NIS2 İş Sürekliliği Gereklilikleri: Yedekleme, DR ve Kriz Yönetimi

NIS2 Direktifi çoğunlukla firewall, MFA ve zafiyet yönetimi üzerinden konuşuluyor. Oysa direktifin saydığı zorunlu risk yönetimi tedbirlerinden biri doğrudan iş sürekliliğidir: yedekleme yönetimi, felaket kurtarma ve kriz yönetimi. Aşağıda bu yükümlülüğü yönetim sistemi gözüyle yorumluyor; ISO 22301 ve ISO/IEC 27001 ile eşlemesini, yönetim organının sorumluluğunu ve AB’de faaliyet göstermeyen Türkiye’deki şirketlerin bu gerekliliklerle hangi yollardan karşılaştığını anlatıyoruz. Teknik kontrollerin ayrıntısı kapsam dışında.

NIS2 risk yönetimi tedbirleri içinde süreklilik

(AB) 2022/2555 sayılı NIS2 Direktifi, kapsamdaki “temel” ve “önemli” kuruluşların ağ ve bilgi sistemlerine yönelik riskleri yönetmek için uygun ve orantılı teknik, operasyonel ve organizasyonel tedbirler almasını ister (madde 21/1). Madde 21/2, bu tedbirlerin “tüm tehlikeler” yaklaşımına dayanmasını ve en az belirli başlıkları içermesini öngörür. Süreklilikle doğrudan ilgili başlıklar:

Madde 21/2	Başlık	Süreklilik bağlantısı
(b)	Olay yönetimi	Olaydan kurtarmaya geçişin tetikleyicisi
(c)	İş sürekliliği: yedekleme yönetimi, felaket kurtarma ve kriz yönetimi	Doğrudan süreklilik yükümlülüğü
(d)	Tedarik zinciri güvenliği	Kritik tedarikçi kesintisi
(f)	Tedbirlerin etkinliğinin değerlendirilmesi	Tatbikat ve test kanıtı
(j)	Çok faktörlü doğrulama, güvenli iletişim, kuruluş içi güvenli acil durum iletişim sistemleri	Kriz anında iletişim

“Tüm tehlikeler” ifadesini ciddiye alın. Süreklilik planı yalnız siber saldırıyı değil, ağ ve bilgi sistemlerini etkileyebilecek fiziksel olayları da kapsamalıdır: sistem odasında yangın, UPS arızası, uzun elektrik kesintisi, tavandan gelen su. Bu, ISO 22301’in risk kaynağından bağımsız, etki odaklı yaklaşımıyla örtüşür. Fidye yazılımı senaryosu tek senaryo değildir.

Direktif tedbirlerin ayrıntısını büyük ölçüde üye devletlerin ulusal düzenlemelerine ve Komisyon’un uygulama düzenlemelerine bırakır. Örneğin (AB) 2024/2690 sayılı Uygulama Tüzüğü; DNS hizmet sağlayıcıları, bulut, veri merkezi, yönetilen hizmet ve yönetilen güvenlik hizmeti sağlayıcıları gibi belirli dijital hizmet türleri için iş sürekliliği ve kriz yönetimi başlığını ayrıca ayrıntılandırır. Kapsamdaki bir kuruluşun hangi ulusal düzenlemeye tabi olduğu, faaliyet gösterdiği üye devlete göre belirlenir.

Yedekleme, DR ve kriz yönetimi beklentileri

Madde 21/2(c) üç unsuru birlikte sayar. Yönetim sistemi açısından her biri için beklenen çıktılar şöyle yorumlanabilir:

Yedekleme yönetimi

• Hangi verinin, hangi sıklıkla ve hangi saklama süresiyle yedekleneceğini tanımlayan bir politika; sıklığın RPO hedeflerinden türetilmesi,
• Yedeklerin ana sistemlerden ve ana kimlik altyapısından yalıtılması; direktif teknik yöntem belirtmese de fidye yazılımı riskine karşı en az bir kopyanın değiştirilemez veya çevrimdışı tutulması iyi uygulamadır,
• Düzenli geri yükleme testleri ve bunların kayıtları.

