"NIS2 direktifi nedir, AB'deki müşterilerimiz neden bizden siber güvenlik belgesi istiyor?" sorusu, Avrupa'ya ürün ya da hizmet veren Türk şirketlerinde giderek daha sık soruluyor. NIS2, Avrupa Birliği'nin ağ ve bilgi sistemlerinin güvenliğine ilişkin ortak çerçevesi. Doğrudan Türkiye'de uygulanmıyor; ancak AB'deki müşteriler, iştirakler ve dijital hizmetler üzerinden Türk şirketlerine de ulaşabiliyor.
Bu yazıda direktifin kapsamını, kuruluş türlerini, bildirim sürelerini ve uygulama takvimini yalnız direktif metninde ve AB kurumlarının resmî sayfalarında yazdığı kadarıyla özetliyoruz. Türkiye'deki yükümlülükler ise ayrı bir çerçeve; onları 7545 sayılı Siber Güvenlik Kanunu yazısında ele aldık.
NIS2 direktifi nedir?
Resmî adıyla Direktif (AB) 2022/2555, 14 Aralık 2022'de kabul edildi ve 27 Aralık 2022'de AB Resmî Gazetesi'nde yayımlandı. Metnin Türkçe sürümü yok; bu yazıdaki aktarımlar İngilizce metinden. ENISA'ya göre direktif 16 Ocak 2023'te yürürlüğe girdi ve önceki NIS direktifinin (2016/1148) yerini aldı.
Bir direktif olarak NIS2 şirketlere değil üye devletlere hitap ediyor (md. 46). Şirketler için bağlayıcı olan, her üye devletin direktifi aktardığı ulusal mevzuat. Takvim de buna göre işliyor:
- 17 Ekim 2024: Üye devletlerin ulusal düzenlemeleri kabul edip yayımlaması gereken tarih (md. 41).
- 18 Ekim 2024: Ulusal düzenlemelerin uygulanmaya başlaması ve NIS1'in yürürlükten kalkması (md. 41, md. 44).
- 17 Nisan 2025: Üye devletlerin temel ve önemli kuruluş listesini oluşturması; liste en az iki yılda bir gözden geçiriliyor (md. 3/3).
Aktarım her ülkede aynı hızda ilerlemedi. Avrupa Komisyonu'nun aktarım sayfasına göre Komisyon, 7 Mayıs 2025'te tam aktarımı bildirmeyen 19 üye devlete gerekçeli görüş gönderdi. Bu nedenle bir şirketin bakması gereken asıl metin, faaliyet gösterdiği ülkenin NIS2 uyum yasası.
Kimleri kapsar? Temel ve önemli kuruluşlar
Direktif, Ek I ve Ek II'de sayılan türlerdeki kamu ya da özel kuruluşlara uygulanıyor. Ölçüt, AB'nin KOBİ tanımına göre orta ölçekli ya da daha büyük olmak ve hizmeti AB içinde sunmak ya da faaliyeti AB içinde yürütmek (md. 2/1). Sektörler iki ekte toplanıyor:
- Ek I, yüksek kritiklikteki sektörler: enerji, ulaştırma, bankacılık, finansal piyasa altyapıları, sağlık, içme suyu, atık su, dijital altyapı, BİT hizmet yönetimi (işletmeden işletmeye), kamu yönetimi ve uzay.
- Ek II, diğer kritik sektörler: posta ve kurye, atık yönetimi, kimyasalların üretimi ve dağıtımı, gıda üretimi, işlenmesi ve dağıtımı, imalat, dijital sağlayıcılar ve araştırma.
Bazı kuruluşlar büyüklükten bağımsız olarak kapsamda: kamuya açık elektronik haberleşme sağlayıcıları, güven hizmeti sağlayıcıları, üst düzey alan adı sicilleri ve DNS hizmet sağlayıcıları, alan adı kayıt hizmeti verenler ve üye devletin tek sağlayıcı ya da kritik saydığı kuruluşlar (md. 2/2-2/4).
Kapsamdaki kuruluşlar iki gruba ayrılıyor (md. 3). Temel kuruluşlar ağırlıkla Ek I'deki ve orta ölçek eşiklerini aşan kuruluşlar ile üye devletin bu sınıfa aldıkları. Önemli kuruluşlar ise kapsamda olup temel sayılmayan tüm kuruluşlar. Fark denetimde: temel kuruluşlar yerinde denetim ve düzenli güvenlik denetimleri gibi önleyici gözetime tabi (md. 32); önemli kuruluşlarda ise uyumsuzluk kanıtı ya da bilgisi geldiğinde sonradan (ex post) denetim öngörülüyor (md. 33).
Şirketlerden ne isteniyor?
Yönetimin sorumluluğu (md. 20). Yönetim organları siber güvenlik risk yönetimi tedbirlerini onaylamak, uygulanmasını gözetmek ve eğitim almakla yükümlü; md. 21 ihlallerinden sorumlu tutulabiliyorlar.
Risk yönetimi tedbirleri (md. 21). Tedbirlerin "tüm tehlikeler" yaklaşımına dayanması ve en az şu başlıkları içermesi gerekiyor: risk analizi ve bilgi sistemi güvenliği politikaları, olay yönetimi, iş sürekliliği ve kriz yönetimi, tedarik zinciri güvenliği, sistem edinme ve geliştirmede güvenlik ile zafiyet yönetimi, tedbirlerin etkinliğini ölçme, temel siber hijyen ve eğitim, kriptografi, insan kaynakları güvenliği ile erişim ve varlık yönetimi, uygun durumlarda çok faktörlü kimlik doğrulama.
