# NIS2 Direktifi Nedir? Avrupa Birliği Siber Güvenlik Yükümlülükleri, Risk Yönetimi ve Uyum Rehberi **URL:** https://securesys.com.tr/tr/bilgi-merkezi/siber-guvenlik-uyum-danismanlik/nis2-direktifi-siber-guvenlik-uyum-rehberi ![NIS2 Direktifi Nedir? Avrupa Birliği Siber Güvenlik Yükümlülükleri, Risk Yönetimi ve Uyum Rehberi](/images/bilgi-merkezi/covers/cover-uyum-10.webp) ### NIS2 Direktifi Nedir? **NIS2 Direktifi, Avrupa Birliği genelinde kritik ve önemli sektörlerde faaliyet gösteren kuruluşların siber güvenlik seviyelerini artırmayı amaçlayan, risk yönetimi, olay bildirimi, yönetim sorumluluğu ve denetim yükümlülüklerini düzenleyen AB mevzuatıdır.** Resmî adı **Directive (EU) 2022/2555** olan NIS2, ilk NIS Direktifi'nin kapsamını genişleterek daha fazla sektörü ve kuruluş türünü siber güvenlik yükümlülükleri kapsamına almıştır. NIS2'nin temel hedefi, Avrupa Birliği içerisinde ağ ve bilgi sistemlerinin yüksek ve ortak bir siber güvenlik seviyesine ulaşmasını sağlamaktır. Direktif yalnızca güvenlik teknolojilerinin kullanılmasını değil, kuruluşların siber güvenlik risklerini yönetmesini, güvenlik olaylarını zamanında bildirmesini, tedarikçi risklerini değerlendirmesini ve üst yönetim düzeyinde sorumluluk oluşturmasını hedefler. #### NIS2 hakkında kısa bilgiler | Konu | Açıklama | | --- | --- | | Resmî düzenleme | Directive (EU) 2022/2555 | | Temel amaç | AB genelinde siber güvenlik dayanıklılığının artırılması | | Kapsam | Kritik ve önemli sektörlerdeki belirli kuruluşlar | | Risk yönetimi | Madde 21 | | Olay bildirimi | Madde 23 | | Yönetim sorumluluğu | Madde 20 | | Kuruluş sınıflandırması | Essential ve Important Entities | | Ulusal mevzuata aktarım için son tarih | 17 Ekim 2024 | | Denetim ve yaptırımlar | İlgili üye devletin ulusal uygulaması | **Kısa cevap:** NIS2 uyumu, kuruluşun direktif ve uygulanabilir ulusal mevzuat kapsamındaki yükümlülüklerini belirlemesi; siber güvenlik risk yönetimini, olay bildirimini, tedarikçi güvenliğini ve yönetim gözetimini kanıtlanabilir süreçlerle yürütmesi anlamına gelir. ### \1. NIS2 Direktifi Neden Oluşturuldu? Dijital hizmetlerin ve kritik altyapıların birbirine bağımlılığı arttıkça siber güvenlik olaylarının etkileri de genişlemektedir. Bir enerji dağıtım şirketinde meydana gelen siber olay yalnızca ilgili şirketi değil, hizmet sunduğu işletmeleri ve bireyleri de etkileyebilir. Benzer şekilde bulut hizmeti sağlayıcısında yaşanan kesinti, çok sayıda kuruluşun operasyonlarını eş zamanlı olarak durdurabilir. İlk NIS Direktifi, Avrupa'da ortak siber güvenlik yaklaşımının oluşturulmasına katkı sağlamış olsa da sektör kapsamı, uygulama farklılıkları ve denetim mekanizmaları bakımından geliştirilmesi gereken alanlar bulunuyordu. NIS2 bu ihtiyaçlara yanıt vermek amacıyla hazırlanmıştır. #### NIS2'nin odaklandığı temel sorunlar - Kritik sektörlerde farklı güvenlik olgunluğu seviyeleri - Tedarik zinciri kaynaklı siber güvenlik riskleri - Güvenlik olaylarının geç veya yetersiz bildirilmesi - Yönetim düzeyinde yetersiz siber güvenlik gözetimi - Ülkeler arasında farklı uygulamalar - Bulut ve yönetilen hizmet sağlayıcılarına artan bağımlılık - Fidye yazılımı ve hizmet kesintisi riskleri NIS2, bu sorunların yalnızca teknoloji satın alınarak çözülemeyeceğini kabul eden risk temelli bir yaklaşım benimser. ### \2. NIS2 Ne Zaman Yürürlüğe Girdi? NIS2 Direktifi, Ocak 2023'te yürürlüğe girmiştir. AB üye devletlerinin direktifi ulusal mevzuatlarına aktarmaları için belirlenen son tarih **17 Ekim 2024** olmuştur. NIS2, 18 Ekim 2024 itibarıyla önceki NIS düzenlemesinin yerini almıştır. Ancak bir AB direktifinin pratikte uygulanması, ilgili üye devletin ulusal mevzuatı ve yetkili kurumlarıyla birlikte değerlendirilmelidir. #### 2026 itibarıyla dikkat edilmesi gerekenler Kuruluşlar faaliyet gösterdikleri AB ülkesindeki güncel düzenlemeyi incelemelidir. Kayıt ve bildirim yükümlülükleri ülkeye göre farklı idari mekanizmalar üzerinden yürütülebilir. Denetim yetkileri ve yaptırım süreçleri ulusal mevzuatla somutlaştırılır. Avrupa Komisyonu, Ocak 2026'da NIS2 kapsamında belirli hedefli değişiklikler önermiştir. Teklif niteliğindeki değişiklikler, kabul edilip yürürlüğe girmedikçe mevcut bağlayıcı hükümlerle karıştırılmamalıdır. **Önemli:** Bir kuruluşun uyum değerlendirmesi yalnızca direktif metni üzerinden değil, ilgili ülkenin yürürlükteki ulusal düzenlemesi üzerinden yapılmalıdır. ### \3. NIS2 Hangi Sektörleri Kapsar? NIS2, Ek I ve Ek II kapsamında farklı sektörleri ele alır. #### Ek I: Yüksek kritiklikteki sektörler Enerji. Ulaştırma. Bankacılık. Finansal piyasa altyapıları. Sağlık. İçme suyu. Atık su. Dijital altyapı. İşletmeler arası BİT hizmet yönetimi. Kamu yönetimi. Uzay. #### Ek II: Diğer kritik sektörler Posta ve kurye hizmetleri. Atık yönetimi. Kimyasalların üretimi ve dağıtımı. Gıda üretimi, işlenmesi ve dağıtımı. Belirli imalat faaliyetleri. Dijital hizmet sağlayıcıları. Araştırma kuruluşları. #### İmalat sektörü açısından NIS2 kapsamında bütün üretim şirketlerinin otomatik olarak aynı statüde olduğu varsayılmamalıdır. İlgili imalat alt sektörü, kuruluşun büyüklüğü, sunduğu hizmetler ve ulusal mevzuat değerlendirilmelidir. ### \4. Essential Entities ve Important Entities Nedir? NIS2 kapsamında