NIS2 Direktifi Nedir? Avrupa Birliği Siber Güvenlik Yükümlülükleri, Risk Yönetimi ve Uyum Rehberi

NIS2 Direktifi Nedir?

NIS2 Direktifi, Avrupa Birliği genelinde kritik ve önemli sektörlerde faaliyet gösteren kuruluşların siber güvenlik seviyelerini artırmayı amaçlayan, risk yönetimi, olay bildirimi, yönetim sorumluluğu ve denetim yükümlülüklerini düzenleyen AB mevzuatıdır.

Resmî adı Directive (EU) 2022/2555 olan NIS2, ilk NIS Direktifi'nin kapsamını genişleterek daha fazla sektörü ve kuruluş türünü siber güvenlik yükümlülükleri kapsamına almıştır.

NIS2'nin temel hedefi, Avrupa Birliği içerisinde ağ ve bilgi sistemlerinin yüksek ve ortak bir siber güvenlik seviyesine ulaşmasını sağlamaktır.

Direktif yalnızca güvenlik teknolojilerinin kullanılmasını değil, kuruluşların siber güvenlik risklerini yönetmesini, güvenlik olaylarını zamanında bildirmesini, tedarikçi risklerini değerlendirmesini ve üst yönetim düzeyinde sorumluluk oluşturmasını hedefler.

NIS2 hakkında kısa bilgiler

Konu	Açıklama
Resmî düzenleme	Directive (EU) 2022/2555
Temel amaç	AB genelinde siber güvenlik dayanıklılığının artırılması
Kapsam	Kritik ve önemli sektörlerdeki belirli kuruluşlar
Risk yönetimi	Madde 21
Olay bildirimi	Madde 23
Yönetim sorumluluğu	Madde 20
Kuruluş sınıflandırması	Essential ve Important Entities
Ulusal mevzuata aktarım için son tarih	17 Ekim 2024
Denetim ve yaptırımlar	İlgili üye devletin ulusal uygulaması

Kısa cevap: NIS2 uyumu, kuruluşun direktif ve uygulanabilir ulusal mevzuat kapsamındaki yükümlülüklerini belirlemesi; siber güvenlik risk yönetimini, olay bildirimini, tedarikçi güvenliğini ve yönetim gözetimini kanıtlanabilir süreçlerle yürütmesi anlamına gelir.

1. NIS2 Direktifi Neden Oluşturuldu?

Dijital hizmetlerin ve kritik altyapıların birbirine bağımlılığı arttıkça siber güvenlik olaylarının etkileri de genişlemektedir.

Bir enerji dağıtım şirketinde meydana gelen siber olay yalnızca ilgili şirketi değil, hizmet sunduğu işletmeleri ve bireyleri de etkileyebilir.

Benzer şekilde bulut hizmeti sağlayıcısında yaşanan kesinti, çok sayıda kuruluşun operasyonlarını eş zamanlı olarak durdurabilir.

İlk NIS Direktifi, Avrupa'da ortak siber güvenlik yaklaşımının oluşturulmasına katkı sağlamış olsa da sektör kapsamı, uygulama farklılıkları ve denetim mekanizmaları bakımından geliştirilmesi gereken alanlar bulunuyordu.

NIS2 bu ihtiyaçlara yanıt vermek amacıyla hazırlanmıştır.

NIS2'nin odaklandığı temel sorunlar

• Kritik sektörlerde farklı güvenlik olgunluğu seviyeleri
• Tedarik zinciri kaynaklı siber güvenlik riskleri
• Güvenlik olaylarının geç veya yetersiz bildirilmesi
• Yönetim düzeyinde yetersiz siber güvenlik gözetimi
• Ülkeler arasında farklı uygulamalar
• Bulut ve yönetilen hizmet sağlayıcılarına artan bağımlılık
• Fidye yazılımı ve hizmet kesintisi riskleri

NIS2, bu sorunların yalnızca teknoloji satın alınarak çözülemeyeceğini kabul eden risk temelli bir yaklaşım benimser.

2. NIS2 Ne Zaman Yürürlüğe Girdi?

NIS2 Direktifi, Ocak 2023'te yürürlüğe girmiştir.

AB üye devletlerinin direktifi ulusal mevzuatlarına aktarmaları için belirlenen son tarih 17 Ekim 2024 olmuştur.

NIS2, 18 Ekim 2024 itibarıyla önceki NIS düzenlemesinin yerini almıştır.

Ancak bir AB direktifinin pratikte uygulanması, ilgili üye devletin ulusal mevzuatı ve yetkili kurumlarıyla birlikte değerlendirilmelidir.

2026 itibarıyla dikkat edilmesi gerekenler

Kuruluşlar faaliyet gösterdikleri AB ülkesindeki güncel düzenlemeyi incelemelidir.

Kayıt ve bildirim yükümlülükleri ülkeye göre farklı idari mekanizmalar üzerinden yürütülebilir.

Denetim yetkileri ve yaptırım süreçleri ulusal mevzuatla somutlaştırılır.

Avrupa Komisyonu, Ocak 2026'da NIS2 kapsamında belirli hedefli değişiklikler önermiştir. Teklif niteliğindeki değişiklikler, kabul edilip yürürlüğe girmedikçe mevcut bağlayıcı hükümlerle karıştırılmamalıdır.

Önemli: Bir kuruluşun uyum değerlendirmesi yalnızca direktif metni üzerinden değil, ilgili ülkenin yürürlükteki ulusal düzenlemesi üzerinden yapılmalıdır.

3. NIS2 Hangi Sektörleri Kapsar?

NIS2, Ek I ve Ek II kapsamında farklı sektörleri ele alır.

Ek I: Yüksek kritiklikteki sektörler

Enerji.

Ulaştırma.

Bankacılık.

Finansal piyasa altyapıları.

Sağlık.

İçme suyu.

Atık su.

Dijital altyapı.

İşletmeler arası BİT hizmet yönetimi.

Kamu yönetimi.

Uzay.

Ek II: Diğer kritik sektörler

Posta ve kurye hizmetleri.

Atık yönetimi.

Kimyasalların üretimi ve dağıtımı.

Gıda üretimi, işlenmesi ve dağıtımı.

Belirli imalat faaliyetleri.

Dijital hizmet sağlayıcıları.

Araştırma kuruluşları.

İmalat sektörü açısından

NIS2 kapsamında bütün üretim şirketlerinin otomatik olarak aynı statüde olduğu varsayılmamalıdır.

İlgili imalat alt sektörü, kuruluşun büyüklüğü, sunduğu hizmetler ve ulusal mevzuat değerlendirilmelidir.

4. Essential Entities ve Important Entities Nedir?

NIS2 kapsamında kuruluşlar belirli koşullara göre Essential Entities (Temel Kuruluşlar) ve Important Entities (Önemli Kuruluşlar) olarak sınıflandırılır.

Bu ayrım özellikle denetim yaklaşımı ve yaptırım mekanizmaları bakımından önemlidir.

Kriter	Essential Entities	Important Entities
Genel yaklaşım	Daha yüksek kritiklikteki kuruluşlar	Kapsamdaki diğer önemli kuruluşlar
Denetim	Önleyici ve olay sonrası denetim yetkileri	Genel olarak olay sonrası denetim yaklaşımı
Risk yönetimi	Madde 21 yükümlülükleri	Madde 21 yükümlülükleri
Olay bildirimi	Madde 23 yükümlülükleri	Madde 23 yükümlülükleri
Yaptırım	İlgili kategoriye özgü üst sınırlar	İlgili kategoriye özgü üst sınırlar

Önemli ayrım

Essential veya Important statüsü yalnızca sektör adına bakılarak belirlenmez.

Kuruluşun büyüklüğü, faaliyetleri ve direktifte belirtilen özel sınıflandırma hükümleri dikkate alınır.

Bazı kuruluş türleri için büyüklükten bağımsız özel kurallar bulunur.

5. NIS2 Kapsamında Şirket Büyüklüğü Nasıl Değerlendirilir?

NIS2, genel olarak ilgili sektörlerde faaliyet gösteren orta ve büyük ölçekli kuruluşlara odaklanır.

Bununla birlikte büyüklük kriterleri tek başına yeterli değildir.

Değerlendirme yapılırken

Çalışan sayısı.

Yıllık ciro.

Bilanço büyüklüğü.

Bağlı ve ortak işletme ilişkileri.

Faaliyet sektörü.

Sunulan hizmetin kritiklik düzeyi.

Üye devletin özel belirlemeleri.

Örnek

AB'de yönetilen güvenlik hizmetleri sunan bir şirketin NIS2 kapsamına girip girmediği değerlendirilirken yalnızca çalışan sayısı değil, hizmetin niteliği ve uygulanabilir özel hükümler de incelenmelidir.

Kritik nokta

Küçük ölçekli bütün kuruluşların otomatik olarak kapsam dışında kaldığı söylenemez.

Direktifte büyüklükten bağımsız uygulama halleri bulunmaktadır.

6. Türkiye'deki Şirketler NIS2'den Etkilenir mi?

Türkiye, Avrupa Birliği üyesi değildir.

Bu nedenle NIS2 Direktifi'nin Türkiye'deki bütün şirketlere doğrudan ve genel olarak uygulandığı söylenemez.

Bununla birlikte Türkiye'deki şirketler çeşitli nedenlerle NIS2 ile ilişkili yükümlülüklerle karşılaşabilir.

Birinci senaryo: AB'de faaliyet

Kuruluşun AB'de sunduğu hizmetler ve faaliyet yapısı, ilgili ülkenin NIS2 uygulaması kapsamında değerlendirilebilir.

İkinci senaryo: AB'deki bağlı şirket

Türkiye merkezli bir grubun AB'deki iştiraki kapsam dahilinde olabilir.

Üçüncü senaryo: Tedarikçi ilişkileri

AB'de NIS2 kapsamındaki bir müşteri, tedarikçisinden sözleşmesel güvenlik yükümlülüklerini karşılamasını isteyebilir.

Dördüncü senaryo: Yönetilen hizmetler

AB pazarında faaliyet gösteren MSP veya MSSP niteliğindeki kuruluşlar için özel değerlendirme gerekebilir.

Örnek

Türkiye'de yazılım geliştiren bir şirket, AB'deki kritik altyapı işletmecisine hizmet sağlıyor.

Müşteri, sözleşmesinde güvenlik testleri, olay bildirimi, erişim kontrolü ve tedarik zinciri güvenliği şartları belirleyebilir.

Bu durum Türkiye'deki tedarikçinin otomatik olarak NIS2 kapsamında bir Essential Entity olduğu anlamına gelmez.

Sonuç: Türkiye'deki kuruluşlar için doğrudan hukuki kapsam ile müşterilerden kaynaklanan sözleşmesel güvenlik gereksinimleri ayrı değerlendirilmelidir.

7. NIS2 Madde 20: Üst Yönetimin Sorumluluğu

NIS2'nin dikkat çekici yönlerinden biri, siber güvenlik risk yönetimini üst yönetim sorumluluğuyla ilişkilendirmesidir.

Madde 20 kapsamında ilgili kuruluşların yönetim organları siber güvenlik risk yönetimi tedbirlerini onaylamalı ve uygulanmasını gözetmelidir.

Ayrıca yönetim organı üyelerinin uygun eğitim almalarına yönelik hükümler bulunmaktadır.

Yönetim düzeyinde ele alınabilecek konular

Siber güvenlik stratejisi.

Risk iştahı.

Kritik risklerin kabulü.

Güvenlik yatırımları.

Olay müdahale hazırlığı.

Tedarikçi riskleri.

İş sürekliliği.

Denetim sonuçları.

Örnek

Bilgi güvenliği ekibi kritik bir erişim kontrolü eksikliği tespit etti.

Riskin giderilmesi için yatırım gerekiyor.

Yönetim, riski ve önerilen tedbirleri değerlendirerek gerekli kararları almalıdır.

Kritik nokta

NIS2 uyumu yalnızca BT departmanına devredilerek tamamlanabilecek bir sorumluluk değildir.

8. NIS2 Madde 21: Siber Güvenlik Risk Yönetimi

NIS2 Madde 21, kapsam dahilindeki kuruluşların uygun ve orantılı teknik, operasyonel ve organizasyonel siber güvenlik risk yönetimi tedbirleri almasını öngörür.

Tedbirler kuruluşun maruz kaldığı risklere, büyüklüğüne, olayların olası etkilerine ve uygulanabilir diğer koşullara göre değerlendirilmelidir.

Madde 21 kapsamında temel tedbir alanları

Alan	Uygulama örneği
Risk analizi ve güvenlik politikaları	Kurumsal risk metodolojisi
Olay yönetimi	SOC, müdahale prosedürleri
İş sürekliliği ve kriz yönetimi	Yedekleme, felaket kurtarma
Tedarik zinciri güvenliği	Tedarikçi risk değerlendirmesi
Güvenli sistem geliştirme ve bakım	Güvenli SDLC, zafiyet yönetimi
Tedbir etkinliğinin değerlendirilmesi	Kontrol testleri ve denetimler
Siber hijyen ve eğitim	Farkındalık, temel güvenlik kontrolleri
Kriptografi	Şifreleme ve anahtar yönetimi
İnsan kaynakları ve erişim güvenliği	IAM, varlık yönetimi
MFA ve güvenli iletişim	Uygun kimlik doğrulama ve iletişim kontrolleri

Önemli nokta

Madde 21, tek bir marka veya teknoloji kullanımını zorunlu tutan bir ürün listesi değildir.

Güvenlik tedbirleri risk temelli ve kanıtlanabilir biçimde uygulanmalıdır.

