NIS2 ve yazılım tedarikçi­leriniz: iki tarafın da yapması gerekenler

012026 sonbaharında NIS2

(AB) 2022/2555 sayılı Direktif, yani NIS2 Direktifi (harici bir site açılır), 27 Aralık 2022’de AB Resmî Gazetesi’nde yayımlandı ve 16 Ocak 2023’te yürürlüğe girdi. Üye devletler ulusal önlemlerini 17 Ekim 2024’e kadar kabul edip yayımlamak ve ilk NIS Direktifi’nin yürürlükten kalktığı 18 Ekim 2024’ten itibaren uygulamak zorundaydı.

NIS2 bir direktif olduğu için bir kuruluşu bağlayan, direktifi iç hukuka aktaran ulusal yasadır. İç hukuka aktarım ülkeden ülkeye farklı hızda ilerledi: bazı üye devletler yasalarını zamanında uyguladı, bazıları ancak 2025 ya da 2026’da. Bu nedenle kayıt yükümlülükleri, bildirim portalları ve denetim makamları ülkeye göre değişir.

Kıbrıs Cumhuriyeti’nde direktifi, 25 Nisan 2025’te yayımlanan 60(I)/2025 sayılı Yasa ile değiştirilen 89(I)/2020 sayılı Ağ ve Bilgi Sistemleri Güvenliği Yasası iç hukuka aktarır. Yetkili makam Dijital Güvenlik Otoritesidir (Αρχή Ψηφιακής Ασφάλειας, Digital Security Authority, DSA); ulusal CSIRT olan CSIRT-CY de DSA bünyesindedir.

02Temel ve önemli kuruluşlar

NIS2, Ek I’deki (yüksek kritiklikteki sektörler: enerji, ulaştırma, bankacılık, finansal piyasa altyapıları, sağlık, içme suyu, atık su, dijital altyapı, BİT hizmet yönetimi, kamu yönetimi ve uzay) ve Ek II’deki (diğer kritik sektörler: posta ve kurye hizmetleri, atık yönetimi, kimyasallar, gıda, imalat, dijital sağlayıcılar ve araştırma) sektörlerde faaliyet gösteren kamu ve özel kuruluşlara uygulanır. Kural olarak orta ve büyük ölçekli kuruluşları kapsar. Güven hizmeti sağlayıcıları, DNS hizmet sağlayıcıları ve merkezi yönetim kuruluşları gibi bazı kuruluşlar büyüklüklerinden bağımsız olarak kapsamdadır.

3. madde bu kuruluşları iki kategoriye ayırır:

• Temel kuruluşlar: ağırlıklı olarak Ek I sektörlerindeki büyük kuruluşlar ile nitelikli güven hizmeti sağlayıcıları, üst düzey alan adı sicilleri, DNS hizmet sağlayıcıları ve merkezi yönetim kuruluşları gibi büyüklükten bağımsız olarak temel sayılan kuruluşlar. Proaktif olarak denetlenirler; bu denetim, yerinde incelemeleri de içerebilir.
• Önemli kuruluşlar: Ek I ve Ek II kapsamındaki diğer kuruluşlar. Denetim sonradandır: makam, kuruluşun uyum sağlamadığına dair belirtiler olduğunda harekete geçer.

Her iki kategorinin temel yükümlülükleri aynıdır: risk yönetimi önlemleri (21. madde), olay bildirimi (23. madde) ve yönetimin hesap verebilirliği (20. madde). Fark, denetimde ve para cezalarındadır. Direktife göre ulusal hukuk, 21. ya da 23. maddenin ihlali için temel kuruluşlarda en az 10 milyon avro ya da dünya çapındaki yıllık cironun %2’si, önemli kuruluşlarda en az 7 milyon avro ya da %1,4’ü tutarında (hangisi daha yüksekse) azami para cezasına imkân tanımalıdır. Para cezalarının kamu yönetimi kuruluşlarına uygulanıp uygulanmayacağına ve ne ölçüde uygulanacağına üye devletler karar verir.

Yazılım tedarikçiniz de kapsamda mı?