Olay bildirimi (md. 23). Hizmet sunumunu önemli ölçüde etkileyen "önemli olay" için ulusal CSIRT'e ya da yetkili makama aşamalı bildirim yapılıyor:
- Farkına varılmasından itibaren 24 saat içinde erken uyarı,
- 72 saat içinde olay bildirimi ve ilk değerlendirme,
- Yetkili makam isterse ara rapor,
- Olay bildiriminden itibaren en geç bir ay içinde nihai rapor; olay sürüyorsa o tarihte ilerleme raporu.
AB'ye hizmet veren Türk şirketleri için anlamı
Direktif AB dışındaki şirketlere genel bir yükümlülük yazmıyor; etkisi metindeki üç dayanak üzerinden doğuyor.
1. AB'de yerleşik iştirak. Kapsamdaki kuruluşlar kural olarak yerleşik oldukları üye devletin yetkisine giriyor (md. 26/1). Bir Türk grubunun AB'de kurulu ve Ek I-II sektörlerinde faaliyet gösteren şirketi, ölçek koşulunu taşıyorsa o ülkenin NIS2 uyum yasasına tabi olabilir.
2. AB'de yerleşik olmayan dijital hizmet sağlayıcılar. Bulut bilişim, veri merkezi, içerik dağıtım ağı, yönetilen hizmet ve yönetilen güvenlik hizmeti sağlayıcıları ile çevrim içi pazar yeri, arama motoru ve sosyal ağ platformları AB'de yerleşik değilse ancak AB'de hizmet sunuyorsa, AB'de bir temsilci atamak zorunda (md. 26/3). Temsilci yoksa hizmet verilen her üye devlet işlem başlatabiliyor. Bu hüküm yalnız sayılan hizmet türleri için geçerli; diğer sektörlerdeki AB dışı şirketler için metinde temsilci zorunluluğu yok.
3. Kapsamdaki müşterinin tedarikçisi olmak. Uygulamada en yaygın etki bu. Md. 21/2-(d), tedarik zinciri güvenliğini doğrudan tedarikçi ve hizmet sağlayıcılarla ilişkileri de kapsayacak biçimde istiyor; md. 21/3 de her tedarikçinin zafiyetlerinin ve güvenli geliştirme uygulamalarının dikkate alınmasını öngörüyor. Direktifin gerekçesi, bu tedbirlerin doğrudan tedarikçilerle yapılan sözleşmelere yansıtılmasını teşvik ediyor. Direktif tedarikçiye kendiliğinden bir yükümlülük yüklemiyor; ancak AB'deki müşteri, kendi uyumu için sözleşmeye güvenlik maddeleri, olay bildirimi taahhüdü ya da denetim hakkı koymak isteyebilir. Bu talepleri karşılamada ISO 27001 bilgi güvenliği yönetim sistemi gibi bir çerçeve ortak bir dil sağlayabilir.
Yaptırımlar: madde ve tür
Direktif yaptırım tutarlarını üye devletlere asgari üst sınırlar biçiminde bırakıyor; bu yazıda tutar verilmiyor. Yaptırım türleri ise şöyle:
- Denetim ve icra tedbirleri (md. 32-33): uyarı, bağlayıcı talimat, eksikliklerin giderilmesi emri, denetim önerilerinin uygulanması emri, ihlalin kamuya açıklanması emri.
- Temel kuruluşlara ek tedbirler (md. 32/5): önceki tedbirler sonuç vermezse ilgili sertifika ya da yetkinin geçici askıya alınması ve üst yöneticinin yönetim görevinden geçici olarak men edilmesinin talep edilmesi.
- İdari para cezası (md. 34): md. 21 ve md. 23 ihlallerinde; temel ve önemli kuruluşlar için ayrı üst sınırlar ve dünya genelindeki yıllık ciroya bağlı bir hesaplama öngörülüyor.
- Ulusal yaptırımlar (md. 36): üye devletler etkili, orantılı ve caydırıcı yaptırım kurallarını ayrıca belirliyor.
Değişiklik önerisi
Avrupa Komisyonu'nun NIS2 sayfasına göre Komisyon, 20 Ocak 2026'da yeni bir siber güvenlik paketi kapsamında NIS2'de hukuki açıklığı artırmaya yönelik hedefli değişiklikler önerdi. Bu bir öneri; kabul edilene kadar yürürlükteki metin 2022/2555.
Nereden başlamalı?
Aşağıdaki adımlar direktif maddelerinden türetilmiş genel bir çerçevedir:
- Konumu belirleyin: AB'de yerleşik iştirak, AB'ye doğrudan dijital hizmet ve AB'deki kapsamdaki müşterilere tedarik ilişkilerini ayrı ayrı listeleyin.
- Ülke yasasını bulun: Faaliyet gösterilen her üye devletin NIS2 uyum yasasını ve yetkili makamını belirleyin.
- Müşteri taleplerine hazırlanın: Md. 21/2'deki on başlığa karşı mevcut politika ve kanıtlarınızı eşleyin.
- Bildirim akışını yazın: Müşteriyi etkileyebilecek bir olayda kimin, hangi sürede bilgi vereceğini tanımlayın.
Sonuç
NIS2 Türkiye'de doğrudan uygulanmıyor; ancak AB'deki iştirakler, AB'ye sunulan dijital hizmetler ve kapsamdaki müşterilerin tedarik zinciri talepleri üzerinden Türk şirketlerini ilgilendiriyor. Orient Global'in bakışıyla, md. 21'deki başlıkları bugünden belgeli bir uyum haritasına dönüştürmek, hem AB müşterilerinin sorularına hem de 7545 kapsamındaki yerel yükümlülüklere aynı temelden yanıt vermeyi kolaylaştırır.
Bu yazı genel bilgilendirme amaçlıdır; hukuki ya da mali tavsiye niteliği taşımaz. Kendi durumunuz için uzmanınıza danışın.
#interimmanagement #forwarddeployedengineering