DORA'nın ilk iki yılı. Avrupa'nın bankalara "sistemin çökerse ne yaparsın" sorusunu yasa yaptığı düzenleme, kime ne kadara patladı, neyi düzeltti ve arkasında nasıl bir pazar doğdu.
DORA, bir bankanın sistemi çöktüğünde ne yapacağını önceden yazılı hale getirmesini zorunlu kılan Avrupa yasası. Açılımı Digital Operational Resilience Act, Türkçesiyle Dijital Operasyonel Dayanıklılık Yasası.
DORA'dan önce tablo dağınıktı. Her ülkenin kendi kuralı vardı: Almanya'da BAIT, başka ülkelerde başka genelgeler, üstüne EBA'nın dış kaynak kullanımı rehberleri. BT riski, genel operasyonel risk başlığının altında bir alt madde gibi duruyordu. Oysa bankalar çoktan birkaç büyük bulut ve yazılım şirketine bağımlı hale gelmişti. Birinin aksaması, aynı anda yüzlerce kurumu durdurabilirdi.
AB'nin cevabı tek bir kural kitabı oldu. Hedef iki şey: BT riskini ülkeden ülkeye aynı dille yönetmek ve bankaların arkasındaki teknoloji devlerini ilk kez doğrudan denetim altına almak.
Kısa cevap: AB'de lisansla çalışan neredeyse herkes ve onlara teknoloji satan herkes. Komisyonun etki analizine göre kapsamda 20.000'i aşkın kurum var.
Büyüklük kurtarmıyor. PSD2 kapsamında lisanslı bir ödeme kuruluşu, beş kişilik bir ekiple çalışsa da DORA'nın içinde. Fark sadece ne kadar derine indiğinde: küçükler için daha sade bir çerçeve var, en ağır testler ise sadece büyük ve sistemik kurumlara düşüyor.
Asıl sürpriz burada. DORA teknoloji şirketlerini iki yoldan içeri alıyor:
Kimler dışarıda? BaaS modelinde bankanın arkasında duran bir fintek kendi lisansı yoksa DORA'ya doğrudan tabi değil. Ama bankanın tedarikçisi olarak sözleşmedeki bütün DORA maddelerini taşımak zorunda. Yani pratikte o da içeride.
DORA beş soruya cevap istiyor. Hepsinin ortak noktası, cevabın kâğıtta değil işleyen bir süreçte olması.
| Sütun | Sorduğu soru | Bankada somut karşılığı |
|---|---|---|
| BT risk yönetimi | Riskini biliyor musun, sahibi kim? | Yönetim kurulu BT riskinden doğrudan sorumlu. Varlık envanteri, risk çerçevesi, yedekleme ve geri dönüş planları yazılı ve test edilmiş olmalı |
| Olay yönetimi ve bildirimi | Bir şey bozulduğunda ne kadar hızlı haber verirsin? | Büyük olay tespit edilince ilk bildirim 4 saat içinde (en geç fark edildikten 24 saat sonra), ara rapor 72 saatte, nihai rapor bir ayda |
| Dayanıklılık testleri | Gerçekten çalışıyor mu, denedin mi? | Herkese yıllık testler. Seçilen büyük kurumlara üç yılda bir gerçek saldırgan gibi davranan ekiplerle canlı sistemlerde TLPT |
| Üçüncü taraf riski | Kime bağımlısın ve o giderse ne olur? | Tüm teknoloji sözleşmelerinin kaydı (Register of Information), zorunlu sözleşme maddeleri, kritik hizmetler için çıkış planı |
| Bilgi paylaşımı | Gördüğün tehdidi başkalarıyla paylaşıyor musun? | Sektör içinde siber tehdit istihbaratı paylaşımı. Zorunlu değil, teşvik ediliyor |
BT risk yönetimi
Olay yönetimi ve bildirimi
Dayanıklılık testleri
Üçüncü taraf riski
Bilgi paylaşımı
Gözden kaçan detay: Dördüncü sütun en sessiz görüneniydi ama en çok iş çıkaran o oldu. Çünkü bir bankanın teknoloji sözleşmesi sayısı yüzlerle ölçülüyor ve her birinin arkasında başka alt yükleniciler var.
Tek bir teknoloji sağlayıcısı düştüğünde kaç kurum, kaç ülke, kaç servis karanlıkta kalır? Okumak yerine dene.
Bir sağlayıcı seç, sonra fişi çek.
Simülasyon temsili. Kurumlar ve sağlayıcılar kurgu, bağımlılık yapısı ESAs'ın 2025 olay raporundaki tablodan esinleniyor.
