Avrupa Birliği NIS 2 direktifi nedir? İmalat sanayi, enerji, sağlık ve lojistik tedarik zincirinde siber güvenlik yükümlülükleri ve cezalar rehberi. İnceleyin.
Hızlı Özet (TL;DR)
NIS 2 Direktifi (Directive (EU) 2022/2555 - Ağ ve Bilgi Güvenliği Direktifi 2), Avrupa Birliği’nin kritik sektörlerdeki ve üretim ekosistemindeki siber direnci artırmak amacıyla yürürlüğe koyduğu, 2016 tarihli ilk NIS direktifinin çok daha katı ve kapsamlı sürümüdür. NIS 2; enerji, finans ve sağlığın yanı sıra tıbbi cihaz üretimi, kimya, otomotiv, makine imalatı, elektrikli teçhizat ve gıda sanayiini doğrudan yasal kapsamına almıştır. Türkiye’de faaliyet gösteren ancak Avrupa Birliği ülkelerindeki ana sanayi firmalarına (OEM ve Tier-1) parça, yarı mamul veya yazılım ihraç eden üreticiler, Madde 21 kapsamındaki Tedarik Zinciri Güvenliği maddesi nedeniyle doğrudan bu standartları karşılamak zorundadır. Uyum sağlamayan tedarikçiler Avrupa pazarındaki sözleşmelerini kaybetme ve ağır ticari yaptırımlarla karşılaşma riski altındadır.
Neden NIS 2 Direktifi Türk İmalat Sanayiini Doğrudan İlgilendiriyor?
Pek çok sanayi kuruluşu, merkezinin Türkiye’de (örneğin Kocaeli, Gebze, Bursa veya İstanbul sanayi bölgelerinde) bulunması sebebiyle Avrupa Birliği direktiflerinin kendisini bağlamadığını düşünmektedir. Oysa GDPR (Genel Veri Koruma Tüzüğü) ve CBAM (Sınırda Karbon Düzenleme Mekanizması) süreçlerinde olduğu gibi, NIS 2 Direktifi de tedarik zinciri yayılım etkisi (extraterritorial supply chain effect) üzerinden sınır ötesi bir bağlayıcılık kurar.
NIS 2 kapsamındaki bir Alman otomotiv üreticisi, İtalyan makine imalatçısı veya Hollandalı medikal cihaz firması; kendi yasal denetiminden geçebilmek için alt yüklenicilerinin ve parça tedarikçilerinin siber güvenliğini doğrulamakla yükümlüdür. Çünkü modern tedarik zincirlerinde tedarikçi ile ana sanayi arasında EDI (Elektronik Veri Değişimi) bağlantıları, ortak PLM/CAD çizim portalları, B2B sipariş entegrasyonları ve doğrudan VPN tünelleri bulunur. Tedarikçinin ağında meydana gelecek bir fidye yazılımı (ransomware) vakası veya teknik resim sızıntısı, Avrupa’daki ana üretim bandını durdurma ve fikri mülkiyeti ifşa etme potansiyeline sahiptir. Bu nedenle AB’li alıcılar, Türkiye’deki tedarikçilerine yeni “Siber Güvenlik Ek Sözleşmeleri” ve teknik denetim soru listeleri göndermeye başlamıştır.
