Modern ağ ve güvenlik çözümleriyle NIS2 gerekliliklerini nasıl karşılayabilirsiniz?

Siber güvenliğin güçlendirilmesi ihtiyacı yadsınamaz. Statista'nın küresel veri uzmanlarına göre, siber suçlar günümüzün en yaygın ve zararlı suçları arasında giderek daha fazla yer almaktadır. Bu artan tehdide yanıt olarak, Avrupa Birliği (AB) günümüzün karmaşık siber güvenlik ortamını daha iyi ele almak ve işletmeler ve kuruluşlar için daha geniş bir koruma sağlamak amacıyla NIS2 Direktifini güncellemiştir.

1. NIS2 Direktifi nedir?

NIS2, AB üye ülkelerinde siber güvenliğin seviyesini yükseltmeyi ve Avrupa Birliği'ni siber suçlara karşı daha dirençli hale getirmeyi amaçlayan "Ağ ve Bilgi Güvenliği (NIS) Direktifi"nin bir değişikliğidir.

Şirketler için yeni NIS2 gereklilikleri ile daha fazla sektörün güvenlik önlemlerini analiz etmesi ve daha sıkı güvenlik standartlarına uyum sağlaması gerekecektir. Üye ülkeler arasında olaylara müdahaleyi iyileştirmeleri ve istihbarat paylaşımını güçlendirmeleri gerekecektir. Bu, birleşik ve daha güçlü bir siber güvenlik düzeyi oluşturmayı amaçlamaktadır. Ancak, NIS2 Direktifi, mevcut siber güvenlik önlemlerinizin tamamen yenilenmesini gerektirmez. Çoğu durumda, belirli alanların iyileştirilmesi ve mevcut prosedürlerin geliştirilmesi söz konusudur. Şirketler, özellikle bulutta, halihazırda kullanabilecekleri araçları yeterince kullanmıyor olabilir. Yeni sistemlere yatırım yapmadan önce, mevcut çözümlerin nasıl güçlendirilebileceğini düşünmek önemlidir.

Orijinal direktife kıyasla, NIS2 öncülünden daha sağlamdır ve kritik ürün üreticileri, kamu yönetimi ve uzay dahil olmak üzere daha geniş bir sektör yelpazesini etkilemektedir. İki aşamalı bir sistem getirerek, kuruluşları "temel kuruluşlar" (Ek I) veya "önemli kuruluşlar" (Ek II) olarak sınıflandırır ve bu sınıflandırmaya göre farklı yükümlülükler, denetim düzeyleri ve cezalar getirir. Ayrıca, NIS2 Direktifi, uyumluluğu sağlamak için daha sıkı güvenlik önlemleri ve önemli ölçüde daha yüksek cezalar getirir. Ayrıca, sorumluluğu BT departmanlarından üst düzey yönetime kaydırır ve uyumsuzluk tespit edildiğinde yöneticiler kamuya açıklanma veya gelecekteki görevlerinden men edilme riskiyle karşı karşıya kalabilir.

NIS2 Direktifi siber güvenlik gereklilikleri için bir temel belirlerken, her AB üye devletindeki yerel yasa koyucuların direktifi güçlendirme veya kapsamını genişletme yetkisine sahip olduğunu belirtmek önemlidir. Örneğin, ek sorumluluklar getirebilir veya direktifin uygulanacağı sektörleri genişletebilirler. AB üye ülkeleri, NIS2'yi ulusal yasalarına entegre etmek için 17 Ekim 2024 tarihine kadar süreleri vardı. Bu, her ülkenin uyum planlarını geliştirmesi ve yayınlamasını gerektiriyordu. Şu anda, ülkeler kendi sınırları içindeki kuruluşlar için belirli zaman çizelgeleri oluşturuyor. Sonuç olarak, AB çapında bir uyum son tarihi yoktur. Zaman çizelgeleri ülkeye göre değişmektedir; çoğu son tarih 2025 olarak öngörülürken, bazıları 2026'nın başlarına kadar uzanmaktadır.

2. NIS2'nin Uygulanabilirliği: Kimler Etkileniyor?

Avrupa Birliği genelinde yaklaşık 160.000 kuruluş NIS2 direktifinden etkilenmektedir. Hangi tür şirketlerin NIS2 Direktifine tabi olduğu, faaliyet gösterdikleri sektör ve büyüklüklerine göre belirlenir.

