Dijital Operasyonel Dayanıklılık Yasası (DORA), yani (AB) 2022/2554 sayılı Tüzük, 16 Ocak 2023 tarihinde yürürlüğe giren ve 17 Ocak 2025 tarihinde tam olarak uygulanabilir hâle gelen bir AB düzenlemesidir. AB finans sektöründe BİT risk yönetimi, olay bildirimi, dayanıklılık testleri ve üçüncü taraf gözetimi için yasal olarak bağlayıcı bir çerçeve oluşturur.
DORA, finansal kuruluşların ve bağımlı oldukları BİT hizmet sağlayıcılarının dijital operasyonel dayanıklılığının tek ve tutarlı bir standardı karşılaması amacıyla, tüm AB üye devletlerinde BİT risk standartlarını uyumlaştırmak için getirilmiştir.
DORA kimleri kapsar? DORA; bankalar, ödeme ve elektronik para kuruluşları, yatırım şirketleri, varlık yöneticileri, sigorta şirketleri ve sigorta aracıları dahil olmak üzere yaklaşık 20 tür AB finansal kuruluşuna doğrudan uygulanır. Bu kuruluşlar, hizmet aldıkları BİT üçüncü taraf hizmet sağlayıcılarından kaynaklanan riskleri de yönetmek zorundadır. Avrupa Denetim Otoriteleri tarafından “kritik” olarak belirlenen az sayıdaki BİT sağlayıcısı da DORA kapsamında doğrudan denetlenir.
DORA'nın beş sütunu
1. BİT risk yönetimi
Finansal kuruluşlar; tanımlama, koruma, tespit, müdahale ve kurtarma süreçlerini kapsayan kapsamlı bir BİT risk yönetimi çerçevesi sürdürmelidir. Finansal kuruluşlar, BİT sağlayıcılarının uygun bilgi güvenliği standartlarını uygulayıp uygulamadığını değerlendirmelidir.
2. BİT ile ilgili olay yönetimi ve bildirimi
Önemli BİT ile ilgili olaylar sınıflandırılmalı, yönetilmeli ve düzenleyici kurumlara standart bir şekilde bildirilmelidir. Hizmet sağlayıcılarının, finansal müşterilerinin zorunlu bildirim sürelerine uymasını desteklemesi beklenir.
3. Dijital operasyonel dayanıklılık testleri
BİT sistemleri, güvenlik açığı değerlendirmelerinden önemli kuruluşlar için gelişmiş tehdit odaklı sızma testlerine (TLPT) kadar düzenli olarak test edilmelidir. Kritik işlevleri destekleyen sağlayıcılardan, müşteri tarafından yürütülen testlere katılmaları istenebilir.
4. BİT üçüncü taraf risk yönetimi
Finansal kuruluşlar; sözleşme gereklilikleri, çıkış stratejileri ve teknoloji sağlayıcılarının sürekli denetimi dahil olmak üzere BİT tedarik zincirlerini aktif olarak yönetmelidir. Sağlayıcıların şeffaf ve denetlenebilir olması beklenir.
5. Bilgi ve istihbarat paylaşımı
Finansal kuruluşların ve güvenilir hizmet sağlayıcılarının, ekosistem genelinde dayanıklılığı güçlendirmek amacıyla siber tehdit istihbaratını gönüllü olarak paylaşması teşvik edilir.
DORA, Alohi için nasıl geçerlidir?
Alohi SA bir finansal kuruluş değildir ve DORA'nın denetim çerçevesi kapsamında kritik BİT üçüncü taraf hizmet sağlayıcısı olarak belirlenmemiştir; dolayısıyla DORA, Alohi'ye doğrudan uygulanmaz. Ancak müşterilerimizin çoğu DORA kapsamına giren bankalar, sigorta şirketleri ve finansal hizmet kuruluşlarıdır ve bunlar günlük iş akışlarının bir parçası olarak Sign.Plus ve Fax.Plus'ı kullanır.
Bu müşteriler için Alohi, bir BİT üçüncü taraf hizmet sağlayıcısı olarak hareket eder. DORA uyarınca finans sektöründeki müşterilerimiz, BİT sağlayıcılarının uygun dayanıklılığı, yönetişimi ve şeffaflığı sürdürdüğünden emin olmalıdır. Alohi, müşterilerimizin durum tespiti ve sözleşmesel gereklilikleri için ihtiyaç duyduğu bilgi ve belgeleri sağlayarak bunu destekler.
Durum tespiti için belge talep etme
Kuruluşunuz DORA'ya tabiyse ve tedarikçi değerlendirmenizin bir parçası olarak Alohi hakkında bilgiye ihtiyaç duyuyorsanız, lütfen destek ekibimizle iletişime geçin ve şunları belirtin:
- Kuruluşunuzun adı ve hesap e-posta adresi
- Kullandığınız ürün(ler) (Sign.Plus, Fax.Plus)
- Tamamlanmasını istediğiniz belge veya anket
Güvenlik ve uyumluluk uygulamalarımıza genel bir bakışı Alohi Trust Center sayfasında da bulabilirsiniz.
Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. DORA kapsamındaki yükümlülükleriniz konusunda lütfen kendi hukuk veya uyum danışmanlarınıza başvurun.