Endüstriyel bir makine artık yalnızca çelik, hidrolik ve elektrikten ibaret değil. Sensörler, PLC’ler, endüstriyel Ethernet, uzaktan bakım portları ve bulut izleme servisleriyle çevrili, ağa bağlı dijital bir sistem. Bu dönüşüm üretkenliği ve öngörülebilir bakımı mümkün kılarken, aynı zamanda makineye fiziksel olarak hiç dokunmadan bir üretim hattını durdurmayı ya da bir güvenlik fonksiyonunu devre dışı bırakmayı mümkün kılan yeni bir saldırı yüzeyi açtı. Avrupa Birliği’nin yeni Makine Yönetmeliği (EU 2023/1230) bu riski ilk kez doğrudan mevzuata taşıyor: 14 Ocak 2027’den itibaren AB pazarına giren makineler, siber güvenlik açısından da “güvenli” sayılmak zorunda.

Tehdit Yeni Değil, Ama Yüzey Büyüdü

Siber saldırıların endüstriyel kontrol sistemlerine yönelmesi uzun bir geçmişe sahip. 2010’daki Stuxnet, santrifüjleri kontrol eden PLC’lere bulaşarak fiziksel bir süreci manipüle etti; 2017’deki TRITON/TRISIS ise bir petrokimya tesisindeki güvenlik enstrümantasyon sistemini (SIS) doğrudan hedef aldı. İkincisi özellikle kritikti: saldırı, kazaları önlemek için tasarlanmış güvenlik fonksiyonunun kendisine yönelmişti. Bu iki olay aynı gerçeği ortaya koydu — operasyonel teknoloji (OT) ağları, kurumsal BT kadar korunmuyor ve bir güvenlik sistemi devre dışı kalırsa sonuç çevresel felakete kadar gidebilir.

Bugünün makinesi bu tabloya daha da fazla kapı ekledi. Endüstriyel Ethernet, OPC UA, MQTT, uzaktan servis için açılan VPN tünelleri ve bulut tabanlı durum izleme — bunların her biri birer erişim noktası. Üreticinin “makinem güvenli çalışıyor” cevabı artık yeterli değil; “makinem kötü niyetli bir girişime karşı dayanıklı mı?” sorusunun da yanıtlanması gerekiyor.

Yeni Makine Yönetmeliği Ne Getiriyor?

EU 2023/1230, 2006/42/EC Makine Direktifi’nin yerini alıyor ve “makine” tanımını yeniden çizerken siber güvenliği zorunlu bir uygunluk kriteri haline getiriyor. Ek III’te iki madde öne çıkıyor:

• 1.1.9 — Bozulmaya karşı koruma: Güvenlikle ilgili fonksiyonlar, yetkisiz ya da istemsiz bir müdahaleyle bozulamayacak şekilde tasarlanmalı.
• 1.2.1 — Kontrol sistemlerinin güvenliği ve güvenilirliği: Kontrol sistemi, kötü niyetli üçüncü tarafların girişimlerine karşı dayanıklı olmalı.

Bu, pratikte şu anlama gelir: üretici CE işaretini yalnızca mekanik ve elektriksel güvenlik için değil, aynı zamanda siber güvenlik risk değerlendirmesini ve bu riskleri karşılayan tasarımı teknik dosyada göstererek alır. Uygunluk değerlendirmesi artık bir “güvenlik açığı yönetimi” boyutunu da içeriyor.

IEC 62443: “Nasıl” Sorusunun Cevabı

Makine Yönetmeliği “neyin” gerektiğini söylüyor; IEC 62443 serisi “nasıl” yapılacağını tarif ediyor. Endüstriyel otomasyon ve kontrol sistemleri (IACS) güvenliği için geliştirilmiş bu uluslararası standart ailesi, OT güvenliğinin referans çerçevesi:

Bölüm	Kapsam
IEC 62443-2-1	Güvenlik yönetim sistemi (program) kurulumu
IEC 62443-2-4	Entegratör / servis sağlayıcı gereksinimleri
IEC 62443-3-3	Sistem düzeyinde teknik güvenlik gereksinimleri
IEC 62443-4-1	Güvenli ürün geliştirme yaşam döngüsü
IEC 62443-4-2	Bileşen (PLC, HMI, sürücü) teknik güvenlik gereksinimleri

Standart aynı zamanda Güvenlik Seviyelerini (SL 1-4) tanımlar: kasıtsız hatalardan, kaynakları ve motivasyonu yüksek organize saldırganlara kadar uzanan tehdit düzeylerine karşılık gelen bir dayanıklılık ölçeği. Bir makine üreticisi için pratik yol haritası genellikle 62443-4-1 (geliştirme süreci) ile 62443-4-2 (bileşen güvenliği) etrafında kurulur.

Kimler Sorumlu?

Makine Yönetmeliği’ndeki sorumluluk zinciri, tedarik sürecinin neresinde olduğunuza göre değişir. En sık yapılan hata, tüm sorumluluğu “satıcıya” yüklemeye çalışmaktır; oysa konum fark yaratır:

• Üretici: Birincil sorumlu. CE işareti, uygunluk beyanı, teknik dosya ve güvenlik güncellemelerinin sağlanması.
• İthalatçı: Makineyi AB dışından getiriyorsa, üretici gibi sorumlu kabul edilir.
• Entegratör: Birden fazla makineyi bir üretim hattına bağlıyorsa, bütünün uyumundan sorumludur.
• Önemli değişiklik yapan: Makinenin işlevini, güvenlik fonksiyonunu ya da dijital unsurunu değiştiren taraf, fiilen “üretici” konumuna geçer.

Türkiye’den AB pazarına makine ihraç eden üreticiler için bu tablo doğrudan bağlayıcıdır: CE işaretli bir makinenin 2027 sonrası AB’ye girebilmesi için siber güvenlik gereksinimlerinin karşılandığının teknik dosyada gösterilmesi zorunludur.

Uyum Süreci Nereden Başlar?

Regülasyon karmaşık görünse de uyum, sistematik bir yaklaşımla yönetilebilir. Temel adımlar; makinelerin envanterinin ve bağlantı noktalarının çıkarılması, güvenlik fonksiyonlarının siber risk değerlendirmesi, IEC 62443 bölgeleri ve kanallarına (zone/conduit) göre ağ segmentasyonu, yazılım bileşen envanteri (SBOM), güvenli geliştirme süreci ve ürün ömrü boyunca güvenlik açığı izleme ile güncelleme sürecinin kurulmasıdır. Önemli olan, siber güvenliği ürün geliştirmenin sonuna eklenen bir kontrol değil, tasarımın başından itibaren içine yerleşmiş bir gereklilik olarak ele almaktır.