AB’deki bankalar, ödeme ve elektronik para kuruluşları, kripto varlık hizmet sağlayıcıları ve diğer finansal kuruluşların çoğu 17 Ocak 2025’ten bu yana teknolojilerini Dijital Operasyonel Dayanıklılık Tüzüğü’ne (DORA) göre yönetmek zorunda. Avrupa Denetim Otoriteleri 18 Kasım 2025’te doğrudan gözetecekleri ilk 19 bulut, veri ve bilişim sağlayıcısını açıkladı. Türkiye’de ise ödeme kuruluşları, bankalar ve kripto varlık hizmet sağlayıcıları birincil ve ikincil sistemlerini zaten yurt içinde tutmak zorunda. Hepsinin önünde daha yavaş işleyen bir takvim daha var: şifrelemenin kuantum sonrası algoritmalara taşınması. Bu yazıda, Ekim 2026 itibarıyla, bir Türk fintech’e ve AB finans kuruluşlarına yazılım satan bir Türk şirketine hangi kuralların uygulandığını ele alıyoruz.
Trend tek paragrafta
Operasyonel dayanıklılık, bir finans kuruluşunun siber saldırı, bulut kesintisi ya da hatalı bir güncelleme karşısında önemli hizmetlerini sürdürebilmesi ve hızla toparlanabilmesi demek. Üç başlık kesişiyor: düzenleyiciler bilişim kaynaklı aksaklıkları bildirim süreleri ve test yükümlülükleriyle birlikte temel bir finansal risk olarak görüyor; sektörün büyük kısmı aynı birkaç bulut ve bilişim sağlayıcısına dayandığından tek bir kesinti pek çok kuruluşu aynı anda vurabiliyor (yoğunlaşma riski); bugünkü açık anahtarlı şifrelemenin ise gelecekteki kuantum bilgisayarlarla kırılabileceği öngörülüyor, yani bugün çalınan veri yarın çözülebilir.
Kısaca DORA: kimler kapsamda, neler uygulanıyor?
DORA (2022/2554 sayılı AB Tüzüğü) kapsamdaki finansal kuruluşları 2(1). maddede sayıyor. Listede kredi kuruluşları, ödeme kuruluşları, hesap bilgisi hizmet sağlayıcıları, elektronik para kuruluşları, yatırım şirketleri ve MiCA kapsamında yetkilendirilmiş kripto varlık hizmet sağlayıcıları var. Muafiyetten yararlanan ödeme ve elektronik para kuruluşları da kapsamda; ancak 16. madde uyarınca 5 ila 15. maddeler yerine basitleştirilmiş bir bilişim risk yönetimi çerçevesi uyguluyorlar.
| Alan | DORA ne istiyor? |
|---|---|
| Yönetişim (md. 5-6) | Belgelenmiş bir bilişim risk yönetimi çerçevesi; yönetim organı bu çerçeveyi belirler, onaylar ve sorumluluğunu taşır |
| Olay bildirimi (md. 19; 2025/301 sayılı Tüzük md. 5) | İlk bildirim, olayın büyük olay olarak sınıflandırılmasından itibaren 4 saat içinde ve olaydan haberdar olunduktan sonra en geç 24 saat içinde; ara rapor ilk bildirimden itibaren 72 saat içinde; nihai rapor son ara rapordan itibaren en geç bir ay içinde |
| Test (md. 26) | Yetkili otoritenin belirlediği kuruluşlar en az 3 yılda bir, canlı üretim sistemleri üzerinde tehdit odaklı sızma testi (TLPT) yaptırır |
| Bilgi kaydı (md. 28(3)) | Tüm bilişim hizmeti sözleşmelerinin kaydı; kritik veya önemli fonksiyonları destekleyenler ayrıca gösterilir; otoriteye yıllık raporlama |
| Yoğunlaşma riski (md. 29) | Kritik fonksiyonlar için sözleşme öncesinde sağlayıcının kolay ikame edilip edilemediği ve işlerin tek sağlayıcıda toplanıp toplanmadığı değerlendirilir; üçüncü ülke sağlayıcılarında AB veri koruma kurallarına uyum ve o ülkede hukukun etkin uygulanması da dikkate alınır |
| Kritik sağlayıcılar (md. 31) | Avrupa Denetim Otoriteleri kritik bilişim hizmet sağlayıcılarını (CTPP) belirler ve doğrudan gözetir; finansal kuruluşlar AB dışında kurulu bir CTPP’nin hizmetlerini ancak bu sağlayıcı belirlenmesinden itibaren 12 ay içinde AB’de bir bağlı şirket kurmuşsa kullanabilir |
18 Kasım 2025’te yayımlanan ilk CTPP listesinde 19 isim var; aralarında Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP, IBM, Bloomberg, LSEG Data and Risk, Equinix (EMEA) ve Deutsche Telekom bulunuyor. Liste her yıl güncelleniyor (md. 31(9)); güncel sürümü kontrol etmekte fayda var.
AB finans kuruluşlarına hizmet veren bir Türk şirketiyseniz
Bir Türk SaaS, çekirdek bankacılık, KYC ya da veri sağlayıcısı 2. madde anlamında “finansal kuruluş” değildir ve kritik olarak belirlenmedikçe DORA kapsamında gözetime tabi olmaz. Bizim okumamıza göre DORA bu şirkete sözleşme yoluyla ulaşır: 28(1). madde, dış kaynak kullansa bile AB’deki müşteriyi tam sorumlu tutar. 30(2). madde her bilişim hizmeti sözleşmesinin asgari içeriğini sayar; bunlar arasında şunlar var:
- hizmetlerin eksiksiz tanımı, alt yükleniciye izin verilip verilmediği ve hangi koşullarla verildiği;
- hizmetin sunulduğu ve verinin işlendiği ya da saklandığı ülke veya bölgeler ile bunların değiştirilmesi halinde önceden bildirim;
- sağlayıcının iflası, faaliyetini durdurması veya sözleşmenin sona ermesi halinde verilere erişim, verilerin kurtarılması ve iadesi;
- bilişim olaylarında ek ücret olmadan ya da önceden belirlenmiş bir bedelle destek;
- müşterinin yetkili otoriteleri ve çözümleme otoriteleriyle tam iş birliği, asgari bildirim süreli fesih hakları.
Kritik veya önemli fonksiyonlarda 30(3). madde bunlara ayrıntılı hizmet seviyeleri, acil durum planlarının test edilmesi, TLPT’ye katılım, sınırsız erişim, inceleme ve denetim hakları ile zorunlu geçiş süresi içeren çıkış stratejilerini ekler. Bunların bir DORA eki olarak önünüze gelmesini bekleyin. Türkiye’de lisanslı müşterilere de hizmet veriyorsanız barındırmanız AB ve Türkiye bölgeleri arasında bölünmüş olabilir; lokasyon hükmü ikisini de doğru anlatmalıdır.
Türk mevzuatı: önce yerelleştirme
Türkiye’de DORA’nın tek bir karşılığı yok. Her düzenleyici kendi lisanslı kuruluşları için bilgi sistemleri kuralları koyuyor; ortak payda, çekirdek sistemlerin yurt içinde kalması.