9. NIS2 Risk Analizi Nasıl Yapılır?

Risk analizi, kuruluşun kritik hizmetlerini ve bu hizmetleri destekleyen sistemleri anlamasıyla başlar.

Aşama 1: Kritik hizmetlerin belirlenmesi

Hangi hizmetler müşteriler veya toplum açısından önemlidir?

Hangi hizmetlerin kesintisi ciddi etki oluşturabilir?

Aşama 2: Varlık envanteri

Sunucular.

Uygulamalar.

Veritabanları.

Bulut sistemleri.

Ağ cihazları.

OT sistemleri.

Üçüncü taraf bağlantıları.

Aşama 3: Tehdit analizi

Fidye yazılımı.

Kimlik bilgisi hırsızlığı.

Tedarikçi ihlali.

DDoS.

İç tehditler.

Yapılandırma hataları.

Aşama 4: Etki değerlendirmesi

Hizmet kesintisi.

Finansal zarar.

Müşteri etkisi.

Yasal sonuçlar.

Operasyonel zarar.

Aşama 5: Risk işleme

Risk azaltma.

Riskten kaçınma.

Risk paylaşımı.

Gerekçelendirilmiş risk kabulü.

Örnek risk kaydı

Alan	Örnek
Kritik hizmet	Bulut tabanlı müşteri uygulaması
Tehdit	Yönetici hesabının ele geçirilmesi
Zafiyet	MFA eksikliği
Etki	Hizmet kesintisi ve veri erişimi
Tedbir	Kimlik avına dayanıklı MFA, PAM, izleme
Sorumlu	BT ve bilgi güvenliği
Doğrulama	Erişim testi ve log incelemesi

10. NIS2 Kapsamında Olay Yönetimi

NIS2, kuruluşların siber güvenlik olaylarını yalnızca tespit etmesini değil, bunlara uygun biçimde müdahale etmesini de gerektirir.

Olay yönetiminin aşamaları

Hazırlık.

Tespit.

Analiz.

Sınıflandırma.

Müdahale.

Kurtarma.

Bildirim.

Olay sonrası değerlendirme.

Örnek

Bir kuruluşun kritik uygulamasında fidye yazılımı faaliyeti tespit edildi.

SOC ekibi alarmı doğrular.

Müdahale ekibi etkilenen sistemleri belirler.

İş sürekliliği ekibi hizmet etkisini değerlendirir.

Hukuk ve uyum birimleri NIS2 bildirim gereksinimlerini inceler.

Üst yönetim bilgilendirilir.

Kritik nokta

Her güvenlik alarmı NIS2 kapsamında bildirime tabi önemli olay değildir.

Olayın ilgili mevzuattaki önemlilik kriterleri çerçevesinde değerlendirilmesi gerekir.

11. NIS2 Olay Bildirim Süreleri Nelerdir?

NIS2 Madde 23, önemli olaylar için aşamalı bildirim yaklaşımı öngörür.

Bildirim takvimi

Aşama	Genel süre	Amaç
Erken uyarı	Öğrenmeden itibaren en geç 24 saat	Yetkili makamı olaydan haberdar etmek
Olay bildirimi	Öğrenmeden itibaren en geç 72 saat	İlk etki ve ciddiyet değerlendirmesi
Ara rapor	Yetkili makam talep ederse	Güncel durumun paylaşılması
Nihai rapor	72 saatlik olay bildiriminden itibaren en geç 1 ay	Olayın ayrıntılı değerlendirmesi

Özel durumlar

Belirli güven hizmeti sağlayıcıları için farklı bildirim koşulları bulunabilir.

Olay nihai rapor aşamasında devam ediyorsa ilerleme raporu ve daha sonraki nihai rapor gereksinimleri uygulanabilir.

Kritik nokta

24 ve 72 saatlik süreler, bütün siber güvenlik olaylarının otomatik bildirilmesi gerektiği anlamına gelmez.

Önemli olay tanımı ve ilgili ülkenin uygulaması dikkate alınmalıdır.

12. NIS2 Kapsamında Önemli Olay Nasıl Belirlenir?

NIS2 Madde 23 kapsamında bir olayın önemli sayılmasında hizmetlerin ciddi biçimde aksaması, finansal kayıp veya diğer gerçek ya da tüzel kişiler üzerinde önemli zarar gibi kriterler değerlendirilir.

Örnek göstergeler

Kritik hizmetin kullanılamaması.

Önemli sayıda müşterinin etkilenmesi.

Ciddi operasyonel kesinti.

Yüksek finansal etki.

Sınır ötesi etki.

Önemli maddi veya manevi zarar.

Örnek

Kısa süreli ve etkisi sınırlı bir güvenlik alarmı, gerekli inceleme sonucunda bildirim kapsamı dışında kalabilir.

Buna karşılık kritik bir hizmeti ciddi biçimde kesintiye uğratan saldırı bildirim gerektirebilir.

Önemli nokta

Belirli dijital hizmet sağlayıcıları için 2024/2690 sayılı Uygulama Tüzüğü, önemli olay kriterlerini daha ayrıntılı düzenlemektedir.

13. 24 Saatlik Erken Uyarı Nasıl Hazırlanır?

Erken uyarının amacı, bütün teknik ayrıntıların tamamlanmasını beklemeden yetkili makamın önemli olay hakkında bilgilendirilmesidir.

Hazırlıkta değerlendirilebilecek bilgiler

Olayın tespit zamanı.

Etkilenen hizmet.

İlk olay sınıflandırması.

Olası kötü niyetli faaliyet.

Muhtemel sınır ötesi etki.

İlk müdahale durumu.

Örnek

Bir yönetilen hizmet sağlayıcısının kritik yönetim platformunda yetkisiz erişim tespit edildi.

İlk incelemede bazı müşteri hizmetlerinin etkilenmiş olabileceği değerlendiriliyor.

Kuruluş, olayın önemli olay kriterlerini karşılayıp karşılamadığını hızla değerlendirerek uygulanabilir bildirim sürecini başlatır.

Kritik nokta

Erken uyarı, nihai adli bilişim raporunun hazırlanmasını beklemek için tasarlanmamıştır.

14. 72 Saatlik Olay Bildirimi Nasıl Hazırlanır?

Olay bildirimi, erken uyarıdan sonra elde edilen bilgilerin güncellenmesini sağlar.

İçerik örnekleri

Olayın ilk teknik değerlendirmesi.

Etkilenen sistemler.

Hizmet etkisi.

Olayın ciddiyeti.

Biliniyorsa saldırı göstergeleri.

Alınan ilk tedbirler.

Teknik kanıtlar

Güvenlik logları.

SIEM alarmları.

EDR kayıtları.

Ağ trafiği.

Sistem zaman çizelgesi.

Önemli nokta

Bildirim hazırlanırken delil bütünlüğü korunmalı ve doğrulanmamış bilgiler kesin bulgu olarak sunulmamalıdır.

15. NIS2 İçin SOC Hizmeti Zorunlu mudur?

NIS2 bütün kuruluşlar için belirli bir ticari SOC hizmetinin satın alınmasını açıkça zorunlu kılmaz.