kuruluşlar belirli koşullara göre **Essential Entities (Temel Kuruluşlar)** ve **Important Entities (Önemli Kuruluşlar)** olarak sınıflandırılır. Bu ayrım özellikle denetim yaklaşımı ve yaptırım mekanizmaları bakımından önemlidir. | Kriter | Essential Entities | Important Entities | | --- | --- | --- | | Genel yaklaşım | Daha yüksek kritiklikteki kuruluşlar | Kapsamdaki diğer önemli kuruluşlar | | Denetim | Önleyici ve olay sonrası denetim yetkileri | Genel olarak olay sonrası denetim yaklaşımı | | Risk yönetimi | Madde 21 yükümlülükleri | Madde 21 yükümlülükleri | | Olay bildirimi | Madde 23 yükümlülükleri | Madde 23 yükümlülükleri | | Yaptırım | İlgili kategoriye özgü üst sınırlar | İlgili kategoriye özgü üst sınırlar | #### Önemli ayrım Essential veya Important statüsü yalnızca sektör adına bakılarak belirlenmez. Kuruluşun büyüklüğü, faaliyetleri ve direktifte belirtilen özel sınıflandırma hükümleri dikkate alınır. Bazı kuruluş türleri için büyüklükten bağımsız özel kurallar bulunur. ### \5. NIS2 Kapsamında Şirket Büyüklüğü Nasıl Değerlendirilir? NIS2, genel olarak ilgili sektörlerde faaliyet gösteren orta ve büyük ölçekli kuruluşlara odaklanır. Bununla birlikte büyüklük kriterleri tek başına yeterli değildir. #### Değerlendirme yapılırken Çalışan sayısı. Yıllık ciro. Bilanço büyüklüğü. Bağlı ve ortak işletme ilişkileri. Faaliyet sektörü. Sunulan hizmetin kritiklik düzeyi. Üye devletin özel belirlemeleri. #### Örnek AB'de yönetilen güvenlik hizmetleri sunan bir şirketin NIS2 kapsamına girip girmediği değerlendirilirken yalnızca çalışan sayısı değil, hizmetin niteliği ve uygulanabilir özel hükümler de incelenmelidir. #### Kritik nokta Küçük ölçekli bütün kuruluşların otomatik olarak kapsam dışında kaldığı söylenemez. Direktifte büyüklükten bağımsız uygulama halleri bulunmaktadır. ### \6. Türkiye'deki Şirketler NIS2'den Etkilenir mi? Türkiye, Avrupa Birliği üyesi değildir. Bu nedenle NIS2 Direktifi'nin Türkiye'deki bütün şirketlere doğrudan ve genel olarak uygulandığı söylenemez. Bununla birlikte Türkiye'deki şirketler çeşitli nedenlerle NIS2 ile ilişkili yükümlülüklerle karşılaşabilir. #### Birinci senaryo: AB'de faaliyet Kuruluşun AB'de sunduğu hizmetler ve faaliyet yapısı, ilgili ülkenin NIS2 uygulaması kapsamında değerlendirilebilir. #### İkinci senaryo: AB'deki bağlı şirket Türkiye merkezli bir grubun AB'deki iştiraki kapsam dahilinde olabilir. #### Üçüncü senaryo: Tedarikçi ilişkileri AB'de NIS2 kapsamındaki bir müşteri, tedarikçisinden sözleşmesel güvenlik yükümlülüklerini karşılamasını isteyebilir. #### Dördüncü senaryo: Yönetilen hizmetler AB pazarında faaliyet gösteren MSP veya MSSP niteliğindeki kuruluşlar için özel değerlendirme gerekebilir. #### Örnek Türkiye'de yazılım geliştiren bir şirket, AB'deki kritik altyapı işletmecisine hizmet sağlıyor. Müşteri, sözleşmesinde güvenlik testleri, olay bildirimi, erişim kontrolü ve tedarik zinciri güvenliği şartları belirleyebilir. Bu durum Türkiye'deki tedarikçinin otomatik olarak NIS2 kapsamında bir Essential Entity olduğu anlamına gelmez. **Sonuç:** Türkiye'deki kuruluşlar için doğrudan hukuki kapsam ile müşterilerden kaynaklanan sözleşmesel güvenlik gereksinimleri ayrı değerlendirilmelidir. ### \7. NIS2 Madde 20: Üst Yönetimin Sorumluluğu NIS2'nin dikkat çekici yönlerinden biri, siber güvenlik risk yönetimini üst yönetim sorumluluğuyla ilişkilendirmesidir. Madde 20 kapsamında ilgili kuruluşların yönetim organları siber güvenlik risk yönetimi tedbirlerini onaylamalı ve uygulanmasını gözetmelidir. Ayrıca yönetim organı üyelerinin uygun eğitim almalarına yönelik hükümler bulunmaktadır. #### Yönetim düzeyinde ele alınabilecek konular Siber güvenlik stratejisi. Risk iştahı. Kritik risklerin kabulü. Güvenlik yatırımları. Olay müdahale hazırlığı. Tedarikçi riskleri. İş sürekliliği. Denetim sonuçları. #### Örnek Bilgi güvenliği ekibi kritik bir erişim kontrolü eksikliği tespit etti. Riskin giderilmesi için yatırım gerekiyor. Yönetim, riski ve önerilen tedbirleri değerlendirerek gerekli kararları almalıdır. #### Kritik nokta NIS2 uyumu yalnızca BT departmanına devredilerek tamamlanabilecek bir sorumluluk değildir. ### \8. NIS2 Madde 21: Siber Güvenlik Risk Yönetimi NIS2 Madde 21, kapsam dahilindeki kuruluşların uygun ve orantılı teknik, operasyonel ve organizasyonel siber güvenlik risk yönetimi tedbirleri almasını öngörür. Tedbirler kuruluşun maruz kaldığı risklere, büyüklüğüne, olayların olası etkilerine ve uygulanabilir diğer koşullara göre değerlendirilmelidir. #### Madde 21 kapsamında temel tedbir alanları | Alan | Uygulama örneği | | --- | --- | | Risk analizi ve güvenlik politikaları | Kurumsal risk metodolojisi | | Olay yönetimi | SOC, müdahale prosedürleri | | İş sürekliliği ve kriz yönetimi | Yedekleme, felaket kurtarma | | Tedarik zinciri güvenliği | Tedarikçi risk değerlendirmesi | | Güvenli sistem geliştirme ve bakım | Güvenli SDLC, zafiyet yönetimi | | Tedbir etkinliğinin değerlendirilmesi | Kontrol testleri ve denetimler | | Siber hijyen ve eğitim | Farkındalık, temel güvenlik kontrolleri | | Kriptografi | Şifreleme ve anahtar yönetimi | | İnsan kaynakları ve erişim güvenliği | IAM, varlık yönetimi | | MFA ve güvenli iletişim | Uygun kimlik doğrulama ve iletişim kontrolleri | #### Önemli nokta Madde 21, tek bir marka veya teknoloji kullanımını zorunlu tutan bir ürün listesi değildir. Güvenlik tedbirleri risk temelli ve kanıtlanabilir biçimde uygulanmalıdır. ### \9. NIS2 Risk Analizi Nasıl Yapılır? Risk analizi, kuruluşun kritik hizmetlerini ve bu hizmetleri destekleyen sistemleri anlamasıyla başlar. #### Aşama 1: Kritik hizmetlerin belirlenmesi Hangi hizmetler müşteriler veya toplum açısından önemlidir? Hangi hizmetlerin kesintisi ciddi etki oluşturabilir? #### Aşama 2: Varlık envanteri Sunucular. Uygulamalar. Veritabanları. Bulut sistemleri. Ağ cihazları. OT sistemleri. Üçüncü taraf bağlantıları. #### Aşama 3: Tehdit analizi Fidye yazılımı. Kimlik bilgisi hırsızlığı. Tedarikçi ihlali. DDoS. İç tehditler. Yapılandırma hataları. #### Aşama 4: Etki değerlendirmesi Hizmet kesintisi. Finansal zarar. Müşteri etkisi. Yasal sonuçlar. Operasyonel zarar. #### Aşama 5: Risk işleme Risk azaltma. Riskten kaçınma. Risk paylaşımı. Gerekçelendirilmiş risk kabulü. #### Örnek risk kaydı | Alan | Örnek | | --- | --- | | Kritik hizmet | Bulut tabanlı müşteri uygulaması | | Tehdit | Yönetici hesabının ele geçirilmesi | | Zafiyet | MFA eksikliği | | Etki | Hizmet kesintisi ve veri erişimi | | Tedbir | Kimlik avına dayanıklı MFA, PAM, izleme | | Sorumlu | BT ve bilgi güvenliği | | Doğrulama | Erişim testi ve log incelemesi | ### \10. NIS2 Kapsamında Olay Yönetimi NIS2, kuruluşların siber güvenlik olaylarını yalnızca tespit etmesini değil, bunlara uygun biçimde müdahale etmesini de gerektirir. #### Olay yönetiminin aşamaları Hazırlık. Tespit. Analiz. Sınıflandırma. Müdahale. Kurtarma. Bildirim. Olay sonrası değerlendirme. #### Örnek Bir kuruluşun kritik uygulamasında fidye yazılımı faaliyeti tespit edildi. SOC ekibi alarmı doğrular. Müdahale ekibi etkilenen sistemleri belirler. İş sürekliliği ekibi hizmet etkisini değerlendirir. Hukuk ve uyum birimleri NIS2 bildirim gereksinimlerini inceler. Üst yönetim bilgilendirilir. #### Kritik nokta Her güvenlik alarmı NIS2 kapsamında bildirime tabi önemli olay değildir. Olayın ilgili mevzuattaki önemlilik kriterleri çerçevesinde değerlendirilmesi gerekir. ### \11. NIS2 Olay Bildirim Süreleri Nelerdir? NIS2 Madde 23, önemli olaylar için aşamalı bildirim yaklaşımı öngörür. #### Bildirim takvimi | Aşama | Genel süre | Amaç | | --- | --- | --- | | Erken uyarı | Öğrenmeden itibaren en geç 24 saat | Yetkili makamı olaydan haberdar etmek | | Olay bildirimi | Öğrenmeden itibaren en geç 72 saat | İlk etki ve ciddiyet değerlendirmesi | | Ara rapor | Yetkili makam talep ederse | Güncel durumun paylaşılması | | Nihai rapor | 72 saatlik olay bildiriminden itibaren en geç 1 ay | Olayın ayrıntılı değerlendirmesi | #### Özel durumlar Belirli güven hizmeti sağlayıcıları için farklı bildirim koşulları bulunabilir. Olay nihai rapor aşamasında devam ediyorsa ilerleme raporu ve daha sonraki nihai rapor gereksinimleri uygulanabilir. #### Kritik nokta 24 ve 72 saatlik süreler, bütün siber güvenlik olaylarının otomatik bildirilmesi gerektiği anlamına gelmez. Önemli olay tanımı ve ilgili ülkenin uygulaması dikkate alınmalıdır. ### \12. NIS2 Kapsamında Önemli Olay Nasıl Belirlenir? NIS2 Madde 23 kapsamında bir olayın önemli sayılmasında hizmetlerin ciddi biçimde aksaması, finansal kayıp veya diğer gerçek ya da tüzel kişiler üzerinde önemli zarar gibi kriterler değerlendirilir. #### Örnek göstergeler Kritik hizmetin kullanılamaması. Önemli sayıda müşterinin etkilenmesi. Ciddi operasyonel kesinti. Yüksek finansal etki. Sınır ötesi etki. Önemli maddi veya manevi zarar. #### Örnek Kısa süreli ve etkisi sınırlı bir güvenlik alarmı, gerekli inceleme sonucunda bildirim kapsamı dışında kalabilir. Buna karşılık kritik bir hizmeti ciddi biçimde kesintiye uğratan saldırı bildirim gerektirebilir. #### Önemli nokta Belirli dijital hizmet sağlayıcıları için 2024/2690 sayılı Uygulama Tüzüğü, önemli olay kriterlerini daha ayrıntılı düzenlemektedir. ### \13. 24 Saatlik Erken Uyarı Nasıl Hazırlanır? Erken uyarının amacı, bütün teknik ayrıntıların tamamlanmasını beklemeden yetkili makamın önemli olay hakkında bilgilendirilmesidir. #### Hazırlıkta değerlendirilebilecek bilgiler Olayın tespit zamanı. Etkilenen hizmet. İlk olay sınıflandırması. Olası kötü niyetli faaliyet. Muhtemel sınır ötesi etki. İlk müdahale durumu. #### Örnek Bir yönetilen hizmet sağlayıcısının kritik yönetim platformunda yetkisiz erişim tespit edildi. İlk incelemede bazı müşteri hizmetlerinin etkilenmiş olabileceği değerlendiriliyor. Kuruluş, olayın önemli olay kriterlerini karşılayıp karşılamadığını hızla değerlendirerek uygulanabilir bildirim sürecini başlatır. #### Kritik nokta Erken uyarı, nihai adli bilişim raporunun hazırlanmasını beklemek için tasarlanmamıştır. ### \14. 72 Saatlik Olay Bildirimi Nasıl Hazırlanır? Olay bildirimi, erken uyarıdan sonra elde edilen bilgilerin güncellenmesini sağlar. #### İçerik örnekleri Olayın ilk teknik değerlendirmesi. Etkilenen sistemler. Hizmet etkisi. Olayın ciddiyeti. Biliniyorsa saldırı göstergeleri. Alınan ilk tedbirler. #### Teknik kanıtlar Güvenlik logları. SIEM alarmları. EDR kayıtları. Ağ trafiği. Sistem zaman çizelgesi. #### Önemli nokta Bildirim hazırlanırken delil bütünlüğü korunmalı ve doğrulanmamış bilgiler kesin bulgu olarak sunulmamalıdır. ### \15. NIS2 İçin SOC Hizmeti Zorunlu mudur? NIS2 bütün kuruluşlar için belirli bir ticari SOC hizmetinin satın alınmasını açıkça zorunlu kılmaz. Ancak güvenlik olaylarının tespiti, analizi ve müdahalesi için uygun yeteneklerin oluşturulması gerekir. #### SOC'un sağlayabileceği katkılar Merkezi güvenlik izleme. Olay korelasyonu. Tehdit tespiti. Alarm önceliklendirme. Olay eskalasyonu. Müdahale koordinasyonu. Raporlama. #### 7×24 izleme ne zaman değerlendirilebilir? Kritik hizmetler kesintisiz çalışıyorsa. Olay etkisi yüksekse. Saldırılara hızlı müdahale gerekiyorsa. Sözleşmesel veya sektörel gereksinimler bulunuyorsa. #### Sonuç SOC, NIS2 risk yönetimini destekleyen önemli operasyonel kabiliyetlerden biridir; ancak tek başına mevzuat uyumu sağlamaz. ### \16. SIEM NIS2 Uyumunu Nasıl Destekler? SIEM sistemleri farklı güvenlik kaynaklarından toplanan olay kayıtlarını merkezi olarak değerlendirebilir. #### Log kaynakları Firewall. VPN. Active Directory. Sunucular. Bulut altyapıları. EDR. Veritabanları. Kritik uygulamalar. #### Örnek korelasyon Bir yönetici hesabıyla olağan dışı ülkeden oturum açıldı. Ardından ayrıcalıklı erişim gerçekleştirildi. Kısa süre sonra yüksek hacimli veri aktarımı gözlemlendi. SIEM, uygun kullanım senaryoları tanımlanmışsa bu faaliyetleri ilişkilendirebilir. #### Önemli nokta Log toplamak tek başına yeterli değildir. Log bütünlüğü, zaman senkronizasyonu, alarm kalitesi ve olay müdahale süreçleri de değerlendirilmelidir. ### \17. NIS2 ve Tedarik Zinciri Güvenliği Tedarik zinciri güvenliği, NIS2 Madde 21 kapsamındaki temel risk yönetimi alanlarından biridir. Kuruluşların doğrudan tedarikçileri ve hizmet sağlayıcılarıyla ilişkilerindeki güvenlik risklerini değerlendirmesi beklenir. #### Örnek tedarikçiler Bulut sağlayıcıları. Yazılım geliştiriciler. MSP ve MSSP kuruluşları. Veri merkezi hizmet sağlayıcıları. Ağ hizmet sağlayıcıları. Endüstriyel otomasyon tedarikçileri. #### Değerlendirme konuları Tedarikçinin güvenlik olgunluğu. Veri erişimleri. Uzaktan erişim yöntemleri. Alt yükleniciler. Güvenlik olaylarının bildirilmesi. İş sürekliliği. Hizmet sonlandırma. #### Örnek Bir enerji şirketinin uzaktan bakım sağlayıcısı OT sistemlerine erişebiliyor. Bu erişim, kimlik doğrulama, oturum kaydı, yetkilendirme ve erişim süresi bakımından değerlendirilmelidir. ### \18. NIS2 Tedarikçi Sözleşmelerinde Neler Bulunmalıdır? Sözleşmesel güvenlik hükümleri, tedarikçi risklerinin yönetilmesine yardımcı olur. #### Örnek başlıklar Güvenlik sorumlulukları. Erişim kontrolü. Gizlilik. Olay bildirim yükümlülükleri. Alt yüklenici yönetimi. Güvenlik testleri. Denetim hakları. Veri iadesi ve imha. Hizmet sürekliliği. #### Örnek yaklaşım Kritik hizmet sağlayıcısının bir güvenlik olayı tespit ettiğinde müşterisini gecikmeksizin bilgilendirmesine yönelik sözleşmesel süreç oluşturulabilir. #### Kritik nokta Tedarikçi sözleşmesindeki bildirim süresi ile kuruluşun yetkili makama yapacağı NIS2 bildirimi farklı yükümlülüklerdir. Süreçler birbirini destekleyecek biçimde tasarlanmalıdır. ### \19. NIS2 ve Zafiyet Yönetimi Zafiyet yönetimi, sistemlerdeki güvenlik açıklarının belirlenmesi, önceliklendirilmesi ve giderilmesini kapsar. #### Süreç Varlık keşfi. Zafiyet tespiti. Risk değerlendirmesi. Önceliklendirme. Düzeltme. Yeniden doğrulama. #### Önceliklendirme kriterleri Zafiyetin teknik ciddiyeti. Aktif istismar bilgisi. Sistemin internete açıklığı. Kritik hizmet etkisi. Mevcut telafi edici kontroller. #### Örnek İnternete açık bir VPN cihazında aktif olarak istismar edilen kritik güvenlik açığı bulunuyor. Bu risk, yalnızca CVSS puanına göre değil, erişilebilirlik ve iş etkisiyle birlikte değerlendirilmelidir. ### \20. NIS2 Kapsamında Sızma Testleri Sızma testleri, güvenlik kontrollerinin etkinliğinin değerlendirilmesini destekleyebilir. #### Örnek test alanları Dış ağ. İç ağ. Web uygulamaları. Mobil uygulamalar. API. Active Directory. Bulut altyapısı. Kablosuz ağ. OT sistemleri. #### Örnek Kritik bir müşteri portalında yetkilendirme zafiyeti tespit edildi. Bulgu risk yönetimi sürecine aktarılır. Düzeltme yapılır. Yeniden test gerçekleştirilir. #### Kritik nokta NIS2 bütün kuruluşlar için aynı kapsam ve periyotta sızma testi yapılmasını belirleyen genel bir takvim içermez. Testler risklere ve uygulanabilir özel gereksinimlere göre planlanmalıdır. ### \21. NIS2 ve Güvenli Yazılım Geliştirme NIS2, ağ ve bilgi sistemlerinin edinimi, geliştirilmesi ve bakımına ilişkin güvenlik tedbirlerini kapsar. #### Güvenli geliştirme uygulamaları Güvenlik gereksinimleri. Tehdit modelleme. Güvenli kodlama. Kaynak kod analizi. Bağımlılık güvenliği. Güvenlik testleri. Değişiklik yönetimi. #### Örnek Bir kuruluş kritik hizmetini sağlayan yazılımı kendi geliştiriyor. Yazılımda kimlik doğrulama, erişim kontrolü ve güvenli veri işleme gereksinimleri geliştirme aşamasında ele alınmalıdır. #### Önemli nokta SAST, DAST ve SCA araçları güvenli geliştirme süreçlerini destekleyebilir. Ancak araçların kullanılması tek başına bütün NIS2 yükümlülüklerini karşılamaz. ### \22. NIS2 ve İş Sürekliliği NIS2, iş sürekliliği ve kriz yönetimini risk yönetimi tedbirleri arasında değerlendirir. #### Temel bileşenler İş etki analizi. Kritik hizmetlerin belirlenmesi. Kurtarma öncelikleri. Yedekleme. Felaket kurtarma. Kriz iletişimi. Tatbikatlar. #### RTO ve RPO **RTO:** Hizmetin hedeflenen geri dönüş süresi. **RPO:** Kabul edilebilir veri kaybı hedefi. #### Örnek Bir sağlık kuruluşunun kritik uygulaması erişilemez hale geldi. İş sürekliliği planında alternatif çalışma yöntemi ve kurtarma öncelikleri belirlenmiş olmalıdır. #### Kritik nokta Yedek alınması ile yedekten başarıyla geri dönüş yapılabilmesi aynı şey değildir. Geri yükleme testleri gerçekleştirilmelidir. ### \23. Fidye Yazılımına Karşı NIS2 Yaklaşımı Fidye yazılımı saldırıları hizmet kesintisi, veri kaybı ve operasyonel zarar oluşturabilir. #### Savunma katmanları MFA. EDR/XDR. Ağ segmentasyonu. Yama yönetimi. Ayrıcalıklı erişim yönetimi. Güvenli yedekleme. Olay izleme. Müdahale tatbikatları. #### Örnek Saldırgan ele geçirdiği yönetici hesabıyla yedekleme sistemlerine erişmeye çalışıyor. Ayrıcalıklı erişim kontrolleri, ağ ayrıştırması ve güvenli yedekleme mimarisi olayın etkisini azaltabilir. #### Önemli nokta Fidye yazılımı savunması tek bir güvenlik ürününe dayandırılmamalıdır. ### \24. NIS2 ve Bulut Güvenliği Bulut hizmetleri, NIS2 kapsamında hem kritik tedarikçi ilişkileri hem de belirli sağlayıcı kategorileri bakımından önem taşır. #### Değerlendirme alanları Bulut varlık envanteri. Kimlik ve erişim yönetimi. Yapılandırma güvenliği. Loglama. Şifreleme. Yedekleme. Olay yönetimi. Tedarikçi sorumlulukları. #### Örnek Kuruluş kritik müşteri hizmetini bir bulut platformunda çalıştırıyor. Bulut sağlayıcısının güvenlik sorumlulukları ile müşterinin yapılandırma ve erişim güvenliği sorumlulukları ayrıştırılmalıdır. #### Kritik nokta Bulut sağlayıcısının güvenlik sertifikalarına sahip olması, müşterinin kendi sistemleri için bütün güvenlik yükümlülüklerini ortadan kaldırmaz. ### \25. NIS2 ve Yönetilen Güvenlik Hizmetleri NIS2 kapsamında Managed Service Providers ve Managed Security Service Providers özel önem taşır. #### MSP nedir? Müşterilerin bilgi teknolojileri sistemlerinin kurulumu, işletimi, yönetimi veya bakımına yönelik hizmetler sunan kuruluşları ifade eder. #### MSSP nedir? Siber güvenlik risklerinin yönetimine yönelik hizmetler sunan yönetilen güvenlik hizmet sağlayıcılarını ifade eder. #### Örnek hizmetler SOC. MDR. SIEM yönetimi. Güvenlik izleme. Güvenlik operasyonları. Güvenlik sistemlerinin yönetimi. #### Önemli nokta Bir kuruluşun MSP veya MSSP olarak değerlendirilmesi, sunduğu gerçek hizmetlerin niteliğine ve uygulanabilir mevzuata bağlıdır. Yalnızca şirket unvanında siber güvenlik ifadesinin bulunması yeterli değildir. ### \26. AB 2024/2690 Uygulama Tüzüğü Nedir? **Commission Implementing Regulation (EU) 2024/2690**, NIS2 kapsamında belirli dijital altyapı, BİT hizmet yönetimi ve dijital hizmet sağlayıcıları için daha ayrıntılı teknik ve metodolojik gereksinimler belirler. #### İlgili kuruluş türlerine örnekler DNS hizmet sağlayıcıları. Üst düzey alan adı kayıt kuruluşları. Bulut bilişim sağlayıcıları. Veri merkezi sağlayıcıları. İçerik dağıtım ağı sağlayıcıları. MSP. MSSP. Çevrim içi pazar yeri sağlayıcıları. Arama motoru sağlayıcıları. Sosyal ağ platformu sağlayıcıları. Güven hizmeti sağlayıcıları. #### Teknik uygulama alanları Risk yönetimi. Güvenlik politikaları. Olay yönetimi. İş sürekliliği. Tedarikçi güvenliği. Erişim kontrolü. Varlık yönetimi. Sistem güvenliği. #### Kritik nokta 2024/2690 sayılı düzenleme, NIS2 kapsamındaki bütün sektörler için aynı şekilde uygulanan genel bir teknik kontrol kataloğu değildir. Hangi kuruluş türlerine uygulandığı ayrıca doğrulanmalıdır. ### \27. ENISA NIS2 Teknik Rehberi Ne Sağlar? ENISA, Haziran 2025'te belirli kuruluş türleri için NIS2 teknik uygulama rehberi yayımlamıştır. Bu rehber, 2024/2690 sayılı düzenleme kapsamındaki güvenlik tedbirlerinin uygulanmasına yönelik açıklamalar içerir. #### Rehberin sağlayabileceği katkılar Kontrol gereksinimlerinin anlaşılması. Teknik uygulama örnekleri. Kanıt örnekleri. Kontrol eşleştirmeleri. Mevcut durum analizi. İyileştirme planlaması. #### Önemli nokta ENISA teknik rehberi yararlı bir uygulama kaynağıdır. Ancak bağlayıcı hukuki metinler ve ilgili ulusal mevzuatın yerine geçmez. ### \28. NIS2 ve ISO/IEC 27001 Arasındaki İlişki ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulmasına ve sürekli iyileştirilmesine yönelik uluslararası standarttır. NIS2 ise belirli kuruluşlar için hukuki yükümlülükler oluşturur. #### Ortak alanlar Risk yönetimi. Güvenlik politikaları. Erişim kontrolü. Olay yönetimi. İş sürekliliği. Tedarikçi güvenliği. Güvenlik denetimleri. #### Örnek eşleştirme | NIS2 ihtiyacı | ISO 27001 ile ilişkili yaklaşım | | --- | --- | | Risk yönetimi | BGYS risk değerlendirmesi | | Olay yönetimi | Güvenlik olayı yönetimi | | Tedarikçi güvenliği | Tedarikçi güvenlik kontrolleri | | Erişim kontrolü | Kimlik ve yetki yönetimi | | İş sürekliliği | Kesinti sırasında bilgi güvenliği | | Kontrol etkinliği | İç denetim ve performans değerlendirme | #### Kritik nokta ISO 27001 belgesine sahip olmak NIS2'ye otomatik uyum anlamına gelmez. NIS2'ye özgü kapsam, yönetim sorumluluğu, kayıt ve bildirim yükümlülükleri ayrıca değerlendirilmelidir. ### \29. NIS2 ve IEC 62443 Arasındaki