Finansal sektör için dijital operasyonel dayanıklılığa ilişkin ve (AT) 1060/2009, (AB) 648/2012, (AB) 600/2014, (AB) 909/2014 ve (AB) 2016/1011 sayılı Tüzükleri tadil eden 14 Aralık 2022 tarihli ve (AB) 2022/2554 sayılı Avrupa Parlamentosu ve Konsey Tüzüğü, 27 Aralık 2022 tarihinde Avrupa Birliği Resmî Gazetesi'nde yayımlanmıştır. Direktif niteliğinde olmayan bu düzenleme tüm AB üye devletlerinde doğrudan uygulanabilir ve bağlayıcıdır. Düzenlemenin 16 Ocak 2023 tarihinde yürürlüğe girdiği ve 17 Ocak 2025 tarihinden itibaren uygulanmaya başlayacağı belirtilmekle birlikte, yeni kuralların 17 Ocak 2025 tarihinde yürürlüğe gireceği iki yıllık bir uygulamaya koyma dönemi içerdiği de ifade edilmektedir.
Gelişim Süreci ve Temel Amaçlar
Avrupa Komisyonu, 24 Eylül 2020 tarihinde dijital finans stratejisi, perakende ödemeler stratejisi ile kripto varlıklar ve dijital operasyonel dayanıklılığa ilişkin mevzuat önerilerini içeren yeni bir dijital finans paketini kabul etmiştir. Bu dijital finans paketinin bir parçası olarak Dijital Operasyonel Dayanıklılık Yasası'nın ilk taslağı yayımlanmıştır.
Düzenlemenin temel amacı, çeşitli AB yasal düzenlemelerinde ayrı ayrı ele alınan operasyonel risk gerekliliklerinin bir parçası olarak BİT risk gerekliliklerini birleştirmek ve geliştirmektir.
Düzenleme Alanları ve Operasyonel Dayanıklılık Temelleri
En üst düzeyde bir ortak dijital operasyonel dayanıklılık seviyesine ulaşmak amacıyla düzenleme; finansal kuruluşlar için uygulanacak gereklilikleri, BİT üçüncü taraf hizmet sağlayıcıları ve finansal kuruluşlar arasında yapılan sözleşmelere ilişkin gereklilikleri, kritik BİT üçüncü taraf hizmet sağlayıcıları için gözetim çerçevesinin oluşturulması ve yürütülmesine ilişkin kuralları ve yetkili makamlar arasında işbirliğine ve denetim ile uygulamaya ilişkin kuralları belirler.
Finansal kuruluşların operasyonlarının her seviyesinde dijital dayanıklılığın temin edilmesi hedeflenmektedir. Bu doğrultuda BİT risk yönetimi, BİT ile ilgili olay raporlama ve bildirim, operasyonel veya güvenlik ödemesiyle ilgili olay raporlama, dijital operasyonel dayanıklılık testi, bilgi ve istihbarat paylaşımı ile BİT üçüncü taraf risk yönetimi temelleri esas alınır.
Kapsam ve Orantılılık İlkesi
Düzenleme madde 2 uyarınca kredi ve ödeme kuruluşları, hesap bilgisi hizmet sağlayıcıları, elektronik para kuruluşları, yatırım firmaları, kripto varlık hizmet sağlayıcıları, alternatif yatırım fonlarının yöneticileri, veri raporlama hizmet sağlayıcıları, sigorta ve reasürans teşebbüsleri, sigorta aracıları, reasürans aracıları ve tali sigorta aracıları, kredi derecelendirme kuruluşları, kitle fonlaması hizmet sağlayıcıları gibi finansal kuruluşların yanı sıra BİT üçüncü taraf hizmet sağlayıcıları için de uygulama alanı bulur. Bununla birlikte kapsam bakımından bazı muafiyetler de belirlenmiştir.
Finansal kuruluşlar; büyüklüklerini, genel risk profillerini, faaliyetlerinin ve operasyonlarının niteliğini, ölçeğini ve karmaşıklığını göz önünde bulundurarak kuralları orantılılık ilkesine uygun şekilde uygular.
