İlk DORA Büyük Bilgi ve İletişim Teknolojileri Vakası Raporu: Bankalar Neler Öğrenebilir

İlk DORA olay özeti erken dönem kanıt temeli sunar

Haziran 2026'da Avrupa Denetleyici Kurumları, Dijital Operasyonel Dayanıklılık Yasası kapsamında büyük BİT kaynaklı olayların ilk yıllık özetini yayımladı. Bu rapor, yalnızca bir raporlama döngüsünden sonra operasyonel riskin eksiksiz bir resmini sunduğu için değil, Avrupa finans sektörü genelinde uyumlu bir kanıt temeli oluşturmaya başladığı için önemli. Teknoloji kaynaklı olaylar giderek daha fazla birbirine bağlı hale geliyor ve bir sağlayıcıyı etkileyen bir arıza kurumlar, ülkeler ve sektörler arasında yayılabilir.

DORA'nın raporlama çerçevesi bu görünürlüğü artırmak üzere tasarlanmıştır. Tutarlı sınıflandırma ve bildirimler, denetleyicilerin ortak bağımlılıkları tespit etmelerine ve sınır tanımayan olaylara yönelik müdahaleleri koordine etmelerine olanak tanır. Bankalar için pratik fayda, olay yönetimini kurum içinde iyileştirmek için daha güçlü bir temel oluşturmaktır.

Sınıflandırma ve üst yönetime bildirme net olmalıdır

Her teknik sorun büyük bir olay değildir. Bu nedenle kurumlar, personelin rutin operasyonel sorunları üst yönetimin ve düzenleyici kurumların dikkatini gerektiren olaylardan ayırt etmesine olanak tanıyan kriterlere ihtiyaç duyar. Müşteri üzerindeki etki, süre, coğrafi yayılım, finansal kayıp, verilerin tehlikeye girmesi ve hizmetin kritikliği sınıflandırmayı etkileyebilir.

Bu durum teknoloji, risk, uyum ve iş birimleri arasında koordinasyon gerektirir. Teknoloji ekipleri başlangıçtaki arızayı tespit edebilir, ancak iş birimleri müşteri ve operasyonel etkiyi anlar. Uyum ekipleri bildirim yükümlülüklerini yönetirken, iletişim birimlerinin müşterileri ve diğer paydaşları bilgilendirmesi gerekebilir. Sorumluluklar olay gerçekleşmeden önce belirlenmelidir.

Olay müdahalesi kritik hizmetleri korumalıdır

Dayanıklılığın amacı yalnızca teknolojiyi eski haline getirmek değildir. Kritik iş hizmetlerini sürdürmek veya yeniden kurmaktır. Bankaların yedek sistemleri devreye alması, manuel iş akışlarını kullanması, işlemleri uzlaştırması veya müşteriyle olan iletişimini değiştirmesi gerekebilir. Üst yönetim bazen önemli ölçüde belirsizlik altında kararlar almak zorundadır.

Bu nedenle hazırlık önemlidir. Olay planları gerçek bir krizde kullanılabilecek kadar kısa ve öz olmalıdır. Normal sistemler bozulduğunda bile kritik iletişim kişileri, karar verme yetkileri ve yedek iletişim kanalları erişilebilir kalmalıdır. Kurtarma hedefleri teknik çalışma süresinin yanı sıra veri bütünlüğünü ve iş süreçlerinin doğruluğunu da kapsamalıdır.

Olay sonrası inceleme de aynı derecede önemlidir. Temel neden, tespit etkinliği, üst yönetime bildirme, iletişim ve düzeltici faaliyetler sistematik olarak incelenmelidir. Olaydan ders çıkarmadan hizmeti eski haline getiren bir banka operasyonel olarak toparlanmış, ancak kurumsal olarak gelişmemiştir.

Üçüncü taraf riski giderek daha sistemik hale geliyor

İlk DORA özeti, teknoloji riskinin sınır tanımayan doğasını da pekiştiriyor. Finans kuruluşları bulut sağlayıcılarına, yazılım satıcılarına ve diğer harici hizmetlere büyük ölçüde bağımlıdır. Bir banka güçlü iç kontrollerini sürdürürken bir tedarikçinin arızasından da etkilenebilir. Bu nedenle özenli inceleme ve sözleşme yönetimi dayanıklılığı, olay bildirimini ve kurtarma kapasitesini kapsamalıdır.

Yoğunlaşma riski özellikle önemlidir. Bir kritik sağlayıcı çok sayıda kuruma hizmet veriyorsa, bir kesinti sektör geneline yayılan bir olay haline gelebilir. Bu, Avrupa makamlarının DORA kapsamında kritik üçüncü taraf sağlayıcılara daha fazla dikkat göstermesinin nedenlerinden biridir.

Yapay zeka bir boyut daha ekliyor. ESA'lar, giderek daha yetkin hale gelen yapay zeka destekli araçların finans kuruluşlarını siber güvenliği güçlendirmeye teşvik etmesi gerektiğini belirtti. Bu nedenle bankalar, yapay zekayı ayrı bir inovasyon konusu olarak ele almak yerine dayanıklılık senaryolarına yapay zeka bağımlılıklarını ve yapay zeka destekli tehditleri dahil etmelidir.

