DORA uyumunda üç gereksinim alanı öne çıkar: yönetişim, test edilebilir dayanıklılık ve ICT üçüncü taraf riskinin kontrolü. Bu alanlar birbirinden bağımsız değildir. Yönetim kurulunun kritik hizmetleri ve risk iştahını anlamaması, testlerin yanlış önceliklendirilmesine; tedarikçi bağımlılığının görünür olmaması ise kurtarma planlarının gerçekçi olmamasına yol açabilir.
Yönetişim bakımından bilgi teknolojileri ve risk ekipleri arasındaki sınırlar netleştirilmelidir. Yönetim organı, teknoloji riskini yalnızca CIO veya bilgi güvenliği birimine devredilen bir operasyon olarak değil, kurumun finansal ve itibar riskinin bir parçası olarak izlemelidir. Karar tutanakları, risk kabul kayıtları, önemli açıklar ve düzeltme planları düzenli olarak üst yönetime taşınmalıdır.
Test bakımından temel soru “Sistemimiz çalışıyor mu?” değil, “Kritik hizmetimiz kesildiğinde kabul edilebilir sürede nasıl devam eder ve toparlanırız?” olmalıdır. Bu yaklaşım, yedekleme varlığını kontrol etmenin ötesine geçer; yedekten geri dönme süresi, veri kaybı toleransı, manuel çalışma prosedürleri, iletişim planı ve tedarikçi desteği birlikte sınanır.
Üçüncü taraf riskinde sözleşmeler ve operasyonel gerçeklik birlikte değerlendirilmelidir. Hizmet seviyeleri, olay bildirimi, denetim hakkı, alt yüklenici kullanımı, veri konumu, çıkış planı ve hizmet sonlandırma senaryoları açık biçimde düzenlenmelidir. Komisyonun DORA uygulama tasarruflarıyla yükümlülüklerin ayrıntılarını geliştirmesi, sözleşme ve kontrol setlerinin güncel tutulmasını önemli hâle getirir [3].
DORA’nın gerçek başarısı, denetim gününde belge göstermekten çok, kritik bir kesinti sırasında hizmeti kontrollü biçimde sürdürebilmektir. Bu nedenle uyum programı, teknik kontrolleri iş etkisiyle ilişkilendiren ve her test döngüsünde öğrenen bir yönetim sistemi olarak ele alınmalıdır.
# 4. NIS2