NIS1'den NIS2'ye Geçiş ve Yeni Siber Risk
Avrupa Birliği’nin 2024 itibarıyla yürürlüğe aldığı NIS2 Direktifi, yalnızca AB üyesi ülkeleri değil AB ile çalışan tüm tedarikçi ve hizmet sağlayıcıları doğrudan etkileyen yeni nesil bir siber güvenlik düzenlemesidir. NIS1’e kıyasla daha geniş kapsamlı, daha sert, daha hızlı ve tedarik zinciri güvenliğini merkeze alan bir yaklaşım getirir.
NIS2, Avrupa’da siber risk yönetimi kültürünü kökten değiştirerek şirketleri daha proaktif, daha şeffaf ve daha hesap verebilir bir modele geçmeye zorlar. Özellikle fidye yazılımı saldırıları, tedarik zinciri zafiyetleri ve kritik altyapıları hedef alan tehditler göz önüne alındığında, NIS2 yalnızca bir uyum zorunluluğu değil; şirketlerin iş sürekliliğini koruması için stratejik bir güvenlik çerçevesi hâline gelmektedir.
Türk şirketleri için ise durum daha kritik bir boyut kazanıyor: Artık AB’de faaliyet gösteren şirketler, tüm tedarikçilerinin NIS2 uyumluluğunu sözleşmesel olarak talep etmek zorunda. Bu nedenle ister yazılım ihracatı yapıyor olun ister finans, enerji, lojistik veya üretim sektöründe AB’ye hizmet veriyor olun, NIS2 uyumluluğu bir rekabet avantajı değil ticari bir zorunluluk hâline geliyor.
Dijital dönüşümün baş döndürücü hızı, yasal düzenlemelerin de aynı dinamizmle evrilmesini zorunlu kılıyor. 2016 yılında hayatımıza giren Kişisel Verilerin Korunması Kanunu (KVKK), 2026 vizyonuyla birlikte köklü bir dönüşümün eşiğinde. Avrupa Birliği’nin GDPR, NIS2 ve DORA gibi sıkı regülasyonlarıyla uyumlanma süreci, beklenen yeni düzenlemelerin kapsamını genişletiyor. Bu süreç, şirketlerin yalnızca hukuki metinlerini güncellemesini değil; siber güvenlik mimarisini, teknik tedbirlerini, veri yönetişim stratejilerini ve iş sürekliliği planlarını baştan aşağı yeniden kurgulamasını gerektirecek.
Artık veri ihlallerine karşı yalnızca “reaktif” davranmak (olay olduktan sonra yangın söndürmeye çalışmak) yeterli değil; hatta yasal olarak suç teşkil edebilecek bir ihmal göstergesi. KVKK 2026 süreci, şirketleri “proaktif”, ölçümlenebilir, denetlenebilir ve sürdürülebilir bir veri koruma ekosistemi kurmaya zorluyor. Veri güvenliğini bir “maliyet kalemi” olarak gören işletmeler, yakın gelecekte hem ağır idari para cezalarıyla hem de telafisi imkânsız itibar kayıplarıyla yüzleşmek zorunda kalacak. Bu kapsamlı rehberde, yaklaşan değişikliklere karşı şirketinizin bağışıklık sistemini güçlendirecek 7 kritik adımı, teknik derinliği ve stratejik boyutlarıyla ele alıyoruz.
Kapsam Genişlemesi ve Sınıflandırma
NIS2, sektörel kapsamı büyük ölçüde genişleterek iki ana kategori tanımlar. Bu da AB ile iş yapan Türk şirketlerinin potansiyel olarak çok daha fazla sektörde uyum talepleriyle karşılaşması anlamına gelir.
1. Essential Entities (Hayati Öneme Sahip Kuruluşlar)
Bu kuruluşlar kritik altyapıların omurgasını temsil eder hem operasyonel risk hem de ulusal güvenlik açısından en yüksek incelemeye tabidir:
- Enerji: Elektrik, gaz, petrol ve yeni eklenen hidrojen sektörü.
- Ulaşım: Hava, demiryolu, deniz ve karayolu taşımacılığı.
- Finans ve Bankacılık: Bankacılık işlemleri ve piyasa altyapıları.
- Sağlık: Hastaneler, laboratuvarlar, ilaç üretimi ve Ar-Ge merkezleri.