Sahada en sık gördüğümüz zayıflık, yedekleme sunucusunun üretim domain’ine üye olması ve yedek deposuna aynı yönetici hesaplarıyla erişilebilmesidir. Saldırgan domain admin yetkisini aldığında yedekleri de siler. Denetimde sorulan soru “yedek alınıyor mu” değildir; “geri yüklenebildiğini nasıl kanıtlıyorsunuz” sorusudur. Kanıt setinin nasıl hazırlanacağı için yedekleme ve geri yükleme denetim kanıtları rehberine bakabilirsiniz.

Felaket kurtarma

• Kritik hizmetler için iş etki analizine dayanan RTO/RPO hedefleri,
• Hedeflere ulaşmayı sağlayan teknik strateji (yedekten dönüş, replikasyon, ikincil saha) ve kurtarma sırası,
• Test edilmiş kurtarma prosedürleri ve test sonuçlarının hedeflerle karşılaştırılması.

Kurtarma sırası çoğu planda eksik kalır. Domain controller, DNS ve DHCP ayağa kalkmadan uygulama sunucusunu açmak saat kaybettirir; veritabanı hazır olmadan uygulama katmanını açmak da öyle. Sıra yazılı olmalı.

Kriz yönetimi

• Yetkileri tanımlı bir kriz yönetim ekibi ve aktivasyon kriterleri,
• Kurumsal altyapıdan bağımsız çalışabilen iç iletişim kanalları,
• Müşteri, tedarikçi ve otoritelerle iletişim akışı.

Kriz yönetimi, madde 23’teki raporlama yükümlülüğüyle doğrudan kesişir. Önemli bir olayda yetkili otoriteye veya CSIRT’e olayın farkına varılmasından itibaren 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve olay bildiriminden itibaren en geç bir ay içinde nihai rapor sunulması gerekir. Bu süreler, kriz ekibinin ilk toplantı gündemine bildirim kararını zorunlu olarak sokar. Teknik ekip hâlâ log toplarken saat işlemeye devam eder. Kriz ekibi yapısı ve paydaş iletişimi için kriz yönetimi ve kriz iletişimi planı rehberine bakabilirsiniz.

ISO 22301 ve ISO 27001 ile eşleme

NIS2 bir yönetim sistemi standardı değildir ve belirli bir standardı zorunlu tutmaz; ama madde 21/1, tedbirlerin ilgili Avrupa ve uluslararası standartları dikkate almasını bekler. ISO 22301 ve ISO/IEC 27001:2022 belgeli bir kuruluş, süreklilik başlığının büyük bölümünü mevcut yapısıyla karşılayabilir. Aşağıdaki eşleme bir başlangıç noktasıdır; ulusal düzenlemenin ek gerekliliklerine göre genişletin.

NIS2 beklentisi	ISO 22301:2019	ISO/IEC 27001:2022 Ek A
Süreklilik ve DR planlaması	8.2 BIA ve risk değerlendirmesi, 8.3 stratejiler, 8.4 planlar	5.29 Kesinti sırasında bilgi güvenliği, 5.30 BİT’in iş sürekliliğine hazırlığı
Yedekleme yönetimi	8.3 stratejiler ve çözümler (kaynak gereksinimi)	8.13 Bilgi yedekleme
Yedeklilik	8.3 stratejiler ve çözümler	8.14 Bilgi işleme tesislerinin yedekliliği
Kriz yönetimi ve iletişim	8.4.2 Müdahale yapısı, 8.4.3 Uyarı ve iletişim	5.24–5.26 Olay yönetimi planlama ve müdahale
Etkinliğin değerlendirilmesi	8.5 Tatbikat programı, 9.1–9.2 izleme ve iç denetim	5.35 Bağımsız gözden geçirme
Yönetimin sorumluluğu	5.1 Liderlik, 9.3 Yönetimin gözden geçirmesi	Ana metin 5.1 ve 9.3 (Ek A dışı)

