DORA nedir, backup'lardan ne ister
DORA (Digital Operational Resilience Act), AB'nin 2022/2554 sayılı Tüzüğü. 17 Ocak 2025'ten beri bankalar, sigortacılar, yatırım ve ödeme kuruluşları gibi AB'deki finansal kurumlara doğrudan uygulanıyor. Çoğu finansal kurum için backup'ları Madde 12 düzenler: veri kritikliğine veya gizliliğine göre kapsamı ve sıklığı belirlenmiş yazılı backup politikaları, belgelenmiş restore yöntemleri, periyodik test, kurum kendi sistemleriyle restore ediyorsa kaynaktan ayrılmış BT sistemleri ve fonksiyon bazında RTO ile RPO. Genel bir sayısal RTO koymaz. Immutable, air gap ve ransomware kelimeleri metinde hiç geçmez.
Not: Bu yazı Tüzüğün mühendislik okumasıdır ve hukuki görüş yerine geçmez. Uyumlu olup olmadığınıza kurumunuz, hukukçularınız ve yetkili otoriteniz karar verir.
Kapsam
DORA, 2022/2554 sayılı Tüzük olarak yayımlandı ve Madde 64 uyarınca 17 Ocak 2025'ten beri uygulanıyor. Madde 2(1) kredi kuruluşlarını, ödeme ve elektronik para kuruluşlarını, yatırım kuruluşlarını, sigorta şirketlerini, işlem platformlarını, merkezi saklama kuruluşlarını (CSD), merkezi karşı tarafları (CCP) ve diğer finansal kurumları kapsar. DORA'nın resmî Türkçe metni yok. Alıntıları İngilizce metinden biz çevirdik. Bağlayıcı olan, AB dillerindeki metinler.
Backup yükümlülükleri Madde 12'de ve BT risk yönetimine ilişkin teknik düzenleyici standartlarda (RTS), yani 2024/1774 sayılı Yetki Devrine Dayanan Tüzük'te. Mikro işletmeler (Madde 3(60)) bazı yükümlülüklerden muaf. Madde 16'daki sadeleştirilmiş çerçeveye tabi kurumlar, örneğin küçük ve bağlantısız yatırım kuruluşları, Madde 12'nin dışında kalır. Yine de kritik veya önemli fonksiyonların sürekliliği için "yedekleme ve geri yükleme tedbirleri" bulundurmak ve bunları "düzenli olarak" test etmek zorundalar.
Madde 12'nin Veeam kontrollerine karşılığı
İlk sütundaki tırnak içi ifadeler DORA metinlerinden. Kontrol ve kanıt sütunları, Veeam Backup & Replication 13 için bizim yorumumuz. Her satırı doldurmak bir kurumu uyumlu yapmaz.
| Gereksinim | Dayanak | Veeam kontrolü | Kanıt |
|---|---|---|---|
| Kapsam ve asgari sıklığın "bilginin kritikliğine veya verinin gizlilik düzeyine göre" belirlenmesi | 12(1)(a) | Schedule ve retention veri sınıfına göre farklı; kapsamdaki her workload bir job'da | Yazılı politika; job envanteriyle mutabakatı yapılmış varlık envanteri |
| "Geri yükleme ve kurtarma prosedürleri ve yöntemleri" | 12(1)(b) | Her workload tipi için runbook: tam VM, Instant Recovery, application item, veritabanı | Sürümlü, sahibi belli runbook'lar |
| Devreye almanın "ağ ve bilgi sistemlerinin güvenliğini" tehlikeye atmaması | 12(2) | Restore edilen sistemin ağa dönmeden önce doğrulanması veya taranması, örneğin Secure Restore ile | Her recovery için tarama veya doğrulama sonucu |
| "Periyodik olarak" yapılan test | 12(2) | Zamanlanmış SureBackup doğrulaması ve kritik sistemlerde gerçek restore | Tarihli raporlar: restore point, süre, sonuç |
| Restore'un "kaynak BT sisteminden fiziksel ve mantıksal olarak ayrılmış" sistemlerde yapılması | 12(3) (bizim okumamız) | Kendi credential'ları olan izole bir recovery ortamı | Ağ şemaları; firewall kuralları; credential envanteri |
| Restore sistemlerinin "her türlü yetkisiz erişime veya BT bozulmasına karşı" güvenli biçimde korunması | 12(3) (bizim okumamız) | Backup sunucusunda MFA ve four-eyes authorization; production domain'i dışındaki repository'ler | Rol atamaları; access review kayıtları |
| "Yedekli BT kapasiteleri" (mikro işletmeler hariç) | 12(4) | İkinci bir lokasyona veya sağlayıcıya backup copy, restore edileni çalıştıracak compute ile | Kapasite planı; copy job geçmişi |