Yazılım geliştirmek tek başına bir NIS2 sektörü değildir. Yine de bir tedarikçi doğrudan kapsama girebilir. Ek I yönetilen hizmet sağlayıcılarını kapsar ve NIS2 bunları geniş tanımlar: müşterileri için yerinde ya da uzaktan BİT ürünlerini, ağlarını, altyapısını veya uygulamalarını kuran, yöneten, işleten ya da bakımını yapan kuruluşlar. Müşterileri için uygulama işleten ya da uygulamaların bakımını yapan orta ya da büyük ölçekli bir tedarikçi bu nedenle kendi başına NIS2 kapsamına girebilir; bulut bilişim ve veri merkezi hizmet sağlayıcıları da öyle. Bu sağlayıcılar için (AB) 2024/2690 sayılı Uygulama Tüzüğü (harici bir site açılır) teknik gereklilikleri ayrıntılı olarak düzenler.

Ancak yazılım tedarikçilerinin çoğu NIS2 ile müşterileri aracılığıyla karşılaşır; müşteriler kendi tedarik zinciri yükümlülüklerini sözleşme maddelerine, anketlere ve denetimlere dönüştürür. Yazılım ürünleri ayrıca (AB) 2024/2847 sayılı Tüzük, yani Siber Dayanıklılık Yasası (harici bir site açılır) kapsamındadır: aktif olarak istismar edilen zafiyetlere ve ciddi olaylara ilişkin bildirim yükümlülükleri 11 Eylül 2026’dan, diğer yükümlülükleri 11 Aralık 2027’den itibaren uygulanır.

0321. maddenin on asgari önlemi

21. madde, tüm tehlikeleri gözeten bir yaklaşıma dayalı, uygun ve orantılı teknik, operasyonel ve organizasyonel önlemler ister. Önlemler teknolojinin güncel durumunu ve ilgili Avrupa ve uluslararası standartları yansıtmalı; kuruluşun riske maruziyeti, büyüklüğü ve olayların olası ciddiyetiyle orantılı olmalıdır. Asgari olarak şunları kapsar:

1. 01risk analizi ve bilgi sistemleri güvenliği politikaları;
2. 02olay yönetimi;
3. 03yedekleme yönetimi ve felaket sonrası kurtarma gibi iş sürekliliği ile kriz yönetimi;
4. 04doğrudan tedarikçiler ve hizmet sağlayıcılarla ilişkilerin güvenlik boyutları dâhil tedarik zinciri güvenliği;
5. 05zafiyet yönetimi ve açıklanması dâhil, ağ ve bilgi sistemlerinin edinilmesinde, geliştirilmesinde ve bakımında güvenlik;
6. 06bu önlemlerin etkinliğini değerlendirmeye yönelik politika ve prosedürler;
7. 07temel siber hijyen uygulamaları ve siber güvenlik eğitimi;
8. 08kriptografiye ve uygun olduğunda şifrelemeye ilişkin politika ve prosedürler;
9. 09insan kaynakları güvenliği, erişim kontrolü politikaları ve varlık yönetimi;
10. 10uygun olduğunda çok faktörlü ya da sürekli kimlik doğrulama ile güvenli sesli, görüntülü ve yazılı iletişim ve acil durum iletişimi.

Tedarikçiler bu listenin 4. ve 5. bentlerinde devreye girer. 21(3). madde, kuruluşlardan her doğrudan tedarikçiye özgü zafiyetleri, ürünlerinin ve siber güvenlik uygulamalarının genel kalitesini ve güvenli geliştirme prosedürlerini dikkate almalarını ister. Müşterilerinizden yalnızca teslim ettiğinize değil, yazılımı nasıl geliştirdiğinize de bakmaları beklenir.

04Yönetim onaylar, gözetir ve hesap verir

20. maddeye göre temel ve önemli kuruluşların yönetim organları siber güvenlik risk yönetimi önlemlerini onaylamalı ve uygulanmalarını gözetmelidir; ihlallerden sorumlu tutulabilirler. Üyeleri eğitim almak zorundadır; kuruluşların çalışanlarını da düzenli olarak eğitmeleri teşvik edilir. Kamu kurumları için kamu kurumlarının ve görevlilerinin sorumluluğuna ilişkin ulusal kurallar uygulanmaya devam eder.

Bu, tedarikçilerle yapılan konuşmayı değiştirir. Önlemleri onaylamak zorunda olan bir yönetim kurulu, izleyebileceği kanıtlar ister: hangi tedarikçi hangi hizmeti destekliyor, hangi riskler kalıyor ve gerçekte neler test edildi.

