NIS2 ve Siber Dayanıklılık Yasası: AB’de BT güvenliği yükümlülükleri

Kısaca: NIS2 birçok şirketi risk yönetimi ve siber olayların bildirimiyle yükümlü kılar; Siber Dayanıklılık Yasası dijital unsurlu ürünlerin güvenliğini gerektirir.

Biraz daha ayrıntılı: AB siber güvenlik kurallarını sıkılaştırıyor. İki büyük proje işletmeleri ve üreticileri etkiler: NIS 2 Direktifi (ağ ve bilgi güvenliği) ve Siber Dayanıklılık Yasası (CRA). Almanya’daki uygulama ve süreler gelişmektedir, güncel durumu kontrol et. Bu genel bilgidir ve hukuki tavsiye değildir; yasalar değişir ve bireysel durumlar farklı olabilir. Somut sorunlarda danışmanlık (tüketici danışmanlığı, avukat, veri koruma makamı) yardımcı olur.

Ayrıntılı

NIS2: Kimler etkilenir?

Birçok sektördeki (enerji, ulaşım, sağlık, su, dijital altyapı, BT hizmet sağlayıcıları, posta hizmetleri, atık, gıda, sanayi, kimyasallar ve diğerleri) temel ve önemli kuruluşlar etkilenir; genellikle yaklaşık 50 çalışan veya 10 milyon avro ciro büyüklüğünden itibaren; bazı sağlayıcılar (örneğin DNS, veri merkezleri) büyüklükten bağımsız. Tedarikçiler dolaylı olarak etkilenebilir (tedarik zinciri).

NIS2: Ne gerekir?

• Risk yönetimi önlemleri: risk analizi, güvenlik kavramları, olay yönetimi, iş sürekliliği/yedekleme, tedarik zinciri güvenliği, güvenlik açığı yönetimi, kriptografi, erişim denetimi, çok faktörlü kimlik doğrulama, eğitim.
• Bildirim yükümlülükleri: 24 saat içinde erken uyarı, 72 saat sonra bildirim, bir ay sonra nihai rapor.
• Yönetim sorumluluğu (onay, eğitim, kişisel sorumluluk).
• Makama (BSI) kayıt ve yaptırımlar (milyonlara varan para cezaları).

Siber Dayanıklılık Yasası (CRA)

CRA, dijital unsurlu ürünler için geçerlidir (ağa bağlı donanım ve yazılım: akıllı ev cihazları, yönlendiriciler, uygulamalar, IoT, ticari olarak dağıtılan yazılım kütüphaneleri). Üreticiler güvenli geliştirmeli (tasarımla güvenlik), güvenlik açıklarını yönetmeli, tanımlı bir süre boyunca güncellemeler sunmalı (genellikle en az 5 yıl), güvenlik bilgisi ve bir SBOM (yazılım malzeme listesi) sağlamalı ve etkin biçimde istismar edilen güvenlik açıklarını bildirmelidir. CE işareti gelecekte siber güvenliği de kanıtlayacaktır. Açık kaynak, ticariyse ilke olarak dahildir, vakıflar için özel kurallarla (“steward”).

Ne yapılmalı?

• Uygulanabilirliği kontrol et (sektör, büyüklük, tedarik zincirindeki rol).
• Envanter: sistemler, veriler, tedarikçiler.
• Bir asgari standart kur (BSI Grundschutz, ISO 27001, TOM’lar).
• Bir olay bildirim süreci tanımla ve uygula.
• Tedarikçileri sözleşmeyle bağla.
• Geliştiriciler: güvenli geliştirme uygulamaları, SBOM, güvenlik açığı bildirimi (security.txt), güncelleme süreci.

Küçük sağlayıcılar bile müşterilerin giderek daha çok kanıt talep etmesinden yararlanır.

Ayrıca bak: ISO 27001 ve BSI Grundschutz, TOM’lar, BSI Yasası, Sorumlu ifşa