| "Her fonksiyon için" RTO ve RPO | 12(6); RTS 4(2)(b)(vi) | Job sıklığı RPO'dan türetilir; restore hızı ölçülüp RTO ile karşılaştırılır; ikisi de varlık bazında kayıtlı | İş etki analizi (BIA); restore point yaşı raporu; production ölçeğinde tam restore (SureBackup açılışı ve uygulama kontrollerini gösterir, RTO'yu göstermez) |
| "Gerekirse çoklu kontroller ve mutabakatlar dahil, gerekli kontroller" | 12(7) | "VM açıldı"nın ötesinde, uygulama seviyesinde mutabakat | Mutabakat kayıtları |
| Key'lerin "kaybolduğunda" değiştirilebilmesi | RTS 7 | Backup encryption parolalarının backup sunucusu dışında saklanması ve geri alınabilmesi | Key envanteri; kurtarılan key ile yapılmış restore testi |
| Logların "kurcalamaya, silinmeye ve yetkisiz erişime karşı" korunması | RTS 12(2)(d) | Backup loglarının backup admin'inin değiştiremeyeceği bir yerde tutulması | Log deposunun access listesi |
Not: Madde 12(3), kopyaların durduğu yere göre değil, restore için kullanılan sistemlere göre yazılmış. EIOPA'nın DORA038 numaralı Q&A'ya verdiği bağlayıcı olmayan cevap bu okumayla uyumlu, ama konuyu kesin olarak çözmüyor. Bu okumanın iki pratik sonucu var. Bir sağlayıcının sistemlerinde yapılan restore (DRaaS) "own systems" sayılmaz ve Madde 28 ile 30 arasındaki üçüncü taraf kurallarına girer. Backup kopyalarını ayrı tutmanın dayanağı da Madde 9(3)(b), Madde 12(4) ve RTS Madde 26(2) üzerinden daha sağlam kurulur. Fıkranın ikinci cümlesi, restore için kullanılan backup sunucusunu ve repository'leri de kapsayacak şekilde makul olarak okunabilir. Tabloda bu yüzden onlara uyguluyoruz.
Test
- Yıllık plan testleri. Madde 12(2) yalnızca "periyodik" der. Madde 11(6) plan testlerini "en az yılda bir" ister ve mikro işletmeler dışındaki kurumlar bu testlere "yedeklere ve yedekli tesislere" geçişleri de koyar. RTS Madde 25(2) failback'i ekler: testler "normal işleyişin yeniden sağlanıp sağlanamayacağını" doğrular.
- Bağımsız testler. Madde 24(6), mikro işletmeler dışındaki kurumların kritik veya önemli fonksiyonları destekleyen tüm BT sistemlerini ve uygulamalarını "en az yılda bir" test etmesini ister. Madde 24(4) bu testleri "iç veya dış, bağımsız taraflara" yaptırır. Kritik bir fonksiyonu koruyan backup sunucusunu da bu kapsamda okuyoruz.
- TLPT. Tehdit odaklı sızma testi (Madde 26) yalnızca yetkili otoritenin belirlediği kurumlara uygulanır.
Olay bildirimi
Backup'ları hedef alan bir ransomware saldırısı, DORA'nın olay kurallarına (Madde 17 ile 23 arası) girer. 2024/1772 sayılı Yetki Devrine Dayanan Tüzük'e göre önemlilik eşiklerinden biri, kritik veya önemli fonksiyonları destekleyen BT hizmetlerinde "2 saati aşan hizmet kesintisi". Büyük bir olay, 2025/301 sayılı Yetki Devrine Dayanan Tüzük'ün takvimini başlatır. İlk bildirim sınıflandırmadan sonra 4 saat içinde ve olaydan haberdar olunduktan sonra en geç 24 saat içinde yapılır. Ara rapor ilk bildirimden sonra 72 saat içinde, nihai rapor da son ara rapordan sonra bir ay içinde gelir. RTO'ları bu takvimi bilerek belirleyin.
Backup ve depolama sağlayıcıları
Bir backup SaaS, S3 uyumlu bir depolama hizmeti veya Veeam'i işleten bir MSP, Madde 3(19)'daki "ICT third-party service provider"dır. Kurum ise Madde 28(1)(a) uyarınca "her zaman tam sorumlu" kalır. Sözleşmeyi bilgi kaydına (register of information) işleyin (Madde 28(3), şablonlar 2024/2956 sayılı Uygulama Tüzüğü'nde). Sözleşmenin "depolama konumu"nu yazdığından ve iflas, çözümleme, faaliyetin durması veya fesih hâlinde verinin "kolay erişilebilir bir formatta erişimini, kurtarılmasını ve iadesini" düzenlediğinden emin olun (Madde 30(2)). Yoğunlaşma riskini de değerlendirin (Madde 29(1)). Backup'ları production ile aynı sağlayıcıda tutmak, 12(4)'ün sağlaması beklenen yedekliliği zayıflatır.
