Ancak bu, Türk firmalarının DORA’yı grmezden gelebileceği anlamına gelmiyor. Etki üç farklı kanaldan geliyor:
AB’de Faaliyet Gsteren Türk Finansal Kuruluşları
Bir Türk bankasının, sigorta şirketinin veya deme kuruluşunun Almanya, Hollanda, İngiltere veya herhangi bir AB üyesi ülkede şubesi, iştiraki ya da temsilciliği varsa, o coğrafyada DORA’ya tam uyum zorunludur. AB’deki düzenleyici otoriteler (EBA, EIOPA, ESMA) denetimlerini sürdürüyor ve 2025 bir “geçiş yılı” olarak grünse de yaptırım mekanizmaları aktif.
AB Finansal Kuruluşlarına Hizmet Veren Türk BT Sağlayıcıları
Türkiye’den bir AB bankasına yazılım, bulut altyapısı, veri merkezi, siber security veya BT destek hizmeti sağlayan firma, DORA kapsamında “BİT üçüncü taraf hizmet sağlayıcısı” olarak değerlendirilebilir. Bu durumda hizmet verilen AB kurumunun szleşme gereklilikleri üzerinden DORA yükümlülükleri dolaylı olarak aktarılmaktadır.
BDDK Referans Etkisi
Türkiye’de faaliyet gsteren ve AB ile işlem yapmayan firmalar için DORA şu an yasal zorunluluk değil. Ancak BDDK’nın BT ve siber security düzenlemelerinin DORA ile rtüşen gerekliliklere giderek yaklaştığı izlenmektedir. DORA’yı erken uygulayan kurumlar, ilerleyen dnemde Türkiye iç mevzuatına uyum açısından da avantajlı konuma geliyor.
2. Kapsama Giren Kurum ve Kuruluş Türleri
DORA, finansal hizmetler ekosisteminde oldukça geniş bir kapsam çiziyor. Aşağıdaki kurum ve kuruluş türleri doğrudan ya da dolaylı olarak bu kapsamda yer alıyor:
AB’de lisans sahibi veya şube açmış tüm bankalar. Türk kamu ve zel bankaları AB şubeleri aracılığıyla kapsam altında.
AB pazarında hizmet veren deme hizmeti sağlayıcıları, elektronik para kuruluşları ve bunların altyapı ortakları.
AB’de faaliyet gsteren yatırım şirketleri, alternatif yatırım fonu yneticileri, merkezi karşı taraflar.
AB’de faaliyet gsteren sigorta kuruluşları ve aracıları. Türk sigorta gruplarının Avrupa operasyonları dahil.
MiCA kapsamında lisanslanan kripto varlık hizmeti sunan tüm firmalar. Türkiye merkezli olsa da AB’de hizmet veriyorsa kapsam dahili.
ESA’ların “kritik” olarak atadığı bulut sağlayıcıları, veri merkezi operatrleri, yazılım şirketleri. Kasım 2025’te ilk CTPP listesi yayımlandı.
Aşağıdaki tablo, farklı Türk firma profillerinin DORA kapsamındaki durumunu zetliyor:
| Firma Profili | DORA Yükümlülüğü | Açıklama |
|---|---|---|
| Türk bankası — AB şubesi var | Doğrudan | AB şubesi, bulunduğu ülke otoritesine karşı sorumlu |
| Türk fintech — yalnızca Türkiye’de faaliyet | Yok (şimdilik) | BDDK düzenlemeleri geçerli; DORA referans niteliğinde |
| Türk yazılım firması — AB bankasına hizmet veriyor | Dolaylı | Müşteri szleşmesi üzerinden DORA gereklilikleri aktarılır |
| Türk holding — AB’de sigorta iştiraki | Doğrudan | İştirak, DORA kapsamındaki finansal kuruluş sayılır |
| Türk BT altyapı sağlayıcısı — ESA tarafından kritik atandı | Doğrudan | Kasım 2025 CTPP listesinde yer alıyorsa doğrudan denetim altında |
3. DORA’nın 5 Temel Yükümlülük Alanı
DORA, uyum gerekliliklerini beş ana sütun üzerine inşa ediyor. Her sütun hem politika hem teknik hem de operasyonel adımlar içeriyor:
Kuruluşlar, BİT risklerini tanımlayan, değerlendiren ve yneten kapsamlı bir çerçeve oluşturmak zorunda. Bu çerçeve; varlık inventory, risk iştahı tanımı, koruma ve tespit kontrolleri, iş sürekliliği planları ve ynetim kurulu düzeyinde sahiplenmeyi kapsamalı. ISO 27001’deki risk ynetimi yaklaşımıyla rtüşüyor ancak daha operasyonel dayanıklılık odaklı.
