Özet: NIS2 doğrudan AB şirketlerini bağlar, ama AB'li müşteriler tedarikçilerinden de güvenlik kanıtı istiyor. Türk ihracatçıların hazırlaması gereken teknik kontroller.

AB'nin NIS2 Direktifi (2022/2555), üye ülkelerde faaliyet gösteren "temel" ve "önemli" kuruluşlara siber güvenlik yükümlülükleri getiriyor. Üye ülkelerin direktifi 17 Ekim 2024'e kadar kendi mevzuatlarına aktarması gerekiyordu.

Türkiye'deki bir firma doğrudan NIS2 kapsamında olmayabilir. Ancak direktif, kuruluşlardan tedarik zinciri güvenliğini de yönetmelerini istiyor. Bu yüzden AB'li müşteriler tedarikçilerine güvenlik anketleri gönderiyor ve sözleşmelere siber güvenlik maddeleri ekliyor.

AB'li müşteriler ne soruyor?

Anketlerde en sık karşılaşılan başlıklar NIS2'nin risk yönetimi tedbirleriyle örtüşüyor. Aşağıdaki liste, bu sorulara kanıtla cevap verebilmek için hazırlanması gerekenleri özetliyor.

1. Çok faktörlü kimlik doğrulama

E-posta, VPN ve yönetici hesaplarında MFA'nın zorunlu olduğunu gösteren politika ve ekran görüntüsü. Microsoft 365 kullanıyorsanız Conditional Access raporu iyi bir kanıttır.

2. Yedekleme ve geri yükleme

Yedekleme politikası, en az bir değiştirilemez veya çevrimdışı kopya ve son geri yükleme testinin tarihi.

3. Zafiyet yönetimi

Düzenli zafiyet taraması, yama süreleri ve kritik açıkların ne kadar sürede kapatıldığına dair kayıt.

4. Olay bildirimi

NIS2 kapsamındaki kuruluşlar önemli olaylarda 24 saat içinde erken uyarı, 72 saat içinde bildirim ve bir ay içinde nihai rapor sunmak zorunda. Müşteriniz de sizden bir olay olduğunda hızlı bilgi bekler; tedarikçi olarak kime, ne kadar sürede haber vereceğinizi yazılı hale getirin.

5. Erişim kontrolü ve şifreleme

Müşteri verisine kimin eriştiği, yetkilerin ne sıklıkla gözden geçirildiği, dizüstü bilgisayarlarda disk şifrelemesi (BitLocker) ve verinin aktarımda şifrelenmesi.

6. Eğitim ve farkındalık

Çalışanlara verilen güvenlik eğitimlerinin ve oltalama testlerinin kaydı.

7. Kendi tedarikçileriniz

Sizin de sistemlerinize erişen yazılım ve bakım firmaları var. Onların erişimini nasıl kontrol ettiğinizi gösterebilmeniz gerekir.

Pratik öneri

Kanıtları tek bir klasörde toplayın ve her çeyrekte güncelleyin. Bir sonraki anket geldiğinde cevaplar hazır olur; ISO 27001 belgesi varsa anketlerin çoğu bu belgeyle kısalır.

Kanıtları birlikte hazırlayalım

Bilgi Teknoloji olarak MFA, yedekleme, zafiyet taraması ve uç nokta güvenliği tedbirlerini kurup müşteri anketlerinde kullanılacak kanıtları raporluyoruz.

AB müşterinizden anket mi geldi?

Sorulara hangi kanıtla cevap verebileceğinizi birlikte çıkaralım.

Görüşme talep et