NIS2 Direktifi’nin, yani (AB) 2022/2555 sayılı Direktif’in 21. maddesi, temel ve önemli kuruluşların alması gereken asgari siber güvenlik önlemlerini belirler. Madde bir başlık listesi gibi okunur ve “yeterince iyi”nin neye benzediği konusunda yoruma çok yer bırakır. Bu yazıda her önlemi uygulamadaki karşılığıyla ele alıyor, ardından Madde 23’teki bildirim sürelerine geçiyoruz.
Bu yazı Direktif’in kendisinin bir yorumudur. Her Üye Devlet Direktif’i ayrıntı ekleyebilen kendi ulusal mevzuatıyla uygular; bu yüzden faaliyet gösterdiğiniz her ülkedeki kuralları ve yetkili makamı kontrol edin.
Sizin için geçerli mi?
NIS2 genel olarak, Ek I ve Ek II’de sayılan sektörlerdeki orta ve büyük ölçekli kurumları kapsar. Ölçek, AB’nin KOBİ tanımına göre belirlenir; bu tanıma göre küçük işletmenin 50’den az çalışanı ve en fazla 10 milyon avro cirosu ya da bilanço toplamı vardır. Uygulamada 50 ya da daha fazla çalışanınız varsa veya hem cironuz hem de bilanço toplamınız 10 milyon avroyu aşıyorsa en az orta ölçekli sayılırsınız.
Bazı kuruluşlar, Madde 2(2) uyarınca ölçekten bağımsız olarak kapsama girer. Örnekler arasında kamuya açık elektronik haberleşme ağı ya da hizmeti sağlayanlar, güven hizmeti sağlayıcıları, üst düzey alan adı kayıt kuruluşları ve DNS hizmet sağlayıcıları vardır.
Kuruluşlar ya temel ya da önemli kuruluştur (Madde 3). Madde 21’deki önlemler ikisi için de aynıdır. Fark denetimde ortaya çıkar; önemli kuruluşların denetimi esas olarak olay sonrasında yapılır (Madde 33). Bir fark da Madde 34’teki azami para cezalarındadır. Temel kuruluşlar için Üye Devletler azami cezayı en az 10 milyon avro ya da dünya çapındaki yıllık cironun %2’si, hangisi yüksekse, olarak belirlemelidir. Önemli kuruluşlar için bu rakamlar 7 milyon avro ya da %1,4’tür.
Türkiye dahil AB dışındaki okurlar için iki nokta önemlidir. Madde 26(3) uyarınca, AB’de yerleşik olmadan orada hizmet sunan bazı dijital hizmet sağlayıcıları AB’de bir temsilci atamak zorundadır. Bunlar arasında bulut, veri merkezi, yönetilen hizmet ve yönetilen güvenlik hizmeti sağlayıcıları vardır. Ayrıca kapsamdaki kuruluşların tedarikçileri, Madde 21’in etkisini müşterilerinin sözleşmeleri ve anketleri üzerinden hissedecektir.
Madde 21(2)’deki on önlem
Madde 21(1), “uygun ve orantılı” önlemler alınmasını şart koşar. Bu önlemler; teknolojinin geldiği son durumu, ilgili standartları, maliyeti, kuruluşun büyüklüğünü ve riske maruz kalma düzeyini, olayların olasılığını ve ciddiyetini dikkate almalıdır. Madde 21(2), önlemlerin tüm tehlikeleri kapsayan bir yaklaşıma dayanması ve en az aşağıdakileri içermesi gerektiğini söyler.
(a) Risk analizi ve bilgi sistemleri güvenlik politikaları
Neyi korumanız gerektiğini, neyin ters gidebileceğini ve bu konuda ne yapmaya karar verdiğinizi yazılı hâle getirin. 200 kişilik bir şirket için bu; bir varlık listesi, en az yılda bir gözden geçirilen bir risk kaydı ve yönetimin imzaladığı kısa bir güvenlik politikası demektir.
(b) Olay yönetimi
Olayları tespit etmek, önceliklendirmek ve müdahale etmek için, sorumluların ve mesai dışı iletişim kişilerinin adıyla belirtildiği yazılı bir süreciniz olsun. Madde 23’teki bildirim adımlarını da bu sürece ekleyin; böylece kimse bir olay sırasında süreleri hesaplamak zorunda kalmaz.
(c) İş sürekliliği, yedekleme, felaket kurtarma ve kriz yönetimi
Hangi hizmetlerin en önemli olduğunu ve onlarsız ne kadar dayanabileceğinizi bilin. Yönetici yetkilerine sahip bir saldırganın silemeyeceği yedekler tutun ve geri yüklemeleri belirli bir takvimle test edin. Yönetimle en az bir masa başı tatbikatı yapın.
(d) Tedarik zinciri güvenliği
Yönetilen hizmet sağlayıcınız (MSP), bulut ve SaaS sağlayıcılarınız ve yazılım üreticileriniz gibi sistemlerinizi etkileyebilecek tedarikçileri ve hizmet sağlayıcıları listeleyin. Madde 21(3), her doğrudan tedarikçinin kendine özgü zafiyetlerini, ürün kalitesini ve güvenli geliştirme dahil güvenlik uygulamalarını dikkate almanızı ister. Uygulamada güvenlik şartlarını ve olay bildirim yükümlülüklerini sözleşmelere ekleyin.
(e) Edinme, geliştirme ve bakımda güvenlik; güvenlik açığı yönetimi ve bildirimi dahil
Güncellemeleri belirli bir takvimle yükleyin, geliştirdiğiniz ve satın aldığınız ürünlerdeki güvenlik açıklarını takip edin ve dışarıdan kişilere size sorun bildirebilecekleri bir yol sunun. Yayımlanmış bir security.txt dosyası ve basit bir açık bildirim politikası son noktayı karşılar.
(f) Bu önlemlerin etkinliğinin değerlendirilmesi
Kontrollerin çalıştığını varsaymak yerine kontrol edin. Bulgular kapanana kadar takip edildiği sürece iç denetimler, güvenlik açığı taramaları, sızma testleri ve geri yükleme testleri bu kapsama girer.
(g) Temel siber hijyen ve eğitim
Temelleri her yerde sağlayın: güncellemeler, güvenli yapılandırma, en az yetki ilkesi ve kullanılmayan hesapların kaldırılması. Tüm çalışanları en azından oltalama farkındalığını kapsayacak şekilde düzenli olarak eğitin. Madde 20(2) ayrıca yönetim organlarının üyelerinin de eğitim almasını şart koşar.
(h) Kriptografi ve şifreleme
Dizüstü bilgisayarlar, yedekler, aktarım hâlindeki veriler ve depolanan hassas veriler gibi şifrelemenin nerede zorunlu olduğuna karar verin. Hangi algoritmaların ve protokol sürümlerinin kabul edilebilir olduğunu, anahtarları ve sertifikaları kimin yöneteceğini belirleyin.
(i) İnsan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi
İşe giriş, görev değişikliği ve işten ayrılma süreçlerinizin erişimi son gün gerçekten kaldırdığından emin olun. Ayrıcalıklı hesapları düzenli olarak gözden geçirin. Sahibi belli olan ve güncellenen bir varlık envanteri tutun.
(j) Çok faktörlü ya da sürekli kimlik doğrulama, güvenli iletişim ve acil durum iletişimi
Uzaktan erişim, e-posta, bulut yönetimi ve ayrıcalıklı hesaplar için çok faktörlü kimlik doğrulama kullanın. Kendi e-postanıza ya da sohbet sisteminize bağlı olmayan bir acil durum iletişim kanalı belirleyin, çünkü bunlar bir olay sırasında çalışmıyor ya da izleniyor olabilir.
Yönetim hesap verir
Madde 20, yönetim organlarının risk yönetimi önlemlerini onaylamasını ve uygulanmasını gözetmesini şart koşar. Yönetim organları, kuruluşun Madde 21’i ihlal etmesinden sorumlu tutulabilir. Üyeleri eğitim almalıdır; Üye Devletler de kuruluşları çalışanlarına benzer eğitimleri düzenli olarak sunmaya teşvik etmelidir.
Uygulamada siber güvenliği en az üç ayda bir yönetim kurulunun gündemine alın. Yönetimin kabul ettiği riskler dahil kararları kayda geçirin.
Madde 23’teki bildirim süreleri
Ciddi bir olay, kuruluş için ağır operasyonel aksamaya ya da mali kayba yol açmış veya yol açabilecek ya da başkalarına önemli maddi veya manevi zarar vermiş veya verebilecek olaydır. Bu olaylar CSIRT’e ya da yetkili makama aşama aşama bildirilmelidir:
| Aşama | Süre | İçerik |
|---|---|---|
| Erken uyarı | Olayın öğrenilmesinden itibaren 24 saat içinde | Hukuka aykırı ya da kötü niyetli bir eylemden şüphelenilip şüphelenilmediği ve olası sınır ötesi etki |
| Olay bildirimi | Olayın öğrenilmesinden itibaren 72 saat içinde | Erken uyarının güncellenmesi, ciddiyet ve etkiye ilişkin ilk değerlendirme, varsa ele geçirilme göstergeleri (IoC) |
| Ara rapor | Talep üzerine | İlgili durum güncellemeleri |
| Nihai rapor | Olay bildiriminden itibaren bir ay içinde | Ayrıntılı açıklama, muhtemel kök neden, uygulanan ve süren önlemler, sınır ötesi etki |
| İlerleme raporu | Nihai rapor süresi dolduğunda olay hâlâ sürüyorsa | Durum bilgisi; ardından olayın ele alınmasından itibaren bir ay içinde nihai rapor |
Güven hizmeti sağlayıcılarının süresi daha kısadır. Güven hizmetlerini etkileyen olaylarda ikinci satırdaki bildirim 24 saat içinde yapılmalıdır. Kuruluşlar, uygun olduğu durumlarda, hizmetlerinden yararlananları kendilerini etkileyebilecek ciddi olaylar hakkında da bilgilendirmelidir.
Bu süreler başka yükümlülüklerle birlikte işler. Kişisel verileri etkileyen bir fidye yazılımı saldırısı, GDPR Madde 33 uyarınca veri koruma denetim makamına, mümkünse 72 saat içinde bildirim yapılmasını da gerektirebilir.
Orantılı, belgelenmiş, kanıtlanmış
Madde 21 belirli bir standardı zorunlu tutmaz. Zaten ISO/IEC 27001 uyguluyorsanız kontrollerini on önlemle eşleştirmek mantıklı bir başlangıç noktasıdır. Bazı dijital hizmet sağlayıcıları için Komisyon’un (AB) 2024/2690 sayılı Uygulama Tüzüğü ayrıntılı teknik şartlar belirler; ENISA’nın Haziran 2025 tarihli teknik uygulama kılavuzu da kanıt örnekleri ve eşleştirmeler sunar. Bu tüzük sizin için geçerli olmasa bile kılavuz, kanıtın nasıl göründüğünü gösterir.
Hangi yolu seçerseniz seçin kanıt saklayın: onay tarihli politikalar, eğitim kayıtları, test raporları, geri yükleme kayıtları ve yönetimin verdiği risk kararları. Madde 21(4) uyarınca, uyumlu olmadığını tespit eden bir kuruluş gereksiz gecikme olmaksızın düzeltici önlemler almalıdır.
Nereden başlamalı
- Ulusal mevzuatınıza göre kapsamda olup olmadığınızı ve kapsamdaysanız temel mi yoksa önemli kuruluş mu olduğunuzu teyit edin.
- Yukarıdaki on önleme göre bir eksiklik değerlendirmesi (gap assessment) yapın. Başlangıç için her önleme bir sayfa yeterlidir.
- Önce etkisi yüksek eksikleri giderin; örneğin çok faktörlü kimlik doğrulamanın olmaması, test edilmemiş yedekler ya da olay bildirim prosedürünün bulunmaması.
- Madde 23’teki bildirim adımlarını, CSIRT’inizin ya da yetkili makamınızın iletişim bilgileriyle birlikte olay müdahale planınıza yazın.
- Yönetimi bilgilendirin, onayını kayda geçirin ve eğitimlerini planlayın.
Danışmanlık ekibimiz NIS2 eksiklik değerlendirmesinde yardımcı olabilir; SecAudit de uyum raporlarında WordPress güvenlik bulgularını Madde 21 önlemleriyle eşleştirir.