Sektör Sınıflandırması:

• Temel kuruluşlar: Kritik altyapı ve hizmetlerin sürdürülmesi için hayati öneme sahip kuruluşlar. Bu kuruluşlarda meydana gelebilecek aksaklıklar, toplum ve ekonomi için ciddi sonuçlar doğurabilir.
• Önemli kuruluşlar: "Temel kuruluşlar" kadar kritik olmayan önemli hizmetler sunan kuruluşlar. Bu kuruluşlarda meydana gelebilecek aksaklıklar önemli etkiler yaratabilir.

Büyüklük Kriterleri:

• Mikro: >10 çalışan ve >2 milyon avro ciro veya bilanço
• Orta: >50 çalışan ve >10 milyon avro ciro veya bilanço
• Büyük: >250 çalışan ve >50 milyon avro ciro veya >43 milyon avro bilanço

NIS2'ye tabi olmak için, bir kuruluşun hem sektör bazlı hem de büyüklük bazlı kriterleri karşılaması gerekir.

3. Hedefler ve Temel Yükümlülükler

Yeni NIS2 gereklilikleri, AB üye devletlerinin siber güvenlik tehditlerine karşı dayanıklılığını güçlendirmeyi amaçlamaktadır. Hedefler, işletmeler ve kamu kurumları tarafından sağlanan temel hizmetlerin kötü niyetli müdahalelerden, veri kaybından ve operasyonel aksaklıklardan daha iyi korunmasını sağlamak üzere tasarlanmıştır.

Yönerge, kuruluşların sınıflandırmasına göre yükümlülükleri ve denetimi tanımlamaktadır:

• Temel kuruluşlar: NIS2'nin tüm kapsamına uymak, proaktif denetime (ex ante) tabi olmak, olayları belirtilen süre içinde CSIRT'ye bildirmek ve bağımsız denetimler yapmak zorundadır.
• Önemli kuruluşlar: Risk temelli güvenlik önlemlerini bağımsız olarak uygulamalı ve öz değerlendirme yoluyla doğrulamalıdır. Bu kuruluşlar, olaylar veya uyumsuzluk durumunda önlem alınarak reaktif denetime (ex post) tabidir.

İşletmeler, aşağıdakiler dahil olmak üzere sıkı siber güvenlik önlemleri uygulayarak NIS2 uyumluluğunu sağlayabilir:

• Risk Yönetimi ve Güvenlik Politikaları
• Olay Raporlama (24 saat içinde, 72 saat içinde tam rapor)
• İş Sürekliliği ve Kriz Yönetimi
• Tedarik Zinciri Güvenliği
• Yönetim Sorumluluğu

NIS2 ile siber güvenlik, yönetim kurulu düzeyinde bir öncelik haline gelir. Liderlik, uyumluluk ve risk yönetimini aktif olarak denetlemeli ve kendi hizmetlerinin ve tedarikçilerinin hizmetlerinin sıkı standartları karşıladığından emin olmalıdır.

İşletmeler, yeni düzenlemelere uyum sağlamanın ötesinde, şirketin her kademesindeki çalışanların hem operasyonları hem de verileri korumaya aktif olarak katıldığı bir güvenlik kültürünü teşvik etmeli ve desteklemelidir.

4. Sorumluluk ve Cezalar

NIS2 Direktifi, gerekliliklerine uymayan kuruluşlar için çeşitli cezalar tanımlamaktadır. Sorumluluk, BT uzmanlarından üst düzey yöneticilere kadar herkesi kapsamaktadır. Bu, üst düzey yöneticilerin etkili risk yönetimi ve denetimini sağlamaları gerektiği anlamına gelir.

