DORA Bilgi Kaydı: ne kaydedilmeli, kuruluşlar nerede zorlanıyor?

Dijital Operasyonel Dayanıklılık Yasası (DORA, Tüzük (AB) 2022/2554) 17 Ocak 2025'ten bu yana uygulanmaktadır. Getirdiği pek çok yükümlülük arasında Bilgi Kaydı (Register of Information), en az dikkat çekenlerden biri olmasına karşın en önemlilerinden biridir. İlk bakışta bir sözleşme envanteri gibi görünebilir. Uygulamada ise denetim otoritelerinin, finansal kuruluşların BİT hizmet sağlayıcılarına ne ölçüde bağımlı olduğunu görmek için kullandığı veri setidir. Avrupa düzeyinde üç Avrupa Denetim Otoritesi (ESA'lar: EBA, EIOPA, ESMA), kritik BİT üçüncü taraf hizmet sağlayıcılarını (CTPP) belirlerken bu kaydı esas almıştır. Yetkili otoriteler ilk kayıtları 30 Nisan 2025'e kadar ESA'lara iletmiştir. ESA'lar 18 Kasım 2025'te, kısmen bu verilere dayanarak belirlenen 19 CTPP'nin listesini yayımlamıştır.

Bu nedenle Bilgi Kaydı, uygulayıcılar açısından iki yönden önem taşır. Birincisi, bir kuruluşun kendi verileri, denetim otoritesinin o kuruluşun üçüncü taraf riskini nasıl değerlendirdiğini belirler. İkincisi, bu veriler diğer tüm kuruluşların verileriyle birleştiğinde, en büyük sağlayıcıları kapsayan gözetim rejimini de şekillendirir. Zayıf veri her ikisini de zayıflatır. AB'de bağlı ortaklığı veya faaliyeti bulunan Türk finans grupları ile AB'deki finansal kuruluşlara hizmet veren Türk BİT sağlayıcıları da bu ilişkiler üzerinden söz konusu yükümlülüklerden etkilenebilir.

Kayıt altına alınması gerekenler

DORA'nın 28(3). maddesi, finansal kuruluşların BİT üçüncü taraf hizmet sağlayıcılarından alınan BİT hizmetlerinin kullanımına ilişkin tüm sözleşmesel düzenlemeleri içeren bir Bilgi Kaydı tutmasını ve güncel tutmasını zorunlu kılar. Kayıt kuruluş düzeyinde, gruplar için ise ayrıca alt konsolide ve konsolide düzeyde tutulur. Kritik veya önemli fonksiyonları (critical or important functions) destekleyen düzenlemeler, diğer tüm düzenlemelerden ayrı gösterilmelidir. Kuruluşlar bu düzenlemeleri en az yılda bir kez yetkili otoritelerine raporlar ve talep edilmesi hâlinde kaydın tamamını sunmak zorundadır.

DORA, kritik veya önemli fonksiyonu geniş bir çerçevede tanımlar. Bu, aksaması hâlinde kuruluşun finansal performansını ya da hizmetlerinin sağlamlığını veya sürekliliğini önemli ölçüde bozacak bir fonksiyondur. Tanım, aksaması kuruluşun yetkilendirme koşullarını veya finansal hizmetler mevzuatından doğan diğer yükümlülüklerini yerine getirme kabiliyetini önemli ölçüde bozacak fonksiyonları da kapsar. BİT hizmetleri de geniş tanımlanmıştır: BİT sistemleri aracılığıyla sürekli olarak sunulan dijital ve veri hizmetleri. Buna hizmet olarak donanım (hardware as a service) da dahildir.