Yönetim bilgisi kalıplara odaklanmalıdır

Uyumlu raporlama, sektör genelinde öğrenme için de bir fırsat yaratır. Münferit bir banka yalnızca kendi olaylarını görürken, denetleyiciler birçok kurumdaki kalıpları tespit edebilir. Kurumlar bu mantığı kendi içlerinde de uygulamalıdır. Aynı zayıf süreçten kaynaklanan birkaç küçük olay, çarpıcı ancak olağandışı tek bir olaydan daha fazla bilgi verebilir.

Bu nedenle yönetim panelleri yinelenen temel nedenleri, tedarikçi bağımlılıklarını, kurtarma performansını ve süresi geçen düzeltici faaliyetleri içermelidir. Amaç, raporlama yapmak için raporlama yapmak değildir; amaç, birkaç küçük sorun ciddi bir arızaya dönüşmeden önce operasyonel zayıflığı görünür kılmaktır.

Sonuç

İlk DORA olay raporu, kağıt üzerindeki bir düzenleyici çerçeveden gerçek olaylardan elde edilen kanıtlara geçişi simgeliyor. Bankalar artık kendi uygulamalarını sektör genelindeki beklentilerle karşılaştırmak için daha net bir temele sahip. Temel ders, teknoloji kaynaklı arızaların kaçınılmaz olduğu, ancak hazırlığın kalitesinin kesintinin yönetilebilir düzeyde mi kalacağını yoksa krize mi dönüşeceğini belirlediğidir.

eBSI Banking Academy, operasyonel dayanıklılığı modern bankacılık yetkinliğinin bir parçası olarak ele alır. Operasyon, risk, uyum ve yönetim alanlarındaki uzmanlar, dijital kesintilerin kendi rollerini nasıl etkilediğini anlayacak düzeyde bilgiye sahip olmalıdır. DORA, yalnızca kesintiler sırasında değil, kesintiler arasında davranışları değiştirdiğinde en faydalı hale gelir.

Kaynak

Avrupa Bankacılık Otoritesi, “ESAs, DORA kapsamındaki büyük BİT kaynaklı olaylara ilişkin ilk raporu yayımladı”, 3 Haziran 2026.

Olay raporlamanın değeri kolektif öğrenmede yatıyor

Uyumlu bir raporlama çerçevesi, denetleyicilerin hiçbir kurumun tek başına göremeyeceği kalıpları tespit etmesine olanak tanır. Belirli bir tedarikçi türü, kontrol zayıflığı veya saldırı yöntemiyle ilgili yinelenen olaylar, sektör genelinde bir zafiyete işaret edebilir. Zamanla bu kanıtlar denetim önceliklerini etkileyebilir ve finans kuruluşlarının yatırımları en önemli alanlara yönlendirmesine yardımcı olabilir.

Bankalar, her olayı münferit olarak ele almak yerine benzer olay kümelerini analiz ederek aynı ilkeyi kendi içlerinde de uygulamalıdır. Tekrarlanan bir yapılandırma sorunundan kaynaklanan birkaç küçük kesinti, çarpıcı ancak olağandışı tek bir olaydan daha fazla dikkat çekmeyi hak edebilir. Trend analizi, kontrollerin nerede kademeli olarak bozulduğunu ortaya çıkarabilir. Bu nedenle yönetim bilgisi yalnızca dönem içinde bildirilen olay sayısını değil, yinelenen temel nedenleri ve tamamlanmamış düzeltici faaliyetleri de içermelidir.

Raporlamanın kalitesi aynı zamanda kurumsal kültüre bağlıdır. Personel, şeffaflığın bir başarısızlık olarak değerlendirilmesinden korkmadan kıl payı kaçırılan olayları ve ortaya çıkan sorunları bildirmelidir. Performans göstergelerini korumak için küçük olayları gizleyen bir kültür, genellikle daha sonra daha büyük bir olayın meydana gelme olasılığını artırır. DORA çerçeveyi sağlayabilir, ancak dayanıklılık nihayetinde kurum içindeki davranışlara bağlıdır.

Bir sonraki raporlama döngüsüne hazırlanmak

Bankalar, ilk yıllık özeti kendi olay verilerinin kalitesini gözden geçirmek için bir hatırlatıcı olarak kullanmalıdır. Sınıflandırmalar tutarsızsa veya temel nedenler yüzeysel olarak kaydedilmişse, kurum DORA'nın yaratmayı amaçladığı öğrenme değerinin büyük bir kısmını kaybeder. Bu nedenle kurum içi sınıflandırma sistemleri, zaman içinde anlamlı trend analizlerine olanak tanıyacak kadar tutarlı bir şekilde uygulanmalıdır.

Kurumlar ayrıca düzenleyici raporlamanın, kilit personeli operasyonel kurtarma faaliyetlerinden uzaklaştırmadan tamamlanıp tamamlanamayacağını da test etmelidir. En iyi düzenlemeler, bildirim için gereken bilgilerin daha sonra yeniden oluşturulmak yerine müdahale sürecinin bir parçası olarak kaydedilmesine olanak tanır. Bu durum mükerrerliği azaltır ve doğruluğu artırır.