KOBİ'ler için NIS2: Kimler kapsamda ve şimdi ne yapılmalı?

NIS2 nedir ve KOBİ'leri neden ilgilendirir?

NIS2, resmî adıyla (AB) 2022/2555 sayılı Direktif, Avrupa Birliği'nin yenilenmiş siber güvenlik direktifidir. Kural olarak 18 sektördeki orta ve büyük ölçekli şirketler için geçerlidir ve bu şirketlerden risk yönetimi, ciddi olayların hızla bildirilmesi ve üst yönetimin aktif rol üstlenmesini ister. Birçok küçük işletme doğrudan kapsamda değildir, ancak NIS2'nin etkisini müşterileri üzerinden hisseder.

Direktif, 2016 tarihli ilk NIS direktifinin yerini alır ve kapsamdaki şirketlerin sayısını önemli ölçüde artırır. KOBİ'ler için üç soru öne çıkar: Biz doğrudan kapsamda mıyız? Müşterilerimiz bizden kanıt isteyecek mi? Somut olarak ne yapmamız gerekiyor? Bu yazı bu soruları sade bir dille yanıtlıyor, ancak hukuki danışmanlığın yerini tutmaz.

Kimler kapsamda: sektörler ve şirket büyüklüğü

Sektörler

Direktif iki grup sektör tanımlar. Yüksek kritiklikteki sektörler enerji, ulaştırma, bankacılık, finansal piyasa altyapıları, sağlık, içme suyu, atık su, dijital altyapı, kurumsal müşterilere yönelik BİT hizmetleri, kamu yönetimi ve uzaydır.

Diğer kritik sektörler arasında posta ve kurye hizmetleri, atık yönetimi, kimya, gıda, makine, elektronik ve otomotiv gibi imalat alanları, çevrim içi pazar yerleri gibi dijital sağlayıcılar ve araştırma bulunur. Faaliyetinizin bu kategorilerden birine tam olarak girip girmediğini direktifin ekleri ve ulusal yasa üzerinden kontrol edin.

Büyüklük eşiği

Kural olarak bu sektörlerdeki orta ve büyük ölçekli şirketler kapsamdadır. Basitçe söylemek gerekirse eşik, 50 çalışan ya da 10 milyon euronun üzerinde yıllık ciro ile 10 milyon euronun üzerinde bilanço toplamıdır. Hesaplamada ortak şirketler ve bağlı şirketler de dikkate alınabilir.

Bazı kuruluşlar ise büyüklüklerinden bağımsız olarak kapsamdadır. Bunlar arasında kamuya açık elektronik haberleşme ağı ve hizmeti sağlayıcıları, güven hizmeti sağlayıcıları, DNS hizmet sağlayıcıları ve bir üye devlette kritik bir hizmetin tek sağlayıcısı olan kuruluşlar bulunur. Bu nedenle yalnızca çalışan sayınıza değil, somut faaliyetlerinize de bakın.

Dolaylı etki: tedarik zincirinde NIS2

Birçok KOBİ doğrudan NIS2 kapsamında değildir, ancak direktifin etkisini yine de hisseder. Çünkü kapsamdaki şirketler tedarik zincirlerinin güvenliğini de gözetmek zorundadır. Bu durum BT hizmet sağlayıcılarını, bakım firmalarını, yazılım sağlayıcılarını, lojistik ortaklarını ve diğer pek çok tedarikçiyi etkiler. Tedarikçilerin karşılaşabileceği tipik talepler şunlardır:

• Yedekleme, güncellemeler, erişim yetkileri ve acil durum planları hakkında güvenlik anketleri
• Asgari standartlar ve olay bildirimi yükümlülüğü içeren sözleşme maddeleri
• Güvenlik politikaları, eğitim kayıtları veya denetim raporları gibi kanıtlar
• Müşteri sistemlerine yapılan tüm erişimlerde çok faktörlü kimlik doğrulama

Bu sorulara açık ve belgelere dayanan yanıtlar verebilen tedarikçiler, ihalelerde ve sözleşme yenilemelerinde avantaj elde eder.

NIS2 ne istiyor: risk yönetimi önlemleri

Kapsamdaki kuruluşlar uygun ve orantılı teknik, operasyonel ve organizasyonel önlemler almak zorundadır. Direktif bunun için bir dizi asgari konu belirler. Orantılılık, harcanacak emeğin şirketin risk durumuna ve büyüklüğüne, ayrıca muhtemel olayların gerçekleşme olasılığına ve ciddiyetine göre belirlenmesi anlamına gelir.