Simülasyonun söylediği: DORA arızayı engellemiyor. Arızanın kaç kişiye, ne kadar süre ve ne kadar habersiz dokunacağını değiştiriyor.
Gerçek hayattan: 2025'te Avrupa'da raporlanan büyük BT olaylarının yaklaşık %29'u bir sağlayıcıda başladı, üçte biri sınır ötesine taştı. Şubat 2025'teki TARGET kesintisi ve Nisan 2025'teki İber Yarımadası elektrik kesintisi, tek bir noktadaki arızanın onlarca kurumdan rapor doğurabildiğini gösterdi.
En çarpıcı bulgu: 2025'te raporlanan büyük olayların çoğu hacker saldırısından değil, sıradan sistem arızalarından ve dış olaylardan çıktı.
| Rakam | Ne anlatıyor | Kaynak |
|---|---|---|
| 3.383 | 2025'te AB finans sektöründe bildirilen büyük BT olayı. Kurum başına ortalama 0,18 | ESAs yıllık olay raporu, Haziran 2026 |
| ~%29 | Olayların üçüncü taraf sağlayıcıda başlayan payı | ESAs yıllık olay raporu |
| 1/3 | Sınır ötesi etkisi olan olayların payı. Ortak altyapılar domino etkisi yaratıyor | ESAs yıllık olay raporu |
| ~%15 | Nihai raporu zamanında gelmediği için istatistiğe giremeyen olay payı | ESAs yıllık olay raporu |
| 19 | Avrupa denetçilerinin doğrudan gözetimine aldığı kritik teknoloji sağlayıcısı | ESAs, Kasım 2025 |
| %40 | Lüksemburg'da, son teslim tarihine iki hafta kala register'ını teslim etmiş kurumların oranı (16 Mart 2026) | CSSF |
| %43 | İki yılda DORA ve benzeri uyuma 1 milyon Euro'dan fazla harcadığını söyleyen kurumların oranı | Rubrik Zero Labs anketi |
| %70 | DORA'nın teknoloji işletme maliyetlerini kalıcı olarak artıracağını düşünen kurumların oranı | McKinsey anketi |
| %37 | DORA sonrası teknoloji tedarikçilerinin fiyat artırdığını söyleyen kurumların oranı | Veeam anketi, 2025 |
3.383
~%29
1/3
~%15
19
%40
%43
%70
%37
İki büyük sınav: Şubat 2025'teki TARGET ödeme sistemi kesintisi ve Nisan 2025'teki İber Yarımadası elektrik kesintisi tek başlarına çok sayıda bildirime yol açtı. Tek bir arıza, onlarca kurumdan ayrı ayrı rapor demek. DORA'nın neden ortak altyapıya bu kadar takıldığını en iyi bu iki olay anlatıyor.
İyi haber: Rapora göre olayların büyük kısmında müşteriye ve işlemlere etki sınırlı kaldı. Tespit ve toparlanma çoğu zaman hızlı çalıştı.
Not: Anket rakamları farklı örneklemlerden geliyor, bazıları DORA ile İngiltere kurallarını birlikte ölçüyor. Eğilimi gösteriyorlar, kesin pazar ölçüsü değiller.
En büyük zorluk teknoloji değil, bilgi oldu. Bankalar kendi teknoloji bağımlılıklarını bu kadar ayrıntılı hiç yazmamıştı.
DORA'nın asıl başarısı, Avrupa finans sisteminin teknoloji haritasını ilk kez çıkarması. Bu harita olmadan ne yoğunlaşma riski konuşulabiliyordu ne de devlere hesap sorulabiliyordu.
Temsili bir hikaye. Karakter kurgu, arka plandaki olaylar ve kurallar gerçek.
Elif Köln'de el yapımı seramik satan küçük bir online dükkân işletiyor. Hesabı orta büyüklükte bir dijital bankada, ödemeleri bir ödeme kuruluşu üzerinden alıyor. DORA'nın adını hiç duymadı. Ama son üç yılda üç kez onunla karşılaştı.
Teknik bir sorun yaşıyoruz.
Müşteri hizmetleri · Bekleme süresi: 34 dk
Kasım 2023. Sessiz arıza.Cuma akşamı müşteri ödemeleri hesabına düşmüyor. Uygulamada tek satır: "Teknik bir sorun yaşıyoruz." Çağrı merkezi ne zaman düzeleceğini bilmiyor. Pazartesi her şey kendiliğinden düzeliyor. Elif hafta sonu boyunca üç siparişi iptal ediyor, çünkü parayı görmeden kargo yapmak istemiyor. Kimse ona ne olduğunu anlatmıyor.