Önemli BİT olaylarının sınıflandırılması, ynetimi ve düzenleyici otoritelere bildirilmesi zorunlu. Ciddi olaylar için üç aşamalı bildirim süreci işliyor: ilk bildirim (4 saat içinde), ara rapor (72 saat içinde), nihai rapor (1 ay içinde). Bu gereklilik, Türkiye’deki 72 saatlik KVKK bildirim yükümlülüğüyle benzer ama daha katmanlı bir yapıya sahip.
Tüm kapsam altındaki kuruluşlar yılda en az bir kez temel BİT dayanıklılık testleri (zafiyet taraması, BCP tatbikatı) yapmak zorunda. Büyük ve kritik kuruluşlar için her üç yılda bir Tehdit Odaklı Penetrasyon Testi (TLPT) yükümlülüğü geliyor. TLPT, klasik sızma testinden daha kapsamlı: gerçek tehdit istihbaratına dayalı, tüm canlı sistem katmanlarını kapsayan ileri seviye bir test metodolojisi.
Bu sütun, DORA’yı nceki düzenlemelerden en net biçimde ayıran alan. Finansal kuruluşlar; BİT tedarikçileriyle yaptıkları tüm szleşmelerin belirli zorunlu hükümleri içermesini sağlamak, critical supplierler için çıkış stratejisi geliştirmek ve tedarikçi performansını sürekli izlemek zorunda. “Tedarikçim uyuyorsa ben uymuş sayılırım” mantığı DORA’da kabul grmüyor: sorumluluk finansal kuruluşta kalıyor.
DORA, finansal kuruluşları siber tehdit istihbaratını sektr genelinde paylaşmaya teşvik ediyor. Bu sütun diğerlerine kıyasla daha az zorlayıcı bir nitelik taşısa da tehdit istihbarat programlarının belgelenmesi bekleniyor.
4. DORA ile ISO 27001 Arasındaki Fark
Bu soruyu alan her firma için net bir yanıt: ISO 27001 sahibi olmak DORA uyumunu otomatik sağlamıyor. Ancak ciddi bir başlangıç avantajı sunuyor. İşte kritik farklar:
| Kriter | ISO 27001 | DORA |
|---|---|---|
| Yasal bağlayıcılık | Gnüllü standart | AB düzeyinde bağlayıcı tüzük |
| Kapsam | Tüm sektrler | Yalnızca finansal sektr ve BİT tedarikçileri |
| Odak noktası | Bilgi güvenliği ynetimi | Dijital operasyonel dayanıklılık (kesinti anında çalışabilirlik) |
| Üçüncü taraf | Genel tedarikçi ynetimi | Zorunlu szleşme hükümleri, çıkış stratejisi, sürekli izleme |
| Test gereklilikleri | İç denetim, ynetim gzden geçirmesi | Yıllık BİT dayanıklılık testleri + 3 yılda bir TLPT |
| Olay bildirimi | Zorunlu değil (KVKK ayrı) | 4 saat / 72 saat / 1 ay üç aşamalı zorunlu bildirim |
| Denetim | Bağımsız belgelendirme kuruluşu | Ulusal yetkili otoriteler + ESA’lar |
ISO 27001’in sağladığı temel altyapı — risk ynetimi yaklaşımı, varlık inventory, iş sürekliliği politikaları — DORA uyumunu hızlandırır. Ancak üçüncü taraf risk ynetimi, TLPT ve düzenleyici raporlama gibi DORA’ya zgü gereklilikler için ek çalışma gerekmektedir.
