NIS2: kimler kapsamda ve nereden başlamalı?
Avrupa NIS2 direktifi, siber güvenlik yükümlülüklerine tabi kuruluşların sayısını büyük ölçüde artırıyor. Kapsamda olup olmadığınızı ve nasıl hazırlanacağınızı anlamanız için ana noktalar aşağıda; bunlar bir uzmanın analizinin yerini tutmaz.
Kayzen Security yayın ekibi4 dk okuma
Direktif ne öngörüyor
14 Aralık 2022'de kabul edilen NIS2 direktifi, 2016 tarihli NIS direktifinin yerini alır. Kapsamdaki kuruluşlara siber güvenlik risk yönetimi önlemleri almayı (21. madde) ve önemli olayları bildirmeyi (23. madde) zorunlu kılar; ayrıca bu önlemleri onaylaması ve eğitim alması gereken yönetim organlarının sorumluluğunu öngörür (20. madde).
Fransa'da iç hukuka aktarım bir yasa ve uygulama metinleriyle yapılır. Bunların ilerleme durumu ve yürürlük tarihleri, bu rehberi okuduğunuz anda ANSSI'nin sitesinden kontrol edilmelidir.
Kapsamda mıyım? Üç kriter
- Sektör: direktif 11 « yüksek kritikliğe sahip » sektörü (Ek I: enerji, ulaşım, bankacılık, sağlık, su, dijital altyapılar, kamu yönetimi, uzay…) ve 7 « diğer kritik sektörü » (Ek II: posta hizmetleri, atık yönetimi, kimya, gıda, bazı ürünlerin imalatı, dijital hizmet sağlayıcılar, araştırma) listeler. Finans sektöründe risk yönetimi ve olay bildirimi için öncelikle DORA tüzüğü (UE) 2022/2554 uygulanır.
- Büyüklük: genel kural olarak bu sektörlerdeki orta ölçekli (en az 50 çalışan ya da 10 milyon avroyu aşan ciro ve bilanço toplamı) ve büyük şirketler; bağlı veya ortak şirketlerin çalışan sayıları ve tutarlarının toplanması gerekebilir.
- Büyüklük istisnaları: bazı kuruluşlar büyüklüklerinden bağımsız olarak kapsamdadır; özellikle kamuya açık elektronik haberleşme ağı veya hizmeti sağlayıcıları, güven hizmeti sağlayıcıları, üst düzey alan adı kayıt kuruluşları ve DNS hizmeti sağlayıcıları ile ulusal belirlemeye göre ülkede temel bir hizmeti sağlayan tek kuruluş.
- Yerel yönetimler ve kamu idareleri, ulusal aktarıma göre kapsamda olabilir.
Temel kuruluşlar ve önemli kuruluşlar
Her iki kategori de aynı türde önlemleri uygulamalıdır, ancak denetim farklıdır: temel kuruluşlar için önceden (a priori), önemli kuruluşlar için sonradan (a posteriori) denetim mümkündür. Direktif, temel kuruluşlar için daha yüksek idari yaptırım üst sınırları da belirler. Fransa'da uygulanacak tutarlar aktarım yasasına bağlıdır.
Özetle 21. madde önlemleri
- Risk analizi ve güvenlik politikaları.
- Olay yönetimi.
- İş sürekliliği, yedekler ve kriz yönetimi.
- Tedarik zinciri güvenliği.
- Açıklık yönetimi dâhil, sistemlerin edinimi, geliştirilmesi ve bakımında güvenlik.
- Önlemlerin etkinliğinin değerlendirilmesi.
- Temel siber hijyen ve eğitim.
- Kriptografi ve şifreleme.
- İnsan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi.
- Çok faktörlü kimlik doğrulama ve güvenli iletişim.
Önemli olayları bildirmek
Direktif, önemli bir olayın öğrenilmesinden sonraki 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve bu bildirimden en geç bir ay sonra nihai rapor öngörür. Bu bildirimler CSIRT'e veya yetkili makama yapılır. Bu da bir olayı tespit edebilmeyi, nitelendirebilmeyi ve doğru muhatabı önceden bilmeyi gerektirir.
Nereden başlamalı
- Durumunuzu ANSSI'nin çevrimiçi hizmetiyle kontrol edin ve analizi bir uzmana teyit ettirin.
- Sistemlerinizin, verilerinizin ve hizmet sağlayıcılarınızın envanterini çıkarın.
- Temel hijyen önlemlerini uygulayın: güncellemeler, iki adımlı doğrulama, çevrimdışı yedekler, kontrol altındaki yönetici hesapları.
- Bir olay yönetimi ve bildirim prosedürü yazın.
- Önlemleri onaylaması ve eğitim alması gereken yönetimi sürece dâhil edin.
Bu rehber directive (UE) 2022/2555'i bilgilendirme amacıyla özetler. Hukuki görüş niteliği taşımaz: kapsama girip girmediğiniz ve yükümlülükleriniz, yürürlükteki aktarım metni ve ANSSI'nin bilgileri temelinde bir uzman tarafından teyit edilmelidir. Kayzen gibi bir araç 21. madde önlemlerine katkıda bulunabilir; bir kuruluşu uyumlu hâle getirmez.
Resmî kaynaklar
- ANSSI (yeni sekme) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (yeni sekme) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (yeni sekme) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Belirtilen kaynaklar, yazarları tarafından özgün dillerinde yayımlanmaktadır. Kayzen bu kuruluşların hiçbiriyle bağlantılı değildir.
Bu rehber bilgilendirme amaçlı ve geneldir. Hukuki danışmanlığın veya bir bilgi güvenliği uzmanının müdahalesinin yerini tutmaz.