Avrupa'nın ortak ödeme altyapısında (TARGET) bir kesinti var. Sorun bankamızda değil. Havaleleriniz sırada ve kaybolmadı. Bir sonraki güncelleme: 16:00
Şubat 2025. Aynı tür arıza, farklı bir tavır.Avrupa'nın TARGET ödeme sistemi saatlerce aksıyor. Elif'in giden havalesi gecikiyor. Bu kez fark şu: birkaç saat içinde uygulamada bir bilgi kutusu beliriyor, ardından e-posta geliyor. Sorun bankada değil ortak altyapıda, ödemeler sırada, tahmini süre şu kadar. DORA, müşterinin parasını etkileyen büyük olaylarda kuruma müşteriyi bilgilendirme yükümlülüğü getirdi. Elif bunu bilmiyor ama farkı hissediyor: panik yerine plan yapıyor.
Yeni altyapı sağlayıcımızın güvenlik ve süreklilik kontrollerini tamamlıyoruz.
Bahar 2026. Geciken özellik.Bankası, küçük işletmeler için fatura ödeme ve tahsilat özelliğini "yakında" diye duyurmuştu. Lansman iki ay kayıyor. Elif kızgın. Arka planda olan şu (bizim tahminimiz): bankanın seçtiği yeni fatura altyapısı sağlayıcısı kritik bir işlevi destekleyeceği için DORA durum tespitinden geçiyor, sözleşmeye denetim ve çıkış maddeleri ekleniyor, register güncelleniyor. Elif'e gelen tek şey bir gecikme. Ama aynı süreç, o sağlayıcı bir gün batarsa bankanın onun parasını başka bir yoldan işleyebileceği anlamına geliyor.
Hikayenin özeti: DORA'yı müşteri doğrudan görmüyor. Gördüğü şey iki şey: arızada daha hızlı ve dürüst bir haber, yeni özellikte ise biraz daha uzun bir bekleme. İyi bir banka bu ikisini dengeleyebilen banka.
Evet, DORA için özel ürünler çıktı ve bir kategori doğdu. Bankaların zorlandığı her sütunun karşısında şimdi bir yazılım ya da hizmet var.
| Kategori | Neyi çözüyor | Örnek oyuncular |
|---|---|---|
| Register otomasyonu | Tedarikçi verisini toplayıp denetçinin istediği formatta, doğrulanmış dosya üretiyor | Formalize, OneTrust, Panorays, Prevalent |
| Tedarikçi risk yönetimi (TPRM) | Tedarikçileri sürekli izliyor, anket ve skor tutuyor, yoğunlaşma riskini gösteriyor | BitSight, UpGuard, Panorays, Riskonnect |
| Uyum otomasyonu (GRC) | Beş sütunu tek panelde topluyor, kanıt ve denetim izi üretiyor | Vanta, OneTrust, LogicGate, SureCloud, CyberArrow |
| Olay sınıflandırma ve bildirim | Olayı DORA kriterlerine göre sınıflandırıyor, 4 saat, 72 saat ve bir ay saatini yönetiyor | GRC platformlarının DORA modülleri |
| TLPT ve tehdit istihbaratı | Gerçek saldırgan senaryolarıyla canlı sistemde kırmızı takım testi | Kırmızı takım firmaları, Filigran gibi istihbarat platformları |
| Veri dayanıklılığı | Yedekleme, geri dönüş ve fidye yazılımına karşı kurtarma | Veeam, Rubrik |
| Bulut sağlayıcı paketleri | Bulut devlerinin bankalara hazır DORA eşleştirmeleri ve sözleşme ekleri | Microsoft ve diğer bulut devleri |
| Danışmanlık ve hukuk | Boşluk analizi, register teslimi, sözleşme ek şablonları | Büyük dörtlü, hukuk büroları |
Register otomasyonu
Tedarikçi risk yönetimi (TPRM)
Uyum otomasyonu (GRC)
Olay sınıflandırma ve bildirim
TLPT ve tehdit istihbaratı
Veri dayanıklılığı
Bulut sağlayıcı paketleri
Danışmanlık ve hukuk
Pazarın büyüklüğü. DORA'ya özel bir pazar ölçümü yok, ama en yakın kategori olan tedarikçi risk yönetimi için araştırma şirketleri 2025'te 7,7 ile 10,8 milyar dolar arası bir büyüklük ve yıllık %14-16 büyüme tahmin ediyor. Hemen hepsi DORA'yı Avrupa'daki ana büyüme motoru olarak sayıyor. Rakamlar şirketten şirkete çok değişiyor, yön ise aynı.