Ayrıntılar, Komisyon Uygulama Tüzüğü (AB) 2024/2956'da yer alır. Tüzük 29 Kasım 2024 tarihlidir, 2 Aralık 2024'te Resmî Gazete'de (Official Journal) yayımlanmış ve 22 Aralık 2024'te yürürlüğe girmiştir. Tüzük, B_01.01 ile B_07.01 arasında numaralandırılmış bir standart şablon seti ile terminolojiyi ve kapalı listeleri içeren son bir B_99.01 şablonunu belirler. Kısaca şablonlar şu bilgileri kapsar:

• raporlayan kuruluş, konsolidasyon kapsamındaki kuruluşlar ve kuruluşun merkez ülkesi dışındaki şubeleri;
• her bir sözleşmesel düzenleme ve grup içi düzenlemeler ile bunların arkasındaki dış sözleşmeler arasındaki bağlantılar;
• her sözleşmeyi kimin imzaladığı, her hizmeti kimin kullandığı ve hizmeti hangi BİT sağlayıcısının sunduğu;
• alt yükleniciler ve bunların zincirdeki sıraları dahil olmak üzere BİT hizmet tedarik zinciri;
• kuruluşun fonksiyonları ve bu fonksiyonları hangi BİT hizmetlerinin desteklediği;
• kritik veya önemli fonksiyonları destekleyen hizmetlere ilişkin, ikame edilebilirlik (substitutability) gibi konuları da içeren bir değerlendirme.

Uygulama tüzüğündeki iki hüküm özel dikkat gerektirir:

• Tanımlayıcılar. Tüzel kişi niteliğindeki her BİT sağlayıcısı, geçerli ve aktif bir Tüzel Kişi Tanımlayıcı (LEI) veya Avrupa Benzersiz Tanımlayıcı (EUID) ile, her ikisi de mevcutsa her ikisiyle birlikte tanımlanmalıdır.
• Alt yükleniciler. Kayıt, doğrudan sağlayıcılardan alınan tüm BİT hizmetlerini kapsamalıdır. Ayrıca kritik veya önemli fonksiyonları ya da bunların önemli kısımlarını destekleyen hizmetlere fiilen dayanak oluşturan her alt yükleniciyi de kapsamalıdır. Kuruluş, bu alt yüklenicilerin tanımlayıcılarını doğrudan sağlayıcısı aracılığıyla temin etmelidir.

ESA'ların Sıkça Sorulan Sorular (FAQ) dokümanı, grup içi sağlayıcıların da kapsamda olduğunu belirtir. Grup içi hizmetlerde kuruluşlar, kritik veya önemli bir fonksiyon söz konusu olmasa bile, grup dışındaki en az ilk alt yükleniciyi kaydetmelidir.

Kuruluşların uygulamada zorlandığı alanlar

Veri kalitesi. ESA'lar 2024'te gönüllü bir deneme çalışması (dry run) yürütmüş ve 947 kaydı analiz etmiştir. Bunların yalnızca %6,5'i tüm veri kalitesi kontrollerini geçebilmiştir. Hataların büyük çoğunluğu eksik zorunlu bilgilerden kaynaklanmıştır. En sık görülen eksiklik, BİT sağlayıcılarına ve bunların ana şirketlerine ait tanımlayıcıların bulunmamasıdır. Hataların çoğu esasa değil teknik konulara ilişkindir: yanlış dosya adları ve paket yapıları, tablolar arasındaki kopuk bağlantılar, mükerrer anahtarlar ve hatalı biçimlendirilmiş CSV dosyaları. Bu tür hatalar da bir gönderimin doğrudan reddedilmesine yol açabilir. Denetim otoriteleri çıtanın yükseldiğinin de sinyalini vermiştir. Lüksemburg denetim otoritesi CSSF, 2026 veri toplama dönemi öncesinde kuruluşları uyarmıştır: ESA'lar doğrulama kurallarını artık daha fazla veri alanına uygulamaktadır. Dolayısıyla 2025'te kabul edilen bir kayıt 2026'da reddedilebilir.

Tanımlayıcılar. Deneme çalışmasında geçersiz LEI'ler dikkat çekici bir hata kategorisi oluşturmuştur. Bunun nedeni çoğu zaman LEI yerine ulusal sicil numaralarının girilmesidir. ESA'ların test gözlemleri, önlenebilir EUID hatalarına da yer verir. Örneğin EUID alanına LEI girilmesi veya EUID'lerin yanlış formatta girilmesi. AB dışındaki sağlayıcıların ve kuruluşa birkaç halka uzaklıktaki alt yüklenicilerin tanımlayıcılarını temin etmek ise daha da zordur.