Kapsama Giren Sektörler: Temel ve Önemli Kuruluşlar
NIS 2 Direktifi, eski düzenlemedeki belirsizlikleri ortadan kaldırarak “büyüklük sınırı kuralı” (genel olarak 50’den fazla çalışanı veya 10 milyon Euro üzeri yıllık cirosu olan orta ve büyük ölçekli işletmeler) getirmiş ve kuruluşları iki temel risk grubuna ayırmıştır:
| Karşılaştırma Kriteri | Temel Kuruluşlar (Essential Entities - Ek I) | Önemli Kuruluşlar (Important Entities - Ek II) | Türk Tedarikçilere Yansıması |
|---|---|---|---|
| Kapsamdaki Sektörler | Enerji, Ulaşım (Hava, Deniz, Raylı), Bankacılık, Sağlık, İçme/Atık Suyu, Dijital Altyapı, Uzay | İmalat Sanayi (Makine, Otomotiv, Medikal Cihaz, Bilgisayar/Elektronik), Kimya, Gıda, Posta/Kargo, Atık Yönetimi | Ek I ve Ek II’deki AB firmalarına üretim/yazılım sağlayan tüm ihracatçılar |
| Denetim Rejimi | Proaktif ve periyodik denetim (İhlal olmasa dahi düzenli resmi inceleme ve kanıt talebi) | Reaktif denetim (Siber olay, ihbar veya uyumsuzluk şüphesi sonrasında derinlemesine denetim) | Müşteri denetimleri (2. taraf) ve bağımsız pentest/ISO 27001 kanıt zorunluluğu |
| İdari Para Cezası Üst Sınırı | 10 Milyon € veya küresel yıllık cironun %2’si (Hangisi daha yüksekse) | 7 Milyon € veya küresel yıllık cironun %1,4’ü (Hangisi daha yüksekse) | Sözleşme feshi, tedarikçi listesinden çıkarılma ve rücu edilen tazminatlar |
| Yönetim Kurulu Sorumluluğu | Üst yönetimin şahsi sorumluluğu, eğitim zorunluluğu ve geçici görevden men yaptırımı | Üst yönetimin şahsi sorumluluğu ve siber risk kararlarını onaylama yükümlülüğü | Şirket ortakları ve genel müdür onaylı Bilgi Güvenliği Politikası şartı |
NIS 2 Madde 21: Zorunlu 10 Siber Güvenlik Tedbiri ve Saha Uygulaması
Direktifin kalbini oluşturan 21. madde, şirket yönetim kurullarının bizzat sorumlu olduğu “tüm tehlikeleri kapsayan” (all-hazards approach) 10 temel güvenlik tedbirini sıralar. İmalat tesislerinin bu maddeleri kağıt üzerinde değil, sahada çalışan sistemlerle kanıtlaması gerekir:
- Risk Analizi ve Bilgi Sistemleri Güvenlik Politikaları: Kurumun bilgi varlıkları, ERP sunucuları, CNC/PLC ağları ve mühendislik iş istasyonları için yıllık güncellenen siber risk değerlendirmesi yapılmalıdır.
- Siber Olay Müdahalesi (Incident Handling): Anormal ağ trafiğini, yetkisiz erişim denemelerini ve zararlı yazılım aktivitelerini tespit eden merkezi loglama ve müdahale prosedürleri bulunmalıdır.
- İş Sürekliliği ve Kriz Yönetimi (Business Continuity): Fidye yazılımı veya donanım felaketi anında üretimin durmaması için 3-2-1-1-0 kuralına uygun değişmez (immutable) yedekleme, felaket kurtarma merkezi (DRC) ve düzenli geri dönüş testleri zorunludur.
- Tedarik Zinciri Güvenliği: Şirketin kendi kullandığı bulut servisleri, fason üreticiler, yazılım bakım firmaları ve donanım tedarikçileriyle olan bağlantıları güvenlik denetiminden geçirilmelidir.
- Ağ ve Bilgi Sistemleri Edinim, Geliştirme ve Bakım Güvenliği: Kurum içinde geliştirilen veya dışarıdan alınan özel yazılımlarda güvenli kodlama standartları uygulanmalı ve zafiyet taramaları yapılmalıdır.
- Siber Güvenlik Tedbirlerinin Etkinliğini Ölçme Prosedürleri: Kurulan güvenlik duvarı ve uç nokta korumalarının gerçekten işe yarayıp yaramadığı yıllık bağımsız Sızma Testleri (Pentest) ile doğrulanmalıdır.