Fiyat skalası. Büyük kurum platformları fiyatı teklif üzerine veriyor. Orta ölçekli kurumlara yönelik araçlarda aylık 900 Euro civarından başlayan planlar görülüyor.
Dikkat: Araç satın almak sorunu çözmüyor. Sektördeki ortak görüş, register'daki acının araçtan değil, alttaki verinin dağınıklığından geldiği yönünde.
DORA'nın ilk iki yılı hazırlıkla geçti, 2026 ile birlikte denetim dönemi başladı. Önümüzdeki dönemde etkisi uyum ekiplerinden çıkıp iş modellerine yayılacak.
İngiltere AB'de değil ama aynı soruya kendi cevabını veriyor. Critical Third Parties (CTP) rejimi, DORA'nın kritik sağlayıcı ayağının İngiliz versiyonu.
| AB (DORA) | İngiltere (CTP rejimi) | |
|---|---|---|
| Yasal dayanak | Regulation (EU) 2022/2554 | Financial Services and Markets Act 2023 |
| Kurallar ne zaman başladı | 17 Ocak 2025 | 1 Ocak 2025 |
| İlk kritik sağlayıcı listesi | 18 Kasım 2025, 19 şirket | 10 Temmuz 2026, 4 şirket (13 Temmuz'dan itibaren geçerli) |
| Listede kimler var | Bulut, veri merkezi, telekom, BT hizmetleri ve finansal veri sağlayıcıları | AWS, Google Cloud, Microsoft, Oracle |
| Kim denetliyor | EBA, ESMA, EIOPA | FCA, PRA ve İngiltere Merkez Bankası |
| Kurumların tedarikçi kaydı | Her yıl teslim ediliyor | Önemli tedarikçi kayıtlarının yıllık teslimi 18 Mart 2027'de başlıyor |
Yasal dayanak
Kurallar ne zaman başladı
İlk kritik sağlayıcı listesi
Listede kimler var
Kim denetliyor
Kurumların tedarikçi kaydı
Fark nerede? AB geniş bir ağ attı, İngiltere sadece en büyük dört balığı tuttu ve "az sayıda" sağlayıcıyla yetinmek istediğini açıkça söylüyor. Ama listenin büyüyeceği belli. Parlamentonun Hazine Komitesi, yapay zeka sağlayıcılarının da bu rejime alınmasını istiyor.
Her iki pazarda çalışanlar için: Londra ve Frankfurt'ta lisansı olan bir grup, aynı tedarikçi için iki ayrı kayıt, iki ayrı denetim beklentisi yönetecek. Format farklı, mantık aynı.
DORA bir Türk kanunu değil, ama Türkiye'den Avrupa'ya uzanan her finansal köprü DORA'nın üzerinden geçiyor. Üç yerde doğrudan hissediliyor.
1. Avrupa'daki Türk sermayeli bankalar ve ödeme kuruluşları. Almanya, Hollanda veya başka bir AB ülkesinde lisanslı her kurum doğrudan kapsamda. Burada gözden kaçan nokta grup içi hizmetler. DORA'nın sözleşme kuralları sadece dış tedarikçiler için değil, grup içi düzenlemeler için de geçerli. İstanbul'daki ana bankanın veya grup şirketinin sağladığı ana bankacılık sistemi, veri merkezi ya da yazılım; register'a giriyor, sözleşmeye denetim hakkı ve çıkış planı ekleniyor. "Ana şirketimiz zaten bizim" demek DORA'da yetmiyor.
2. AB'ye satış yapan Türk teknoloji şirketleri. Bir Avrupa bankasına yazılım, bulut veya veri hizmeti veren Türk firması, müşterisinin imzalattığı DORA maddeleriyle karşılaşıyor: olay bildirimi, denetime açık olma, alt yüklenici şeffaflığı, çıkış desteği. Bunu hazır paket olarak sunabilen firma, Avrupa ihalelerinde bir adım önde başlıyor.
3. Avrupa'ya açılmak isteyen Türk fintekler. Romanya'da, Litvanya'da ya da Almanya'da lisans almak, ilk günden DORA'yla yaşamak demek. Register, olay süreci, test planı lisans başvurusunun doğal parçası haline geldi. Partner banka üzerinden girmek ise sorumluluğu ortadan kaldırmıyor, sözleşmeye taşıyor.
