AB'deki bir bankaya, sigortacıya veya yatırım şirketine yazılım, bulut, veri merkezi, siber güvenlik ya da BT destek hizmeti veriyorsanız, müşteriniz 17 Ocak 2025'ten beri Dijital Operasyonel Dayanıklılık Yasası'na (DORA, 2022/2554 sayılı Tüzük) tabidir.

Yükümlülük kimin?

DORA'daki yükümlülüğün sahibi finans kuruluşudur: bir hizmeti dışarıdan alsa bile bütün yükümlülüklerden tamamen sorumlu kalır (madde 28(1)(a)). Bu yüzden yük Türkiye'deki tedarikçiye doğrudan tüzükten değil, sözleşmeden gelir. Banka size belirli hükümleri kabul ettirmek ve sizden belge almak zorundadır.

Sözleşmeden önce: banka sizi nasıl değerlendirir? (madde 28(4))

Banka sözleşme yapmadan önce hizmetin kritik veya önemli bir işlevi destekleyip desteklemediğini değerlendirir, denetim koşullarının sağlanıp sağlanmadığına bakar, BT konsantrasyon riski dahil bütün riskleri belirler, tedarikçi hakkında durum tespiti yapar ve çıkar çatışmalarını değerlendirir. Banka yalnızca uygun bilgi güvenliği standartlarına uyan tedarikçilerle sözleşme yapabilir (madde 28(5)). Soru formu, güvenlik belgeleri ve alt yüklenici bilgisi hazır olmayan tedarikçi bu aşamada elenir.

Denetim hakkı (madde 28(6) ve 30(3)(e))

Banka denetim sıklığını ve alanlarını risk bazlı olarak önceden belirler. Kritik veya önemli işlevlerde sözleşmede sınırsız erişim, inceleme ve denetim hakkı bulunmalıdır; bu hak başka sözleşmelerle kısıtlanamaz.

Banka sözleşmeyi hangi hallerde feshedebilmeli? (madde 28(7))

Sözleşme, bankaya en az şu hallerde fesih hakkı tanımalıdır: tedarikçinin mevzuatı veya sözleşme hükümlerini ciddi şekilde ihlal etmesi; izleme sırasında hizmetin performansını değiştirebilecek durumların ortaya çıkması; tedarikçinin genel BT risk yönetiminde, özellikle verinin erişilebilirliği, gerçekliği, bütünlüğü ve gizliliğinde kanıtlanmış zafiyetler; sözleşme koşulları nedeniyle yetkili makamın bankayı artık etkin biçimde denetleyememesi.

Çıkış planı (madde 28(8))

Kritik veya önemli işlevlerde banka bir çıkış stratejisi kurmak zorundadır: tedarikçinin başarısızlığı, hizmet kalitesinin düşmesi, kesinti veya fesih halinde işini aksatmadan çıkabilmelidir. Çıkış planları yazılı, test edilmiş ve periyodik olarak gözden geçirilmiş olmalıdır. Bankanın çıkış planı, tedarikçinin veri iadesi ve geçiş dönemi taahhütlerine dayanır (madde 30(2)(d) ve 30(3)(f)).

AB dışındaki tedarikçi (madde 29)

Tedarikçi üçüncü ülkede yerleşikse banka ayrıca iflas halinde uygulanacak hukuku ve verinin acil geri alınmasındaki kısıtları, AB veri koruma kurallarına uyumu ve uzun alt yüklenici zincirlerinin izlemeye ve denetime etkisini değerlendirir. Türkiye'de yerleşik bir tedarikçiye veri konumu, iflas halinde veri iadesi ve alt yüklenici zinciri soruları mutlaka gelir.

Sözleşmede bulunması gereken asgari hükümler (madde 30)

Bütün BT hizmetleri için madde 30(2)'nin (a)–(i) bentleri geçerlidir; kritik veya önemli işlevi destekleyen hizmetlerde bunlara ek olarak madde 30(3)'ün (a)–(f) bentleri aranır. DORA tedarikçi için sabit bir olay bildirim süresi yazmaz; süre sözleşmede belirlenir (madde 30(3)(b)). Veri veya hizmet konumu değişikliği önceden bildirilir (madde 30(2)(b)).

Kritik BT sağlayıcıları listesi sizi kapsıyor mu?

Avrupa Denetim Otoriteleri 18 Kasım 2025'te AB düzeyinde doğrudan gözetime tabi kritik BT üçüncü taraf sağlayıcılarının listesini yayımladı. Liste büyük bulut ve platform sağlayıcılarını kapsar. Listede olmayan tedarikçinin yükümlülükleri sözleşme üzerinden gelmeye devam eder.

Sırayla ne yapmalı?

Hizmetlerinizi listeleyin ve müşterinize hangisinin kritik veya önemli işlevi desteklediğini sorun. Alt yüklenicilerinizi ve veri işleme konumlarınızı eksiksiz yazın. Mevcut sözleşmenizi madde 30 listesine göre işaretleyin. Olay bildirim ve destek prosedürünüzü, çıkış ve geçiş planınızı yazılı hâle getirin. Banka soru formlarına vereceğiniz cevapları ve kanıt belgelerini toplayın. Sözleşme müzakeresinden önce hukuki görüş alın.

Nechh Robotics'te durum

Mağazadaki DORA Tedarikçi Hazırlık Kiti bu hazırlık için hazırlanmış bir şablon setidir: madde 30 sözleşme kontrol listesi, olay bildirimi ve destek prosedürü şablonu, çıkış ve geçiş planı şablonu, banka soru formu cevap kütüphanesi ve alt yüklenici ile veri konumu listesi. Hazırlık ve şablon setidir; hukuki danışmanlık, sözleşme incelemesi veya uyum sertifikası değildir.

Kaynak: Tüzük (AB) 2022/2554 (DORA), madde 28, 29 ve 30 — EUR-Lex.

Yayın notu: Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya şirkete özel uyum değerlendirmesi değildir. Nihai karar resmî metne ve gerektiğinde hukuki danışmanlığa dayanır.