Eşlemedeki tuzak kapsamdır. ISO 22301 kapsamı çoğu zaman belirli ürün ve hizmetlerle sınırlanır; NIS2 ise kuruluşun kapsamdaki hizmetleri sağlamak için kullandığı ağ ve bilgi sistemlerinin tamamını hedefler. Sertifika kapsamı NIS2 kapsamındaki hizmeti içermiyorsa eşleme yanıltıcıdır. Sertifika duvarda asılıdır, kapsam ise ekindedir. Standardın madde yapısı ve ISO 27001 ile ortak yönleri için ISO 22301 gereklilikleri yazısına bakabilirsiniz.

Yönetim organının sorumluluğu

NIS2’nin yönetim sistemi açısından en belirgin yeniliği madde 20’dir. Kuruluşun yönetim organı, madde 21’deki risk yönetimi tedbirlerini onaylar, uygulanmasını gözetir ve ihlallerden sorumlu tutulabilir. Yönetim organı üyelerinin eğitim alması da öngörülür. Süreklilik tarafında bunun pratik karşılıkları:

• RTO/RPO hedeflerinin ve kabul edilen kalan risklerin yönetim organınca resmi olarak onaylanması,
• Tatbikat sonuçlarının ve açık aksiyonların yönetimin gözden geçirmesinde düzenli olarak sunulması,
• Yönetim organı üyelerinin kriz ekibindeki rollerine uygun eğitim ve tatbikat katılımı,
• Bütçe ve kaynak kararlarının, hedef ile mevcut kapasite arasındaki boşluklara göre kayıt altına alınması.

Son madde pratikte en çok işe yarayanıdır. Dört saatlik RTO onaylanıp ikincil saha bütçesi reddedildiyse, bu karar yazılı olmalıdır. Aksi halde kesinti sonrasında soru BT ekibine döner.

Direktif (madde 34) idari para cezalarının üst sınırının nasıl belirleneceğini de düzenler: üst sınır, temel kuruluşlar için en az 10 milyon avro, önemli kuruluşlar için en az 7 milyon avro ya da dünya çapındaki yıllık toplam cironun temel kuruluşlarda yüzde ikisi, önemli kuruluşlarda binde 14’ü; hangisi yüksekse odur. Yönetim açısından asıl değişiklik ise sorumluluğun teknik ekipten yönetim organına açıkça taşınmasıdır.

Tedarik zinciri üzerinden etkilenme

Türkiye AB üyesi olmadığı için NIS2, Türkiye’de kurulu bir şirkete kural olarak doğrudan uygulanmaz. Türkiye’deki şirketler bu gerekliliklerle yine de üç yoldan karşılaşır:

1. AB’deki müşteriler: Madde 21/2(d) ve 21/3, kapsamdaki kuruluşların doğrudan tedarikçilerinin güvenlik uygulamalarını ve zafiyetlerini dikkate almasını ister. AB’deki müşteriler bu yüzden tedarikçilerine süreklilik planı, kurtarma hedefleri, olay bildirimi ve test kanıtı gibi gereklilikleri sözleşme ve anket yoluyla aktarır.
2. AB’de hizmet sunan dijital hizmet sağlayıcıları: Bulut, veri merkezi, yönetilen hizmet gibi belirli dijital hizmet türlerini AB’de sunan ancak AB’de kurulu olmayan kuruluşlar için direktif, bir üye devlette temsilci atanmasını öngörür (madde 26).
3. AB’de iştiraki olan gruplar: AB’deki iştirak kapsamdaysa grup içi BT hizmetleri ve ortak altyapı fiilen NIS2 gerekliliklerine göre yönetilmek zorunda kalır.

