NIS2 Direktifi: Siber Güvenlik Yükümlülükleri, Olay Bildirimi ve Kurumsal Sorumluluk

NIS2 Direktifi Nedir?

14 Aralık 2022 tarihinde kabul edilen NIS2 Direktifi, yani 2022/2555 sayılı Avrupa Birliği Direktifi, Avrupa Birliği'ndeki siber güvenlik düzenlemelerini önemli ölçüde genişleten yeni bir hukuki çerçeve oluşturmuştur.

Üye devletlere Direktifi kendi ulusal mevzuatlarına aktarmaları için 17 Ekim 2024 tarihine kadar süre tanınmıştır.

NIS2, siber güvenlik yükümlülüklerine tabi sektörlerin kapsamını genişletmekte, olay bildirim süreçlerine ilişkin sıkı süreler öngörmekte ve şirketlerin yönetim organlarının siber güvenlik konusundaki sorumluluğunu önemli ölçüde artırmaktadır.

Direktifin en önemli özelliklerinden biri, kapsama giren kuruluşları iki temel kategori altında sınıflandırmasıdır:

• Esas Kuruluşlar (Essential Entities)
• Önemli Kuruluşlar (Important Entities)

Bu sınıflandırma; kuruluşların tabi olacağı denetim modelini, uygulanabilecek idari yaptırımları ve düzenleyici gözetimin yoğunluğunu doğrudan etkilemektedir.

Sınıflandırmada kuruluşun faaliyet gösterdiği sektör ve büyüklüğü temel kriterler arasında yer almaktadır.

Genel kural olarak ilgili çalışan ve finansal eşiklerin altında kalan mikro ve küçük işletmeler kapsam dışında kalabilmektedir. Bununla birlikte özellikle kritik hizmet sunan kuruluşlar bakımından çeşitli istisnalar bulunmaktadır.

2. Esas Kuruluşlar Hangi Kurumlardır?

Esas Kuruluşlar, genellikle toplumun ve ekonominin devamlılığı açısından kritik kabul edilen sektörlerde faaliyet gösteren daha büyük ölçekli kuruluşlardan oluşmaktadır.

Bu sektörler arasında:

• Elektrik, gaz ve petrol dahil enerji
• İçme suyu ve atık su yönetimi
• Sağlık hizmetleri
• Hastaneler ve tıbbi laboratuvarlar
• İlaç üretimi ve araştırma faaliyetleri
• Hava, deniz, demiryolu ve karayolu ulaştırması
• Bankacılık
• Finansal piyasa altyapıları
• Dijital altyapı

yer almaktadır.

Dijital altyapı sağlayıcıları da NIS2 kapsamında önemli bir yere sahiptir.

Bulut bilişim hizmet sağlayıcıları, veri merkezleri, alan adı sistemi sağlayıcıları, içerik dağıtım ağları ve güven hizmeti sağlayıcıları, ilgili şartların oluşması halinde Esas Kuruluş statüsünde değerlendirilebilir.

Bu kuruluşların ekonomik ve toplumsal faaliyetlerin sürekliliği açısından taşıdığı önem nedeniyle daha yoğun bir denetim rejimine tabi tutulmaları öngörülmektedir.

3. Önemli Kuruluşlar Hangi Kurumlardır?

Önemli Kuruluşlar, NIS2 kapsamındaki sektörlerde faaliyet gösteren ancak Esas Kuruluşlara uygulanan daha katı sınıflandırmaya girmeyen orta ve büyük ölçekli şirketleri kapsamaktadır.

Bu kategori içerisinde:

• Dijital hizmet sağlayıcıları
• Çevrimiçi pazar yerleri
• Arama motorları
• Sosyal ağ platformları
• Posta ve kargo hizmetleri
• Atık yönetimi şirketleri
• Araştırma kuruluşları

yer alabilir.

Üretim sektörü de Önemli Kuruluşlar açısından geniş bir uygulama alanına sahiptir.

Bu kapsamda:

• Bilgisayar
• Elektronik ürünler
• Optik ekipman
• Elektrikli ekipman
• Tıbbi cihazlar
• Kimyasal ürünler
• Gıda ürünleri

üreten belirli işletmeler NIS2 kapsamına girebilmektedir.

Bir kuruluşun Önemli Kuruluş olarak sınıflandırılması, siber güvenlik yükümlülüklerinin önemsiz olduğu anlamına gelmemektedir.

Her iki kuruluş kategorisi de temel siber güvenlik risk yönetimi ve olay bildirim yükümlülüklerine tabidir.

4. Kuruluşlar Arasındaki Denetim ve Yaptırım Farkları

Esas Kuruluşlar ile Önemli Kuruluşlar arasındaki temel farklardan biri, düzenleyici denetimin uygulanma biçimidir.

Her iki grup da Madde 21 kapsamında düzenlenen siber güvenlik risk yönetimi tedbirlerini uygulamak ve Madde 23 kapsamındaki olay bildirim yükümlülüklerini yerine getirmek zorundadır.

Buna karşılık denetim modeli farklılaşmaktadır.

Esas Kuruluşlar açısından daha proaktif bir denetim sistemi öngörülmektedir.

Yetkili makamlar, önceden bildirilmiş bir ihlal veya şikayet bulunmasa dahi denetim, inceleme ve diğer gözetim faaliyetleri gerçekleştirebilir.

Önemli Kuruluşlar bakımından ise daha reaktif bir denetim modeli uygulanmaktadır.

Bu kuruluşlara yönelik düzenleyici müdahale çoğunlukla bir ihlal göstergesi, bildirim veya uyumsuzluk şüphesinin ortaya çıkmasının ardından gündeme gelmektedir.

İdari yaptırım seviyeleri de iki kategori arasında farklılık göstermektedir.

Esas Kuruluşlar açısından idari para cezaları, uygulanabilir hükümler doğrultusunda:

• 10 milyon Euro veya
• Şirketin bir önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun %2'si

seviyesine ulaşabilmektedir.

Önemli Kuruluşlar açısından ise:

• 7 milyon Euro veya
• Şirketin dünya çapındaki toplam yıllık cirosunun %1,4'ü

seviyesinde idari para cezaları gündeme gelebilmektedir.

5. Kurumsal Yönetişim ve Yönetim Organlarının Sorumluluğu

NIS2 Direktifi'nin 20. maddesi siber güvenliği doğrudan şirketlerin yönetim organlarının sorumluluk alanına taşımaktadır.

Yönetim organlarının kuruluş tarafından uygulanacak siber güvenlik risk yönetimi tedbirlerini onaylaması ve bunların uygulanmasını denetlemesi gerekmektedir.

Böylece siber güvenlik yalnızca bilgi teknolojileri veya güvenlik departmanlarına devredilebilecek teknik bir konu olmaktan çıkmakta ve kurumsal yönetişimin temel unsurlarından biri haline gelmektedir.

Üst düzey yöneticilerin karşılaşılabilecek siber riskleri ve bu risklerin hizmetlerin sürekliliği üzerindeki potansiyel etkilerini anlayabilecek düzeyde bilgi sahibi olması beklenmektedir.

Bu nedenle yönetim kademesine yönelik uygun siber güvenlik eğitimleri NIS2 uyumunun önemli bileşenleri arasında yer almaktadır.

Direktif yönetim seviyesindeki hesap verebilirliği de önemli ölçüde artırmaktadır.

Bir yöneticinin siber güvenlik konularının teknik niteliğini gerekçe göstermesi, kurumsal yönetişim sorumluluğunu ortadan kaldırmamaktadır.

Ciddi veya tekrarlanan uyumsuzluklarda, uygulanabilir ulusal mevzuat ve denetim prosedürlerine göre yöneticiler hakkında çeşitli tedbirler uygulanabilir.

Bunlar arasında, tespit edilen uyumsuzluklar giderilene kadar belirli yönetim görevlerinin geçici olarak yerine getirilmesinin sınırlandırılması da gündeme gelebilir.

NIS2 bu yönüyle önemli bir değişiklik ortaya koymaktadır.

Siber güvenlik artık yalnızca teknik ekiplerin konusu değil, yönetim kurulu seviyesinde ele alınması gereken hukuki ve kurumsal bir sorumluluktur.

6. Siber Güvenlik Risk Yönetimi Tedbirleri ve Teknik Gereksinimler

NIS2 Direktifi'nin teknik merkezini Madde 21 oluşturmaktadır.

Esas ve Önemli Kuruluşların, ağ ve bilgi sistemlerinin güvenliğini etkileyen riskleri yönetmek amacıyla uygun ve orantılı teknik, operasyonel ve organizasyonel tedbirler uygulaması gerekmektedir.

Bu yaklaşım operasyonel dayanıklılık kavramına dayanmaktadır.

Amaç yalnızca siber saldırıları engellemek değildir.

Kuruluşların bir saldırı veya önemli siber olay meydana geldiğinde kritik hizmetlerini sürdürebilmesi ve operasyonlarını mümkün olan en kısa sürede normale döndürebilmesi de gerekmektedir.

1. Risk Analizi ve Güvenlik Politikaları

Kuruluşların kritik varlıklarını belirlemesi ve bilgi sistemlerinin güvenliğine ilişkin risk bazlı politikalar oluşturması gerekir.

Şirket, hangi sistemlerin, verilerin ve hizmetlerin kritik olduğunu ve bunları etkileyebilecek temel tehditleri anlayabilmelidir.

2. Olay Yönetimi ve Müdahale

Kuruluşların güvenlik olaylarını tespit edebilecek, analiz edebilecek, izole edebilecek ve etkilerini azaltabilecek olay müdahale süreçleri oluşturması gerekmektedir.

Olay yönetimi yalnızca ciddi bir saldırı meydana geldikten sonra başlayan bir süreç olmamalıdır.

Uygun izleme ve müdahale kabiliyetleri önceden oluşturulmalıdır.

3. İş Sürekliliği ve Kriz Yönetimi

Kuruluşların fidye yazılımı saldırıları veya kritik altyapı kesintileri gibi ciddi olaylar sırasında faaliyetlerini sürdürebilmelerine ve sistemlerini geri yükleyebilmelerine yönelik planlar hazırlaması gerekmektedir.

Bu tedbirler arasında:

• Yedekleme politikaları
• Felaket kurtarma prosedürleri
• Ağdan bağımsız yedekleme
• Geri yükleme testleri
• Kriz yönetimi prosedürleri

yer alabilir.

İş sürekliliği planlarının yalnızca dokümantasyon üzerinde bulunması yeterli değildir. Bunların düzenli olarak test edilmesi gerekmektedir.

4. Tedarik Zinciri Güvenliği

NIS2, tedarik zinciri siber güvenliğine özel önem vermektedir.

Bir kuruluşun maruz kaldığı güvenlik riskleri yalnızca kendi iç sistemlerinden kaynaklanmaz.

Yazılım sağlayıcıları, yönetilen hizmet sağlayıcıları, danışmanlar, bulut hizmetleri, veri merkezleri ve diğer üçüncü taraflar da önemli güvenlik açıkları yaratabilir.

Bu nedenle şirketlerin tedarik zincirlerindeki siber güvenlik risklerini de değerlendirmesi gerekir.

5. Geliştirme ve Satın Alma Süreçlerinde Güvenlik

Bilgi sistemlerinin tasarlanması, geliştirilmesi, satın alınması ve bakımında siber güvenlik gereksinimleri dikkate alınmalıdır.

Güvenlik, sistem faaliyete geçirildikten sonra eklenen bir unsur değil, geliştirme ve satın alma süreçlerinin başlangıcından itibaren değerlendirilen temel bir gereklilik olmalıdır.

6. Güvenlik Açıklarının Yönetimi

Kuruluşların güvenlik açıklarını tespit etmek, değerlendirmek ve gidermek için uygun süreçler oluşturması gerekir.

Bu süreçler:

• Sürekli izleme
• Zafiyet taraması
• Güvenlik yamalarının zamanında uygulanması
• Güvenlik açıklarının yönetilmesi

gibi faaliyetleri kapsayabilir.

7. Güvenlik Tedbirlerinin Etkinliğinin Değerlendirilmesi

Uygulanan güvenlik kontrollerinin gerçekten çalışıp çalışmadığının düzenli olarak test edilmesi gerekmektedir.

Bu kapsamda:

• Otomatik güvenlik değerlendirmeleri
• Sızma testleri
• İç denetimler
• Bağımsız dış denetimler

kullanılabilir.

Şirketlerin yalnızca güvenlik kontrollerine sahip olduğunu değil, bu kontrollerin etkin şekilde çalıştığını da gösterebilmesi gerekir.

8. Kriptografi ve Şifreleme

Hassas bilgilerin korunmasında uygun kriptografik yöntemler ve şifreleme teknolojileri kullanılmalıdır.

Bu yaklaşım özellikle:

• Saklanan veriler
• Aktarım halindeki veriler

bakımından önem taşımaktadır.

Şifreleme politikaları, verinin hassasiyetine ve yetkisiz erişim riskine göre belirlenmelidir.

9. İnsan Kaynakları Güvenliği ve Erişim Kontrolü

Çalışanların bilgi sistemlerine erişim yetkileri, işe girişten işten ayrılışa kadar tüm süreç boyunca kontrol edilmelidir.

En az yetki prensibi uygulanmalı ve çalışanlara yalnızca görevlerini yerine getirmek için ihtiyaç duydukları sistem ve verilere erişim sağlanmalıdır.

Erişim kontrolü, kimlik ve varlık yönetimi süreçleriyle birlikte yürütülmelidir.

10. Çok Faktörlü Kimlik Doğrulama ve Güvenli İletişim

Çok faktörlü kimlik doğrulama, özellikle kritik ve ayrıcalıklı hesapların korunmasında temel güvenlik tedbirlerinden biridir.

Hem iç hem de dış erişimlerde uygun kimlik doğrulama ve güvenli iletişim mekanizmalarının kullanılması gerekmektedir.

7. Olay Bildirim Süreci ve Zaman Çizelgesi

NIS2 Direktifi'nin 23. maddesi, önemli siber güvenlik olayları için kademeli bir bildirim mekanizması öngörmektedir.

Bu sistemin amacı olaylara verilen düzenleyici tepkiyi hızlandırmak, üye devletler arasındaki koordinasyonu geliştirmek ve Avrupa Birliği genelindeki siber güvenlik farkındalığını artırmaktır.

Bildirim süreci genel olarak erken uyarı, detaylı olay bildirimi ve nihai rapor olmak üzere üç temel aşamadan oluşmaktadır.

24 Saatlik Erken Uyarı

Kuruluşun önemli bir siber olayın farkına varmasının ardından ilgili ulusal CSIRT veya yetkili makama genel olarak ilk 24 saat içerisinde erken uyarı yapılması gerekmektedir.

Bu ilk bildirimin temel amacı, potansiyel olarak önemli bir siber güvenlik olayının meydana geldiğini ilgili makamlara hızlı şekilde bildirmektir.

İlk bildirimde şu bilgiler yer alabilir:

• Olayın niteliği
• Etkilenen hizmetler
• Alınan ilk müdahale tedbirleri
• Olayı yöneten ekip
• Kötü niyetli faaliyetten şüphelenilip şüphelenilmediği
• Olası sınır ötesi etkiler

Bu aşamada kuruluşun olay hakkında tüm bilgilere sahip olması beklenmeyebilir.

Temel amaç hızlı bildirim yapılmasıdır.

72 Saatlik Olay Bildirimi

İlk bildirimden sonra genel olarak 72 saat içerisinde daha ayrıntılı bir olay bildirimi yapılması gerekmektedir.

Bu aşamada kuruluşun olayın niteliği, ağırlığı ve muhtemel etkileri hakkında daha kapsamlı bilgi sunması beklenmektedir.

Bildirim şu konuları içerebilir:

• Etkilenen sistemler
• Zarar gören veya şifrelenen veriler
• Hizmet kesintisinin süresi
• Operasyonel etkiler
• Indicators of compromise
• İlk teknik bulgular

Nihai Rapor

İlgili olay bildirim sürecinin ardından genel olarak bir ay içerisinde nihai raporun hazırlanması gerekmektedir.

Nihai rapor olay hakkında kapsamlı bir değerlendirme içermelidir.

Bu raporda:

• Olayın ayrıntılı açıklaması
• Şiddeti ve etkileri
• Kök neden analizi
• Tehdidin niteliği
• Uygulanan hafifletici önlemler
• Geleceğe yönelik iyileştirmeler
• Varsa sınır ötesi etkiler

yer alabilir.

Bu aşamalı yapı, şirketlerin ciddi bir olay meydana gelmeden önce olay bildirim süreçlerini oluşturmasını gerekli hale getirmektedir.

Bir şirketin siber saldırı meydana geldikten sonra kimin hangi bildirimi yapacağını belirlemeye başlaması, NIS2 kapsamındaki sürelerin karşılanmasını ciddi şekilde zorlaştırabilir.

8. Avrupa Birliği Dışındaki Şirketler NIS2'den Nasıl Etkilenir?

NIS2'nin etkileri yalnızca Avrupa Birliği içerisinde fiziksel olarak yerleşik şirketlerle sınırlı değildir.

Avrupa'daki Esas ve Önemli Kuruluşların kullandıkları tedarikçi ve hizmet sağlayıcıların yarattığı siber güvenlik risklerini de yönetmesi gerekmektedir.

Bu durum AB dışında faaliyet gösteren şirketler üzerinde önemli dolaylı etkiler yaratmaktadır.

Avrupa'daki şirketler örneğin şu hizmet sağlayıcıların güvenlik uygulamalarını değerlendirmek zorunda kalabilir:

• Yazılım sağlayıcıları
• Yönetilen hizmet sağlayıcıları
• Yönetilen güvenlik hizmeti sağlayıcıları
• Bulut altyapısı sağlayıcıları
• Veri merkezi işletmecileri
• Diğer teknoloji tedarikçileri

Bu konu, Avrupa Birliği ile yoğun ticari ve teknolojik ilişkilere sahip Türkiye açısından özellikle önemlidir.

Türkiye merkezli bir şirketin AB'deki Esas veya Önemli Kuruluşa yazılım, teknoloji, dijital hizmet veya kritik bir hizmet sağlaması halinde, Avrupa'daki müşteri NIS2 kaynaklı belirli siber güvenlik şartlarını sözleşme kapsamında Türk tedarikçiye yansıtabilir.

Türk şirket doğrudan Direktifin muhatabı olmasa dahi Avrupa'daki müşterisi belirli güvenlik standartlarına uyum sağlamasını talep edebilir.

Bir Türk tedarikçideki güvenlik açığının Avrupa'daki müşterinin ciddi bir siber olay yaşamasına katkıda bulunması halinde, Avrupa'daki kuruluş düzenleyici yaptırımlarla karşılaşabilir.

Taraflar arasındaki sözleşmeye bağlı olarak Avrupa'daki şirket uğradığı zararların tazmini için tedarikçiye başvurabilir veya sözleşmedeki tazminat ve cezai şart hükümlerini kullanabilir.

Bu nedenle Avrupa'daki müşterilere hizmet sunan Türk teknoloji şirketlerinin NIS2'yi yalnızca düzenleyici açıdan değil, sözleşmesel, operasyonel ve ticari açıdan da değerlendirmesi önemlidir.

9. Sonuç

NIS2 Direktifi, Avrupa'daki siber güvenlik düzenlemelerinde önemli bir değişimi temsil etmektedir.

Düzenlemenin etkisi klasik bilgi teknolojileri güvenliği gereksinimlerinin çok ötesine geçmektedir.

Siber güvenlik risk yönetimi, tedarik zinciri güvenliği, olay müdahalesi, yönetim organlarının sorumluluğu ve operasyonel dayanıklılık giderek aynı düzenleyici yapının parçaları haline gelmektedir.

Kapsama giren kuruluşların hukuk, teknoloji, operasyon ve yönetim ekiplerinin koordineli biçimde çalışması gerekmektedir.

Direktif ayrıca Avrupa Birliği dışındaki şirketler açısından da önem taşımaktadır.

AB'deki düzenlemeye tabi şirketlere yazılım, teknoloji, altyapı veya kritik hizmet sağlayan kuruluşlar, doğrudan veya dolaylı biçimde NIS2 kaynaklı güvenlik gereksinimleriyle karşılaşabilir.

Bu durum özellikle Avrupa Birliği ile yoğun ticari ilişkileri bulunan Türkiye'deki şirketler açısından önemlidir.

NIS2 uyumu, Türk şirketler için tedarikçi değerlendirmelerinin, müşteri sözleşmelerinin ve Avrupa'daki ticari ilişkilerin bir parçası haline gelebilir.

Düzenlemenin teknik gereksinimleri ve uyumsuzluk halinde ortaya çıkabilecek önemli sonuçlar dikkate alındığında, şirketlerin siber güvenlik yönetişimini ve operasyonel süreçlerini ciddi bir olay meydana gelmeden önce değerlendirmesi gerekmektedir.

Legalifi, şirketlerin siber güvenlik ve regülasyon uyumu gereksinimlerini anlamalarına ve yönetmelerine yardımcı olmak amacıyla hukuk ve teknoloji disiplinlerini bir araya getiren uyum projeleriyle destek sunmaktadır.