Ancak güvenlik olaylarının tespiti, analizi ve müdahalesi için uygun yeteneklerin oluşturulması gerekir.

SOC'un sağlayabileceği katkılar

Merkezi güvenlik izleme.

Olay korelasyonu.

Tehdit tespiti.

Alarm önceliklendirme.

Olay eskalasyonu.

Müdahale koordinasyonu.

Raporlama.

7×24 izleme ne zaman değerlendirilebilir?

Kritik hizmetler kesintisiz çalışıyorsa.

Olay etkisi yüksekse.

Saldırılara hızlı müdahale gerekiyorsa.

Sözleşmesel veya sektörel gereksinimler bulunuyorsa.

Sonuç

SOC, NIS2 risk yönetimini destekleyen önemli operasyonel kabiliyetlerden biridir; ancak tek başına mevzuat uyumu sağlamaz.

16. SIEM NIS2 Uyumunu Nasıl Destekler?

SIEM sistemleri farklı güvenlik kaynaklarından toplanan olay kayıtlarını merkezi olarak değerlendirebilir.

Log kaynakları

Firewall.

VPN.

Active Directory.

Sunucular.

Bulut altyapıları.

EDR.

Veritabanları.

Kritik uygulamalar.

Örnek korelasyon

Bir yönetici hesabıyla olağan dışı ülkeden oturum açıldı.

Ardından ayrıcalıklı erişim gerçekleştirildi.

Kısa süre sonra yüksek hacimli veri aktarımı gözlemlendi.

SIEM, uygun kullanım senaryoları tanımlanmışsa bu faaliyetleri ilişkilendirebilir.

Önemli nokta

Log toplamak tek başına yeterli değildir.

Log bütünlüğü, zaman senkronizasyonu, alarm kalitesi ve olay müdahale süreçleri de değerlendirilmelidir.

17. NIS2 ve Tedarik Zinciri Güvenliği

Tedarik zinciri güvenliği, NIS2 Madde 21 kapsamındaki temel risk yönetimi alanlarından biridir.

Kuruluşların doğrudan tedarikçileri ve hizmet sağlayıcılarıyla ilişkilerindeki güvenlik risklerini değerlendirmesi beklenir.

Örnek tedarikçiler

Bulut sağlayıcıları.

Yazılım geliştiriciler.

MSP ve MSSP kuruluşları.

Veri merkezi hizmet sağlayıcıları.

Ağ hizmet sağlayıcıları.

Endüstriyel otomasyon tedarikçileri.

Değerlendirme konuları

Tedarikçinin güvenlik olgunluğu.

Veri erişimleri.

Uzaktan erişim yöntemleri.

Alt yükleniciler.

Güvenlik olaylarının bildirilmesi.

İş sürekliliği.

Hizmet sonlandırma.

Örnek

Bir enerji şirketinin uzaktan bakım sağlayıcısı OT sistemlerine erişebiliyor.

Bu erişim, kimlik doğrulama, oturum kaydı, yetkilendirme ve erişim süresi bakımından değerlendirilmelidir.

18. NIS2 Tedarikçi Sözleşmelerinde Neler Bulunmalıdır?

Sözleşmesel güvenlik hükümleri, tedarikçi risklerinin yönetilmesine yardımcı olur.

Örnek başlıklar

Güvenlik sorumlulukları.

Erişim kontrolü.

Gizlilik.

Olay bildirim yükümlülükleri.

Alt yüklenici yönetimi.

Güvenlik testleri.

Denetim hakları.

Veri iadesi ve imha.

Hizmet sürekliliği.

Örnek yaklaşım

Kritik hizmet sağlayıcısının bir güvenlik olayı tespit ettiğinde müşterisini gecikmeksizin bilgilendirmesine yönelik sözleşmesel süreç oluşturulabilir.

Kritik nokta

Tedarikçi sözleşmesindeki bildirim süresi ile kuruluşun yetkili makama yapacağı NIS2 bildirimi farklı yükümlülüklerdir.

Süreçler birbirini destekleyecek biçimde tasarlanmalıdır.

19. NIS2 ve Zafiyet Yönetimi

Zafiyet yönetimi, sistemlerdeki güvenlik açıklarının belirlenmesi, önceliklendirilmesi ve giderilmesini kapsar.

Süreç

Varlık keşfi.

Zafiyet tespiti.

Risk değerlendirmesi.

Önceliklendirme.

Düzeltme.

Yeniden doğrulama.

Önceliklendirme kriterleri

Zafiyetin teknik ciddiyeti.

Aktif istismar bilgisi.

Sistemin internete açıklığı.

Kritik hizmet etkisi.

Mevcut telafi edici kontroller.

Örnek

İnternete açık bir VPN cihazında aktif olarak istismar edilen kritik güvenlik açığı bulunuyor.

Bu risk, yalnızca CVSS puanına göre değil, erişilebilirlik ve iş etkisiyle birlikte değerlendirilmelidir.

20. NIS2 Kapsamında Sızma Testleri

Sızma testleri, güvenlik kontrollerinin etkinliğinin değerlendirilmesini destekleyebilir.

Örnek test alanları

Dış ağ.

İç ağ.

Web uygulamaları.

Mobil uygulamalar.

API.

Active Directory.

Bulut altyapısı.

Kablosuz ağ.

OT sistemleri.

Örnek

Kritik bir müşteri portalında yetkilendirme zafiyeti tespit edildi.

Bulgu risk yönetimi sürecine aktarılır.

Düzeltme yapılır.

Yeniden test gerçekleştirilir.

Kritik nokta

NIS2 bütün kuruluşlar için aynı kapsam ve periyotta sızma testi yapılmasını belirleyen genel bir takvim içermez.

Testler risklere ve uygulanabilir özel gereksinimlere göre planlanmalıdır.

21. NIS2 ve Güvenli Yazılım Geliştirme

NIS2, ağ ve bilgi sistemlerinin edinimi, geliştirilmesi ve bakımına ilişkin güvenlik tedbirlerini kapsar.

Güvenli geliştirme uygulamaları

Güvenlik gereksinimleri.

Tehdit modelleme.

Güvenli kodlama.

Kaynak kod analizi.

Bağımlılık güvenliği.

Güvenlik testleri.

Değişiklik yönetimi.

Örnek

Bir kuruluş kritik hizmetini sağlayan yazılımı kendi geliştiriyor.

Yazılımda kimlik doğrulama, erişim kontrolü ve güvenli veri işleme gereksinimleri geliştirme aşamasında ele alınmalıdır.

Önemli nokta

SAST, DAST ve SCA araçları güvenli geliştirme süreçlerini destekleyebilir.

Ancak araçların kullanılması tek başına bütün NIS2 yükümlülüklerini karşılamaz.

22. NIS2 ve İş Sürekliliği

NIS2, iş sürekliliği ve kriz yönetimini risk yönetimi tedbirleri arasında değerlendirir.

Temel bileşenler

İş etki analizi.

Kritik hizmetlerin belirlenmesi.

Kurtarma öncelikleri.

Yedekleme.

Felaket kurtarma.

Kriz iletişimi.

Tatbikatlar.

RTO ve RPO

RTO: Hizmetin hedeflenen geri dönüş süresi.

RPO: Kabul edilebilir veri kaybı hedefi.

Örnek

Bir sağlık kuruluşunun kritik uygulaması erişilemez hale geldi.

İş sürekliliği planında alternatif çalışma yöntemi ve kurtarma öncelikleri belirlenmiş olmalıdır.

Kritik nokta

Yedek alınması ile yedekten başarıyla geri dönüş yapılabilmesi aynı şey değildir.

Geri yükleme testleri gerçekleştirilmelidir.

23. Fidye Yazılımına Karşı NIS2 Yaklaşımı

Fidye yazılımı saldırıları hizmet kesintisi, veri kaybı ve operasyonel zarar oluşturabilir.

Savunma katmanları

MFA.

EDR/XDR.

Ağ segmentasyonu.

Yama yönetimi.

Ayrıcalıklı erişim yönetimi.

Güvenli yedekleme.

Olay izleme.

Müdahale tatbikatları.

Örnek

Saldırgan ele geçirdiği yönetici hesabıyla yedekleme sistemlerine erişmeye çalışıyor.

Ayrıcalıklı erişim kontrolleri, ağ ayrıştırması ve güvenli yedekleme mimarisi olayın etkisini azaltabilir.

Önemli nokta

Fidye yazılımı savunması tek bir güvenlik ürününe dayandırılmamalıdır.

24. NIS2 ve Bulut Güvenliği

Bulut hizmetleri, NIS2 kapsamında hem kritik tedarikçi ilişkileri hem de belirli sağlayıcı kategorileri bakımından önem taşır.

Değerlendirme alanları

Bulut varlık envanteri.

Kimlik ve erişim yönetimi.

Yapılandırma güvenliği.

Loglama.

Şifreleme.

Yedekleme.

Olay yönetimi.

Tedarikçi sorumlulukları.

Örnek

Kuruluş kritik müşteri hizmetini bir bulut platformunda çalıştırıyor.

Bulut sağlayıcısının güvenlik sorumlulukları ile müşterinin yapılandırma ve erişim güvenliği sorumlulukları ayrıştırılmalıdır.

Kritik nokta

Bulut sağlayıcısının güvenlik sertifikalarına sahip olması, müşterinin kendi sistemleri için bütün güvenlik yükümlülüklerini ortadan kaldırmaz.

25. NIS2 ve Yönetilen Güvenlik Hizmetleri

NIS2 kapsamında Managed Service Providers ve Managed Security Service Providers özel önem taşır.

MSP nedir?

Müşterilerin bilgi teknolojileri sistemlerinin kurulumu, işletimi, yönetimi veya bakımına yönelik hizmetler sunan kuruluşları ifade eder.

MSSP nedir?

Siber güvenlik risklerinin yönetimine yönelik hizmetler sunan yönetilen güvenlik hizmet sağlayıcılarını ifade eder.

Örnek hizmetler

SOC.

MDR.

SIEM yönetimi.

Güvenlik izleme.

Güvenlik operasyonları.

Güvenlik sistemlerinin yönetimi.

Önemli nokta

Bir kuruluşun MSP veya MSSP olarak değerlendirilmesi, sunduğu gerçek hizmetlerin niteliğine ve uygulanabilir mevzuata bağlıdır.

Yalnızca şirket unvanında siber güvenlik ifadesinin bulunması yeterli değildir.

26. AB 2024/2690 Uygulama Tüzüğü Nedir?

Commission Implementing Regulation (EU) 2024/2690, NIS2 kapsamında belirli dijital altyapı, BİT hizmet yönetimi ve dijital hizmet sağlayıcıları için daha ayrıntılı teknik ve metodolojik gereksinimler belirler.

İlgili kuruluş türlerine örnekler

DNS hizmet sağlayıcıları.

Üst düzey alan adı kayıt kuruluşları.

Bulut bilişim sağlayıcıları.

Veri merkezi sağlayıcıları.

İçerik dağıtım ağı sağlayıcıları.

MSP.

MSSP.

Çevrim içi pazar yeri sağlayıcıları.

Arama motoru sağlayıcıları.

Sosyal ağ platformu sağlayıcıları.

Güven hizmeti sağlayıcıları.

Teknik uygulama alanları

Risk yönetimi.

Güvenlik politikaları.

Olay yönetimi.

İş sürekliliği.

Tedarikçi güvenliği.

Erişim kontrolü.

Varlık yönetimi.

Sistem güvenliği.

Kritik nokta

2024/2690 sayılı düzenleme, NIS2 kapsamındaki bütün sektörler için aynı şekilde uygulanan genel bir teknik kontrol kataloğu değildir.

Hangi kuruluş türlerine uygulandığı ayrıca doğrulanmalıdır.

27. ENISA NIS2 Teknik Rehberi Ne Sağlar?

ENISA, Haziran 2025'te belirli kuruluş türleri için NIS2 teknik uygulama rehberi yayımlamıştır.

Bu rehber, 2024/2690 sayılı düzenleme kapsamındaki güvenlik tedbirlerinin uygulanmasına yönelik açıklamalar içerir.

Rehberin sağlayabileceği katkılar

Kontrol gereksinimlerinin anlaşılması.

Teknik uygulama örnekleri.

Kanıt örnekleri.

Kontrol eşleştirmeleri.

Mevcut durum analizi.

İyileştirme planlaması.

Önemli nokta

ENISA teknik rehberi yararlı bir uygulama kaynağıdır.

Ancak bağlayıcı hukuki metinler ve ilgili ulusal mevzuatın yerine geçmez.

28. NIS2 ve ISO/IEC 27001 Arasındaki İlişki

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulmasına ve sürekli iyileştirilmesine yönelik uluslararası standarttır.

NIS2 ise belirli kuruluşlar için hukuki yükümlülükler oluşturur.

Ortak alanlar

Risk yönetimi.

Güvenlik politikaları.

Erişim kontrolü.

Olay yönetimi.

İş sürekliliği.

Tedarikçi güvenliği.

Güvenlik denetimleri.

Örnek eşleştirme

NIS2 ihtiyacı	ISO 27001 ile ilişkili yaklaşım
Risk yönetimi	BGYS risk değerlendirmesi
Olay yönetimi	Güvenlik olayı yönetimi
Tedarikçi güvenliği	Tedarikçi güvenlik kontrolleri
Erişim kontrolü	Kimlik ve yetki yönetimi
İş sürekliliği	Kesinti sırasında bilgi güvenliği
Kontrol etkinliği	İç denetim ve performans değerlendirme

Kritik nokta

ISO 27001 belgesine sahip olmak NIS2'ye otomatik uyum anlamına gelmez.

