NIS2 direktifi: Siber suçlara karşı siber güvenliğin güçlendirilmesi

2024 yılında siber suçlar tüm zamanların en yüksek seviyesine ulaşırken dünya çapında hükümetleri ve endüstrileri etkiledi ve kritik verilerin ve altyapının güvenliğini tehdit eder hale geldi. Cybersecurity Ventures tarafından hazırlanan bir rapora göre, 2015 yılında 3 trilyon dolar olan siber suç maliyetlerinin 2025 yılına kadar yıllık 10,5 trilyon dolara ulaşması bekleniyor{{Footnote.A74148}}.

Bu artış, her yıl saldırıların sıklığı ve şiddetinin artmasıyla birlikte giderek daha gelişmiş hale gelen siber saldırılar, fidye yazılımı olayları ve veri ihlallerinden kaynaklanıyor. Dünya Ekonomik Forumu'nun 2023 tarihli Küresel Risk Raporu{{Footnote.A74149}}, siber tehditlerin en büyük küresel riskler arasında yer aldığını ortaya koyarak sağlam siber güvenlik önlemlerine duyulan acil ihtiyacı vurguluyor.

Bu giderek artan tehditle mücadele etmek için Avrupa Birliği, 2016 tarihli orijinal NIS Direktifi'ne (Ağ ve Bilgi Sistemleri Direktifi) önemli bir güncelleme yapan ve daha fazla kritik altyapı ile temel hizmet sağlayıcılarını kapsayan NIS2 Direktifini uygulamaya koydu.

NIS2 Direktifi, AB genelinde kritik altyapılar için siber güvenliği güçlendirmeyi, kötü amaçlı oyuncuların neden olduğu veri ihlalleri ve kesintilere karşı daha fazla dayanıklılık ve daha güçlü koruma sağlamayı amaçlıyor.

Güvenlik uzmanı David Clarke, NIS ve NIS2 arasındaki temel farkları açıklıyor

İçerik ve kapsam: Orijinal NIS Direktifi öncelikle temel hizmet kuruluşlarına ve dijital hizmet sağlayıcılarına odaklanmaktadır. NIS2, direktifin kapsamını sağlık, ulaştırma, enerji, bankacılık ve kamu dahil olmak üzere daha geniş bir sektör yelpazesinden orta ve büyük ölçekli kuruluşları içerecek şekilde genişletmektedir. Bu da artık daha fazla kuruluşun ve devlet kurumunun sıkı siber güvenlik standartlarına uymasını gerektirmektedir.

Güvenlik gereksinimleri: NIS2 daha ayrıntılı güvenlik gereksinimleri ortaya koymaktadır. Buna göre kuruluşlar risk yönetimi tedbirlerini uygulamalı, düzenli güvenlik değerlendirmeleri yapmalı ve olaylara müdahale stratejilerini uygulamaya almalıdır. Direktif, hassas verilerin korunması için şifreleme ve erişim kontrollerinin kullanılmasını zorunlu hale getirmektedir.

Olay raporlaması: İlk NIS Direktifi, kuruluşların önemli olayları fazla gecikmeden rapor etmelerini gerektiriyordu. NIS2 bu gerekliliği sıkılaştırarak olayların tespit edildikten sonraki 24 saat içinde bildirilmesini zorunlu hale getirmekte ve böylece saldırılara ve ilgili bozulmalara daha hızlı yanıt verilmesini sağlamaktadır.

Denetim ve yaptırım: NIS2, ulusal makamların uyumun denetlenmesi ve uygulanmasındaki rolünü güçlendirmektedir. Uyumsuzlukla ilgili cezalar da daha ağır olup, 10 milyon Avro'ya veya şirketin küresel yıllık cirosunun %2'sine (hangisi daha yüksekse) kadar ulaşabilecek cezalar söz konusudur.

Tedarik zinciri güvenliği: NIS2, kritik tedarik zinciri güvenliğinin sağlanmasının önemini vurgulamakta, şirketlerin ve hükümetlerin tedarikçileri ve hizmet sağlayıcıları tarafından oluşturulan siber güvenlik risklerini değerlendirmelerini ve yönetmelerini gerektirmektedir.

Kimler etkilenecek?

NIS2'nin kapsamı genişlediğinden çok çeşitli sektörler bundan etkilenecektir. Bunlar arasında enerji, ulaştırma, bankacılık, finans piyasası altyapıları, sağlık hizmetleri, içme suyu temini ve dağıtımı, dijital altyapı, hükümetler ve havacılık ve uzay sektörleri yer almaktadır. Bu sektörlerdeki orta ve büyük ölçekli işletmelerin 17 Ekim 2024 tarihinden itibaren yeni direktifine uyumu sağlamış olmaları gerekmektedir.

Olası para cezaları ve yasal cezalar

NIS2 Direktifine uyulmaması önemli para cezalarıyla sonuçlanabilir. Gerekli standartları karşılamayan veya olayları hemen rapor etmeyen kuruluşlar 10 milyon Avro'ya veya küresel yıllık cirolarının %2'sine varan para cezalarıyla karşı karşıya kalabilirler. Bu katı cezalar, mali ve itibar kaybını önlemek için direktife uymanın önemini vurgulamaktadır.

AB'de değil misiniz?

AB'de faaliyet göstermeyenler bile NIS2'den etkilenmektedir. Kuruluşunuz herhangi bir AB kuruluşunda veya bu tür bir kuruluşla çalışıyorsa, bu düzenlemelere ve bunlara uyulmaması halinde uygulanacak cezalara tabi olursunuz.