Avrupa finans sektrünün dijital dayanıklılık standardı; etkisi çok daha geniş bir perimetreye yayılıyor.
DORA Training; Avrupa Birliği’nde 17 Ocak 2025’te yürürlüğe giren Dijital Operasyonel Dayanıklılık Yasası’nın (Digital Operational Resilience Act) gerekliliklerini, Türkiye’deki finans sektrünü ve AB iş yapan teknoloji tedarikçilerini nasıl etkilediğini, BT risk ynetimi, olay raporlama, dayanıklılık testleri, üçüncü taraf ynetimi ve bilgi paylaşımı başlıkları altında uçtan uca ele alır. Education, BDDK düzenlemeleriyle karşılaştırmalı yürütülür.
DORA, sadece Avrupa bankalarını ilgilendiren bir ynetmelik değil; AB ile iş yapan tüm finans ve teknoloji ekosistemini doğrudan ya da dolaylı bağlar.
DORA (Digital Operational Resilience Act / EU Regulation 2022/2554), Avrupa Birliği’nin finans sektrünün dijital dayanıklılığını sağlamak amacıyla çıkardığı kapsamlı bir tüzüktür. 17 Ocak 2025’te yürürlüğe girmiş olan tüzük; bankalardan sigorta şirketlerine, yatırım kuruluşlarından deme hizmeti sağlayıcılarına, kripto varlık hizmet sağlayıcılarına ve hatta bu kurumlara hizmet veren bulut, yazılım ve veri merkezi sağlayıcılarına kadar geniş bir perimetreyi düzenler.
Türkiye’deki finans kurumları DORA’ya doğrudan tabi olmasa da; Avrupa’da iştiraki olan, AB pazarında müşterisi bulunan, AB merkezli kurumlara hizmet sağlayan, ya da bu zincirde alt yüklenici konumunda olan tüm Türkiye merkezli kuruluşlar DORA gerekliliklerinden etkilenir. Education, DORA’nın 5 temel sütununu (BT risk ynetimi, olay raporlama, dayanıklılık testleri, üçüncü taraf ynetimi, bilgi paylaşımı) BDDK düzenlemeleriyle karşılaştırmalı olarak ele alır; uyum yapısının nasıl kurulacağını pratik rneklerle aktarır.
Bu eğitim, klasik BT risk ynetiminin üzerine DORA’nın bütüncül dayanıklılık framesini ekler.
Pek çok finans kuruluşunda BT riski, BT departmanının iç konusu olarak ele alınır. DORA bu yaklaşımı kkten değiştirir: dijital dayanıklılık, ynetim kurulu sorumluluğunda, bütüncül bir kurum disiplini olarak tanımlanır.
Klasik BT Risk Yaklaşımı BT departmanı odaklı, parçalı uygulama
- BT riski sadece BT departmanının konusu
- Olay raporlama gevşek tanımlı süreler
- Üçüncü taraf ynetimi szleşme odaklı
- Dayanıklılık testi düzensiz veya yapılmıyor
- Ynetim kurulu sınırlı grünürlük sahibi
- Sektr arası bilgi paylaşımı zayıf
- Düzenleyici ile etkileşim sınırlı
- Sonuç: parçalı, lçülmeyen dayanıklılık
DORA Bütüncül Dayanıklılık Çerçevesi 5 sütun, ynetim kurulu sorumluluğu
- BT riski ynetim kurulunun doğrudan sorumluluğunda
- Olay raporlama saatlik, 72 saatlik ve aylık akış
- ICT üçüncü taraf rejimi sıkı izleme ve denetim
- Düzenli dayanıklılık testleri ve TLPT zorunluluğu
- Ynetim kurulu raporlaması yapılandırılmış
- Sektr bilgi paylaşımı teşvik edilen mekanizma
- Yetkili otoriteyle yapılandırılmış contact
- Sonuç: lçülebilir, denetlenebilir dayanıklılık
Katılımcılar DORA’yı 5 sütun yapısı altında bütüncül bir dayanıklılık disiplini olarak ğrenir.