- Temel Siber Hijyen ve Personel Eğitimi: Parola politikaları, düzenli yama yönetimi (patch management) ve çalışanlara yönelik oltalama (phishing) simülasyonları kayıt altına alınmalıdır.
- Kriptografi ve Şifreleme Kullanımı: Taşınan (in-transit) ve depolanan (at-rest) kritik ticari verilerin, teknik çizimlerin ve kişisel verilerin güçlü algoritmalarla (AES-256, TLS 1.3) şifrelenmesi gerekir.
- İnsan Kaynakları Güvenliği ve Erişim Kontrolü: En az yetki prensibi (Least Privilege), işten ayrılan personelin yetkilerinin anında kapatılması ve kritik dosya sunucularında rol bazlı erişim matrisi uygulanmalıdır.
- Çok Faktörlü Kimlik Doğrulama (MFA) ve Güvenli İletişim: Özellikle uzaktan VPN bağlantılarında, e-posta erişimlerinde ve yönetici hesaplarında MFA kullanımı artık opsiyonel değil, katı bir zorunluluktur.
Katı Bildirim Süreleri: 24 Saat ve 72 Saat Kuralı
NIS 2 Direktifi, siber saldırıların örtbas edilmesini engellemek için çok sıkı bir bildirim takvimi getirmiştir. Önemli bir siber olay (hizmet kesintisi, veri sızıntısı veya tedarik zincirini etkileyen zararlı yazılım bulaşması) tespit edildiği andan itibaren:
- İlk 24 Saat İçinde (Erken Uyarı - Early Warning): Olayın kasıtlı/hukuka aykırı bir eylemden kaynaklanıp kaynaklanmadığı ve sınır ötesi (müşterileri veya tedarik zincirini) etkileyip etkilemeyeceği resmi CSIRT birimine veya ilgili otoriteye (ve sözleşmesel olarak AB’li ana müşteriye) bildirilmelidir.
- 72 Saat İçinde (Olay Bildirimi - Incident Notification): Saldırının ciddiyeti, etki alanı, uzlaşma göstergeleri (IoC - Indicators of Compromise) ve alınan ilk teknik önlemleri içeren detaylı değerlendirme sunulmalıdır.
- 1 Ay İçinde (Nihai Rapor - Final Report): Kök neden analizi (Root Cause Analysis), uygulanan kalıcı düzeltici faaliyetler ve sınır ötesi etki analizini içeren kapsamlı kapanış raporu teslim edilmelidir.
Bu sürelerin ne kadar kısa olduğu düşünüldüğünde, ağında merkezi loglama (5651/SIEM) ve gelişmiş güvenlik duvarı bulunmayan bir fabrikanın “bize ne zaman, nereden sızdılar ve hangi veriyi aldılar?” sorusuna 24 saat içinde yanıt vermesi teknik olarak imkansızdır.
İmalat Tesislerinde IT ve OT (Operasyonel Teknoloji) Ağlarının İzolasyonu
Avrupa Birliği’ne ihracat yapan makine, otomotiv yan sanayi, kauçuk-plastik ve metal işleme fabrikalarında en büyük siber zafiyet düz ağ (flat network) mimarisidir. Muhasebe bilgisayarının, misafir Wi-Fi ağının, ERP sunucusunun ve sahadaki CNC tezgahları ile PLC kontrolörlerinin aynı IP bloğunda (örneğin 192.168.1.x) çalışması NIS 2 denetimlerinde doğrudan “kritik bulgu” (Major Non-Conformity) sebebidir.
Saha mühendisliği standartlarımıza göre NIS 2 uyumlu bir fabrikada ağ şu katmanlara (VLAN) bölünmeli ve katmanlar arası trafik güvenlik duvarı üzerinde denetlenmelidir:
- Kurumsal Ofis ve İdari VLAN: İnternet erişimi filtrelenen, e-posta ve ofis uygulamalarının çalıştığı katman.
