NIS2 & DORA Uyumluluk — AB Pazarının Siber Güvenlik Kapısı
Avrupa Birliği'nin NIS2 direktifi Ekim 2024'ten itibaren zorunlu; DORA ise Ocak 2025'ten itibarenfinans sektörünü bağlıyor. Uyumsuzluk; yıllık küresel cirosunun %2'sine kadar idari para cezası ve üst yönetim kişisel sorumluluğu anlamına gelebilir. AB pazarında hizmet veriyorsanız ya da Avrupalı tedarikçileriniz sizi kapsamları altına alıyorsa bu direktifler size de uygulanır.
Bu hizmet hangi sorunu çözer?
NIS2 ve DORA'nın zorlu yanı; yalnızca teknik kontrol değil, yönetim kurulu düzeyinde sorumluluk ve olay bildirimleri için çok kısa süreler (NIS2: 24 saat erken uyarı, 72 saat nihai bildirim) gerektirmesidir. Üstelik tedarik zinciri güvenliği gereksinimi; tedarikçilerinizin güvenlik duruşunun sizi etkileyebileceği anlamına gelir.
- Küresel yıllık cironun %2'sine kadar idari para cezası (NIS2)
- Üst yönetim kişisel sorumluluğu ve yönetimden men
- AB pazarından operasyonel erişim kaybı
- Avrupalı iş ortaklarının tedarikçi uyumluluk şartı nedeniyle sözleşme feshi
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Kapsam ve Uygulanabilirlik Analizi
- NIS2 ve DORA'nın şirketinize uygulanıp uygulanmadığının belirlenmesi
- Sektör ve kritiklik seviyesi sınıflandırması (essential/important)
- Tedarik zinciri uygulanabilirlik değerlendirmesi
Boşluk Analizi
- NIS2 Madde 21 güvenlik gereksinimleri karşı mevcut kontroller
- DORA ICT risk yönetimi çerçevesi değerlendirmesi
- Olay yönetimi ve bildirim süreci olgunluk değerlendirmesi
- Tedarikçi risk yönetimi boşlukları
Uyumluluk Yol Haritası
- Öncelikli aksiyon listesi ve sorumluluk ataması
- Politika ve prosedür geliştirme planı
- Yönetim kurulu raporlama çerçevesi
- Sürekli izleme ve gözden geçirme takvimi
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Olay bildirim süreci tanımlı değil
NIS2'nin 24 saatlik erken uyarı gereksinimine yanıt verecek tespit/eskalasyon süreci yok; kısa sürede ceza riski.
ÖneriOlay tespiti, sınıflandırma, eskalasyon ve yetkili makama bildirim prosedürünü hemen oluşturun; tatbikat yapın.
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- Kapsam ve uygulanabilirlik raporu
- NIS2/DORA boşluk analizi raporu
- Önceliklendirilmiş uyumluluk yol haritası
- Olay bildirim prosedürü şablonu
- Tedarikçi risk değerlendirme çerçevesi
- Yönetim kurulu siber güvenlik raporlama şablonu
Kimler için?
- AB pazarına hizmet veren veya AB'de operasyonu olan şirketler
- AB'deki bir şirketin kritik tedarikçisi konumunda olanlar
- Finans sektörü: banka, sigorta, yatırım şirketi (DORA)
Bu hizmeti ne zaman düşünmelisiniz?
- AB'deki bir iş ortağı veya müşteri uyumluluk sorduğunda
- AB operasyonu kurmadan veya genişletmeden önce
- Finans sektöründe DORA uygulama tarihinden önce
NIS2 mi, DORA mı — Hangisi Sizin İçin?
| NIS2 (Genel Sektörler) | DORA (Finansal Sektör) | |
|---|---|---|
| Kapsam | Enerji, sağlık, ulaşım, dijital altyapı + diğer kritik sektörler | Bankalar, sigorta, yatırım, ödeme kuruluşları |
| Yürürlük | Ekim 2024 | Ocak 2025 |
| Test zorunluluğu | Risk bazlı testler | TLPT (tehdit tabanlı sızma testi) zorunlu |
| Üçüncü taraf | Tedarik zinciri güvenliği | ICT tedarikçi izleme ve kritik sağlayıcı listesi |
Sıkça Sorulan Sorular
Türkiye merkezli şirketler NIS2'ye tabi mi?
DORA yalnızca bankaları mı etkiliyor?
İlgili hizmetler, araçlar ve rehberler
NIS2 & DORA Uyumluluk için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.