Education, tüzüğü madde madde okutmak yerine 5 ana sütun çevresinde rer. Her sütun BDDK düzenlemeleri ile karşılaştırmalı, somut rnekler ve tedarikçi szleşme rnekleri üzerinden ele alınır.
BT riskini ynetim kurulu seviyesine taşır.
DORA’nın temel sütunu; BT risk ynetimi framesi, varlık inventory, risk değerlendirme metodolojisi, koruma ve nleme kontrolleri ve sürekli izleme süreçlerinin ynetim kurulu sorumluluğunda kurulması.
- BT risk framesi (madde 5-15)
- Ynetim kurulu sorumluluğu
- Politika ve doküman hiyerarşisi
Olayları sınıflandırma ve raporlama disiplinini kurar.
BT olaylarının sınıflandırılması, ciddi olayların belirlenmesi, ilk bildirim, ara rapor (72 saat) ve nihai rapor süreleri; yetkili otoriteyle yapılandırılmış contact akışı.
- Olay sınıflandırma lçütleri
- İlk, ara, nihai rapor zaman çizelgesi
- Yetkili otorite akışı
Dayanıklılığı test ile evidencelanmış hale getirir.
Düzenli dayanıklılık testleri (zafiyet taraması, sızma testi, senaryo testi); kritik kuruluşlar için her 3 yılda bir Tehdit Liderliğinde Penetration Testing (TLPT) zorunluluğu; bulgu ynetim disiplini.
- Test türleri ve sıklığı
- TLPT metodolojisi
- Bulgu kapanış izleme
BT tedarikçisini sıkı bir rejime sokar.
BT tedarikçi yaşam dngüsü, szleşme zorunlu maddeleri, kritik ICT üçüncü taraf (CTPP) tanımı, critical supplier kayıt yükümlülüğü ve doğrudan AB denetim rejimine giriş.
- Szleşme zorunlu maddeleri
- CTPP tanımı ve etkisi
- Çıkış stratejisi planlaması
Sektr arası tehdit istihbaratını teşvik eder.
Tehdit gstergesi paylaşımı, sektrel istihbarat ağları, ISAC yapıları; kurumun bilgi paylaşım anlaşmalarına katılma kararlarının nasıl alınacağı ve hukuki frame.
- Tehdit gstergesi türleri
- ISAC ve sektr ağları
- Hukuki ve szleşme framesi
Türkiye finans kuruluşları için çift uyum yapısı.
BDDK Bilgi Sistemleri ve Elektronik Bankacılık Ynetmeliği ile DORA’nın paralel ilerlediği ve ayrıştığı noktalar; her iki rejimin tek bir uyum framesinde nasıl ynetileceği.
- Ortak ve farklı yükümlülükler
- Paralel uyum stratejisi
- Tek seferlik kontrol haritalaması
İki günlük yoğun program; tüzüğü tanımaktan kuruma zel uyum yol mapna uzanan kapsamlı içerik.
Program; kurumun finans-teknoloji konumuna ve katılımcı profiline gre 1 gün üst ynetim brifingi, 2 gün uygulayıcı veya 3 gün uzman/sorumlu yetkinliği biçiminde uyarlanabilir.
Tüzük, uygulama ve denetim disiplini tek programda buluşur.
Education, gerçek finans-teknoloji vakaları üzerinden ğrenmeyi kalıcı hale getirir.
Katılımcılar yalnızca dinlemez; kapsam analizi yapar, BT risk framesi tasarlar, olay sınıflandırma matrisi kurar, üçüncü taraf szleşmesi hazırlar ve kendi kurumları için yol map çıkarır.
DORA kapsamındaki finans kuruluşları, teknoloji sağlayıcıları ve danışmanlar için tasarlanmış eğitim.
Education sonunda kurumun DORA uyum olgunluğu lçülebilir ve sürdürülebilir hale gelir.