İlişki IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin güvenliğine yönelik standartlar ailesidir. NIS2 ise belirli sektörlerdeki kuruluşların siber güvenlik yükümlülüklerini düzenler. #### Ortak alanlar Endüstriyel risk yönetimi. Ağ segmentasyonu. Erişim güvenliği. Olay yönetimi. Tedarikçi güvenliği. Güvenli ürün geliştirme. İş sürekliliği. #### Örnek Bir enerji işletmecisi NIS2 kapsamındaysa OT sistemleri için uygun güvenlik tedbirleri oluşturmalıdır. IEC 62443-3-2 ve 3-3 yaklaşımları, endüstriyel sistem risklerinin ve güvenlik gereksinimlerinin değerlendirilmesini destekleyebilir. #### Üreticiler açısından IEC 62443-4-1 ve 4-2, endüstriyel ürünlerin güvenli geliştirilmesi ve teknik güvenlik özelliklerinin değerlendirilmesi bakımından yararlı olabilir. #### Kritik nokta IEC 62443 uygunluğu, NIS2'nin bütün hukuki ve idari yükümlülüklerinin karşılandığı anlamına gelmez. ### \30. NIS2 ve GDPR Arasındaki Fark NIS2 ile GDPR farklı düzenlemelerdir. | Konu | NIS2 | GDPR | | --- | --- | --- | | Temel amaç | Ağ ve bilgi sistemlerinin siber güvenliği | Kişisel verilerin korunması | | Ana yaklaşım | Siber güvenlik risk yönetimi | Veri koruma ve ilgili kişi hakları | | Olay bildirimi | Önemli siber güvenlik olayları | Bildirim şartlarını karşılayan kişisel veri ihlalleri | | Kuruluş kapsamı | Belirli sektör ve kuruluşlar | Uygulama alanına giren veri işleme faaliyetleri | | Temel teknik alanlar | Siber dayanıklılık | Kişisel veri güvenliği | #### Örnek Bir fidye yazılımı saldırısı hem kritik hizmeti durdurmuş hem kişisel veri ihlaline neden olmuş olabilir. Bu durumda NIS2 ve GDPR bildirim yükümlülükleri ayrı ayrı değerlendirilmelidir. #### Önemli nokta Bir düzenleme kapsamında yapılan bildirim, diğer düzenleme kapsamındaki yükümlülüğü otomatik olarak karşılamayabilir. ### \31. NIS2 Denetimleri Nasıl Yapılır? NIS2 kapsamında denetim ve gözetim yetkileri kuruluşun sınıflandırmasına ve ilgili ulusal mevzuata göre uygulanır. #### Değerlendirilebilecek kanıtlar Risk değerlendirme raporları. Güvenlik politikaları. Olay müdahale kayıtları. Eğitim kayıtları. Tedarikçi değerlendirmeleri. Sızma testi raporları. Zafiyet yönetimi kayıtları. İş sürekliliği tatbikatları. Yönetim kararları. #### Essential ve Important ayrımı Essential Entities için daha kapsamlı önleyici ve olay sonrası gözetim mekanizmaları öngörülür. Important Entities bakımından genel yaklaşım olay sonrası gözetimdir. #### Kritik nokta Denetim kapsamı ve yöntemleri, ilgili üye devletin yetkili makamı ve ulusal düzenlemeleri çerçevesinde değerlendirilmelidir. ### \32. NIS2 Para Cezaları Nelerdir? NIS2, belirli ihlaller için yüksek idari para cezası üst sınırları öngörür. #### Temel kuruluşlar **10 milyon avro veya dünya çapındaki toplam yıllık cironun %2'si** seviyesindeki eşiklerden yüksek olanın esas alındığı asgari azami ceza düzenlemesi bulunur. #### Önemli kuruluşlar **7 milyon avro veya dünya çapındaki toplam yıllık cironun %1,4'ü** seviyesindeki eşiklerden yüksek olanın esas alındığı asgari azami ceza düzenlemesi bulunur. #### Önemli açıklama Bu rakamlar her ihlal için otomatik uygulanan sabit para cezaları değildir. Direktif, üye devletlerin belirleyeceği azami ceza çerçevesine ilişkin asgari gereksinimler içerir. Somut yaptırım; ihlalin niteliğine, kuruluş kategorisine, ulusal mevzuata ve ilgili değerlendirmelere bağlıdır. ### \33. NIS2 Uyumunda Yönetim Kurulu Raporlaması Siber güvenlik risklerinin yönetim düzeyinde izlenebilmesi için ölçülebilir raporlama süreçleri oluşturulmalıdır. #### Örnek göstergeler Kritik açık zafiyet sayısı. Yüksek riskli varlık oranı. MFA kapsama oranı. Olay tespit süresi. Olay müdahale süresi. Yedek geri yükleme başarısı. Kritik tedarikçi değerlendirme oranı. Gecikmiş düzeltici faaliyet sayısı. #### Örnek yönetim raporu | Gösterge | Örnek hedef | | --- | --- | | Kritik sistemlerde MFA | %100 | | Kritik tedarikçi değerlendirmesi | %100 | | Kritik yedeklerin geri yükleme testi | Planlanan testlerin tamamı | | Yüksek riskli bulgular | Tanımlı risk süresinde kapatma | | Olay müdahale tatbikatı | Yıllık plan kapsamında | Bu hedefler örnektir; NIS2'nin bütün kuruluşlar için belirlediği zorunlu sayısal eşikler değildir. ### \34. NIS2 Uyumunda En Sık Yapılan Hatalar #### \1. Kapsam değerlendirmesi yapmamak Kuruluşun gerçekten hangi yükümlülüklere tabi olduğu belirlenmelidir. #### \2. NIS2'yi yalnızca ISO 27001 olarak görmek Hukuki ve sektörel yükümlülükler ayrıca değerlendirilmelidir. #### \3. Olay bildirim planı oluşturmamak Önemli olay kriterleri ve bildirim süreçleri tanımlanmalıdır. #### \4. Yönetim sorumluluğunu ihmal etmek Üst yönetim gözetimi sağlanmalıdır. #### \5. Tedarikçi güvenliğini değerlendirmemek Kritik üçüncü taraf ilişkileri risk analizine dahil edilmelidir. #### \6. Yalnızca teknoloji satın almak Güvenlik süreçleri ve sorumluluklar oluşturulmalıdır. #### \7. Risk envanterini güncellememek Yeni tehditler ve sistem değişiklikleri değerlendirilmelidir. #### \8. İş sürekliliğini test etmemek Kurtarma kabiliyetleri doğrulanmalıdır. #### \9. Denetim kanıtlarını toplamamak Uygulanan kontroller kayıtlarla desteklenmelidir. #### \10. Ulusal mevzuat farklılıklarını dikkate almamak AB üye devletlerinin güncel uygulamaları