- Dijital Altyapı: Bulut hizmetleri, veri merkezleri, DNS sağlayıcıları ve içerik dağıtım ağları (CDN).
- Kamu İdareleri, Su ve Atık Yönetimi, Güvenli İletişim Hizmetleri.
2. Important Entities (Önemli Kuruluşlar)
Daha geniş bir ekosistemi kapsayan bu kategori, AB değer zincirinde kritik rol oynayan şirketleri içerir. Türk teknoloji ve üretim sektörü için asıl kritik genişleme buradadır:
- Yazılım Geliştiriciler & Dijital Hizmet Sağlayıcılar.
- Üretim: Otomotiv, elektronik, kimya, gıda ve medikal cihazlar.
- Posta, Kargo ve Lojistik Şirketleri.
- Veri Merkezleri ve Araştırma Kuruluşları.
- Yönetilen Güvenlik Sağlayıcıları (MSPs).
Türk Şirketleri İçin Ne Anlama Geliyor? AB’deki bir Essential veya Important Entity ile çalışan her Türk şirketi, NIS2 kapsamında “dolaylı olarak yükümlü tedarikçi” konumundadır. Bu durum sözleşmelere NIS2 eklerinin girmesi, düzenli teknik denetimler ve KVKK/GDPR’ın ötesinde güvenlik kanıtlarının sunulması anlamına gelir.
En Kritik 3 Yeni Yükümlülük
Aşağıdaki yükümlülükler AB şirketleri kadar onlara hizmet veren Türk şirketleri için de yeni bir standart hâline geliyor.
1. Güçlendirilmiş Risk Yönetimi ve Siber Hijyen
NIS2, şirketlerin teknik, operasyonel ve yönetsel düzeyde siber risk yönetimi süreçlerini somutlaştırmalarını zorunlu kılar. Artık “elimizden geleni yaptık” demek yeterli değildir; aşağıdaki kontroller standart kabul edilmektedir:
- MFA (Çok Faktörlü Kimlik Doğrulama): Tüm kritik sistemlere erişimde zorunlu.
- Zorunlu Şifreleme: Verilerin hem saklanırken (at rest) hem de taşınırken (in transit) şifrelenmesi.
- Ayrıcalıklı Erişim Yönetimi (PAM): Yetkisi yüksek kullanıcıların sürekli izlenmesi.
- Sıfır Güven (Zero Trust): Kullanıcı ve cihaz doğrulamasının sürekli yapılması (asla güvenme, her zaman doğrula).
- XDR/SIEM Kullanımı: Tehdit algılama, olay korelasyonu ve hızlı müdahale yetkinliği.
- Yama Yönetimi & İş Sürekliliği: Zafiyetlerin süreli kapatılması ve felaket kurtarma planlarının test edilmesi.
2. Hızlandırılmış Olay Bildirimi: 24 Saatte İlk Rapor
NIS2’nin en sert maddelerinden biri, siber olay bildirim süreleridir:
- 24 Saat: “Erken Uyarı” (Early Warning) – Olayın sınır ötesi etkisi olup olmadığı bildirilir.
- 72 Saat: Detaylı Olay Bildirimi – Teknik detaylar ve etki analizi sunulur.
- 1 Ay: Nihai Rapor – Kök neden analizi ve alınan önlemler.
Türk Tedarikçiler İçin Kritik Not: AB’deki iş ortağınız bir güvenlik olayı yaşarsa olayın kaynağını veya etkisini anlamak için sizden 24 saat içinde kendi sistemlerinizdeki logları, forensics çıktılarını ve teknik detayları talep edebilir. Bu, Türk şirketlerinin de kesintisiz izleme (7/24 SOC) ve olay müdahale prosedürlerini kurmasını zorunlu kılar.
3. Tedarik Zinciri Güvenliği (Supply Chain Security)
NIS2, tedarik zinciri risklerini regülasyonun merkezine koyar. AB şirketleri artık tedarikçilerinden şunları talep etmekle yükümlüdür:
- Güvenlik sertifikaları (ISO 27001, SOC 2).
- Düzenli penetrasyon testleri ve kod analiz raporları.
- Güvenli yazılım geliştirme süreçlerinin (SDLC) kanıtı.
- Tedarikçi risk değerlendirme formları ve zafiyet yönetimi raporları.
AB şirketleri, riskli buldukları tedarikçileri sistemden çıkarma veya sözleşmeyi feshetme hakkına yasal olarak sahiptir.