BİT Risk Yönetim Çerçevesi ve Yönetim Organının Rolü
Mevzuat, yönetim organının nihai sorumluluğu ve hesap verebilirliğine dayalı olarak tüm BİT risklerinin etkili ve tedbirli bir şekilde yönetilmesini sağlama yükümlülüğü ile BİT risk yönetimine ilişkin sorumlulukları genişletmektedir.
Madde 6/1 uyarınca finansal kuruluşlar, genel risk yönetim sistemlerinin bir parçası olarak kapsamlı ve belgeye dayalı bir BİT risk yönetim çerçevesine sahip olmalıdır. İlgili kurumun yönetim organı bu risk yönetim çerçevesine ilişkin gerekli düzenlemeleri tespit etmek, onaylamak, denetlemek ve uygulamaktan sorumludur. Bu sorumluluğun amaçları doğrultusunda politikalar, prosedürler, stratejiler, protokoller ve araçlar uygulamaya konulmalı; BİT ile ilgili tüm işlevler için roller net bir şekilde belirlenmeli; iletişim ve koordinasyon için uygun yönetişim sistemi oluşturulmalı ve yeterli güvenilirlik, kapasite ve dayanıklılık sağlamak için bunların uygulanması periyodik olarak gözden geçirilmelidir.
Söz konusu çerçeve finansal kuruluşlar için üçüncü taraf hizmetlerine ilişkin riskleri değerlendirme, BİT üçüncü taraf hizmet sağlayıcılarına bağımlı olan tüm süreçleri belirleme ve belgelendirme ile bu taraflarla yapılan anlaşmaları gözden geçirme gibi yükümlülükler de öngörmektedir.
Basitleştirilmiş Risk Yönetimi Rejimi
Risk yönetimi çerçevesine ilişkin 5 ila 15. maddeler; küçük ve birbirine bağlı olmayan yatırım firmalarına, diğer AB kanunları kapsamında muaf tutulan bazı ödeme ve elektronik para kuruluşlarına ve mesleki emeklilik provizyonu için küçük kuruluşlara uygulanmaz. Madde 16, bu tür kurumlar için basitleştirilmiş bir BİT risk yönetimi çerçevesi öngörerek kurallar ve yükümlülükler belirlemektedir.
Dayanıklılık Testleri ve Olay Bildirim Süreçleri
Finansal kuruluşlar, güvenlik açıkları, eksiklikleri ve boşlukları belirlemek için bir dijital operasyonel dayanıklılık test programı oluşturmalı, bu programı uygulamalı ve gözden geçirmelidir. BİT ile ilgili olayların çözümüne yönelik düzeltici önlemler derhal uygulamaya koyularak risklere karşı hazırlıklı olunmalı ve finansal kuruluşların kritik işlevlerini destekleyen tüm BİT sistemleri ve uygulamaları periyodik olarak test edilmelidir. Belirli bazı kuruluşların ise tehdit odaklı sızma testi aracılığıyla ileri düzey testlere tabi tutulduğu belirtilmektedir.
Üçüncü bölümde belirtilen gerekliliklere göre, finansal kuruluşlar BİT ile ilişkili olayları ve siber tehditleri tespit etmek, yönetmek ve bildirmek için belirli kurallara ve kriterlere uyarak bir olay yönetim süreci oluşturmalı ve uygulamalıdır. Bu süreç, BİT ile ilgili önemli olayların ve siber tehditlerin kaydedilmesine ve izleme yoluyla bunların meydana gelmesinin önlenmesine hizmet eder. Önemli nitelikte bir BİT vakasının müşterilerin finansal çıkarları üzerinde bir etkisi olması durumunda finansal kuruluşlar müşterileri olay ve olumsuz etkiyi azaltmak için alınan önlemler hakkında bilgilendirmelidir. Önemli olarak değerlendirilen BİT ile ilişkili bir olayın yetkili makamlara bildirilmesi ise bir zorunluluk olarak düzenlenmiştir.