incelenmelidir. ### \35. NIS2 GAP Analizi Nasıl Yapılır? GAP analizi, kuruluşun mevcut siber güvenlik uygulamalarının uygulanabilir NIS2 yükümlülükleriyle karşılaştırılmasıdır. #### Aşama 1: Hukuki kapsam Kuruluşun faaliyetleri belirlenir. İlgili ülke ve sektör değerlendirilir. Essential veya Important statüsü incelenir. #### Aşama 2: Mevcut güvenlik durumu Politikalar. Risk analizleri. Teknik kontroller. Olay yönetimi. Tedarikçi süreçleri. #### Aşama 3: Gereksinim eşleştirmesi Madde 20. Madde 21. Madde 23. Uygulanabilir ulusal hükümler. İlgili uygulama düzenlemeleri. #### Aşama 4: Eksiklik raporu Eksik kontroller. Kısmen uygulanan kontroller. Kanıt eksiklikleri. Öncelikli riskler. #### Aşama 5: Yol haritası Aksiyon. Sorumlu. Öncelik. Hedef tarih. Doğrulama yöntemi. ### \36. NIS2 Uyumunda Hazırlanabilecek Dokümanlar #### Yönetim Siber güvenlik politikası. Yönetim sorumluluk matrisi. Risk iştahı yaklaşımı. Yönetim gözden geçirme kayıtları. #### Risk yönetimi Varlık envanteri. Risk değerlendirme raporu. Risk işleme planı. Kontrol envanteri. #### Operasyon Olay müdahale planı. Olay bildirim prosedürü. İş sürekliliği planı. Felaket kurtarma planı. #### Tedarikçi yönetimi Tedarikçi envanteri. Risk değerlendirme kayıtları. Güvenlik sözleşme ekleri. Tedarikçi izleme raporları. #### Teknik güvenlik Zafiyet raporları. Sızma testi raporları. Erişim gözden geçirme kayıtları. Güvenlik izleme raporları. #### Önemli nokta Dokümanların hazırlanması tek başına yeterli değildir. Tanımlanan süreçlerin uygulanması ve etkinliğinin doğrulanması gerekir. ### \37. NIS2 İçin 90 Günlük Örnek Uyum Yol Haritası #### Gün 1–15: Kapsam ve Mevcut Durum Hukuki kapsam değerlendirilir. İlgili ülke düzenlemeleri belirlenir. Kritik hizmetler tanımlanır. Mevcut güvenlik kontrolleri incelenir. #### Gün 16–30: Risk Analizi Varlık envanteri gözden geçirilir. Tehdit senaryoları belirlenir. Riskler değerlendirilir. Öncelikli iyileştirmeler planlanır. #### Gün 31–50: Teknik Kontroller Erişim kontrolü. MFA. Zafiyet yönetimi. Loglama. Güvenlik izleme. Yedekleme. #### Gün 51–65: Olay ve Tedarikçi Yönetimi Olay bildirim süreçleri oluşturulur. Tedarikçi riskleri değerlendirilir. İş sürekliliği planları güncellenir. #### Gün 66–80: Test ve Doğrulama Güvenlik testleri gerçekleştirilir. Olay müdahale tatbikatı yapılır. Kurtarma süreçleri doğrulanır. #### Gün 81–90: Yönetim Değerlendirmesi Eksiklikler raporlanır. Düzeltici faaliyetler planlanır. Yönetim bilgilendirilir. İzleme mekanizmaları oluşturulur. #### Önemli açıklama 90 günlük plan, örnek bir başlangıç yol haritasıdır. Tam hukuki uyum veya sertifikasyon garantisi anlamına gelmez. ### \38. NIS2 Uyum Kontrol Listesi #### Kapsam - İlgili sektör belirlendi mi? - AB ülkelerindeki faaliyetler değerlendirildi mi? - Essential veya Important statüsü incelendi mi? - Ulusal mevzuat yükümlülükleri belirlendi mi? #### Yönetim - Siber güvenlik sorumlulukları tanımlandı mı? - Yönetim gözetimi sağlanıyor mu? - Yönetim eğitimleri değerlendirildi mi? #### Risk yönetimi - Kritik hizmetler belirlendi mi? - Varlık envanteri mevcut mu? - Risk analizi yapıldı mı? - Risk işleme planı oluşturuldu mu? #### Teknik güvenlik - Erişim kontrolü değerlendirildi mi? - MFA uygulaması değerlendirildi mi? - Zafiyet yönetimi yürütülüyor mu? - Güvenlik logları izleniyor mu? - Güvenlik kontrolleri test ediliyor mu? #### Olay yönetimi - Olay müdahale planı mevcut mu? - Önemli olay kriterleri tanımlandı mı? - Bildirim sorumluları belirlendi mi? - 24 ve 72 saatlik bildirim süreçleri planlandı mı? #### İş sürekliliği - Kritik hizmetler için kurtarma planları var mı? - Yedekleme süreçleri değerlendirildi mi? - Geri yükleme testleri yapılıyor mu? #### Tedarikçi güvenliği - Kritik tedarikçiler belirlendi mi? - Tedarikçi riskleri değerlendirildi mi? - Sözleşmesel güvenlik yükümlülükleri incelendi mi? #### Denetim - Kanıt kayıtları tutuluyor mu? - Kontrol etkinliği değerlendiriliyor mu? - Eksiklikler takip ediliyor mu? ### \39. SECURESYS NIS2 Uyum Danışmanlığı SECURESYS, kuruluşların NIS2 kapsamında ortaya çıkabilecek teknik ve organizasyonel siber güvenlik gereksinimlerini değerlendirmelerine yönelik danışmanlık ve güvenlik hizmetleri sunar. #### NIS2 Teknik GAP Analizi Mevcut siber güvenlik kontrolleri, belirlenen gereksinimlerle karşılaştırılır. #### Siber Güvenlik Risk Değerlendirmesi Kritik hizmetler, varlıklar, tehditler ve mevcut güvenlik kontrolleri değerlendirilir. #### SOC ve SIEM Hizmetleri Güvenlik olaylarının izlenmesi, tespit edilmesi ve müdahale süreçlerinin desteklenmesi sağlanabilir. #### Sızma Testleri Web, mobil, API, iç ağ, dış ağ ve ilgili diğer sistemlerde güvenlik testleri gerçekleştirilebilir. #### Kaynak Kod Analizi Kritik yazılımların güvenli geliştirme ve kaynak kod güvenliği süreçleri desteklenebilir. #### Tedarikçi Güvenliği Üçüncü taraf erişimleri ve teknik güvenlik gereksinimleri değerlendirilebilir. #### Olay Müdahale Hazırlığı Olay müdahale prosedürleri, bildirim iş akışları ve tatbikat süreçleri planlanabilir. #### ISO 27001 ve IEC 62443 Entegrasyonu Kurumsal bilgi güvenliği yönetimi ve endüstriyel güvenlik süreçleriyle NIS2 gereksinimleri arasında teknik eşleştirmeler oluşturulabilir. **SECURESYS yaklaşımında NIS2 uyumu, yalnızca mevzuat maddelerinin kontrol edilmesi değil; kuruluşun gerçek siber güvenlik risklerinin azaltılması ve kontrollerin sürdürülebilir biçimde işletilmesi olarak ele alınır.