• Bilgi sistemleriniz için risk analizi ve güvenlik politikaları
• Güvenlik olaylarının yönetimi, yani olayları tespit etme, analiz etme, sınırlama ve giderme
• Yedekleme yönetimi, felaket kurtarma ve kriz yönetimiyle iş sürekliliği; örneğin 3-2-1 kuralına göre yedekleme
• Hizmet sağlayıcılar ve tedarikçilerle ilgili tedarik zinciri güvenliği
• Zafiyet yönetimi dahil, sistemlerin tedariki, geliştirilmesi ve bakımında güvenlik
• Alınan önlemlerin etkinliğinin değerlendirilmesi
• Çalışanlar için temel siber hijyen ve eğitim
• Kriptografi politikaları ve gerektiğinde şifreleme
• Personel güvenliği, erişim kontrolü ve varlık yönetimi
• Gerektiğinde çok faktörlü kimlik doğrulama ve güvenli iletişim; ayrıntılar MFA'ya geçiş yazımızda

Bildirim yükümlülükleri: 24 saat, 72 saat, bir ay

Ciddi güvenlik olaylarının bildirilmesi zorunludur. Basitçe söylemek gerekirse bir olay, ağır operasyonel aksaklıklara veya mali kayıplara yol açmış ya da açabilecek nitelikteyse, yahut başkalarına kayda değer zarar verebilecekse ciddi kabul edilir. Bildirim, yetkili CSIRT'e veya yetkili makama üç aşamada yapılır:

1. Erken uyarı: Olayın öğrenilmesinden itibaren gecikmeksizin ve en geç 24 saat içinde; örneğin hukuka aykırı veya kötü niyetli bir saldırıdan şüphelenilip şüphelenilmediğine ya da sınır ötesi bir etkinin mümkün olup olmadığına dair ilk değerlendirmeyle.
2. Olay bildirimi: Olayın öğrenilmesinden itibaren 72 saat içinde; olayın ciddiyetine ve etkilerine ilişkin ilk değerlendirmeyle.
3. Nihai rapor: Olay bildiriminden en geç bir ay sonra; olayın tanımı, nedeni ve alınan önlemlerle. Olay o tarihte hâlâ devam ediyorsa önce bir ilerleme raporu verilir.

Sorumluluk üst yönetimdedir

NIS2, siber güvenliği açıkça bir yönetim görevi hâline getirir. Yönetim organları risk yönetimi önlemlerini onaylamak ve uygulanmalarını denetlemek zorundadır; ihlaller hâlinde sorumlu tutulabilirler. Ayrıca yönetim organı üyelerinin eğitimlere katılması gerekir.

Pratikte bu, BT güvenliğinin tamamen BT departmanına veya dış bir hizmet sağlayıcıya devredilemeyeceği anlamına gelir. Üst yönetim güvenlik durumu hakkında düzenli olarak bilgilendirilmeli ve kararlarını izlenebilir biçimde belgelemelidir.

Avusturya'daki durum: NISG 2026

Avusturya'da NIS2, 2026 tarihli Ağ ve Bilgi Sistemleri Güvenliği Yasası (Netz- und Informationssystemsicherheitsgesetz 2026, kısaca NISG 2026) ile iç hukuka aktarıldı. Yasa Aralık 2025'te Federal Resmî Gazete'de yayımlandı (BGBl. I Nr. 94/2025) ve 1 Ekim 2026'dan beri yürürlükte. Önceki NISG 2018 aynı tarihte yürürlükten kalktı.

Avusturya Ekonomi Odası (WKO) gibi kaynakların şimdiye kadar yayımladığı bilgilere göre kapsamdaki kuruluşların, yasanın yürürlüğe girmesinden itibaren Siber Güvenlik Makamı'na (Cybersicherheitsbehörde) kayıt yaptırmak için üç ayı var. Kayıt yükümlülüğünün başlamasından itibaren on iki ay içinde, alınan risk yönetimi önlemlerine ilişkin bir öz beyan verilmesi gerekiyor. Şekil ve kesin tarihler gibi ayrıntılar yönetmelikler ve resmî bilgilendirmelerle belirleniyor.

KOBİ'ler için ilk adımlar

1. Kapsamı kontrol edin: Sektör, faaliyetler, çalışan sayısı, ciro ve bilanço toplamını bağlı şirketlerle birlikte belirleyin; kapsamdaysanız kayıt süresini kaçırmayın.
2. Tedarik zincirine bakın: Hangi müşterileriniz NIS2 kapsamında ve size hangi gereklilikleri aktarıyorlar?
3. Mevcut durumu çıkarın: Sistemleri, verileri, erişimleri ve hizmet sağlayıcıları listeleyin, en büyük riskleri belirleyin.
4. Hızlı temel önlemleri uygulayın: E-posta ve uzaktan erişim için MFA, çevrim dışı kopyası olan test edilmiş yedekler, güncel yazılımlar.
5. Acil durum ve bildirim sürecini tanımlayın: 24 saatlik erken uyarı için sorumlular, iletişim bilgileri ve şablonlar.
6. Üst yönetimi dahil edin: Önlem planını onaylatın, eğitimi planlayın ve ilerlemeyi düzenli olarak raporlayın.

NIS2 tek seferlik bir proje değil, süregelen bir süreçtir. Planlı ve sistemli bir şekilde başlayan şirket, müşterilerin ve makamların beklediği kanıtları da aynı anda oluşturur. Q-entra, mevcut durum analizinde ve teknik önlemlerin uygulanmasında siber güvenlik hizmetiyle destek verir; dilerseniz sürekli işletimi de yönetilen güvenlik hizmeti kapsamında üstlenir.