Birinci yol en yaygın olanıdır ve etkisi sözleşmeye bağlıdır. Müşteri, tedarikçiden kendi RTO’suyla uyumlu bir hizmet sürekliliği güvencesi ister; anket genellikle “RTO’nuz nedir, son DR testiniz ne zamandı, kanıtını paylaşır mısınız” sorularıyla gelir. Bu taleplere nasıl hazırlanılacağı için kritik tedarikçilerde iş sürekliliği yazısı, müşteri tarafının soracağı soruları ve sözleşme maddelerini ayrıntılandırıyor. Teknik tedbirlerin kontrollere eşlenmesi ise NIS2 teknik tedbirleri rehberinde.

Hazırlık yol haritası

Doğrudan kapsamda olun ya da müşteri talebiyle karşılaşın, bilgi güvenliği uyumu kapsamında süreklilik tarafındaki hazırlık şu sırayla ilerleyebilir:

1. Kapsam ve etkilenme yolunu belirleyin: Doğrudan kapsam, temsilci yükümlülüğü veya müşteri sözleşmesi; hangisi geçerli?
2. Kapsamdaki hizmetler için BIA yapın: Hizmetleri destekleyen ağ ve bilgi sistemlerini, bağımlılıkları ve kesinti etkisini çıkarın.
3. Hedefleri yönetim organına onaylatın: RTO/RPO ve kabul edilen kalan riskler yazılı karar olsun.
4. Boşluk analizi yapın: Mevcut yedekleme, DR ve kriz yönetimi düzenlemelerini yukarıdaki eşleme tablosuyla karşılaştırın.
5. Kriz yönetimini bildirim süreleriyle bütünleştirin: 24 saat ve 72 saat eşiklerini kriz ekibi görev listesine ekleyin.
6. Test edin ve kanıtlayın: Geri yükleme testleri, DR testi ve masa başı kriz tatbikatıyla etkinliği ölçün; sonuçları yönetimin gözden geçirmesine taşıyın.

Kapsam belirleme ve boşluk analizini NIS2 kapsam ve gereklilik hazırlığı çalışmasıyla, süreklilik yönetim sistemini ise ISO 22301 iş sürekliliği yönetimi yaklaşımıyla ele alabilirsiniz.

Sık sorulan sorular

NIS2 Türkiye’deki şirketlere uygulanır mı?

Türkiye’de kurulu bir şirkete kural olarak doğrudan uygulanmaz. Ancak AB’deki müşteriler tedarik zinciri güvenliği gereği süreklilik ve olay bildirimi gerekliliklerini sözleşmeyle tedarikçilerine aktarır. AB’de belirli dijital hizmetleri sunan kuruluşlar temsilci atamak zorunda kalabilir; AB’deki iştiraki kapsamda olan gruplar da dolaylı olarak etkilenir.

ISO 22301 sertifikası NIS2 süreklilik gerekliliğini karşılar mı?

Büyük ölçüde destekler ama otomatik uyum sağlamaz. Sertifika kapsamı NIS2 kapsamındaki hizmetleri ve bunları destekleyen ağ ve bilgi sistemlerini içermeli, yedekleme ve kriz yönetimi olay bildirim süreleriyle bütünleştirilmeli ve ulusal düzenlemenin ek gereklilikleri kontrol edilmelidir.

NIS2’de olay bildirim süreleri nelerdir?

Önemli bir olayda, olayın farkına varılmasından itibaren 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi yapılır; olay bildiriminden itibaren en geç bir ay içinde nihai rapor sunulur. Yetkili otorite gerekirse ara rapor da isteyebilir.

NIS2 kapsamında yönetim kurulunun sorumluluğu nedir?

Madde 20’ye göre yönetim organı risk yönetimi tedbirlerini onaylar, uygulanmasını gözetir ve ihlallerden sorumlu tutulabilir; üyelerin eğitim alması da öngörülür. Süreklilik açısından bu, hedeflerin, kalan risklerin ve tatbikat sonuçlarının yönetim organınca onaylanıp izlenmesi demektir.