| Kim | Düzenleme | Öne çıkanlar |
|---|---|---|
| Ödeme ve elektronik para kuruluşları (TCMB) | Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021/31676) | Birincil ve ikincil sistemler ile veri yedekleme merkezleri yurt içinde (md. 21(1)); ödeme işlemlerinde kullanılan dış hizmet sağlayıcı sistemleri ve yedekleri de yurt içinde (md. 21(2)); siber olaylar Bankaya bildirilir, müdahale planları yılda en az bir kez test edilir (md. 7); bilgi sistemleri bağımsız denetimi iki yılda bir (md. 28(5)) |
| Ödeme ve elektronik para kuruluşları (TCMB) | Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcılarına İlişkin Yönetmelik (RG 1.12.2021/31676), md. 21 | Yönetmelikte aksine hüküm bulunmadıkça ödeme hizmeti sunma ve elektronik para ihracı dış hizmete konu edilemez; bilgi sistemleri yazılı sözleşmeyle dış hizmete verilebilir ve Bankaya raporlanır; yurt dışındaki sağlayıcının ülke mevzuatı Bankanın bilgi edinmesine ve denetimine yasal engel oluşturmamalıdır |
| Bankalar (BDDK) | Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.3.2020/31069) | Birincil ve ikincil sistemler yurt içinde (md. 25(1)); bu kapsamda dış hizmet veya bulut alınırsa sağlayıcının sistemleri ve yedekleri de yurt içinde (md. 25(5)); bu sistemler için bulut, tek bankaya tahsisli özel bulut ya da Kurul iznine tabi topluluk bulutu modeliyle alınabilir (md. 29(11)) |
| Sermaye piyasası kurumları ve kripto varlık hizmet sağlayıcıları (SPK) | Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), RG 13.3.2025/32840, yürürlük 30.6.2025 | VII-128.9’u yürürlükten kaldırdı (md. 32) ve KVHS’leri kapsama aldı (md. 2(1)(i)); birincil ve ikincil sistemler yurt içinde (md. 27(1)); bulut hizmeti dışarıdan hizmet alımı sayılır (md. 19(6)); kripto varlık platformları, sağlayıcının yurt içinde temsilciliği varsa emir eşleştirme ortamları için yurt dışı bulut kullanabilir, tüm kayıtlar gün sonunda yurt içine aktarılır (md. 30(4)); bilgi sistemleri iç denetçileri 31.12.2026’ya kadar Bilgi Sistemleri Bağımsız Denetim Lisansına sahip olmalı (geçici md. 1) |
| KVHS’ler (SPK) | 6362 sayılı Kanun md. 35/B(2) (7518 sayılı Kanunla eklendi); III-35/B.1 sayılı Tebliğ | İzin için bilgi sistemlerinde TÜBİTAK’ın belirleyeceği kriterlere uygunluk aranır; bilgi güvenliğine yönelik hizmet alımında VII-128.10 ve TÜBİTAK Altyapı Kriterlerine uyulur (md. 31(7)); yılda en az bir kez bilgi sistemleri bağımsız denetimi (md. 48(1)) |
Bunların üzerinde iki yatay düzenleme var. 7545 sayılı Siber Güvenlik Kanunu (RG 19.3.2025), bilişim sistemleri üzerinden hizmet sunanların tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini istiyor (md. 7(1)(b)); yeni yetki haritasını bu yazımızda ele almıştık. 2019/12 sayılı Cumhurbaşkanlığı Genelgesi (RG 6.7.2019) ise nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik verilerin yurt içinde güvenli şekilde depolanmasını öngörüyor.
Bunun yoğunlaşma riskine etkisi doğrudan: Türkiye’de lisanslı bir kuruluş çekirdek sistemlerini yurt dışı bölgelere dağıtarak çeşitlendiremiyor; seçenekleri yurt içi veri merkezleri, Türkiye’de bulunan bulut bölgeleri ya da düzenleyicinin izin verdiği modellerle sınırlı. Daralan sağlayıcı havuzu çıkış planlamasını zorlaştırıyor.
Kuantum sonrası şifreleme: henüz kanun olmayan takvim
NIST, 13 Ağustos 2024’te ilk üç kuantum sonrası standardını yayımladı: FIPS 203 (ML-KEM, genel şifreleme), FIPS 204 (ML-DSA, dijital imza) ve FIPS 205 (SLH-DSA, yedek imza yöntemi). AB’de Komisyonun 11 Nisan 2024 tarihli Tavsiyesi üye devletlerden geçişi koordine etmelerini istedi; NIS İşbirliği Grubu’nun Haziran 2025 yol haritası ise şu hedefleri koyuyor: 2026 sonuna kadar ilk adımlar ve ulusal planlar, 2030 sonuna kadar yüksek riskli kullanım senaryolarının, 2035 sonuna kadar orta riskli senaryoların geçişi. Bu hedefler doğrudan şirketlere değil, üye devletlere yöneliktir.