Katılımcı kazanımları
- DORA tüzüğünün kapsamını ve etki perimetresini netlikle açıklayabilme
- Kuruluşun DORA kapsamında olup olmadığını analiz edebilme
- BT risk ynetimi framesi tasarlayabilme
- Ciddi olay sınıflandırması ve raporlama akışı kurabilme
- Dayanıklılık test programı planlayabilme
- ICT üçüncü taraf szleşmesine zorunlu maddeleri ekleyebilme
- BDDK ile paralel uyum yapısını ynetebilme
Kurum çıktıları
- DORA kapsam analizi şablonu
- BT risk ynetimi framesi şablonu
- Olay sınıflandırma ve raporlama matrisi
- 72 saatlik ilk-ara-nihai rapor zaman çizelgesi
- Dayanıklılık test programı şablonu
- ICT üçüncü taraf szleşmesi zorunlu maddeleri kütüphanesi
- BDDK ile paralel uyum kontrol map
- Kuruma zel 90 günlük DORA uyum yol map
Education hakkında bilmek istediğiniz her şey tek bakışta.
Duration, format, katılımcı sayısı, sertifika, içerik kapsamı ve teslim edilen materyaller netleştirilmiştir. Kuruma zel programlarda parametreler ihtiyaca gre uyarlanır.
| Education Adı | DORA Training (Digital Operational Resilience Act — EU Regulation 2022/2554) |
|---|---|
| Duration | 2 gün (14 saat). Kurumun olgunluğuna gre 1 gün üst ynetim brifingi veya 3 gün uzman/sorumlu yetkinliği programı olarak uyarlanabilir. |
| Education Formatı | Yüz Yüze (Kurum Lokasyonu) Online Canlı (Zoom / Teams) Hibrit |
| Education Başlıkları | DORA tüzüğü genel framesi · Kapsam ve etki map · Türkiye etkisi ve BDDK karşılaştırması · BT risk ynetimi framesi · BT olay sınıflandırma ve raporlama (4 saat / 72 saat / 1 ay) · Dijital dayanıklılık test programı · TIBER-EU ve TLPT · ICT üçüncü taraf yaşam dngüsü · Szleşme zorunlu maddeleri · Kritik üçüncü taraf rejimi (CTPP) · Bilgi paylaşımı ve ISAC · BDDK paralel uyum stratejisi. |
| Hedef Kitle | CIO ve bilgi sistemleri yneticileri, CISO ve bilgi güvenliği ekipleri, operasyonel risk yneticileri, uyum birimi, iç denetim ve risk yneticileri, iş sürekliliği yneticileri, ICT tedarik ve szleşme ynetimi, üst ynetim ve ynetim kurulu üyeleri. |
| Ön Koşul | BT risk ynetimi, ISO 27001 veya BDDK Bilgi Sistemleri Ynetmeliği hakkında temel düzeyde bilgi tavsiye edilir; ancak zorunlu değildir. Üst ynetim katılımcıları için ynetici brifingi formatında ayrı uyarlama yapılabilir. |
| Katılımcı Sayısı | Optimum verim için 8 – 20 kişi. Kuruma zel programlarda en fazla 25 kişiye kadar grup açılabilir. |
| Sertifika | Katılım Sertifikası Education tamamlandığında Secure Fors tarafından imzalı dijital katılım sertifikası verilir. Doğrulanabilir QR kod içerir. |
| Education Materyali | Sunum dosyası (PDF) · Atlye çalışma defteri · DORA kapsam analizi şablonu · BT risk ynetimi framesi şablonu · Olay sınıflandırma ve raporlama matrisi · 72 saatlik ilk-ara-nihai rapor zaman çizelgesi · Dayanıklılık test programı şablonu · ICT üçüncü taraf szleşmesi zorunlu maddeleri kütüphanesi · BDDK ile paralel uyum kontrol map · 90 günlük DORA uyum yol map şablonu. |
| Uygulama | Kuruluş etki haritalaması, BT risk framesi şablon kurulumu, olay sınıflandırma matrisi tasarımı, 72 saat ilk-ara-nihai rapor canlandırması, ICT szleşmesi zorunlu madde tasarımı, BDDK paralel kontrol haritalaması ve 90 günlük yol map tasarımı atlyeleri içerir. |
| Instructor | ISO 27001 Lead Auditor, CEH ve finansal hizmetler güvenliği alanında deneyimli kıdemli danışman. AB ve Türkiye finans sektrü düzenleyici framelerinde projeler yürütmüş; BDDK Bilgi Sistemleri Ynetmeliği ile DORA arasındaki paralel uyum konusunda saha deneyimi olan profesyonel. |
| Fiyatlandırma | Kuruma zel teklif. Katılımcı sayısı, format (yüz yüze / online), program süresi ve zelleştirme ihtiyacına gre fiyat oluşturulur. |
Education ncesinde aklınıza takılabilecek soruların yanıtları.