Not: S3 compliance mode'da kilitli bir version'ın "retention period can't be shortened", yani retention süresi kısaltılamaz. Sağlayıcıdan ayrılmak, veriyi dışarı kopyalamak demek. Kilitli asıl kopyalar retention bitene kadar yerinde kalır.
DORA'nın söylemedikleri
DORA'nın ve 2024/1774 sayılı RTS'nin AB Resmî Gazetesi'ndeki İngilizce metinlerini taradık. İkisinde de "immutable", "air gap", "offline", "WORM", "3-2-1" veya "ransomware" geçmiyor.
- Çoğu kurum için 2 saatlik RTO yok. Sayısal hedefi yalnızca CCP'ler, CSD'ler ve işlem platformları alır (RTS Madde 24). Diğer 2 saat, yukarıdaki bildirim eşiği.
- Air gap kuralı yok. Tablonun altındaki nota bakın.
- Tek bir depolama özelliği uyum sağlamaz. Immutability (hardened repository veya Veeam üzerinden Object Lock), "verinin bozulması veya kaybı riskini en aza indirmeyi" isteyen Madde 9(3)(b)'ye hizmet eder. Bu, bir fıkranın bir kısmı için kanıttır. Politika, testler, ayrım ve sözleşmeler geri kalanı. Lock'un gerçekten tutup tutmadığı ayrı bir soru. Bunu immutable backup'ların gerçekten immutable olduğunu kanıtlamak yazımızda anlatıyoruz. Monitoring, Madde 10'a hizmet eder. 3-2-1-1-0 kuralı bu kontrolleri düzenler, ama DORA ondan söz etmez.
"Periyodik", "yeterli" ve "zamanında" gibi temel kavramlar tanımsız. Madde 4 kuralları orantılı kılar. Küçük bir sigortacı ile sistemik bir banka aynı cümleyi farklı okuyup ikisi de haklı olabilir. ESA'ların Single Rulebook Q&A cevapları bağlayıcı değil. Ulusal yetkili otoritelerin kendi beklentilerini de taramadık. 19 Kasım 2025 tarihli Digital Omnibus önerisi olay bildirim kanalını değiştirmeyi öngörüyor. Doğrulayabildiğimiz kadarıyla henüz sonuçlanmadı.
DORA Türkiye'deki kurumlara nasıl ulaşır
DORA'da coğrafi kapsam maddesi yok. Kapsamı Madde 2'deki kurum türleri çizer ve bu türler AB mevzuatındaki tanımlara bağlanır.
- AB'de lisanslı bağlı ortaklık. Türk bir grubun bir üye devlette lisans almış bankası, sigorta şirketi veya yatırım kuruluşu kendi başına bir finansal kurumdur ve DORA ona doğrudan uygulanır. Türkiye'deki ana ortaklık, bu bağlı ortaklık nedeniyle Madde 2'deki bir kurum türüne dönüşmez.
- AB'deki şube. DORA'nın kendi metni üçüncü ülke şubelerinden söz etmiyor. Bağlantı sektör direktiflerinden kuruluyor. Avrupa Komisyonu'nun DORA102 numaralı Q&A'ya verdiği cevaba göre DORA bu şubelere uygulanır. Bankalarda yol, 2024/1619 ile değişik Sermaye Gereksinimleri Direktifi'nin şube hükümleridir. Bu hükümler 11 Ocak 2027'den itibaren uygulanır. Sigorta şirketlerinde yol Solvency II'dir. Sigorta aracılarına ise ulusal hukuk öngörmedikçe uygulanmaz. CSSF'e göre Komisyon bu cevabı 17 Aralık 2025'te teyit etti. Geçiş takvimini şubenin bağlı olduğu otoriteyle netleştirin.
- Grup içi BT şirketi veya ana ortaklık banka. Ağırlıklı olarak gruptaki finansal kurumlara BT hizmeti veren Türk grup şirketi, Madde 3(20)'deki "ICT intra-group service provider"dır ve yine bir ICT third-party service provider sayılır. Madde 31(8)(iii) onu yalnızca kritik sağlayıcı atamasının dışında tutar. AB'deki bağlı ortaklığın core banking'ini veya backup'ını barındıran Türk ana ortaklık banka da bağlı ortaklığın bilgi kaydında BT sağlayıcısı olarak yer alır.