BİT ilişkili olayların sınıflandırılmasına dair kriterler, aksaklıkları bildirmek için önem eşikleri ve olay raporlamasına ilişkin zaman sınırları düzenleyici teknik standartlarda belirlenecektir. BİT risk yönetimi, BİT ile ilgili önemli olay raporlaması, testler ve BİT üçüncü taraf riskinin sağlıklı bir şekilde izlenmesine yönelik temel gerekliliklerle ilgili olarak da düzenleyici teknik standartlar geliştirilecektir. ESA'ların 17 Temmuz 2024 tarihine kadar çeşitli gerekliliklere ilişkin taslak teknik standartları Komisyon'a sunması öngörülmüştür. Komisyon ve ESA'lar, bu standartların ve gerekliliklerin tüm finansal kuruluşlar tarafından büyüklükleri, genel risk profilleri, hizmetlerinin, faaliyetlerinin ve operasyonlarının ölçeği ve karmaşıklığı ile orantılı şekilde uygulanabilmesini temin edecektir.
Üçüncü Taraf Sağlayıcı Sözleşmeleri ve Denetim
Finansal kuruluşların, BİT üçüncü taraf hizmet sağlayıcılar tarafından sağlanan BİT hizmetlerinin kullanımına ilişkin tüm sözleşmesel düzenlemelere ilişkin kayıt tutması ve güncellemesi gerekir. Sözleşmelerde yer alması gereken unsurlar belirlenmiş olup tam hizmet tanımları, bildirim süreleri, hizmet sağlayıcıların raporlama yükümlülükleri, izleme hakkı ve çıkış stratejileri bu hükümlere örnek gösterilmektedir. Düzenleme ayrıca AB dışında yerleşik üçüncü taraf sağlayıcıların bir AB üye devletinin yasalarına tabi olmasını sağlamak gibi ek gereklilikler de öngörmektedir.
Bir BİT sağlayıcısı kritik bir üçüncü taraf sağlayıcı olarak belirlenmemiş olsa bile, finansal kuruluşlarla sözleşme yapan BİT sağlayıcılarının mevcut sözleşme hükümlerini ve eklerini emredici hükümleri gözeterek gözden geçirmesi ve herhangi bir güncellemenin gerekli olup olmadığını belirlemesi gerekecektir.
Finansal hizmetlerin sağlanmasının istikrarı, sürekliliği veya kalitesi üzerindeki sistemik etki ve finansal kuruluşların kritik işlevlerle ilgili olarak sağlanan hizmetlere olan bağımlılığı, kritik sağlayıcı belirlemesinde dikkate alınacak kriterler arasındadır. Belirlenen kritik BİT üçüncü taraf hizmet sağlayıcıları, ESA'lar tarafından atanan bir baş denetmenin doğrudan düzenleyici gözetimine tabi olur. Baş denetmen, her bir kritik hizmet sağlayıcının finansal kuruluşlar için oluşturabileceği riskleri yönetmek için kapsamlı, sağlam ve etkili kurallara, prosedürlere ve mekanizmalara sahip olup olmadığını inceler.
Sık Sorulan Sorular
DORA bir direktif midir ve doğrudan uygulanabilir mi?
DORA bir direktif niteliğinde değildir; bu nedenle tüm AB üye devletlerinde doğrudan uygulanabilir ve bağlayıcıdır.
Düzenlemenin yürürlük ve uygulama takvimi nasıl belirlenmiştir?
Düzenlemenin 16 Ocak 2023 tarihinde yürürlüğe girdiği ve 17 Ocak 2025 tarihinden itibaren uygulanmaya başlayacağı belirtilmekle birlikte, yeni kuralların 17 Ocak 2025 tarihinde yürürlüğe gireceği iki yıllık bir uygulamaya koyma dönemi içerdiği de ifade edilmektedir.
Müşterilerin BİT olayları hakkında bilgilendirilmesi hangi şartta gerekir?
Önemli nitelikte bir BİT vakasının müşterilerin finansal çıkarları üzerinde bir etkisi olması durumunda, finansal kuruluşlar müşterileri olay ve olumsuz etkiyi azaltmak için alınan önlemler hakkında bilgilendirmelidir.
Kritik olmayan BİT sağlayıcılarının sözleşmelerini gözden geçirmesi gerekir mi?
Kritik üçüncü taraf sağlayıcı olarak belirlenmemiş olsa dahi, finansal kuruluşlarla sözleşme yapan BİT sağlayıcılarının mevcut sözleşme hükümlerini ve eklerini emredici kuralları gözeterek gözden geçirmesi ve güncelleme gerekip gerekmediğini belirlemesi gerekecektir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy