NIS2: siber güvenlik direktifi

NIS2, Ağ ve Bilgi Sistemleri Güvenliği Direktifi'nin ikinci sürümüdür. Avrupa Birliği çapında siber güvenlik için asgari önlemler ister. GDPR bir tüzük olduğu için doğrudan uygulanır. NIS2 ise bir direktiftir. Her üye devlet, direktifi kendi ulusal kanununa aktararak yürürlüğe koyar. Bu aktarım işlemine transpozisyon denir ve üye devletlere belirli bir süre tanınır. Direktif iki grup kuruluşu hedefler. Birincisi enerji, ulaştırma, sağlık ve bankacılık gibi sektörlerdeki önemli kuruluşlardır. İkincisi dijital altyapı ve üretim gibi alanlardaki kayda değer kuruluşlardır. İki grup arasındaki fark denetim sıklığı ve yaptırım ağırlığıdır; önemli kuruluş daha sık ve daha ağır denetlenir. Bu ayrım, hangi kuralın ne zaman devreye girdiğini anlamak için belirleyicidir.

Türkiye Avrupa Birliği üyesi olmadığı için NIS2 doğrudan Türk şirketlerine kanun gibi uygulanmaz. Etki iki yoldan gelir. Birincisi tedarik zinciri baskısıdır. NIS2 kapsamındaki bir Avrupa Birliği şirketi, kendi tedarikçisinden de belirli güvenlik şartları ister; direktif, kuruluşlardan tedarik zinciri riskini yönetmesini bekler. Bir Türk lojistik şirketi bu şirkete hizmet veriyorsa, sözleşme yoluyla NIS2'nin gölgesine girer. İkincisi, bazı dijital altyapı ve hizmet sağlayıcılarıdır; DNS sağlayıcıları ve bulut bilişim hizmeti buna örnektir. Bu sağlayıcılar Avrupa Birliği'nde yerleşik olmasa bile Birlik pazarına hizmet sunuyorsa, Birlik içinde bir temsilci bulundurabilir. Bu mekanizma, GDPR'ın temsilci mantığına benzer. Bu sağlayıcılar için temsilci zorunluluğu, doğrudan Birlik pazarına girişin bir koşuludur. Bu iki yol da göz ardı edilirse, şirket sözleşme imzaladıktan sonra beklenmedik bir denetim talebiyle karşılaşabilir.