** Doğrudan hukuki kapsam ve mevzuat yorumları, ilgili ülke hukukunda yetkin uzmanlarla birlikte değerlendirilmelidir. #### Sık Sorulan Sorular (SSS) #### \1. NIS2 nedir? Avrupa Birliği'nde belirli kritik ve önemli kuruluşlar için siber güvenlik risk yönetimi, olay bildirimi ve denetim yükümlülüklerini düzenleyen direktiftir. #### \2. NIS2 hangi sektörleri kapsar? Enerji, ulaştırma, sağlık, dijital altyapı, BİT hizmet yönetimi, belirli imalat faaliyetleri ve diğer ilgili sektörleri kapsar. #### \3. NIS2 Türkiye'deki şirketler için zorunlu mu? Türkiye'deki bütün şirketler için genel bir doğrudan zorunluluk değildir. AB faaliyetleri ve sözleşmesel ilişkiler ayrıca değerlendirilmelidir. #### \4. NIS2 ne zaman yürürlüğe girdi? Ocak 2023'te yürürlüğe girdi. Üye devletlerin ulusal mevzuata aktarım son tarihi 17 Ekim 2024'tü. #### \5. Essential Entity nedir? NIS2 kapsamında belirli koşullara göre temel kuruluş olarak sınıflandırılan kuruluşları ifade eder. #### \6. Important Entity nedir? NIS2 kapsamına giren ancak Essential Entity olarak sınıflandırılmayan ilgili kuruluşları ifade eder. #### \7. NIS2 için ISO 27001 zorunlu mu? NIS2 bütün kuruluşlar için ISO 27001 sertifikasını genel bir zorunluluk olarak belirlemez. ISO 27001 uyum çalışmalarını destekleyebilir. #### \8. NIS2 için SOC zorunlu mu? Belirli bir ticari SOC hizmetinin satın alınması genel bir zorunluluk değildir. Uygun olay tespit ve müdahale yetenekleri oluşturulmalıdır. #### \9. NIS2 olay bildirimi kaç saattir? Önemli olaylarda genel yaklaşım, öğrenmeden itibaren 24 saat içinde erken uyarı ve 72 saat içinde olay bildirimidir. #### \10. NIS2 nihai raporu ne zaman hazırlanır? Genel kural, 72 saatlik olay bildiriminden itibaren en geç bir ay içerisinde nihai rapor sunulmasıdır. Devam eden olaylar için özel hükümler bulunur. #### \11. NIS2 hangi teknik tedbirleri gerektirir? Risk yönetimi, olay yönetimi, erişim kontrolü, güvenli geliştirme, iş sürekliliği ve diğer uygun güvenlik tedbirlerini kapsar. #### \12. NIS2 kapsamında sızma testi gerekir mi? Güvenlik testleri kontrol etkinliğinin değerlendirilmesini destekleyebilir. Kapsam ve sıklık risklere ve uygulanabilir gereksinimlere göre belirlenir. #### \13. NIS2 tedarikçi güvenliğini kapsar mı? Evet. Tedarik zinciri güvenliği Madde 21 kapsamında yer alır. #### \14. NIS2 ile GDPR aynı mı? Hayır. NIS2 siber güvenlik dayanıklılığına, GDPR kişisel verilerin korunmasına odaklanır. #### \15. NIS2 ile IEC 62443 birlikte uygulanabilir mi? Evet. IEC 62443, özellikle OT/ICS sistemlerinin güvenlik gereksinimlerinin karşılanmasını destekleyebilir. #### \16. NIS2 para cezası ne kadardır? Direktif, Essential ve Important kuruluşlar için farklı asgari azami ceza eşikleri belirler. Somut yaptırımlar ulusal mevzuata bağlıdır. #### \17. NIS2 yönetim kurulunu sorumlu tutar mı? Evet. Madde 20, yönetim organlarının siber güvenlik risk yönetimi tedbirlerini onaylaması ve uygulanmasını gözetmesiyle ilgili hükümler içerir. #### \18. NIS2 danışmanlığı neleri kapsar? Kapsam değerlendirmesi, teknik GAP analizi, risk yönetimi, kontrol geliştirme, olay müdahale hazırlığı ve denetim kanıtlarının düzenlenmesini kapsayabilir. #### \19. NIS2 uyumu ne kadar sürer? Kuruluşun büyüklüğü, mevcut güvenlik olgunluğu, faaliyetleri ve ilgili ülke gereksinimlerine göre değişir. #### \20. NIS2 uyum belgesi var mı? NIS2, bütün kuruluşlar için tek bir genel sertifika zorunluluğu oluşturmaz. Uygunluk ve denetim gereksinimleri ilgili mevzuat ve varsa sektörel programlara göre değerlendirilmelidir. ### Sonuç: NIS2 Uyumunda Nasıl Bir Yaklaşım Benimsenmelidir? NIS2, Avrupa Birliği'nin siber güvenlik dayanıklılığını artırmaya yönelik önemli düzenlemelerinden biridir. Başarılı bir uyum programı için öncelikle kuruluşun hukuki kapsamı belirlenmelidir. İlgili üye devletin ulusal düzenlemesi değerlendirilmelidir. Kritik hizmetler ve varlıklar tanımlanmalıdır. Siber güvenlik risk analizi gerçekleştirilmelidir. Risklere uygun teknik ve organizasyonel tedbirler uygulanmalıdır. Olay tespit, müdahale ve bildirim süreçleri oluşturulmalıdır. Tedarikçi güvenliği yönetilmelidir. İş sürekliliği ve kurtarma kabiliyetleri test edilmelidir. Üst yönetim gözetimi sağlanmalıdır. Kontrollerin etkinliği düzenli olarak değerlendirilmelidir. **NIS2 uyumunun temel amacı yalnızca mevzuat gereksinimlerini karşılamak değil; kritik hizmetlerin siber saldırılara karşı dayanıklılığını artıran, ölçülebilir ve sürdürülebilir bir güvenlik yönetimi oluşturmaktır.** ### Resmî Kaynaklar ve Referanslar **NIS2 Direktifi – Directive (EU) 2022/2555:** https://eur-lex.europa.eu/eli/dir/2022/2555/oj **Avrupa Komisyonu – NIS2 Politikası:** https://digital-strategy.ec.europa.eu/en/policies/nis2-directive **Commission Implementing Regulation (EU) 2024/2690:** https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj **ENISA – NIS2 Technical Implementation Guidance:** https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance **ISO/IEC 27001:** https://www.iso.org/standard/27001 **IEC – International Electrotechnical Commission:** https://www.iec.ch