NIS2: siber güvenlik direktifi

Altay Kargo Avrupa'da iki yeni ilişkiye hazırlanıyor. Birincisi, Hamburg'da kurulan Altay Kargo Logistik GmbH adlı iştirak. İkincisi, Almanya'daki büyük bir enerji şirketiyle yedek parça taşıma sözleşmesi. İki ilişkinin ortak noktası NIS2'dir.

NIS2, Birlik genelinde siber güvenlik için asgari bir düzey isteyen 2022/2555 sayılı direktiftir. Bu derste önce direktifin kimi bağladığını, sonra Türk şirketine hangi yoldan ulaştığını göreceksin. Ardından on asgari önlemi bir kontrol listesine dökecek, bir olayın bildirim saatlerini hesaplayacaksın. En sonda sözleşme masasında ne soracağını ve üye devletlerin aktarım durumunu ele alacaksın.

NIS2, Ağ ve Bilgi Sistemleri Güvenliği Direktifi'nin ikinci sürümüdür ve 2016 tarihli ilk direktifin yerini aldı. GDPR bir tüzük olduğu için doğrudan uygulanır. NIS2 ise bir direktiftir. Her üye devlet direktifi kendi ulusal kanununa aktararak yürürlüğe koyar; bu işleme aktarım denir.

Aktarım için son gün 17 Ekim 2024'tü. Direktif sektörleri iki ekte sayar. Ek I yüksek kritiklikteki on bir sektörü içerir: enerji, ulaştırma, bankacılık, finansal piyasa altyapıları, sağlık, içme suyu, atık su, dijital altyapı, BT hizmet yönetimi, kamu yönetimi ve uzay. Ek II diğer yedi kritik sektördür: posta ve kurye hizmetleri, atık yönetimi, kimyasallar, gıda, üretim, dijital sağlayıcılar ve araştırma.

Sektör tek başına yetmez, boyuta da bakılır. Direktif kural olarak en az orta ölçekli işletmeleri kapsar. Ölçek, Avrupa Komisyonunun 2003/361 sayılı tavsiyesindeki eşiklerle hesaplanır. 50'den az çalışanı olan ve yıllık cirosu ya da bilanço toplamı 10 milyon avroyu aşmayan işletme küçüktür ve genelde kapsam dışında kalır.

250 ve üzeri çalışan ya da 50 milyon avroyu aşan ciro ile 43 milyon avroyu aşan bilanço büyük işletmeyi gösterir. Ek I'deki büyük işletme temel kuruluş (essential entity) olur. Ek I'deki orta işletme ile Ek II'deki orta ve büyük işletmeler önemli kuruluş (important entity) sayılır. DNS hizmeti sağlayıcıları, üst düzey alan adı kayıt kuruluşları ve nitelikli güven hizmeti sağlayıcıları ise boyutlarına bakılmadan temel kuruluştur.

NIS2 KAPSAM KARARI: Altay Kargo Logistik GmbH (Hamburg)
--------------------------------------------------------------
1 Sektör      : posta ve kurye hizmetleri   -> Ek II
2 Çalışan     : 85                          -> 50 eşiğinin üstünde
3 Ciro        : 14 milyon avro              -> 50 milyon avronun altında
4 Ölçek       : orta işletme                -> kapsamda
5 Tür         : Ek II + orta ölçek          -> önemli kuruluş
6 Denetim     : sonradan, kanıt ya da olay gelince
7 Ceza tavanı : en az 7 milyon avro ya da grubun küresel cirosunun %1,4'ü

Tabloyu satır satır oku. Birinci satır sektörü bulur: kurye hizmeti Ek II'dedir. İkinci ve üçüncü satır ölçeği hesaplar. 85 çalışan küçük işletme eşiğini aşar, 250'nin altında kalır; iştirak orta ölçeklidir.

Beşinci satır türü belirler. Ek II'deki bir kuruluş, üye devlet onu ayrıca temel kuruluş ilan etmedikçe önemli kuruluştur. Altıncı satır denetim farkını gösterir.

Temel kuruluş, bir olay beklenmeden düzenli denetim ve yerinde inceleme ile önceden denetlenir. Önemli kuruluş ise uyumsuzluğa dair bir kanıt ya da olay geldiğinde sonradan denetlenir. Yedinci satır ceza tavanıdır.

Önemli kuruluşta tavan en az 7 milyon avro ya da yüzde 1,4, temel kuruluşta en az 10 milyon avro ya da yüzde 2'dir. Hesap iştirakin değil, ait olduğu grubun küresel cirosuyla yapılır.

Türkiye Avrupa Birliği üyesi olmadığı için NIS2 Türk şirketlerine kanun gibi uygulanmaz. Etki iki yoldan gelir.

Birincisi tedarik zinciridir. Madde 21/2(d), kapsamdaki kuruluştan doğrudan tedarikçileriyle ilişkisinin güvenliğini yönetmesini ister. Madde 21/3 bir adım daha atar: kuruluş her tedarikçinin kendine özgü zafiyetlerini, ürün kalitesini ve güvenli geliştirme uygulamalarını hesaba katar.

Almanya'daki enerji şirketi Ek I'de büyük bir işletmedir, yani temel kuruluştur. Bu şartları Altay Kargo'ya sözleşme maddesi olarak taşır. Tedarik zinciri riski soyut değildir. 2023'te yaygın bir dosya aktarım ürünündeki açık, binlerce kuruluşun verisini sızdırdı; kuruluşların bir kısmı ürünü kendisi değil, tedarikçisi kullanıyordu.

İkinci yol bazı dijital sağlayıcılar içindir. Madde 26 bu sağlayıcıları sayar. Altyapı tarafında DNS hizmeti, üst düzey alan adı kaydı, alan adı tescili, bulut bilişim, veri merkezi ve içerik dağıtım ağı vardır.

Hizmet tarafında yönetilen hizmet, yönetilen güvenlik hizmeti, çevrim içi pazar yeri, arama motoru ve sosyal ağ platformu gelir. Bu sağlayıcı Birlik'te yerleşik değilse ama Birlik'te hizmet sunuyorsa, hizmet verdiği üye devletlerden birinde temsilci atar (madde 26/3). Sağlayıcı, temsilcinin bulunduğu üye devletin yetki alanına girer.

Temsilci yoksa, hizmet verdiği her üye devlet ona karşı işlem başlatabilir. Bu sağlayıcıların teknik şartlarını ve ciddi olay eşiklerini 2024/2690 sayılı Uygulama Tüzüğü ayrıntılandırır.

NIS2 konusunda iki uç hata görülür. Birinci hata, direktifi Birlik dışındaki tedarikçiye kanun gibi uygulamaktır. Altay Kargo'nun Türkiye'deki ana şirketi Alman makamına kayıt yaptırmaz, ona doğrudan bildirim göndermez.

İkinci hata, direktifi tamamen yok saymaktır. Sözleşmeye giren her şart, imza atıldığı anda Altay Kargo için bağlayıcı olur. Doğru tutum ikisinin arasındadır.

Şirket hangi yoldan etkilendiğini belirler ve o yolun getirdiği yükümlülüğü üstlenir. Hiçbir yol bulunmazsa karar yine kayda geçer, çünkü müşteri bir gün aynı soruyu sorar.

Madde 21/1, kuruluştan riskle orantılı teknik, operasyonel ve organizasyonel önlemler ister. Önlemler her türlü tehlikeyi hesaba katar; siber saldırı kadar yangın, sel ya da elektrik kesintisi de bu kapsama girer. Madde 21/2 önlemlerin en az on başlığı kapsamasını şart koşar. Aşağıdaki liste Hamburg iştiraki için hazırlanan kontrol listesidir.

Her satır bir başlığı ve denetimde istenecek örnek kanıtı gösterir. ENISA 26 Haziran 2025'te bir teknik uygulama rehberi yayımladı. Rehber dijital altyapı, BT hizmet yönetimi ve dijital sağlayıcı sektörleri için yazıldı, ama başlık başlık verdiği kanıt örnekleri öteki sektörlere de yol gösterir.

NIS2 MADDE 21/2 KONTROL LİSTESİ: Altay Kargo Logistik GmbH
--------------------------------------------------------------------------------------
    Önlem                                          Örnek kanıt                       Durum
(a) Risk analizi ve bilgi sistemi güvenliği         Onaylı politika, risk kaydı       VAR
(b) Olay yönetimi                                   Müdahale planı, olay kayıtları    VAR
(c) İş sürekliliği: yedek, felaket kurtarma, kriz   Geri yükleme testi raporu         EKSİK
(d) Tedarik zinciri güvenliği                       Tedarikçi listesi, sözleşme eki   VAR
(e) Edinim, geliştirme, bakım; zafiyet yönetimi     Yama kaydı, açık bildirme süreci  VAR
(f) Önlemlerin etkinliğini değerlendirme            İç denetim raporu, metrikler      VAR
(g) Temel siber hijyen ve eğitim                    Eğitim katılım kaydı              VAR
(h) Kriptografi ve şifreleme                        Şifreleme politikası              VAR
(i) İK güvenliği, erişim kontrolü, varlık yönetimi  Varlık envanteri, erişim gözden   VAR
                                                    geçirme kaydı
(j) Çok faktörlü doğrulama, güvenli iletişim        MFA kapsam raporu                 EKSİK

Listeyi bir boşluk analizi gibi oku. İlk iç denetimde iki satır eksik çıktı. Uzak erişim ağ geçidinde çok faktörlü kimlik doğrulama yalnız yöneticilerde açıktı; bu yüzden j satırı eksik. Yedekler her gece alınıyordu, ama son altı ayda hiç geri yükleme testi yapılmamıştı; c satırı da eksik.

Kanıtı olmayan önlem denetimde var sayılmaz. Bu yüzden her satırın karşısına bir belge, bir kayıt ya da bir test raporu yazılır. Liste tedarikçi ilişkisinde de işe yarar. Enerji şirketi Altay Kargo'dan d ve j satırlarına benzer kanıtlar isteyecektir.

Madde 20 bu önlemleri yönetimin masasına koyar. Kuruluşun yönetim organı önlemleri onaylar, uygulanmasını gözetir ve ihlallerden sorumlu tutulabilir. Yönetim organı üyeleri siber güvenlik eğitimi almak zorundadır. Direktif, kuruluşları benzer eğitimi çalışanlarına da düzenli vermeye teşvik eder.

Uygulamada güvenlik yalnız BT müdürünün işi olmaktan çıkar. Altay Kargo Logistik GmbH'nin genel müdürü kontrol listesini imzalar ve her çeyrek eksiklerin kapanışını izler. Temel kuruluşlarda yaptırım daha da kişiseldir. Yetkili makamın talimatına uyulmazsa, genel müdür düzeyindeki bir yöneticinin görevi geçici olarak yasaklatılabilir.

Bildirim yükümlülüğü her olayda değil, ciddi olayda doğar (madde 23). Olay, hizmette ağır aksama ya da mali kayıp yarattıysa ya da yaratabilecekse ciddidir. Başka kişilere önemli maddi ya da manevi zarar verdiyse ya da verebilecekse de ciddidir. Dijital sağlayıcılar için 2024/2690 sayılı tüzük eşiği somutlaştırır.

500 bin avroyu ya da yıllık cironun yüzde 5'ini aşan doğrudan mali kayıp, bu iki tutardan hangisi düşükse, ciddi olay sayılır. Ticari sır sızdırılması ve ağır aksama yaratabilecek kötü niyetli yetkisiz erişim de eşiği geçer. Saat, olayın başladığı andan değil, kuruluşun ciddi bir olayla karşı karşıya olduğunu fark ettiği andan işler.

OLAY ZAMAN ÇİZELGESİ: Altay Kargo Logistik GmbH
------------------------------------------------------------------
14.09 Pzt 08:20  Depo yönetim sunucusunda dosyalar şifrelenmeye başlıyor
14.09 Pzt 09:00  Nöbetçi ekip ciddi olay kararını veriyor (saat başlar)
14.09 Pzt 15:30  Erken uyarı gönderildi
15.09 Sal 09:00  SON AN: erken uyarı (24 saat)
16.09 Çar 16:00  Olay bildirimi gönderildi
17.09 Per 09:00  SON AN: olay bildirimi (72 saat)
16.10 Cum 16:00  SON AN: nihai rapor (olay bildiriminden bir ay sonra)

Çizelgeyi satır satır oku. Şifreleme 08:20'de başlar, ama bildirim saati 09:00'da işlemeye başlar; ekip o anda ciddi bir olayla karşı karşıya olduğunu fark eder. Erken uyarının son anı bu yüzden ertesi gün 09:00'dur. Ekip uyarıyı 15:30'da gönderir.

Uyarı, olayın kötü niyetli bir eylemden kaynaklandığından şüphelenilip şüphelenilmediğini ve sınır ötesi etki yaratıp yaratamayacağını söyler. Olay bildirimi 72 saat içinde verilir; ilk değerlendirmeyi, olayın ağırlığını, etkisini ve varsa tehlike göstergelerini içerir. Nihai rapor, olay bildiriminin gönderildiği andan itibaren bir ay içinde gelir ve kök nedeni, alınan önlemleri, sınır ötesi etkiyi anlatır. Olay o tarihte sürüyorsa ekip bir ilerleme raporu verir; nihai rapor olayın kapanmasından sonraki bir ay içinde gelir.

Altay Kargo'nun enerji şirketiyle sözleşme taslağı masada. Enerji şirketi temel kuruluştur ve kendi tedarik zinciri yükümlülüğünü sözleşmeye taşır. Taslakta dört madde öne çıkar.

Altay Kargo, enerji şirketini etkileyebilecek bir olayı 24 saat içinde haber verir. Enerji şirketi ya da atadığı denetçi yılda bir kez güvenlik denetimi yapabilir. Altay Kargo yılda bir kez bağımsız sızma testi raporu sunar.

Alt yüklenici değiştirmeden önce de haber verir. Uyum ekibi her maddeyi kendi kontrol listesiyle eşleştirir. Karşılayamayacağı maddeyi imzadan önce pazarlığa açar, çünkü imzadan sonra pazarlık gücü büyük ölçüde kaybolur.

Sözleşmede bir soru daha vardır: Hangi ulusal kanun geçerli? Direktif her üye devlette ayrı bir kanunla yaşar ve aktarım her yerde zamanında bitmedi. Avrupa Komisyonu 7 Mayıs 2025'te, aktarımı tamamlamayan 19 üye devlete gerekçeli görüş gönderdi. 8 Temmuz 2026'da İrlanda, İspanya, Fransa ve Hollanda'yı Avrupa Birliği Adalet Divanı'na sevk etti.

Altay Kargo'nun müşterisi bu ülkelerden birindeyse ulusal kurallar, yetkili makam ve bildirim kanalı henüz netleşmemiş olabilir. Bu durum sözleşme şartlarını ortadan kaldırmaz. Müşteri yine tedarik zinciri riskini yönetmek ister ve şartları çoğu zaman direktifin kendi metnine dayandırır.

Altay Kargo bir adım daha düşünüyor: takip platformunu Avrupa'daki e-ticaret şirketlerine bulut hizmeti olarak satmak. Bu karar şirketi ikinci yola sokar. Bulut bilişim hizmeti madde 26'daki listededir.

Birlik'te yerleşik olmayan Altay Kargo, hizmet verdiği üye devletlerden birinde temsilci atar ve o ülkenin yetkisine girer. Bu yolda yükümlülük sözleşmeden değil, doğrudan direktiften gelir. Ölçek şartı burada da geçerlidir. Bulut sağlayıcı en az orta ölçekliyse kapsama girer; DNS sağlayıcı ise boyutuna bakılmadan kapsamdadır.

NIS2 birçok sektöre aynı asgari düzeyi getirir. Finans sektörü ise kendine özgü ve daha ayrıntılı bir BT dayanıklılığı kuralına tabidir. Sıradaki derste DORA'yı göreceksin. DORA bir tüzüktür ve bankaya hizmet veren bir teknoloji tedarikçisini bazen doğrudan gözetime bile alabilir.

İki düzenleme farklı sektörlere bakar, ama ikisi de tedarik zinciri üzerinden yayılır. Bankanın tedarikçisi olmak, bu yüzden daha ayrıntılı bir sözleşme demektir. Önce enerji sözleşmesi için kendi kontrol sorunu yaz.