NIS1-dən NIS2-yə keçid və Yeni Kiber Risk
Avropa İttifaqının 2024-cü ildən etibarən qəbul etdiyi NIS2 Direktivi növbəti nəsil kibertəhlükəsizlik qaydasıdır və yalnız AB üzv dövlətlərinə deyil, həm də AB ilə işləyən bütün təchizatçı və xidmət təminatçılarına birbaşa təsir edir. NIS1 ilə müqayisədə, daha əhatəli, daha çətin, daha sürətlidir və təchizat zənciri təhlükəsizliyinə əsaslanan yanaşma gətirir.
NIS2 Avropada kiberrisk idarəetmə mədəniyyətini köklü şəkildə dəyişir, şirkətləri daha fəal, şəffaf və daha hesabatlı modelə keçməyə məcbur edir. Xüsusilə ransomware hücumları, təchizat zənciri zəiflikləri və kritik infrastrukturu hədəfləyən təhdidlər nəzərə alınanda, NIS2 yalnız uyğunluq mandatı deyil; Bu, şirkətlərin biznes davamlılığını qorumaq üçün strateji təhlükəsizlik çərçivəsinə çevrilir.
Türkiyə şirkətləri üçün vəziyyət daha da kritik olur: Avropa İttifaqında fəaliyyət göstərən şirkətlər indi bütün təchizatçılarından NIS2 uyğunluğunu müqavilə əsasında tələb etməlidirlər. Buna görə də, proqram təminatı ixrac etməyinizdən və ya AB-yə maliyyə, enerji, logistika və ya istehsalda xidmət etməyinizdən asılı olmayaraq, NIS2 uyğunluğu rəqabət üstünlüyü deyil, kommersiya zərurəti olur.
Rəqəmsal transformasiyanın başgicəlləndirici sürəti hüquqi tənzimləmələrin eyni dinamikliklə təkamülünü tələb edir. 2016-cı ildə həyatımıza daxil oldu Şəxsi Məlumatların Qorunması Qanunu (KVKK)2026-cı il vizyonu ilə radikal bir dəyişiklik ərəfəsindədir. Avropa İttifaqı GDPR, NIS2 və DORA Belə sərt qaydalarla harmonizasiya prosesi gözlənilən yeni qaydaların əhatə dairəsini genişləndirir. Bu proses şirkətlərdən yalnız hüquqi mətnlərini yeniləməyi deyil; O, kibertəhlükəsizlik arxitekturasının, texniki tədbirlərin, məlumat idarəetmə strategiyalarının və biznes davamlılığı planlarının tam yenidən qurulmasını tələb edəcək.
Artıq sadəcə məlumat sızmalarına qarşı “reaktiv” hərəkət etmək kifayət deyil (hadisədən sonra yanğını söndürməyə çalışmaq); bu, hətta qanuni olaraq cinayət sayıla biləcək səhlənkarlığın əlamətidir. KVKK 2026 prosesi, şirkətlər “Proaktiv”bizi ölçülə bilən, yoxlanıla bilən və davamlı məlumatların qorunması ekosistemi yaratmağa məcbur edir. Məlumat təhlükəsizliyini “xərc maddəsi” kimi görən bizneslər yaxın gələcəkdə həm ağır inzibati cərimələrlə, həm də bərpa olunmaz nüfuz zədəsi ilə üzləşəcəklər. Bu geniş bələdçidə şirkətinizin immun sistemini yaxınlaşan dəyişikliklərə qarşı gücləndirmək üçün texniki dərinliyi və strateji ölçüləri ilə bağlı 7 vacib addımı müzakirə edirik.
Əhatə dairəsinin genişləndirilməsi və təsnifatı
NIS2 iki əsas kateqoriyanı müəyyən edir və sektorun əhatə dairəsini xeyli genişləndirir. Bu o deməkdir ki, Aİ ilə iş görən Türkiyə şirkətləri daha çox sektorda uyğunluq tələbləri ilə üzləşə bilərlər.
1. Əsas Varlıqlar
Bu qurumlar kritik infrastrukturun əsasını təşkil edir və həm əməliyyat riski, həm də milli təhlükəsizlik baxımından ən yüksək nəzarətə məruz qalırlar:
- Enerji: Elektrik, qaz, neft və yeni əlavə olunan hidrogen sektoru.
- Nəqliyyat: Hava, dəmir yolu, dəniz və avtomobil nəqliyyatı.
- Maliyyə və Bankçılıq: Bank əməliyyatları və bazar infrastrukturu.
- Sağlamlıq: Xəstəxanalar, laboratoriyalar, əczaçılıq istehsalı və AR-GE mərkəzləri.
- Rəqəmsal İnfrastruktur: Bulud xidmətləri, məlumat mərkəzləri, DNS təminatçıları və məzmun çatdırılma şəbəkələri (CDN).
- İctimai İdarəetmə, Su və Tullantı İdarəetməsi, Təhlükəsiz Kommunikasiya Xidmətləri.
2. Vacib Varlıqlar
Bu kateqoriya, daha geniş ekosistemi əhatə edir və Aİ dəyər zəncirində kritik rol oynayan şirkətləri əhatə edir. Türkiyə texnologiya və istehsal sektoru üçün ən vacib genişlənmə buradadır:
- Proqram təminatı tərtibatçıları və rəqəmsal xidmət təminatçıları.
- İstehsal: Avtomobil, elektronika, kimya, qida və tibbi cihazlar.
- Poçt, Yük və Logistika Şirkətləri.
- Məlumat Mərkəzləri və Tədqiqat Təşkilatları.
- İdarə olunan Təhlükəsizlik Təchizatçıları (MSP-lər).
Bu Türkiyə şirkətləri üçün nə deməkdir? Aİ-də Vacib və ya Vacib Qurum ilə işləyən hər bir Türkiyə şirkəti NIS2 çərçivəsində “dolayı yolla öhdəlikli təchizatçı” sayılır. Bu, NIS2 əlavələrinin müqavilələrə daxil edilməsini, müntəzəm texniki auditlərin aparılmasını və GDPR-dən kənar təhlükəsizliyin sübutunun təmin edilməsini nəzərdə tutur.
Ən Vacib 3 Yeni Öhdəlik
Aşağıdakı öhdəliklər həm Aİ şirkətləri, həm də onlara xidmət göstərən Türkiyə şirkətləri üçün yeni standart halına gəlir.
1. Gücləndirilmiş Risk İdarəetməsi və Kibergigiyena
NIS2 şirkətlərdən texniki, əməliyyat və idarəetmə səviyyələrində kiberrisk idarəetmə proseslərini həyata keçirməsini tələb edir. Artıq “əlimizdən gələni etdik” demək kifayət deyil; Aşağıdakı idarəetmələr standart sayılır:
- MFA (Çoxfaktorlu Autentifikasiya): Bütün kritik sistemlərə giriş məcburidir.
- Məcburi Şifrələmə: Məlumatların həm istirahət zamanı, həm də ötürmə zamanı (daşınmada) şifrələnməsi.
- İmtiyazlı Giriş İdarəetməsi (PAM): Yüksək səlahiyyətli istifadəçilərin davamlı izlənməsi.
- Sıfır Etibar: Davamlı istifadəçi və cihaz yoxlaması (heç vaxt etibar etmə, həmişə yoxla).
- XDR/SIEM İstifadəsi: Təhdid aşkarlanması, hadisə əlaqəsi və sürətli reaksiya qabiliyyəti.
- Patch İdarəetməsi və Biznes Davamlılığı: Zəifliklərin müvəqqəti bağlanması və fəlakət bərpa planlarının sınağı.
2. Sürətli Hadisə Bildirişi: 24 Saat Sonra İlk Hesabat
NIS2-nin ən sərt maddələrindən biri kiberinsident bildiriş dövrləridir:
- 24 Saat: “Erkən Xəbərdarlıq” – Hadisənin sərhədi keçən təsiri olub-olmadığını bildirir.
- 72 Saat: Ətraflı Hadisə Bildirişi – Texniki detallar və təsir analizi təqdim olunur.
- 1 Ay: Son Hesabat – Əsas səbəb analizi və görülən tədbirlər.
Türkiyə təchizatçıları üçün kritik qeyd: Əgər tərəfdaşınız Avropa İttifaqında təhlükəsizlik insidenti ilə qarşılaşarsa, hadisənin mənbəyini və təsirini anlamaq üçün 24 saat ərzində öz sistemlərinizdən loglar, forensik nəticələr və texniki detalları tələb edə bilər. Bu, Türkiyə şirkətlərinin davamlı monitorinq (24/7 SOC) və insidentlərə cavab prosedurlarını tətbiq etməsini məcburi edir.
3. Təchizat Zənciri Təhlükəsizliyi
NIS2 təchizat zənciri risklərini tənzimləmənin mərkəzinə qoyur. Aİ şirkətləri indi təchizatçılarından tələb etməyə məcburdurlar:
- Təhlükəsizlik sertifikatları (ISO 27001, SOC 2).
- Müntəzəm penetrasiya testləri və kod analiz hesabatları.
- Təhlükəsiz proqram təminatı inkişaf proseslərinin (SDLC) sübutu.
- Təchizatçı risk qiymətləndirmə formaları və zəiflik idarəetmə hesabatları.
AB şirkətləri təhlükəli hesab etdikləri halda təchizatçıları sistemdən çıxarmaq və ya müqaviləni ləğv etmək hüququna malikdirlər.
Hüquqi və maliyyə nəticələri: Türk şirkəti cərimə ödəyirmi?