05Olay bildirimi: erken uyarı, bildirim, nihai rapor

23. madde, kuruluşların önemli olayları CSIRT’lerine ya da yetkili makama bildirmesini ister. Bir olay, kuruluş için ciddi operasyonel aksaklığa ya da mali kayba yol açmışsa veya yol açabilecekse ya da başkalarına kayda değer maddi veya manevi zarar vermişse veya verebilecekse önemlidir. Direktife göre bildirim aşamalar hâlinde yapılır:

Kıbrıs Cumhuriyeti’nde süre daha kısadır. Ağ ve Bilgi Sistemleri Güvenliği Yasası (35B(4). madde), temel ve önemli kuruluşların önemli bir olaydan haberdar olduktan sonra Dijital Güvenlik Otoritesine altı saat içinde erken uyarı, 72 saat içinde de olay bildirimi sunmasını öngörür.

Uygun olduğunda kuruluşlar, hizmetlerini etkilemesi muhtemel önemli olaylar hakkında hizmet alıcılarını da gecikmeksizin bilgilendirmelidir. Ulusal yasalar kendi formlarını ve portallarını ekler.

Süre, kuruluşun olaydan haberdar olduğu anda başlar. Olay bir tedarikçinin sisteminde başlarsa müşteri altı saatlik süreye ancak tedarikçi olayı tespit eder, tanır ve çok kısa sürede iletirse uyabilir. Bu nedenle tespit, kayıt tutma ve üzerinde anlaşılmış bir bildirim kanalı yalnızca mühendislik ayrıntısı değil, sözleşme şartıdır.

06Müşterinin yazılım tedarikçi­sinden isteyecekleri

Uygulamada 21. madde, bir tedarikçinin yeni bir proje başlatmadan gösterebilmesi gereken teknik önlemlere ve kanıtlara dönüşür. En sık gördüklerimiz:

• Güvenli yazılım geliştirme yaşam döngüsü. Önemli değişiklikler için tehdit modellemesi, eş incelemesi, yayın hattında otomatik güvenlik testleri ve bağımlılık taraması, imzalı derlemeler ve her sürüm için bir yazılım malzeme listesi (SBOM).
• Zafiyet yönetimi ve açıklama. Zafiyet bildirmenin yayımlanmış bir yolu, ciddiyete göre kararlaştırılmış yanıt süreleri ve bir zafiyet müşterinin ortamını etkilediğinde müşteriye bildirim.
• Tedarikçi personeli için erişim kontrolü. Kişiye özel hesaplar, çok faktörlü kimlik doğrulama, en az yetki, süreli yükseltilmiş erişim ve müşterinin ortamındaki her yönetim işleminin kaydı.
• Kayıt tutma ve olay kanıtları. Güvenlikle ilgili olayların güvenilir zaman damgalarıyla kaydedilmesi, kararlaştırılan süre boyunca saklanması ve dışa aktarılabilmesi; böylece müşteri erken uyarıdaki ve nihai rapordaki soruları yanıtlayabilir.
• Olaylarda iş birliği. Adı belirlenmiş bir iletişim kişisi ve kanal, müşterinin altı saatlik süresinin rahatça içinde kalan bir bildirim süresi ve kök neden analizinde destek.
• Süreklilik ve kurtarma. Geri yükleme ile kanıtlanmış yedekler, müşterininkilerle uyumlu kurtarma hedefleri ve prova edilmiş bir prosedür.
• Tedarik zinciri belgeleri. Alt yüklenicilerin ve barındırma yerlerinin, ayrıca çözümün dayandığı başlıca üçüncü taraf bileşen ve hizmetlerin güncel listesi.
• Bir çıkış planı. Kullanılabilir biçimlerde veri dışa aktarımı, belgeler ve devir desteği; böylece müşteri hizmetin kontrolünü kaybetmeden tedarikçi değiştirebilir.

Bunların hiçbiri olgun mühendislik ekipleri için yeni değildir. NIS2 ile değişen, müşterinin bunları kanıtlayabilmek zorunda olmasıdır. Güven ve uyum sayfamız, ISO/IEC 27001 sertifikalı bilgi güvenliği yönetim sistemimiz dâhil, tedarikçi olarak nasıl çalıştığımızı anlatır.

