Avrupa Birliği’nin 2023 yılında yürürlüğe giren ve üye ülkelerin Ekim 2024’e kadar ulusal mevzuatlarına aktarması gereken NIS2 Direktifi (Network and Information Security Directive 2), siber güvenlik düzenlemelerinde yeni bir dönemi başlattı. Orijinal NIS Direktifi’nden çok daha kapsamlı olan bu düzenleme, yalnızca AB sınırları içindeki şirketleri değil, AB ile iş yapan tüm organizasyonları etkiliyor.

NIS1’den NIS2’ye: Ne Değişti?

2016’da yürürlüğe giren ilk NIS Direktifi, siber güvenlik alanında AB çapında asgari standartlar belirleyen ilk yasal düzenlemeydi. Ancak kapsamı sınırlıydı; yalnızca “temel hizmet operatörleri” (enerji, ulaşım, bankacılık, sağlık) ve bazı dijital hizmet sağlayıcılarını kapsıyordu. Üye ülkeler arasındaki uygulama farklılıkları, siber saldırganların en zayıf halkayı hedeflemesine zemin hazırlıyordu.

NIS2 bu eksiklikleri gidermek için tasarlandı. Kapsamı dramatik şekilde genişletti, yaptırımları GDPR seviyesine çıkardı ve 18 sektör ile 100’den fazla alt sektörü düzenlemeye tabi hale getirdi.

NIS2’nin Getirdiği Temel Değişiklikler

Genişletilmiş Kapsam: NIS2, “temel” (essential) ve “önemli” (important) olmak üzere iki yeni varlık kategorisi tanımlıyor. Enerji, ulaşım, bankacılık, sağlık, içme suyu, dijital altyapı, B2B ICT hizmetleri, kamu yönetimi ve uzay sektörü “temel”; posta, atık yönetimi, kimyasallar, gıda, imalat ve dijital sağlayıcılar “önemli” olarak sınıflandırılıyor. Bu, NIS1’e kıyasla yaklaşık 10 kat daha fazla kuruluşun kapsama alınması anlamına geliyor.

Yönetim Kurulu Sorumluluğu: En çarpıcı yenilik: Yönetim kurulu üyeleri ve üst düzey yöneticiler, siber güvenlik risk yönetiminden doğrudan ve kişisel olarak sorumlu tutuluyor. Uyumsuzluk durumunda bireysel yaptırımlarla karşılaşabilir, yönetici pozisyonlarından geçici olarak men edilebilirler.

Tedarik Zinciri Güvenliği: Kuruluşlar yalnızca kendi sistemlerini değil, tedarikçilerinin güvenlik duruşunu da değerlendirmek ve yönetmek zorunda. Bu, AB’ye mal veya hizmet sağlayan Türk şirketleri için doğrudan etki yaratıyor.

Sıkı Olay Bildirim Zorunluluğu: 24 saat içinde erken uyarı, 72 saat içinde kapsamlı bildirim ve bir ay içinde nihai rapor. NIS1’deki belirsiz “makul süre” ifadesi yerini net zaman çizelgelerine bıraktı.

Ağır Yaptırımlar: Temel varlıklar için 10 milyon Euro veya yıllık küresel cironun %2’si; önemli varlıklar için 7 milyon Euro veya cironun %1.4’ü — GDPR ile aynı seviyede.

Türk Şirketleri İçin NIS2 Neden Önemli?

NIS2 yalnızca AB üyesi ülkelerdeki şirketleri bağlamıyor. AB’de hizmet sunan veya AB şirketlerinin tedarik zincirinde yer alan tüm organizasyonlar bu düzenlemeden etkileniyor. Türkiye’den AB’ye yazılım, bulut hizmeti, veri işleme, endüstriyel kontrol sistemleri veya kritik altyapı bileşenleri sağlayan şirketler, AB’deki müşterilerinin NIS2 uyumluluğunu desteklemek zorunda.

Bunun ötesinde, Türkiye’nin kendi siber güvenlik mevzuatı da benzer yönde gelişiyor. Bugün NIS2 için kurduğunuz yönetişim yapısı, yarın Türkiye’nin kendi düzenlemeleri için de hazır bir altyapı oluşturacak.

NIS2 Uyumluluğu Nasıl Sağlanır?

1. Kapsam Belirleme: Kuruluşunuz NIS2 kapsamına giriyor mu? Hangi kategoride?
2. Boşluk Analizi: Mevcut güvenlik duruşunuzun NIS2 karşısındaki eksiklikleri
3. Risk Yönetim Çerçevesi: ISO 27001 / NIST CSF üzerinde NIS2 kontrolleri
4. Tedarik Zinciri Değerlendirmesi: Kritik tedarikçilerin güvenlik değerlendirmesi
5. Olay Müdahale Planı: 24/72 saatlik bildirim sürelerine uygun prosedürler
6. Yönetim Kurulu Eğitimi: Üst yönetimin siber güvenlik farkındalığı
7. Sürekli İzleme: Penetrasyon testleri, denetimler, sürekli iyileştirme

Das Smart Çözümü

Das Smart Teknoloji olarak, NIS2 uyumluluk yolculuğunuzda stratejik ortağınız olmaya hazırız. NIS2 kapsam ve boşluk analizi, ISO 27001 ve NIS2 entegre yönetim sistemi kurulumu, tedarik zinciri siber güvenlik değerlendirmesi, olay müdahale planlaması ve yönetim kurulu eğitimi hizmetlerini sunuyoruz. NIS2 yalnızca bir uyumluluk zorunluluğu değil, aynı zamanda siber güvenlik olgunluğunuzu artırmak için stratejik bir fırsat.