NIS2'ye özgü kapsam, yönetim sorumluluğu, kayıt ve bildirim yükümlülükleri ayrıca değerlendirilmelidir.

29. NIS2 ve IEC 62443 Arasındaki İlişki

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin güvenliğine yönelik standartlar ailesidir.

NIS2 ise belirli sektörlerdeki kuruluşların siber güvenlik yükümlülüklerini düzenler.

Ortak alanlar

Endüstriyel risk yönetimi.

Ağ segmentasyonu.

Erişim güvenliği.

Olay yönetimi.

Tedarikçi güvenliği.

Güvenli ürün geliştirme.

İş sürekliliği.

Örnek

Bir enerji işletmecisi NIS2 kapsamındaysa OT sistemleri için uygun güvenlik tedbirleri oluşturmalıdır.

IEC 62443-3-2 ve 3-3 yaklaşımları, endüstriyel sistem risklerinin ve güvenlik gereksinimlerinin değerlendirilmesini destekleyebilir.

Üreticiler açısından

IEC 62443-4-1 ve 4-2, endüstriyel ürünlerin güvenli geliştirilmesi ve teknik güvenlik özelliklerinin değerlendirilmesi bakımından yararlı olabilir.

Kritik nokta

IEC 62443 uygunluğu, NIS2'nin bütün hukuki ve idari yükümlülüklerinin karşılandığı anlamına gelmez.

30. NIS2 ve GDPR Arasındaki Fark

NIS2 ile GDPR farklı düzenlemelerdir.

Konu	NIS2	GDPR
Temel amaç	Ağ ve bilgi sistemlerinin siber güvenliği	Kişisel verilerin korunması
Ana yaklaşım	Siber güvenlik risk yönetimi	Veri koruma ve ilgili kişi hakları
Olay bildirimi	Önemli siber güvenlik olayları	Bildirim şartlarını karşılayan kişisel veri ihlalleri
Kuruluş kapsamı	Belirli sektör ve kuruluşlar	Uygulama alanına giren veri işleme faaliyetleri
Temel teknik alanlar	Siber dayanıklılık	Kişisel veri güvenliği

Örnek

Bir fidye yazılımı saldırısı hem kritik hizmeti durdurmuş hem kişisel veri ihlaline neden olmuş olabilir.

Bu durumda NIS2 ve GDPR bildirim yükümlülükleri ayrı ayrı değerlendirilmelidir.

Önemli nokta

Bir düzenleme kapsamında yapılan bildirim, diğer düzenleme kapsamındaki yükümlülüğü otomatik olarak karşılamayabilir.

31. NIS2 Denetimleri Nasıl Yapılır?

NIS2 kapsamında denetim ve gözetim yetkileri kuruluşun sınıflandırmasına ve ilgili ulusal mevzuata göre uygulanır.

Değerlendirilebilecek kanıtlar

Risk değerlendirme raporları.

Güvenlik politikaları.

Olay müdahale kayıtları.

Eğitim kayıtları.

Tedarikçi değerlendirmeleri.

Sızma testi raporları.

Zafiyet yönetimi kayıtları.

İş sürekliliği tatbikatları.

Yönetim kararları.

Essential ve Important ayrımı

Essential Entities için daha kapsamlı önleyici ve olay sonrası gözetim mekanizmaları öngörülür.

Important Entities bakımından genel yaklaşım olay sonrası gözetimdir.

Kritik nokta

Denetim kapsamı ve yöntemleri, ilgili üye devletin yetkili makamı ve ulusal düzenlemeleri çerçevesinde değerlendirilmelidir.

32. NIS2 Para Cezaları Nelerdir?

NIS2, belirli ihlaller için yüksek idari para cezası üst sınırları öngörür.

Temel kuruluşlar

10 milyon avro veya dünya çapındaki toplam yıllık cironun %2'si seviyesindeki eşiklerden yüksek olanın esas alındığı asgari azami ceza düzenlemesi bulunur.

Önemli kuruluşlar

7 milyon avro veya dünya çapındaki toplam yıllık cironun %1,4'ü seviyesindeki eşiklerden yüksek olanın esas alındığı asgari azami ceza düzenlemesi bulunur.

Önemli açıklama

Bu rakamlar her ihlal için otomatik uygulanan sabit para cezaları değildir.

Direktif, üye devletlerin belirleyeceği azami ceza çerçevesine ilişkin asgari gereksinimler içerir.

Somut yaptırım; ihlalin niteliğine, kuruluş kategorisine, ulusal mevzuata ve ilgili değerlendirmelere bağlıdır.

33. NIS2 Uyumunda Yönetim Kurulu Raporlaması

Siber güvenlik risklerinin yönetim düzeyinde izlenebilmesi için ölçülebilir raporlama süreçleri oluşturulmalıdır.

Örnek göstergeler

Kritik açık zafiyet sayısı.

Yüksek riskli varlık oranı.

MFA kapsama oranı.

Olay tespit süresi.

Olay müdahale süresi.

Yedek geri yükleme başarısı.

Kritik tedarikçi değerlendirme oranı.

Gecikmiş düzeltici faaliyet sayısı.

Örnek yönetim raporu

Gösterge	Örnek hedef
Kritik sistemlerde MFA	%100
Kritik tedarikçi değerlendirmesi	%100
Kritik yedeklerin geri yükleme testi	Planlanan testlerin tamamı
Yüksek riskli bulgular	Tanımlı risk süresinde kapatma
Olay müdahale tatbikatı	Yıllık plan kapsamında

Bu hedefler örnektir; NIS2'nin bütün kuruluşlar için belirlediği zorunlu sayısal eşikler değildir.

34. NIS2 Uyumunda En Sık Yapılan Hatalar

1. Kapsam değerlendirmesi yapmamak

Kuruluşun gerçekten hangi yükümlülüklere tabi olduğu belirlenmelidir.

2. NIS2'yi yalnızca ISO 27001 olarak görmek

Hukuki ve sektörel yükümlülükler ayrıca değerlendirilmelidir.

3. Olay bildirim planı oluşturmamak

Önemli olay kriterleri ve bildirim süreçleri tanımlanmalıdır.

4. Yönetim sorumluluğunu ihmal etmek

Üst yönetim gözetimi sağlanmalıdır.

5. Tedarikçi güvenliğini değerlendirmemek

Kritik üçüncü taraf ilişkileri risk analizine dahil edilmelidir.

6. Yalnızca teknoloji satın almak

Güvenlik süreçleri ve sorumluluklar oluşturulmalıdır.

7. Risk envanterini güncellememek

Yeni tehditler ve sistem değişiklikleri değerlendirilmelidir.

8. İş sürekliliğini test etmemek

Kurtarma kabiliyetleri doğrulanmalıdır.

9. Denetim kanıtlarını toplamamak

Uygulanan kontroller kayıtlarla desteklenmelidir.