No, Türk bankaları doğrudan tabi değildir; ancak AB’de iştiraki olan, AB merkezli müşterileri bulunan veya AB kurumlarına hizmet sağlayan Türk bankaları DORA gerekliliklerinden szleşme yoluyla etkilenir. Education, Türkiye perspektifinden bu dolaylı etkiyi netlikle gsterir.
Evet, AB finans kuruluşlarına hizmet veren bulut, SaaS veya veri merkezi sağlayıcıları DORA’nın ICT üçüncü taraf rejimine dahil olur. Belirli kriterleri aşan sağlayıcılar Kritik Üçüncü Taraf (CTPP) olarak doğrudan AB denetimine girer. Education bu konuyu detaylandırır.
Important bir avantajdır ancak yeterli değildir. BDDK ile DORA pek çok başlıkta paraleldir ancak olay raporlama süreleri, üçüncü taraf rejimi sıkılığı, TLPT zorunluluğu ve ynetim kurulu raporlama detayları gibi alanlarda DORA daha sıkıdır. Education, paralel uyum stratejisini ve farkları somut biçimde gsterir.
Tehdit Liderliğinde Penetration Testing (TLPT) zorunluluğu, DORA kapsamında “kritik” sayılan finans kuruluşları için her 3 yılda bir uygulanır. TIBER-EU framesine uyumlu yürütülür. All DORA kapsamındaki kuruluşların TLPT yapması zorunlu değildir; ancak kapsam dışı olanlar için bile düzenli sızma testi şarttır. Education, kimlerin TLPT yapmak zorunda olduğunu net biçimde gsterir.
Education hibrit yapıdadır: BT risk framesi, dayanıklılık testleri ve olay raporlama gibi başlıklar teknik düzlemde işlenirken; ynetim kurulu sorumluluğu, szleşme ynetimi, denetim hazırlığı ve yol map gibi başlıklar ynetimsel düzlemde işlenir. Üst ynetim katılımcıları için ayrı bir 1 günlük brifing formatı da mevcuttur.
Education, DORA uyumuna giden yolun temel adımıdır. Tam uyum için kurumun BT risk framesi, olay raporlama prosedürü, dayanıklılık test programı, üçüncü taraf szleşmeleri ve doküman setinin oluşturulup yetkili otorite incelemesine hazır hale getirilmesi gerekir. Education, bu hazırlığın kontrol listesini ve eksik alanları net biçimde ortaya koyar; talep durumunda Secure Fors uyum projesi danışmanlığı sunar.
DORA, AB ile iş yapan tüm finans-teknoloji ekosistemi için yeni bir dayanıklılık standardı; uyum hazırlığı bugün başlamalı.
Kurumunuzun konumuna ve mevcut BT risk olgunluğuna zel hazırlanan DORA eğitim programı ile uyum yolculuğunuza lçülebilir bir başlangıç yapın.
References: EU Regulation 2022/2554 — Digital Operational Resilience Act · ESA (EBA, ESMA, EIOPA) Joint Committee Final Reports · TIBER-EU Framework · BDDK Bilgi Sistemleri ve Elektronik Bankacılık Ynetmeliği · ISO/IEC 27001:2022 · ISO/IEC 22301 · NIST Cybersecurity Framework · Basel III Operational Resilience Principles.