- Sunucu ve ERP/MES Çekirdek VLAN’ı: Yalnızca yetkili portlardan erişilebilen, veritabanı ve dosya sunucularının bulunduğu yüksek güvenlikli bölge.
- OT / Üretim Sahası (SCADA, PLC, CNC) VLAN’ı: İnternete çıkışı tamamen kapatılmış, yalnızca üretim takip (MES) veya DNC sunucusuyla kısıtlı protokoller üzerinden konuşabilen izole endüstriyel ağ.
- Tedarikçi ve Bakım Erişimi: Makine üreticilerinin uzaktan bakım için kullandığı AnyDesk/TeamViewer gibi kontrolsüz araçlar yerine, MFA doğrulamalı ve zaman kısıtlı SSL VPN tünelleri.
Avrupa pazarına çalışan ihracatçı imalatçıların altyapı güvenliği, zafiyet doğrulaması ve fikri mülkiyet koruması için Sızma Testi ve DLP Çözümleri hizmetlerimizi inceleyebilirsiniz. Ayrıca üretim sahası ağ izolasyonu, endüstriyel siber güvenlik ve sıkılaştırılmış sunucu mimarileri konusunda Savunma Sanayii ve İmalat Siber Güvenlik ile KVKK ve 5651 Yasal Loglama sayfalarımızdan kapsamlı mühendislik çözümlerimize ulaşabilirsiniz.
Sıkça Sorulan Sorular
Türkiye’deki bir imalat firması doğrudan AB NIS 2 cezasına çarptırılabilir mi?
Türkiye AB üyesi olmadığı için AB denetim otoriteleri doğrudan Türkiye’deki bir fabrikaya idari para cezası kesmez; ancak ticari gerçeklik bundan çok daha serttir. AB’deki müşteriniz (Essential veya Important Entity), NIS 2 Madde 21 uyarınca tedarik zincirini güvenli tutmakla yasal olarak yükümlüdür ve aksi halde 10 milyon Euro’ya varan cezalarla karşılaşır. Bu riski almamak için AB’li alıcılar tedarikçi sözleşmelerine NIS 2 uyum şartı ve tazminat rücu maddeleri eklemektedir. Uyum sağlamayan Türk üreticiler onaylı tedarikçi listesinden (AVL) çıkarılma ve ihracat pazarını kaybetme tehlikesiyle karşı karşıyadır.
ISO 27001 belgemiz var, bu belge NIS 2 uyumu için tek başına yeterli midir?
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi belgesi, NIS 2 gereksinimlerinin yaklaşık %70-80’ini karşılamak için mükemmel bir temel oluşturur. Ancak NIS 2; 24/72 saatlik katı olay bildirim süreleri, tedarik zinciri siber risk denetimi, yönetim kurulunun doğrudan şahsi sorumluluğu, zorunlu MFA/kriptografi uygulamaları ve aktif OT/üretim ağı güvenliği gibi konularda standart bir ISO 27001 kurulumundan daha spesifik teknik kanıtlar (sızma testi raporu, değişmez yedekleme, SIEM/log korelasyonu) talep eder.
Bir KOBİ veya yan sanayi üreticisi NIS 2 hazırlığına nereden başlamalıdır?
İlk adım mevcut ağ ve sunucu altyapısının röntgenini çekmektir. Öncelikle düz ağ yapısından çıkılarak üretim (OT), sunucu ve kullanıcı ağları yeni nesil bir güvenlik duvarı (Firewall) arkasında VLAN’larla ayrıştırılmalıdır. Ardından tüm uzaktan erişimler (VPN) Çok Faktörlü Kimlik Doğrulama (MFA) ile güvenceye alınmalı, fidye yazılımlarına karşı çevrimdışı/değişmez yedekleme kurulmalı ve yılda en az bir kez bağımsız sızma testi (pentest) yaptırılarak tespit edilen zafiyetlerin kapatıldığı belgelenmelidir.