NIS2 Yönergesi

NIS2 Yönergesi nedir?

NIS2, Avrupa Birliği’nin ağ ve bilgi sistemlerinin güvenliğine ilişkin ikinci yönergesidir. Enerji, ulaşım, sağlık, dijital altyapı ve bulut hizmetleri gibi kritik ve önemli sektörlerdeki kuruluşlar için ortak bir siber güvenlik risk yönetimi ve olay bildirimi çerçevesi getirir. Üye devletler yönergeyi kendi ulusal mevzuatlarına aktarır.

Bu metin genel bir bilgilendirmedir; hukuki görüş değildir. Bir kuruluşun kapsamda olup olmadığı, sektöre, boyuta ve ilgili ülkenin mevzuatına göre değişir.

Neden önemlidir?

NIS2, kapsama giren kuruluşlar için yönetimin siber güvenlikten sorumlu tutulduğu, risk yönetimi önlemlerinin ve ciddi olayların bildirimine ilişkin kuralların belirlendiği bir yapı kurar. Yönerge ayrıca tedarik zinciri güvenliğini ve denetim ile yaptırım mekanizmalarını güçlendirir.

Dijital altyapı alanında veri merkezi hizmetleri, bulut bilişim, DNS hizmetleri ve barındırma (hosting) gibi hizmet sağlayıcılar da kapsamda yer alabilir. Bu nedenle AB’ye hizmet veren sağlayıcılar ve onlardan hizmet alan kuruluşlar için gündeme gelir.

Sunucu ve hosting ortamında

Yönergenin teknik risk yönetimi beklentileri, hosting dünyasında tanıdık başlıklara karşılık gelir: risk analizi ve güvenlik politikaları, olay yönetimi, iş sürekliliği ve yedekleme, tedarik zinciri güvenliği, güvenlik açığı yönetimi, erişim kontrolü, kriptografi ve çok adımlı doğrulama kullanımı. Hizmet sağlayıcıların müşterilerinden gelen güvenlik sorularının artması beklenebilir.

Nelere dikkat edilmeli?

• Kuruluşunuzun kapsamda olup olmadığını sektörünüze ve ilgili ülke mevzuatına göre bir hukuk uzmanıyla değerlendirin.
• Varlık envanteri, risk değerlendirmesi ve güvenlik politikalarını belgeleyin.
• Olay tespit, sınıflandırma ve bildirim süreçlerinizi önceden tanımlayın.
• Yedekleme, kurtarma ve iş sürekliliği planlarınızı düzenli test edin.
• Tedarikçilerinizin güvenlik düzeyini sözleşme ve değerlendirme yoluyla yönetin.

Sık yapılan hatalar

• NIS2’yi yalnızca AB’de yerleşik büyük kuruluşları ilgilendiren bir konu sanmak.
• Uyumu yalnızca BT departmanının sorumluluğu olarak görüp yönetimi sürece dahil etmemek.
• Olay bildirim sürelerini önceden hazırlıksız karşılamak.
• Belgeleri bir kez hazırlayıp güncellememek.