10. Ulusal mevzuat farklılıklarını dikkate almamak

AB üye devletlerinin güncel uygulamaları incelenmelidir.

35. NIS2 GAP Analizi Nasıl Yapılır?

GAP analizi, kuruluşun mevcut siber güvenlik uygulamalarının uygulanabilir NIS2 yükümlülükleriyle karşılaştırılmasıdır.

Aşama 1: Hukuki kapsam

Kuruluşun faaliyetleri belirlenir.

İlgili ülke ve sektör değerlendirilir.

Essential veya Important statüsü incelenir.

Aşama 2: Mevcut güvenlik durumu

Politikalar.

Risk analizleri.

Teknik kontroller.

Olay yönetimi.

Tedarikçi süreçleri.

Aşama 3: Gereksinim eşleştirmesi

Madde 20.

Madde 21.

Madde 23.

Uygulanabilir ulusal hükümler.

İlgili uygulama düzenlemeleri.

Aşama 4: Eksiklik raporu

Eksik kontroller.

Kısmen uygulanan kontroller.

Kanıt eksiklikleri.

Öncelikli riskler.

Aşama 5: Yol haritası

Aksiyon.

Sorumlu.

Öncelik.

Hedef tarih.

Doğrulama yöntemi.

36. NIS2 Uyumunda Hazırlanabilecek Dokümanlar

Yönetim

Siber güvenlik politikası.

Yönetim sorumluluk matrisi.

Risk iştahı yaklaşımı.

Yönetim gözden geçirme kayıtları.

Risk yönetimi

Varlık envanteri.

Risk değerlendirme raporu.

Risk işleme planı.

Kontrol envanteri.

Operasyon

Olay müdahale planı.

Olay bildirim prosedürü.

İş sürekliliği planı.

Felaket kurtarma planı.

Tedarikçi yönetimi

Tedarikçi envanteri.

Risk değerlendirme kayıtları.

Güvenlik sözleşme ekleri.

Tedarikçi izleme raporları.

Teknik güvenlik

Zafiyet raporları.

Sızma testi raporları.

Erişim gözden geçirme kayıtları.

Güvenlik izleme raporları.

Önemli nokta

Dokümanların hazırlanması tek başına yeterli değildir.

Tanımlanan süreçlerin uygulanması ve etkinliğinin doğrulanması gerekir.

37. NIS2 İçin 90 Günlük Örnek Uyum Yol Haritası

Gün 1–15: Kapsam ve Mevcut Durum

Hukuki kapsam değerlendirilir.

İlgili ülke düzenlemeleri belirlenir.

Kritik hizmetler tanımlanır.

Mevcut güvenlik kontrolleri incelenir.

Gün 16–30: Risk Analizi

Varlık envanteri gözden geçirilir.

Tehdit senaryoları belirlenir.

Riskler değerlendirilir.

Öncelikli iyileştirmeler planlanır.

Gün 31–50: Teknik Kontroller

Erişim kontrolü.

MFA.

Zafiyet yönetimi.

Loglama.

Güvenlik izleme.

Yedekleme.

Gün 51–65: Olay ve Tedarikçi Yönetimi

Olay bildirim süreçleri oluşturulur.

Tedarikçi riskleri değerlendirilir.

İş sürekliliği planları güncellenir.

Gün 66–80: Test ve Doğrulama

Güvenlik testleri gerçekleştirilir.

Olay müdahale tatbikatı yapılır.

Kurtarma süreçleri doğrulanır.

Gün 81–90: Yönetim Değerlendirmesi

Eksiklikler raporlanır.

Düzeltici faaliyetler planlanır.

Yönetim bilgilendirilir.

İzleme mekanizmaları oluşturulur.

Önemli açıklama

90 günlük plan, örnek bir başlangıç yol haritasıdır.

Tam hukuki uyum veya sertifikasyon garantisi anlamına gelmez.

38. NIS2 Uyum Kontrol Listesi

Kapsam

• İlgili sektör belirlendi mi?
• AB ülkelerindeki faaliyetler değerlendirildi mi?
• Essential veya Important statüsü incelendi mi?
• Ulusal mevzuat yükümlülükleri belirlendi mi?

Yönetim

• Siber güvenlik sorumlulukları tanımlandı mı?
• Yönetim gözetimi sağlanıyor mu?
• Yönetim eğitimleri değerlendirildi mi?

Risk yönetimi

• Kritik hizmetler belirlendi mi?
• Varlık envanteri mevcut mu?
• Risk analizi yapıldı mı?
• Risk işleme planı oluşturuldu mu?

Teknik güvenlik

• Erişim kontrolü değerlendirildi mi?
• MFA uygulaması değerlendirildi mi?
• Zafiyet yönetimi yürütülüyor mu?
• Güvenlik logları izleniyor mu?
• Güvenlik kontrolleri test ediliyor mu?

Olay yönetimi

• Olay müdahale planı mevcut mu?
• Önemli olay kriterleri tanımlandı mı?
• Bildirim sorumluları belirlendi mi?
• 24 ve 72 saatlik bildirim süreçleri planlandı mı?

İş sürekliliği

• Kritik hizmetler için kurtarma planları var mı?
• Yedekleme süreçleri değerlendirildi mi?
• Geri yükleme testleri yapılıyor mu?

Tedarikçi güvenliği

• Kritik tedarikçiler belirlendi mi?
• Tedarikçi riskleri değerlendirildi mi?
• Sözleşmesel güvenlik yükümlülükleri incelendi mi?

Denetim

• Kanıt kayıtları tutuluyor mu?
• Kontrol etkinliği değerlendiriliyor mu?
• Eksiklikler takip ediliyor mu?

39. SECURESYS NIS2 Uyum Danışmanlığı

SECURESYS, kuruluşların NIS2 kapsamında ortaya çıkabilecek teknik ve organizasyonel siber güvenlik gereksinimlerini değerlendirmelerine yönelik danışmanlık ve güvenlik hizmetleri sunar.

NIS2 Teknik GAP Analizi

Mevcut siber güvenlik kontrolleri, belirlenen gereksinimlerle karşılaştırılır.

Siber Güvenlik Risk Değerlendirmesi

Kritik hizmetler, varlıklar, tehditler ve mevcut güvenlik kontrolleri değerlendirilir.

SOC ve SIEM Hizmetleri

Güvenlik olaylarının izlenmesi, tespit edilmesi ve müdahale süreçlerinin desteklenmesi sağlanabilir.

Sızma Testleri

Web, mobil, API, iç ağ, dış ağ ve ilgili diğer sistemlerde güvenlik testleri gerçekleştirilebilir.

Kaynak Kod Analizi

Kritik yazılımların güvenli geliştirme ve kaynak kod güvenliği süreçleri desteklenebilir.

Tedarikçi Güvenliği

Üçüncü taraf erişimleri ve teknik güvenlik gereksinimleri değerlendirilebilir.

Olay Müdahale Hazırlığı

Olay müdahale prosedürleri, bildirim iş akışları ve tatbikat süreçleri planlanabilir.

