DORA Neyi Zorunlu Kılıyor
DORA, Ocak 2025 itibarıyla AB hukuku haline geldi. Bankalar, sigortacılar, yatırım firmaları ve ödeme kuruluşları, kullandıkları her teknoloji tedarikçisinden kaynaklanan riski artık yönetmek zorunda. Üç kural öne çıkıyor.
Zorunlu sözleşme hükümleri (Madde 30). Teknoloji sağlayıcıyla yapılan her sözleşme dört konuyu kapsamalı: denetim hakları, olay bildirimleri, çıkış planları ve performans hedefleri. Bu maddeler isteğe bağlı değil.
Yıllık incelemeler (Madde 28). Firmalar her kritik tedarikçiyi yılda en az bir kez denetlemeli. Tedarikçi, arızası normal işleyişi durduracaksa "kritik" sayılıyor. Uyum görevlerinde kullanılan anonimleştirme araçları bu kapsamda değerlendiriliyor.
Tedarikçi sicili (Madde 28(3)). Firmalar, tüm kritik üçüncü taraf sözleşmelerinin canlı bir listesini tutmak zorunda. Bu listede her tedarikçiye ait güvenlik kayıtları da bulunmalı.
Onlarca tedarikçi için yıllık inceleme yürütmek zaman alıyor. Sıfırdan yapılan tek bir özel inceleme, tahminen tedarikçi başına 40-80 saat sürüyor. 50 kritik tedarikçiye sahip bir Hollanda bankası, yılda 4.000 saate kadar inceleme yüküyle karşı karşıya kalıyor. Bu, tam zamanlı iki çalışanın başka hiçbir şeyle uğraşmadan yalnızca incelemelere odaklandığı anlamına geliyor.
ISO 27001 İnceleme Saatlerini Azaltıyor
ISO 27001 sertifikası, firmalara DORA'nın yıllık inceleme kuralından geçmek için daha hızlı bir yol sunuyor. Sertifikalandırma kuruluşu her yıl bir ara denetim, her üç yılda bir ise tam denetim yapıyor. Sertifikanın bir son kullanma tarihi var; yalnızca yıllık denetimler başarıyla geçildiği sürece geçerliliğini koruyor.
DORA'nın yıllık inceleme kuralı kapsamında bir firma, yılda bir kez tedarikçinin güncel ISO 27001 sertifikasını alıp tarihini kontrol edebilir. Geçerli bir tarih, harici bir denetim kuruluşunun son on iki ayda tedarikçinin 93 güvenlik kontrolünü incelediği anlamına geliyor. Firma bunu tedarikçi siciline kaydediyor. İnceleme tamamlanmış oluyor.
Kazanılan süre somut. Sertifikalı bir anonimleştirme aracını denetleyen Hollanda bankası birkaç saat harcıyor. Aynı inceleme sıfırdan yapıldığında haftalar sürüyor. 20 sertifikalı üçüncü taraf genelinde yıllık tasarruf 1.200 saate ulaşabiliyor. Bu süre başka işlere aktarılabiliyor.
Neden Gizlilik Araçları Kapsam Dahilinde
Gizlilik ve anonimleştirme araçları, bir firma tarafından müşteri verilerini işlemek, GDPR kurallarını karşılamak veya KYC dosyalarını işlemek amacıyla kullanıldığında DORA kapsamına giriyor. Araç devre dışı kaldığında firma GDPR uyumlu çıktı üretemiyorsa, bu araç DORA kapsamında kritik bir üçüncü taraf sayılıyor ve her yıl incelenmesi gerekiyor.
GDPR uyum rehberimiz veri minimizasyonu kurallarını açıklıyor. Sertifikanın uyum yükünü nasıl azalttığı hakkında daha fazla bilgi için ISO 27001 tedarik zinciri uyum değeri ve ISO 27001 tedarikçi değerlendirme kısayolları yazılarını inceleyebilirsiniz.