Siber Güvenlik & Sistem Yönetimi
DORA ve NIS 2 nedir, kimleri kapsar? AB’nin iki siber güvenlik düzenlemesi, AB ile iş yapan Türk kurumlarını da yakından ilgilendiriyor.
Siber saldırıların sayısı ve etkisi arttıkça, düzenleyiciler de kurumlardan yalnızca güvenlik önlemi almalarını değil, bir kesinti yaşandığında hizmetlerini sürdürebildiklerini kanıtlamalarını bekliyor. Avrupa Birliği’nin bu alandaki iki önemli düzenlemesi DORA ve NIS 2, son dönemde Türkiye’deki pek çok kurumun da gündemine girdi.
Bu yazıda iki düzenlemenin kimleri kapsadığını, temel gerekliliklerini, Türk kurumlarını hangi durumlarda etkilediğini ve hazırlık için atılabilecek adımları sade bir dille ele alıyoruz.
DORA Nedir?
DORA (Digital Operational Resilience Act), Avrupa Birliği’nin 2022/2554 sayılı Tüzüğü’dür ve 17 Ocak 2025’ten itibaren uygulanmaktadır. Bankalar, sigorta şirketleri, yatırım kuruluşları ve ödeme kuruluşları gibi finansal kuruluşların dijital operasyonel dayanıklılığını güçlendirmeyi amaçlar. DORA ayrıca finans sektörüne bilgi ve iletişim teknolojisi (BİT) hizmeti sunan kritik üçüncü taraf sağlayıcılar için bir gözetim çerçevesi getirir.
DORA beş temel alan üzerine kuruludur:
- BİT risk yönetimi: Yönetim organının sorumluluğunda, belgelenmiş bir risk yönetimi çerçevesi.
- Olay yönetimi ve bildirimi: BİT kaynaklı olayların sınıflandırılması ve önemli olayların yetkili otoritelere bildirilmesi.
- Dijital operasyonel dayanıklılık testleri: Sistemlerin düzenli olarak test edilmesi; belirli kuruluşlar için tehdit odaklı sızma testleri.
- Üçüncü taraf BİT risk yönetimi: Tedarikçi sözleşmeleri, bağımlılıkların izlenmesi ve çıkış stratejileri.
- Bilgi paylaşımı: Siber tehdit bilgilerinin kuruluşlar arasında güvenli biçimde paylaşılması.
NIS 2 Nedir?
NIS 2, Avrupa Birliği’nin 2022/2555 sayılı Direktifi’dir. Üye ülkelerin bu direktifi 17 Ekim 2024’e kadar iç hukuklarına aktarması öngörülmüştür. NIS 2; enerji, ulaştırma, bankacılık, sağlık, içme suyu, dijital altyapı, kamu yönetimi, gıda, imalat ve dijital hizmet sağlayıcıları gibi geniş bir yelpazedeki kuruluşları “temel” ve “önemli” kuruluşlar olarak sınıflandırır.
Direktifin öne çıkan gereklilikleri şunlardır:
- Risk yönetimi önlemleri: Olay yönetimi, iş sürekliliği, tedarik zinciri güvenliği, erişim kontrolü ve şifreleme gibi alanlarda uygun teknik ve organizasyonel önlemler.
- Olay bildirimi: Önemli olaylar için 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve bir ay içinde nihai rapor.
- Yönetimin sorumluluğu: Yönetim organlarının siber güvenlik önlemlerini onaylaması, uygulanmasını denetlemesi ve bu konuda eğitim alması.
- Yaptırımlar: Temel kuruluşlar için 10 milyon avroya veya küresel yıllık cironun yüzde 2’sine, önemli kuruluşlar için 7 milyon avroya veya yüzde 1,4’üne kadar idari para cezaları.
Türk Kurumları Neden İlgilenmeli?
DORA ve NIS 2 Avrupa Birliği düzenlemeleri olsa da etkileri sınırların ötesine geçiyor. Türk kurumları şu durumlarda bu düzenlemelerle doğrudan ya da dolaylı olarak karşılaşabilir:
- AB üye ülkelerinde şubesi, iştiraki veya faaliyeti bulunan kurumlar.
- AB’deki finansal kuruluşlara yazılım, bulut, veri merkezi veya diğer BİT hizmetlerini sunan teknoloji şirketleri.
- AB’deki müşterilerinin tedarik zincirinde yer alan ve sözleşmeler yoluyla güvenlik yükümlülükleri üstlenen kurumlar.
- Uluslararası iyi uygulamaları kendi siber güvenlik ve süreklilik programlarına referans almak isteyen kurumlar.
Özellikle tedarik zinciri boyutu önemlidir: AB’li müşteriler, düzenlemelerden doğan yükümlülüklerini tedarikçilerine sözleşmeler ve denetimler yoluyla yansıtmaktadır.