Finans kuruluşları için bağlayıcı dayanak, DORA’nın bilişim risk yönetimine ilişkin düzenleyici teknik standardı (2024/1774 sayılı Tüzük). Basitleştirilmiş rejim dışındaki kuruluşlar için 6. madde durağan, aktarımdaki ve gerektiğinde kullanımdaki veriyi kapsayan bir şifreleme politikası istiyor; 6(4). madde ise kriptanalizdeki gelişmelere göre kriptografik teknolojinin güncellenmesine ilişkin hükümler arıyor. 9 numaralı gerekçe “kuantum alanındaki ilerlemelerden kaynaklanan tehditlere” açıkça değiniyor. 7. madde anahtarların tüm yaşam döngüsü boyunca yönetimini ve sertifika kaydını ekliyor.
Türk düzenlemeleri teknoloji açısından tarafsız, ama aynı yönü gösteriyor. TCMB Tebliği, şifreleme tekniklerinin günün teknolojisi ile ulusal ve uluslararası standartlarla uyumlu olmasını ve güvenilirliğini yitirmemiş olmasını istiyor (md. 9(3)). BDDK Yönetmeliği ise şifreleme anahtarlarının geçerli ve kullanılabilir olacağı süre boyunca kırılamayacak uzunlukta seçilmesini şart koşuyor (md. 9(2)); bu, yıllarca gizli kalması gereken veriler için tam olarak “şimdi depola, sonra çöz” sorunudur. Araştırmamızda Ekim 2026 itibarıyla kuantum sonrası şifrelemeye özgü resmi bir Türk rehberi veya takvimi bulamadık.
Belirsiz kalanlar
- Tek bir platformun, AB müşterilerine karşı 30. maddedeki denetim ve veri iade haklarını Türk müşterilere ilişkin yerelleştirme yükümlülükleriyle nasıl bağdaştıracağı.
- Türkiye’nin bulut ve veri merkezi sağlayıcıları için CTPP benzeri doğrudan bir gözetim rejimi kurup kurmayacağı; bugün böyle bir rejim yok.
- AB yol haritasındaki “yüksek riskli” kullanım senaryolarının bir ödeme veya elektronik para kuruluşu için ne zaman denetim beklentisine dönüşeceği.
Nereden başlamalı?
- Tüm bilişim sözleşmelerini tek bir kayıtta toplayın; kritik veya önemli fonksiyonları destekleyenleri işaretleyin.
- Her kritik sağlayıcı için gerçekçi bir çıkış planı yazın ve yurt içinde bir alternatif olup olmadığını kontrol edin.
- Yazılım şirketleri: AB müşterileri istemeden önce standart bir DORA 30. madde eki ve veri lokasyonu beyanı hazırlayın.
- DORA’nın 4 ve 24 saatlik süreleri ile Türkiye’deki bildirim kanallarına (ödeme ve elektronik para kuruluşları için TCMB, 7545 sayılı Kanun kapsamında Siber Güvenlik Başkanlığı) göre bir olay tatbikatı yapın.
- Kriptografik envanter çıkarın: RSA ve eliptik eğri anahtarlarının nerede kullanıldığı, hangi verinin 2030 sonrasına kadar gizli kalması gerektiği ve hangi tedarikçilerin ML-KEM ve ML-DSA’yı desteklediği.
- Lisanslı kuruluşlar: bilgi sistemleri denetim takviminizi ve KVHS’ler ile sermaye piyasası kurumları için 31.12.2026 lisans tarihini kontrol edin. Ödeme ve elektronik para lisansı sayfamız ve fintech hukuku merkezimiz ilgili yükümlülükleri listeliyor.