ISO 27001 ve IEC 62443 Entegrasyonu

Kurumsal bilgi güvenliği yönetimi ve endüstriyel güvenlik süreçleriyle NIS2 gereksinimleri arasında teknik eşleştirmeler oluşturulabilir.

SECURESYS yaklaşımında NIS2 uyumu, yalnızca mevzuat maddelerinin kontrol edilmesi değil; kuruluşun gerçek siber güvenlik risklerinin azaltılması ve kontrollerin sürdürülebilir biçimde işletilmesi olarak ele alınır.

Doğrudan hukuki kapsam ve mevzuat yorumları, ilgili ülke hukukunda yetkin uzmanlarla birlikte değerlendirilmelidir.

Sık Sorulan Sorular (SSS)

1. NIS2 nedir?

Avrupa Birliği'nde belirli kritik ve önemli kuruluşlar için siber güvenlik risk yönetimi, olay bildirimi ve denetim yükümlülüklerini düzenleyen direktiftir.

2. NIS2 hangi sektörleri kapsar?

Enerji, ulaştırma, sağlık, dijital altyapı, BİT hizmet yönetimi, belirli imalat faaliyetleri ve diğer ilgili sektörleri kapsar.

3. NIS2 Türkiye'deki şirketler için zorunlu mu?

Türkiye'deki bütün şirketler için genel bir doğrudan zorunluluk değildir. AB faaliyetleri ve sözleşmesel ilişkiler ayrıca değerlendirilmelidir.

4. NIS2 ne zaman yürürlüğe girdi?

Ocak 2023'te yürürlüğe girdi. Üye devletlerin ulusal mevzuata aktarım son tarihi 17 Ekim 2024'tü.

5. Essential Entity nedir?

NIS2 kapsamında belirli koşullara göre temel kuruluş olarak sınıflandırılan kuruluşları ifade eder.

6. Important Entity nedir?

NIS2 kapsamına giren ancak Essential Entity olarak sınıflandırılmayan ilgili kuruluşları ifade eder.

7. NIS2 için ISO 27001 zorunlu mu?

NIS2 bütün kuruluşlar için ISO 27001 sertifikasını genel bir zorunluluk olarak belirlemez. ISO 27001 uyum çalışmalarını destekleyebilir.

8. NIS2 için SOC zorunlu mu?

Belirli bir ticari SOC hizmetinin satın alınması genel bir zorunluluk değildir. Uygun olay tespit ve müdahale yetenekleri oluşturulmalıdır.

9. NIS2 olay bildirimi kaç saattir?

Önemli olaylarda genel yaklaşım, öğrenmeden itibaren 24 saat içinde erken uyarı ve 72 saat içinde olay bildirimidir.

10. NIS2 nihai raporu ne zaman hazırlanır?

Genel kural, 72 saatlik olay bildiriminden itibaren en geç bir ay içerisinde nihai rapor sunulmasıdır. Devam eden olaylar için özel hükümler bulunur.

11. NIS2 hangi teknik tedbirleri gerektirir?

Risk yönetimi, olay yönetimi, erişim kontrolü, güvenli geliştirme, iş sürekliliği ve diğer uygun güvenlik tedbirlerini kapsar.

12. NIS2 kapsamında sızma testi gerekir mi?

Güvenlik testleri kontrol etkinliğinin değerlendirilmesini destekleyebilir. Kapsam ve sıklık risklere ve uygulanabilir gereksinimlere göre belirlenir.

13. NIS2 tedarikçi güvenliğini kapsar mı?

Evet. Tedarik zinciri güvenliği Madde 21 kapsamında yer alır.

14. NIS2 ile GDPR aynı mı?

Hayır. NIS2 siber güvenlik dayanıklılığına, GDPR kişisel verilerin korunmasına odaklanır.

15. NIS2 ile IEC 62443 birlikte uygulanabilir mi?

Evet. IEC 62443, özellikle OT/ICS sistemlerinin güvenlik gereksinimlerinin karşılanmasını destekleyebilir.

16. NIS2 para cezası ne kadardır?

Direktif, Essential ve Important kuruluşlar için farklı asgari azami ceza eşikleri belirler. Somut yaptırımlar ulusal mevzuata bağlıdır.

17. NIS2 yönetim kurulunu sorumlu tutar mı?

Evet. Madde 20, yönetim organlarının siber güvenlik risk yönetimi tedbirlerini onaylaması ve uygulanmasını gözetmesiyle ilgili hükümler içerir.

18. NIS2 danışmanlığı neleri kapsar?

Kapsam değerlendirmesi, teknik GAP analizi, risk yönetimi, kontrol geliştirme, olay müdahale hazırlığı ve denetim kanıtlarının düzenlenmesini kapsayabilir.

19. NIS2 uyumu ne kadar sürer?

Kuruluşun büyüklüğü, mevcut güvenlik olgunluğu, faaliyetleri ve ilgili ülke gereksinimlerine göre değişir.

20. NIS2 uyum belgesi var mı?

NIS2, bütün kuruluşlar için tek bir genel sertifika zorunluluğu oluşturmaz. Uygunluk ve denetim gereksinimleri ilgili mevzuat ve varsa sektörel programlara göre değerlendirilmelidir.

Sonuç: NIS2 Uyumunda Nasıl Bir Yaklaşım Benimsenmelidir?

NIS2, Avrupa Birliği'nin siber güvenlik dayanıklılığını artırmaya yönelik önemli düzenlemelerinden biridir.

Başarılı bir uyum programı için öncelikle kuruluşun hukuki kapsamı belirlenmelidir.

İlgili üye devletin ulusal düzenlemesi değerlendirilmelidir.

Kritik hizmetler ve varlıklar tanımlanmalıdır.

Siber güvenlik risk analizi gerçekleştirilmelidir.

Risklere uygun teknik ve organizasyonel tedbirler uygulanmalıdır.

Olay tespit, müdahale ve bildirim süreçleri oluşturulmalıdır.

Tedarikçi güvenliği yönetilmelidir.

İş sürekliliği ve kurtarma kabiliyetleri test edilmelidir.

Üst yönetim gözetimi sağlanmalıdır.

Kontrollerin etkinliği düzenli olarak değerlendirilmelidir.

NIS2 uyumunun temel amacı yalnızca mevzuat gereksinimlerini karşılamak değil; kritik hizmetlerin siber saldırılara karşı dayanıklılığını artıran, ölçülebilir ve sürdürülebilir bir güvenlik yönetimi oluşturmaktır.

Resmî Kaynaklar ve Referanslar

NIS2 Direktifi – Directive (EU) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj

Avrupa Komisyonu – NIS2 Politikası: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive

Commission Implementing Regulation (EU) 2024/2690: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj

ENISA – NIS2 Technical Implementation Guidance: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

ISO/IEC 27001: https://www.iso.org/standard/27001

IEC – International Electrotechnical Commission: https://www.iec.ch