İki Düzenlemenin Ortak Noktaları
Kapsamları farklı olsa da DORA ve NIS 2 aynı yaklaşımı paylaşır: Siber güvenlik yalnızca BT biriminin değil, yönetimin sorumluluğudur. Her iki düzenleme de risk temelli yönetimi, olayların hızlı tespit ve bildirimini, tedarikçi risklerinin yönetilmesini ve dayanıklılığın düzenli olarak test edilmesini öne çıkarır. Bu ortak zemin, kurumların iki düzenlemeye tek bir program içinde hazırlanmasını mümkün kılar.
DORA ve NIS 2 Uyumu İçin 5 Hazırlık Adımı
- Kapsam analizi: Kurumunuzun hangi düzenlemenin, hangi rolle (doğrudan kapsamda ya da tedarikçi olarak) kapsamına girdiğini belirleyin.
- Boşluk analizi: Mevcut politika, süreç ve kontrolleri düzenlemenin gereklilikleriyle karşılaştırın.
- Yönetimin farkındalığı: Yönetim kurulu ve üst yönetimin sorumluluklarını anlamasını sağlayın.
- Olay müdahale ve bildirim süreçleri: Olayların tespitinden yetkili otoriteye bildirime kadar süreçleri ve süreleri netleştirin.
- Tedarikçi yönetimi: Kritik BİT tedarikçilerinin listesini çıkarın, sözleşmeleri ve çıkış planlarını gözden geçirin.
ISO/IEC 27001 ile Bağlantısı
ISO/IEC 27001 uygulayan kurumlar risk yönetimi, olay yönetimi ve tedarikçi ilişkileri gibi alanlarda DORA ve NIS 2 için güçlü bir temele sahiptir. Ancak bildirim süreleri, dayanıklılık testleri ve yönetimin sorumluluğu gibi bazı gereklilikler ek çalışma gerektirir. Bu nedenle mevcut bilgi güvenliği yönetim sistemini temel alan ve eksikleri tamamlayan bir yol haritası en verimli yaklaşımdır.
Sık Sorulan Sorular
Türkiye’de faaliyet gösteren her kurum bu düzenlemelere uymak zorunda mı?
Hayır. Doğrudan yükümlülük, düzenlemelerin kapsamındaki AB kuruluşları içindir. Türk kurumları ise AB’deki faaliyetleri ya da AB’li müşterilerine sundukları hizmetler aracılığıyla etkilenebilir. Kapsam analizi bu nedenle ilk adımdır.
DORA ve NIS 2 eğitimleri kimler için uygun?
Temelleri eğitimleri; yöneticiler, uyum, risk, BT ve güvenlik ekipleri için düzenlemeleri tanımanın hızlı bir yoludur. DORA Yöneticisi ve NIS 2 Baş Uygulayıcı eğitimleri ise uyum programını kuracak ve yönetecek kişiler için tasarlanmıştır.
Eğitimler ne kadar sürer?
BT Akademi programlarında DORA Temelleri ve NIS 2 Temelleri 12’şer saat (2 gün), DORA Yöneticisi ve NIS 2 Baş Uygulayıcı eğitimleri ise 30’ar saat (5 gün) olarak planlanır.
Hazırlık süreci ne kadar sürer?
Süre; kurumun büyüklüğüne, mevcut bilgi güvenliği olgunluğuna ve kapsamına göre değişir. Boşluk analizi ile başlayan ve önceliklendirilmiş bir eylem planıyla ilerleyen kurumlar, kaynaklarını en kritik alanlara yönlendirerek süreci daha verimli yönetir.
Sonuç
DORA ve NIS 2, siber güvenliği teknik bir konu olmaktan çıkarıp kurum yönetiminin temel sorumluluklarından biri hâline getiriyor. Kapsama doğrudan giren kurumlar kadar, AB’li kurumlarla çalışan tedarikçiler için de bu düzenlemelere hazırlıklı olmak artık bir rekabet avantajı. Kapsamını doğru belirleyen, mevcut yapısını gerekliliklerle karşılaştıran ve ekiplerini bu yönde geliştiren kurumlar, hem uyum yükümlülüklerini hem de müşteri beklentilerini güvenle karşılar.
BT Akademi ile DORA ve NIS 2 Eğitimleri
PECB Authorized Training Partner olarak DORA ve NIS 2 eğitimlerini uluslararası geçerli sertifikasyonla sunuyoruz:
- PECB Sertifikalı DORA Temelleri Eğitimi
- PECB Sertifikalı DORA Yöneticisi Eğitimi
- PECB Sertifikalı NIS 2 Düzenlemesi Temelleri Eğitimi
- PECB Sertifikalı NIS 2 Baş Uygulayıcı Eğitimi
Kurumunuzun hazırlık ihtiyacını birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.