DORA bir Türk yazılım şirketine doğrudan uygulanır mı?
Finansal kuruluş olarak uygulanmaz. Kritik bilişim hizmet sağlayıcısı olarak belirlenmedikçe Türk şirketine AB’deki müşterileri üzerinden ulaşır; bu müşteriler 30. madde hükümlerini sözleşmelerine koymak zorundadır.
Türk bir ödeme kuruluşu sistemlerini yurt dışındaki bir bulutta barındırabilir mi?
Birincil ve ikincil sistemleri için hayır. TCMB Tebliği bu sistemlerin ve veri yedekleme merkezlerinin yurt içinde olmasını istiyor; ödeme işlemlerinde kullanılan dış hizmet sağlayıcı sistemleri ve yedekleri de buna dahil.
Kuantum sonrası şifrelemeye geçiş bugün zorunlu mu?
Şirketler için belirlenmiş yasal bir son tarih henüz yok. Ancak DORA’nın teknik standardı basitleştirilmiş rejim dışındaki AB finans kuruluşlarından kriptografiyi kriptanalizdeki gelişmelere göre güncellemelerini zaten istiyor; AB yol haritası da üye devletler düzeyinde yüksek riskli senaryolar için 2030’u hedefliyor.
Kaynak. 2022/2554 sayılı AB Tüzüğü (DORA), OJ L 333, 27.12.2022, md. 2, 5, 6, 16, 19, 26, 28, 29, 30, 31, 64; 2024/1774 sayılı Komisyon Yetki Devrine Dayalı Tüzüğü, gerekçe 9, md. 6-7; 2025/301 sayılı Komisyon Yetki Devrine Dayalı Tüzüğü, md. 5; Avrupa Denetim Otoriteleri, CTPP listesi (18.11.2025); NIST, FIPS 203, 204, 205 (13.8.2024); Komisyon Tavsiyesi C(2024) 2393; AB Kuantum Sonrası Kriptografi Koordineli Uygulama Yol Haritası (Haziran 2025); TCMB Bilgi Sistemleri Tebliği, RG 1.12.2021/31676, md. 7, 9, 21, 28; TCMB Ödeme Hizmetleri Yönetmeliği, RG 1.12.2021/31676, md. 21; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, RG 15.3.2020/31069, md. 9, 25, 29; SPK VII-128.10 sayılı Tebliğ, RG 13.3.2025/32840, md. 2, 19, 27, 30, 32, geçici md. 1; SPK III-35/B.1 sayılı Tebliğ, RG 13.3.2025/32840, md. 31, 48; 7518 sayılı Kanun, RG 2.7.2024/32590 (6362 sayılı Kanun md. 35/B); 7545 sayılı Siber Güvenlik Kanunu, RG 19.3.2025/32846, md. 7; 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, RG 6.7.2019/30823.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
Dijital Kimlik Cüzdanı, Biyometri ve e-KYC: Türk Fintech'ler Ne Bilmeli? (eIDAS 2, AMLR, TCMB, BDDK, MASAK)
23 Ekim 2026Türkiye'de Açık Bankacılık: Fintech'ler İçin Pratik Hukuki Rehber (2026)
18 Ekim 2026Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026PSD3 ve PSR: AB Ödeme Reformu Türk Ödeme ve Elektronik Para Kuruluşları İçin Ne Anlama Geliyor?
19 Ekim 2026Türk Şirketleri için AB Veri Yasası (Data Act): Bağlantılı Ürünler, Bulut Geçişi ve Eylül 2026 Tasarım Eşiği
15 Ekim 2026AB Siber Dayanıklılık Tüzüğü (CRA): 11 Eylül 2026'dan Beri 24 Saatte Bildirim. Türk Yazılım ve Cihaz Üreticileri Ne Yapmalı?
13 Ekim 2026İlgili Hizmet Alanlarımız
ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Bilişim Hukuku
SaaS, yazılım lisansı, bulut hizmetleri ve BT sözleşmeleri.
Hizmet sayfası →Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →