Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
AB’nin NIS2 Direktifi’nin kuruluşunuzu doğrudan (AB’de faaliyet gösteren şirketler) veya dolaylı olarak (AB’deki temel ve önemli kuruluşlara hizmet veren tedarikçiler) nasıl etkilediğini değerlendiriyor; siber güvenlik risk yönetimi tedbirleri, olay bildirimi ve tedarik zinciri gerekliliklerine hazırlık için yol haritası çıkarıyoruz.
NIS2 Direktifi (AB) 2022/2555, AB genelinde belirli sektörlerdeki temel ve önemli kuruluşlara siber güvenlik risk yönetimi tedbirleri, olay bildirimi ve yönetim sorumluluğu yükümlülükleri getirir. Türkiye’de yerleşik şirketler doğrudan kapsamda olmasalar da AB’deki iştirakleri veya AB’deki kapsamdaki müşterilerinin tedarik zinciri gereklilikleri üzerinden etkilenebilir.
Direktif metni ve ulusal düzenlemeler karmaşık; şirketin doğrudan veya dolaylı etkisi bilinmiyor.
AB müşterileri olay bildirimi, güvenlik tedbirleri ve denetim hakkı maddeleri ekliyor.
Direktif üst yönetimin siber risk yönetimini onaylamasını ve eğitim almasını bekliyor.
Direktif, üye devletlerin 17 Ekim 2024’e kadar ulusal mevzuata aktarmasını öngörmüştür. Kuruluşlardan risk analizi ve politikalar, olay yönetimi, iş sürekliliği ve kriz yönetimi, tedarik zinciri güvenliği, zafiyet yönetimi, kriptografi, insan kaynakları güvenliği ve erişim kontrolü, çok faktörlü kimlik doğrulama gibi tedbirler beklenir; önemli olaylar için kademeli bildirim süreleri tanımlanmıştır. Uygulama ayrıntıları üye devlet mevzuatına göre farklılık gösterir.
AB faaliyetleri, sektör, büyüklük ve müşteri ilişkileri üzerinden doğrudan/dolaylı etki değerlendirmesi.
NIS2 tedbirlerinin mevcut ISO 27001/TISAX kontrolleriyle eşlenmesi.
Risk yönetimi, olay bildirimi, tedarik zinciri ve yönetim sorumluluğu alanlarında eksikler.
Müşteri ve gerekirse yetkili otoriteye bildirim akışının olay müdahale planına eklenmesi.
Öncelikli aksiyonlar ve sözleşme yanıt stratejisi.
ISO 27001 veya TISAX çalışmanız varsa NIS2 tedbirlerinin büyük kısmı zaten karşılanıyor olabilir; çalışma bu örtüşmeyi görünür kılar. Eksikler olay müdahale planı, tedarikçi risk yönetimi ve iş sürekliliği hizmetleriyle kapatılır.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Türkiye’de yerleşik şirketler doğrudan muhatap değildir; ancak AB’de faaliyet veya AB’deki kapsamdaki müşterilerin tedarik zinciri gereklilikleri üzerinden etkilenebilir. Hukuki teyit önerilir.
Tedbirlerin önemli kısmını karşılar; olay bildirimi, yönetim sorumluluğu ve ulusal gereklilikler ayrıca ele alınmalıdır.
Direktif kademeli bildirim (erken uyarı, olay bildirimi, nihai rapor) öngörür; süreler ve usul ilgili ulusal mevzuattan teyit edilir.
Hayır; teknik ve organizasyonel hazırlık sağlıyoruz, hukuki yorum için hukuk danışmanınızla çalışılmalıdır.
AB ile iş yapan veya kapsamı değerlendiren kurumlar için risk temelli hazırlık planlayın.
Kısa süreli değerlendirme + yol haritası
NIS2 ulusal mevzuatlarla uygulanır; yükümlülükler ilgili AB üye devletinin düzenlemesine göre değişir ve hukuki teyit gerektirir.
Doğrudan ve dolaylı etki belirlenir.
Gereklilikler mevcut kontrollerle eşlenir.
Eksikler önceliklendirilir.
Aksiyon planı sunulur.
Dış hizmet sağlayıcıların erişimlerini, taahhütlerini ve risklerini kontrol altına alın.
Olay anında teknik ekip ve yönetimin izleyeceği karar akışlarını netleştirin.
Mevcut kontrollerinizin standardın gerekleri karşısındaki durumunu kanıta dayalı değerlendirin.
Tam zamanlı kadro oluşturmadan güvenlik programı, riskler, denetimler ve yönetim raporları için uzmanlık alın.
AB’deki faaliyetlerinizi, müşterilerinizi ve sektörünüzü paylaşın; kapsam değerlendirmesi ve hazırlık yol haritası için teklif hazırlayalım.