Hizmetlerin fonksiyonlarla eşleştirilmesi. Kayıt, her BİT hizmeti ile desteklediği fonksiyonlar arasında savunulabilir bir bağlantı kurulmasını gerektirir. Deneme çalışmasında, sözleşme düzeyindeki ayrıntıları içeren şablonda fonksiyon tanımlayıcıları ve hizmet türleri sıklıkla eksikti. Bu eksiklik genellikle daha temel bir soruna işaret eder: Kuruluş, kritik veya önemli fonksiyonlar listesini satın alma ve BT ekiplerinin kullanabileceği bir biçimde üzerinde uzlaşarak belgelememiştir.

Alt yüklenici zincirleri. Kuruluşlar, önemli alt yüklenicilerin bildirilmesi konusunda doğrudan sağlayıcılarına bağımlıdır. Sağlayıcılar bu bildirimi her zaman zamanında veya tutarlı biçimde yapmaz. Eski sözleşmeler ise kuruluşa bu bilgiyi talep etme hakkı hiç tanımıyor olabilir.

Sahiplik. Gerekli veriler en az üç farklı yerde bulunur. Sözleşmeler satın alma biriminde, hizmet ve varlık bilgileri BT'de, fonksiyon değerlendirmeleri ise risk veya operasyonel dayanıklılık ekiplerindedir. Kaydın uçtan uca bir sahibi yoksa, kayıt her yıl son tarihten hemen önce bir elektronik tabloda yeniden oluşturulma eğilimindedir.

İyi bir kanıt seti nasıl görünür

Denetim otoritesinin incelemesine dayanabilecek bir kayıt genellikle şu unsurları ortaya koyar:

1. Belirlenmiş bir sahip. Satın alma, BT, hukuk ve risk birimlerinden belgelenmiş katkı alan ve her gönderimden önce onay veren tek bir hesap verebilir sahip.
2. Fonksiyonlar için belgelenmiş bir dayanak. Her sınıflandırmanın gerekçesini içeren, iş sürekliliği ve etki analizi çalışmalarıyla tutarlı tutulan, onaylanmış bir kritik veya önemli fonksiyonlar listesi.
3. Doğrulanmış tanımlayıcılar. Resmî kaynaklara (GLEIF ve AB ticaret sicilleri) karşı doğrulanmış LEI ve EUID'ler; istisnaların kaydı ve sağlayıcılarla yürütülen takip.
4. Alt yüklenici verilerine yönelik sözleşme hükümleri. Sağlayıcıları önemli alt yüklenicileri bildirmeye ve bu bilgiyi güncel tutmaya zorunlu kılan standart hükümler ile eski sözleşmelerin yenileme sırasında değiştirilmesine yönelik bir plan.
5. Gönderim öncesi doğrulama. ESA'ların yayımladığı doğrulama kurallarının ve teknik paketin gönderimden önce çalıştırılması; tespit edilen ve giderilen hataların kaydı.
6. Yıl boyunca güncelleme. Yıllık bir veri toplama çalışması yerine, tedarikçi kabulü (onboarding), yenileme, değişiklik ve çıkış süreçleriyle tetiklenen güncellemeler.
7. Net bir grup raporlama yolu. Gruplar için hangi kuruluşun hangi düzeyde raporlama yaptığına dair belgelenmiş bir tutum ve kuruluş düzeyindeki verilerin konsolide kayıtla örtüştüğünü teyit eden kontroller.

Sonuç

Bilgi Kaydı'nı sıradan bir raporlama yükü olarak görmek kolaydır, ancak denetim otoriteleri ona bu gözle bakmıyor. Kayıt, otoritelerin sektör genelindeki yoğunlaşma riskini görme aracıdır ve CTPP belirlemeleri bunun somut sonuçları olduğunu göstermektedir. Kaydı BİT bağımlılıklarının yaşayan bir kaydı olarak kullanan kuruluşlar, onu hem sunmayı hem de savunmayı daha kolay bulacaktır. Kaydı her yıl elektronik tablolarda yeniden oluşturan kuruluşlar ise 2024 deneme çalışmasının ortaya koyduğu tanımlayıcı, alt yüklenici ve fonksiyon eşleştirme eksiklikleriyle karşılaşmaya devam edecektir.