5. Uyumsuzluk Yaptırımları
DORA, caydırıcı olmak üzere tasarlanmış bir yaptırım rejimi içeriyor. Kurumlar ve bireyler için farklı ceza eşikleri belirlenmiş durumda:
Finansal Kuruluşlar için Cezalar
- Yıllık küresel cironun %2’sine kadar idari para cezası
- Günlük ortalama küresel cironun %1’ine kadar yaptırım (süregelen ihlaller için)
- Üst yneticiler için bireysel olarak 1.000.000 Euro’ya kadar para cezası
Kritik BİT Üçüncü Taraf Sağlayıcıları için
- Günlük küresel cironun %1’ine kadar yaptırım, azami 6 ay süreyle
- Hizmet durdurma kararı dahil operasyonel yaptırımlar
Para cezalarının tesinde pratik riskler de var: müşteri kaybı, lisans askıya alma ihtimali ve AB pazarına erişimin kısıtlanması. 2025 yılının geçiş dnemi olarak tanımlandığı hatırlanmalı; düzenleyici otoriteler 2026’dan itibaren daha aktif denetim ve yaptırım süreçleri başlatmayı planlıyor.
6. Uyum Sürecinde Atılması Gereken Adımlar
DORA uyumu tek seferlik bir proje değil, sürekli ynetilmesi gereken bir çerçeve. Başlangıç için aşağıdaki adımlar pratik bir yol haritası sunuyor:
7. Sık Sorulan Sorular
Türkiye’de yalnızca BDDK lisansıyla faaliyet gsteren bir banka DORA’ya uymak zorunda mı?
AB’de şube, iştirak veya temsilcilik olmaksızın yalnızca Türkiye’de faaliyet gsteriyorsa doğrudan bir DORA yükümlülüğü bulunmuyor. Bu bankaların tabi olduğu çerçeve BDDK düzenlemeleri olmaya devam ediyor. Ancak AB kurumlarıyla işlem, muhabir bankacılık ilişkisi veya AB pazarına açılma planı varsa ileride etki kapsamına girebilirler.
ISO 27001 sertifikamız var; DORA uyumu için ne kadar ek çalışma gerekiyor?
ISO 27001, zellikle risk ynetimi ve bilgi güvenliği politikaları açısından ciddi bir temel sağlıyor. Ancak DORA’ya zgü gereklilikler — üç aşamalı olay bildirimi, TLPT testi, zorunlu tedarikçi szleşme hükümleri ve ynetim kurulu düzeyinde BİT governancei — ek çalışma gerektiriyor. Deneyimlerimize gre ISO 27001 sahibi kurumlar için DORA gap analizi ve uyum çalışması belirgin biçimde daha kısa sürüyor.
TLPT testi yaptırmak zorunlu mu, hangi firmalara uygulanıyor?
TLPT yükümlülüğü orantılılık ilkesine gre belirleniyor: büyük ve sistemik açıdan nemli finansal kuruluşlar için zorunlu, daha küçük kurumlar için temel dayanıklılık testleri yeterli kabul ediliyor. Hangi eşiğin uygulanacağı ulusal yetkili otorite tarafından belirleniyor. Kapsam altındaki kurumlar üç yılda bir TLPT yaptırmak zorunda.
Türkiye’den bir AB bankasına yazılım hizmeti veriyoruz; ne yapmalıyız?
Bu durumda müşteri AB bankasının DORA kapsamındaki BİT tedarikçisi konumundasınız. Banka, sizinle yaptığı szleşmede DORA’nın ngrdüğü zorunlu hükümleri (denetim hakkı, olay bildirimi, SLA, veri konumu, çıkış planı) talep edecektir. ESA’lar tarafından “kritik” olarak atanmadığınız sürece doğrudan düzenleyici denetime tabi olmazsınız; ancak müşteri szleşmesindeki yükümlülükleri yerine getirmek zorundasınız.
2025 bir geçiş yılıysa 2026’da ne değişiyor?
2025 boyunca düzenleyici otoriteler mevcut çerçeveleri değerlendirdi ve boşlukları tespit etti. 2026’dan itibaren aktif denetim ve yaptırım süreçlerinin başlaması bekleniyor. Kasım 2025’te yayımlanan kritik BİT üçüncü taraf sağlayıcıları listesi, doğrudan gzetim faaliyetlerini başlattı. AB Komisyonu’nun Ocak 2026’da gerçekleştirdiği DORA gzden geçirme raporu da kapsamın genişleyebileceğine işaret ediyor.
DORA Uyum Sürecinizi Planlayalım
Gap analizi, tedarikçi szleşme revizyonu, TLPT hazırlığı ve ynetim kurulu eğitimini kapsayan bütünleşik DORA danışmanlığı için bizimle grüşün.
Learn Moremak İçin Contact Us DORA Consulting · DORA Training · ISO 27001 Geçiş Desteği · TLPT / Penetration Testing