- Bağımsız sağlayıcı veya alt yüklenici. AB'deki bir finansal kurumla doğrudan sözleşme yapan Türk sağlayıcıya yükümlülükler büyük ölçüde sözleşme üzerinden gelir: depolama konumu (Madde 30(2)(b)) ve kritik veya önemli fonksiyonlarda Madde 29(2) değerlendirmesi. İlk somut talep büyük olasılıkla LEI olur, çünkü 2024/2956 sayılı Uygulama Tüzüğü'nün gerekçesine göre üçüncü ülkelerde kurulu sağlayıcılar bilgi kaydında yalnızca LEI ile tanımlanır. AB'li bir sağlayıcının Türk alt yüklenicisine ise müşteri kurum, Madde 29(2)'deki alt yüklenici zinciri değerlendirmesini ve 2025/532 sayılı düzenlemenin koşullarını uygular.
Madde 31(12) uyarınca, kritik olarak atanmış bir üçüncü ülke sağlayıcısı atamadan sonraki 12 ay içinde AB'de bir bağlı ortaklık kurmadıysa kurum onun hizmetini kullanamaz. Bu şart kritik atanmamış sağlayıcılara uygulanmaz. 18 Kasım 2025 listesinde Türkiye merkezli bir şirket yok.
BDDK yönetmeliğiyle karşılaştırma
Türkiye'deki bankalar için temel metin, 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik. Hükümleri mevzuat.gov.tr'deki konsolide metinden de kontrol ettik.
| Konu | DORA | BDDK yönetmeliği |
|---|---|---|
| Restore testi | 12(2): "periyodik"; 11(6): planlar yılda en az bir | 27(2): "geri yükleme işlemleri gerçekleştirilerek" yedekleme ortamındaki veriler düzenli olarak test edilir; 28(6): yılda en az bir kez gerçek felaket senaryosunda ikincil merkezden faaliyet sürdürme testi |
| RTO ve RPO | 12(6): kurum belirler; sayı yalnızca CCP, CSD ve işlem platformlarında | 28(3): her BS servisi için kabul edilebilir kesinti süresi ve veri kaybı; 28(6): birincil sistemler tamamen devre dışıyken "en geç yirmi dört saat içerisinde" faaliyete dönüş esas |
| Backup'ın konumu | 30(2)(b): depolama konumu sözleşmede yazılır; genel bir yerellik şartı yok | 25(1), 25(2), 25(5): birincil sistemlerin "her türlü yedeği", dış hizmet ve bulutta tutulanlar dahil, yurt içinde |
| İkinci lokasyon | 12(4): yedekli kapasite; coğrafi ayrım açıkça yalnızca CSD ve CCP için | 28(4): ikincil merkezin birincil merkezle aynı coğrafi risklere maruz olmaması esas |
Grup genelinde tek bir backup mimarisi kurmak isteyen ekipler için asıl kısıt konum. Türkiye'deki bir bankanın birincil sistemlerinin backup'ı AB'deki ortak bir hedefe gidemez. Ters yönde DORA yasak koymaz. Ama AB'deki kurumun backup'ı Türkiye'de duracaksa, kritik veya önemli fonksiyonlarda Madde 29(2) değerlendirmesi ve GDPR'ın uluslararası aktarım kuralları devreye girer. Türkiye, Komisyon'un yeterlilik kararı verdiği ülkeler arasında değil. Hangi kopyanın hangi rejime tabi olduğunu hukukçularınızla netleştirin.
Karşılaştırma yalnızca bankaları kapsıyor. SPK, TCMB ve SEDDK'nın kendi metinleri ve 7545 sayılı Siber Güvenlik Kanunu burada ele alınmadı.
BackupSec bu işe nasıl bakıyor
Kimseyi DORA'ya uyumlu hale getirmiyoruz. Madde 12'nin mühendislik tarafı için kanıt üretebiliriz. ZeroPEN, bir Veeam ortamına karşı kontrollü bir ransomware kill-chain'i yürütür. Çıktılar arasında mevzuat eşleme matrisi ve kritik bulgular için retest var. ZeroPEN, Madde 24 ve 25 kapsamındaki bir test programının testlerinden biri olabilir. Madde 26 kapsamında bir TLPT değildir. ZeroTAM mimariyi, hardening'i ve recovery stratejisini (RTO ve RPO) inceler. ZeroMON Veeam'i on-premise ve read-only bir hesapla izler. Job'lar başarısız olduğunda veya bir repository'de immutability kapatıldığında uyarır.