Bu bölmədə türk administratorları tərəfindən ən çox verilən sualın cavabı yer alır.
- Dolayı cəza, birbaşa deyil: AB orqanları Türkiyə şirkətlərinə birbaşa inzibati cərimələr (dövriyyənin 2%-i və ya 10 milyon Avro) tətbiq edə bilməzlər.
- Müqavilə üzrə Müdafiə (Təzminat): Lakin, əgər Avropa ana şirkəti pozuntu ilə üzləşərsə və təchizatçısı (siz) səbəbindən cərimə alsa, bu cərimə sizin aranızdakı müqavilənin kompensasiya maddələrinə uyğun olaraq sizə əks olunacaq. Başqa sözlə, cəriməni biznes tərəfdaşınıza ödəyirsiniz, dövlətə yox.
- İcra Məsuliyyəti: Avropa İttifaqındakı menecerlər şəxsi məsuliyyət daşıdıqları üçün Türkiyə təchizatçılarını audit etməkdə son dərəcə dözümsüz olacaqlar.
Türkiyə Bazarına Təsiri – Böhran və Fürsət
Aİ ilə iş görən minlərlə türk şirkəti üçün NIS2 yalnız tənzimləmə deyil, həm də kommersiya maneəsi və ya körpüsünə çevrilir.
Böhran və İmkanların Tarazlığı
- Böhran: Təhlükəsizlik səviyyəsini sübut edə bilməyən şirkətlər tenderlərdən çıxarıla, mövcud müqavilələr ləğv edilə və ya “riskli təchizatçılar” kimi qara siyahıya salına bilər.
- İmkan: NIS2 uyğunluğunu təsdiqləyən Türkiyə şirkətləri AB bazarında “təhlükəsiz limanlar” kimi mövqeləndirilir. Bu, uzunmüddətli müqavilələrdə rəqiblərə qarşı böyük rəqabət üstünlüyü yaradır.
NIS2 – KVKK – GDPR Triangle
Türkiyə şirkətlərinin ən böyük üstünlüyü odur ki, NIS2 bir çox məqamlarda KVKK və GDPR-ə uyğundur (Məlumat təhlükəsizliyi, hadisə bildirişi, risk qiymətləndirməsi). Mövcud KVKK/GDPR infrastrukturu olan şirkətlər NIS2-nin gətirdiyi biznes davamlılığı və əməliyyat təhlükəsizlik qatlarını bu əsasda qurmaqla prosesi sürətləndirə bilərlər.
- KVKK/GDPR: O, məlumatların məxfiliyini qoruyur.
- NIS2: Xidmətin mövcudluğunu qoruyur.
Türkiyə Şirkətləri üçün 5 Addımlı Fəaliyyət Planı
Adaptasiya prosesinə haradan başlamaq lazımdır? İnfosec mütəxəssisləri tərəfindən tövsiyə olunan yol xəritəsi budur:
- Ölçmə və Inventar: Hansı xidmətlərinizin AB müştəriləri üçün vacib olduğunu müəyyən edin və bu sistemlərin tam aktiv inventarını aparın.
- Texniki Boşluq Analizi: Mövcud təhlükəsizlik vəziyyətiniz ilə NIS2 tələbləri arasında texniki auditlə fərqləndirin. Audit yalnız kağız üzərində deyil, həm də texniki konfiqurasiyalarda aparılır.
- Müqavilə İcmalı: Mövcud müştəri müqavilələrinizdəki kibertəhlükəsizlik və kompensasiya maddələrini hüquq komandanızla birlikdə nəzərdən keçirin; Mümkün yeni tələblərə hazır olun.
- Hadisəyə Reaksiya Təlimi: 24 saat ərzində hesabat vermək qabiliyyətinizi yoxlamaq üçün “Masaüstü” məşqlər keçirin.
- Təchizatçı İdarəetməsi: Öz podratçılarınızı da auditə başlayın; Zəncirin ən zəif halqası olma.
NIS2 uyğunluğunu bu gün başlatmaq rəqabət qabiliyyətinizi artırır
NIS2 Avropa ilə işləyən bütün Türkiyə şirkətləri üçün yeni standart müəyyən edir. Uyğunlaşmayan şirkətlər bazar itkisi riski daşıyır, uyğunlaşanlar isə Avropanın rəqəmsal ekosistemində əvəzolunmaz tərəfdaşlar olacaqlar. İndi, kibertəhlükəsizlik tender faylınızın yuxarısındakı sənəddir.
Infosec olaraq, biz NIS2 uyğunluq prosesinizdə sizinlə birlikdəyik. Biz mövcud vəziyyətinizi texniki, inzibati və əməliyyat baxımından təhlil edirik (Gap Analysis), tam yol xəritəsi təqdim edirik və sistemlərinizi AB standartlarına uyğunlaşdırırıq.