Hukuki ve Finansal Sonuçlar: Türk Şirketi Ceza Öder mi?
Bu bölüm, Türk yöneticilerin en çok sorduğu sorunun cevabını içerir.
- Doğrudan Değil, Dolaylı Ceza: AB otoriteleri Türk şirketlerine doğrudan idari para cezası (Cironun %2’si veya 10M Euro) kesemez.
- Sözleşmesel Rücu (Indemnity): Ancak, Avrupalı ana firma, tedarikçisi (sizin) yüzünüzden bir ihlal yaşar ve ceza alırsa aranızdaki sözleşmenin tazminat maddeleri gereği bu cezayı size yansıtır. Yani cezayı devlete değil iş ortağınıza ödersiniz.
- Yönetici Sorumluluğu: AB’deki yöneticiler şahsi olarak sorumlu tutuldukları için, Türk tedarikçilerini denetleme konusunda son derece tahammülsüz davranacaklardır.
Türkiye Pazarına Etkisi – Kriz ve Fırsat
AB ile iş yapan binlerce Türk şirketi için NIS2 yalnızca bir regülasyon değil ticari bir bariyer veya köprü hâline gelmektedir.
Kriz ve Fırsat Dengesi
- Kriz: Güvenlik seviyesini ispatlayamayan şirketler ihalelerde elenebilir, mevcut sözleşmeler iptal edilebilir veya “riskli tedarikçi” olarak kara listeye alınabilir.
- Fırsat: NIS2 uyumluluğunu belgeleyen Türk şirketleri, AB pazarında “güvenilir liman” olarak konumlanır. Bu durum uzun vadeli sözleşmelerde rakiplere karşı büyük bir rekabet avantajı sağlar.
NIS2 – KVKK – GDPR Üçgeni
Türk şirketlerinin en büyük avantajı, NIS2’nin KVKK ve GDPR ile birçok noktada uyumlu olmasıdır (Veri güvenliği, olay bildirimi, risk değerlendirme). Mevcut KVKK/GDPR altyapısına sahip şirketler, bu temelin üzerine NIS2’nin getirdiği iş sürekliliği ve operasyonel güvenlik katmanlarını inşa ederek süreci hızlandırabilirler.
- KVKK/GDPR: Verinin Mahremiyetini (Privacy) korur.
- NIS2: Hizmetin Sürekliliğini (Availability) korur.
Türk Şirketleri İçin 5 Adımlık Aksiyon Planı
Uyum sürecine nereden başlamalısınız? İşte İnfosec uzmanlarının önerdiği yol haritası:
- Kapsam Belirleme ve Envanter: Hangi hizmetlerinizin AB müşterileri için kritik olduğunu belirleyin ve bu sistemlerin tam varlık envanterini çıkarın.
- Teknik Gap (Boşluk) Analizi: Mevcut güvenlik duruşunuz ile NIS2 gereksinimleri arasındaki farkı teknik bir denetimle ortaya koyun. Sadece kâğıt üstünde değil teknik konfigürasyonlarda da denetim yapın.
- Sözleşme Gözden Geçirme: Mevcut müşteri sözleşmelerinizdeki siber güvenlik ve tazminat maddelerini hukuk ekibinizle inceleyin; olası yeni taleplere hazırlıklı olun.
- Olay Müdahale Tatbikatı: 24 saat içinde raporlama yapıp yapamayacağınızı test etmek için “Tabletop” (masa başı) tatbikatlar düzenleyin.
- Tedarikçi Yönetimi: Kendi alt yüklenicilerinizi de denetlemeye başlayın; zincirin en zayıf halkası siz olmayın.
NIS2 Uyumunu Bugün Başlatmak Rekabet Gücünüzü
NIS2, Avrupa ile çalışan tüm Türk şirketleri için yeni bir standart oluşturuyor. Uyum sağlamayan şirketler pazar kaybı riskiyle karşı karşıyayken uyum sağlayanlar Avrupa’nın dijital ekosisteminde vazgeçilmez birer ortak olacaklardır. Artık siber güvenlik, ihale dosyanızın en üstündeki belgedir.
İnfosec olarak, NIS2 uyum sürecinizde yanınızdayız. Teknik, idari ve operasyonel açıdan mevcut durumunuzu analiz ediyor (Gap Analizi), eksiksiz bir yol haritası sunuyor ve sistemlerinizi AB standartlarına taşıyoruz.