Türkiye'deki kurallarla kıyas. BDDK'nın Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Yönetmeliği ile DORA arasında risk yönetimi, iş sürekliliği ve dış hizmet tarafında ciddi paralellikler var. İki önemli fark göze çarpıyor: Türkiye'de kritik veri ve sistemlerin yurt içinde kalması yönünde güçlü bir yaklaşım var, bu da bulut kullanımını sınırlıyor. DORA ise buluta karşı değil, buluta bağımlılığın yönetilmesini istiyor ve teknoloji devlerini doğrudan denetliyor.
Köprünün iki ucu: Türkiye'de BDDK'ya, Almanya'da BaFin'e ve DORA'ya aynı anda uyan bir grup için tek bir tedarikçi envanteri tutmak, iki ayrı uyum projesi yürütmekten çok daha ucuz. (Bizim önerimiz)
İki masa, iki karar. Okur seçimini yapıyor, ardından bizim bakışımızı görüyor.
Bir dijital bankada ürün sorumlususun. KOBİ'ler için fatura tahsilat özelliğini üç ayda çıkarmak istiyorsun. İki aday var.
Bizim bakışımız: Doğru cevap çoğu zaman lansman tarihinden değil, bu özelliğin "kritik veya önemli işlev" sayılıp sayılmadığından çıkıyor. Sayılıyorsa denetim hakkı pazarlık konusu değil. Girişim bunu kabul etmeye hazır mı, yoksa ilk müzakerede mi öğreneceksin?
Türkiye'de büyümüş bir ödeme şirketisin, Romanya'da lisans almak istiyorsun. Tüm altyapın İstanbul'da.
Bizim bakışımız: Üç yol da mümkün, üçünün maliyeti ve hızı çok farklı. Denetçi grup içi hizmeti kabul edebilir, ama "İstanbul'daki sistem bir gün erişilemez olursa Romanya'daki müşterinin parası ne olur?" sorusuna yazılı ve test edilmiş bir cevap bekler. O cevabı bugün verebiliyor musun?
Önümüzdeki 15 ayda DORA takvimi kalabalık. En kritik tarih, büyük kurumlar için ilk saldırı simülasyonu döngüsünün kapandığı Ocak 2028.
| Ne zaman | Ne olacak |
|---|---|
| Kasım 2026 (beklenen) | Kritik sağlayıcı listesinin ilk yıllık güncellemesi. Liste her yıl yenileniyor |
| Aralık 2026 | Almanya'da bankalar için BAIT tamamen kalkıyor |
| Mart 2027 | Register of Information'ın üçüncü yıllık teslimi (31 Aralık 2026 verisiyle) |
| 18 Mart 2027 | İngiltere'de kurumlar önemli tedarikçi kayıtlarını yıllık olarak teslim etmeye başlıyor |
| 2027 (teklif yasalaşırsa) | Dijital Omnibus ile tek olay bildirim noktasının devreye girmesi |
| 17 Ocak 2028 | Seçilen kurumlar için ilk TLPT döngüsünün sonu ve Komisyonun DORA gözden geçirmesi |
Kasım 2026 (beklenen)
Aralık 2026
Mart 2027
18 Mart 2027
2027 (teklif yasalaşırsa)
17 Ocak 2028
DORA çoğu bankada bir uyum projesi olarak başladı ve uyum ekibinin masasında kaldı. Bizce asıl etkisi ürün masasında hissedilecek. Çünkü artık her yeni özellik, her yeni partner, her yeni pazar bir DORA sorusuyla başlıyor.
Dışarıdan bakıp yargılamak kolay. O yüzden yargı yerine birkaç soru bırakıyoruz:
İki bankayı sıfırdan kuran, ürünleri hem Almanya'da hem Türkiye'de canlıya alan biri olarak şunu gördük: kural ne kadar ağır olursa olsun, onu ilk günden tasarıma katan ekip en hızlı ilerleyen ekip oluyor. DORA'yı sonradan eklenen bir kontrol listesi olarak değil, partner seçiminin ve ürün akışının ilk adımı olarak ele almak mümkün.
Yeni bir dijital ürün çıkarırken doğru partneri seçmek ya da DORA'yla uyumlu bir lansman akışı kurmak masanızdaysa, Yeni Ürün Hattı ve Doğru Banka Partneri tam bunun için var.
Not: Kullanıcı hikayesi temsili bir kurgu. "Bizim gözlemimiz / tahminimiz / yorumumuz" diye işaretli yerler fspark9'un çıkarımı, kaynaklı bulgu değil.