07Sözleşmeler ve satın alma için kontrol listesi

1. 01Tedarikçileri hizmetlerle eşleştirin. Hangi tedarikçinin kapsamdaki hangi hizmeti desteklediğini ve hangilerinin sistemlerinize ya da verilerinize erişimi olduğunu kaydedin.
2. 02Kritikliğe göre sınıflandırın. En ağır gereklilikleri kritik sistemleri işleten ya da değiştirebilen tedarikçilere uygulayın.
3. 03Önlemleri sözleşmeye yazın. Güvenlik gereklilikleri, olay bildirim süresi ve kanalı, zafiyet yönetimi, kayıt tutma ve saklama, denetim ya da kanıt hakları, alt yüklenicilik kuralları ve hizmet yerleri.
4. 04Beyan değil, kanıt isteyin. Kapsamıyla birlikte sertifikalar, test sonuçları, bir SBOM, son geri yükleme testinin tarihi.
5. 05Çıkışı baştan kararlaştırın. Veri iadesi, geçiş desteği ve tedarikçinin hizmeti çalışır durumda tuttuğu süre.
6. 06Birlikte prova edin. Kritik tedarikçilerinizle, altı saatlik erken uyarıyı da içeren bir olay tatbikatı yapın.
7. 07Düzenli olarak gözden geçirin. Tedarikçiler, hizmetler ve tehditler değişir; yılda bir güncellenen bir tedarikçi listesi yılın büyük bölümünde güncelliğini yitirmiş olur.

08Ayrıntıları ulusal yasa belirler

Kayıt, bildirim portalları, formlar, yetkili makam ve ek gereklilikler ulusal yasadan gelir. Bazı üye devletler 21. madde önlemlerini ulusal bir çerçeveye ya da sertifikasyona bağlar. Kural olarak bir kuruluş, kurulu olduğu üye devletin yetkisine tabidir. 26. madde istisnalar getirir: kamuya açık elektronik haberleşme sağlayıcıları hizmet verdikleri her ülkenin; bulut, veri merkezi ve yönetilen hizmet sağlayıcıları ile diğer bazı dijital sağlayıcılar ana yerleşim yerlerinin bulunduğu ülkenin; kamu yönetimi kuruluşları ise onları kuran devletin yetkisine tabidir.

Kıbrıs Cumhuriyeti’nde kurulu kuruluşlar için muhatap makam Dijital Güvenlik Otoritesidir. Yasadaki ayrıntılar için resmî metni ve makamın yönlendirmelerini hukuk danışmanınızla birlikte esas alın.

09Önümüzdeki aylarda izlenecekler

• Kıbrıs Cumhuriyeti’nde Dijital Güvenlik Otoritesinin duyuruları ve yönlendirmeleri.
• Komisyonun 19 Kasım 2025 tarihli Dijital Omnibus önerisi (harici bir site açılır), COM(2025) 837: NIS2, Genel Veri Koruma Tüzüğü (GDPR), DORA ve diğer düzenlemeler kapsamındaki olay bildirimlerini ENISA’nın işlettiği tek bir giriş noktasından geçirmeyi öngörüyor. Ekim 2026’da öneri hâlâ Avrupa Parlamentosunun önündeydi (harici bir site açılır)); kabul edilip uygulanmaya başlayana kadar mevcut kanallar ve süreler geçerlidir.
• 22. madde kapsamında kritik BİT tedarik zincirlerine ilişkin koordineli AB risk değerlendirmeleri; kuruluşlar tedarikçi önlemlerini seçerken bunları dikkate almalıdır.
• Yazılım ürünleri için Siber Dayanıklılık Yasası takvimi; tam uygulama 11 Aralık 2027’de başlıyor.

Finansal kuruluşlar için Dijital Operasyonel Dayanıklılık Tüzüğü (DORA), BİT risk yönetimi, olay bildirimi ve denetim konularında NIS2 kurallarının yerini alır; ayrıntılar için DORA ve BİT hizmet sağlayıcıları üzerine makalemizi okuyun. Komisyon, NIS2 Direktifi’ne ve uygulama düzenlemelerine ilişkin genel bir bakışı NIS2 politika sayfasında (harici bir site açılır) sunar.