Uygunsuzluk, işletmeleri ciddi şekilde etkileyebilir, örneğin:

• Finansal aksaklıklar: Para cezaları, güvenlik yatırımları yükümlülüğü
• İş kesintisi: Uyumluluk, düzenleyici izleme, lisans askıya alınmalarına odaklanma
• İtibar kaybı: Kamuya açıklama yükümlülükleri
• Yönetici sonuçları: Para cezaları, cezai sorumluluk ve görev yasakları

Uygunsuzluk nedeniyle uygulanabilecek finansal yaptırımlar şunlardır:

• Temel kuruluşlar için 10 milyon avroya kadar veya şirketin dünya çapındaki yıllık gelirinin %2'si
• Önemli kuruluşlar için 7 milyon avroya kadar veya şirketin dünya çapındaki yıllık gelirinin %1,4'ü

5. NIS2 Uyumluluğunu Sağlamak için Atılması Gereken Adımlar

Kuruluşunuzun NIS2 Direktifi kapsamında temel veya önemli kuruluş olarak sınıflandırılıp sınıflandırılmadığını anlamak çok önemlidir. Süreci daha yönetilebilir hale getirmek ve NIS2 gerekliliklerine uymak için üç temel alana odaklanın:

1. Danışmanlık ve süreç hizmetleri: Teknik güvenlik ihtiyaçlarını ele alın, kapsamlı politikalar ve prosedürler oluşturun ve uyumluluk için operasyonel değişiklikler uygulayın.
2. Teknoloji ve yönetilen çözümler/hizmetler: Gelişmiş güvenlik araçları kullanın, sürekli izleme ve güncellemeler sağlayın ve otomatik uygulama ile uyumluluğu destekleyin.
3. Güvenlik izleme ve doğrulama: Sistemleri sürekli izleyin, testler ve denetimler yoluyla güvenlik önlemlerini doğrulayın ve olayların zamanında raporlanmasını sağlayın.

Bu üç unsura odaklanarak, NIS2 uyumluluğuna yaklaşımınızı basitleştirebilir ve kuruluşunuzun dayanıklılığını güçlendirebilirsiniz.

6. Deutsche Telekom, şirketlerin NIS2 gerekliliklerini karşılamasına nasıl yardımcı oluyor?

Şimdi, işletmelerin siber güvenlik stratejilerini değerlendirip harekete geçme zamanıdır. Şirketlerin atabileceği birkaç basit ilk adım vardır, örneğin bir siber güvenlik yöneticisi atamak, net politikalar ve sorumluluklar belirlemek ve şirket içinde bir siber güvenlik denetimi yapmak.

Hangi yaklaşımı benimserseniz benimseyin, NIS2 Direktifi'nin sadece şirketlere daha fazla düzenleme getirmeyi amaçlamadığını unutmamak önemlidir. Aksine, kuruluşların verilerini ve işlerini güvence altına almalarına yardımcı olmayı amaçlamaktadır ve bu, hemen hemen her şirket için en önemli öncelik olmalıdır.

Deutsche Telekom'un çözümleri, ilgili tüm NIS2 gereklilikleriyle uyumludur ve varsayılan olarak uyumluluk için sağlam bir temel sağlar. Bunlar arasında SD-WAN (Yazılım Tanımlı Geniş Alan Ağı) ve SASE (Güvenli Erişim Hizmeti Kenarı), direktifin siber güvenlik taleplerini karşılamayı amaçlayan kuruluşlar için güçlü birer destekleyici olarak öne çıkmaktadır.

Bu teknolojilerin sağladığı gibi güvenli, ölçeklenebilir ve merkezi olarak yönetilen ağlarda sağlam bir temel, NIS2'nin risk yönetimi, güvenli erişim ve ağ görünürlüğü gerekliliklerini yerine getirmek için çok önemlidir.

• SD-WAN, dağıtılmış ortamlarda esnek, şifreli bağlantı ve merkezi kontrol sağlar.
• SASE, Zero Trust Network Access (ZTNA), Secure Web Gateways ve Cloud Access Security Brokers gibi bulut tabanlı güvenlik işlevleri sunar ve bunların tümü, hibrit bir çalışma ortamında verileri ve kullanıcıları korumak için gereklidir.

Ancak uyumluluk mimariyle sınırlı değildir; operasyonel mükemmellik de gerektirir. İşte bu noktada Deutsche Telekom'un siber güvenlik uzmanlığı devreye girer. Avrupa'nın en büyük Siber Savunma ve Güvenlik Operasyon Merkezi (SOC) ile günlük olarak bir milyardan fazla veri noktasını izleyen Deutsche Telekom, 7/24 tehdit algılama, olay müdahale ve güvenlik açığı yönetimi hizmetleri sunar.

Siber güvenlik hizmetleri arasında otomatik sızma testleri, uyumluluk denetimleri ve güvenlik farkındalık eğitimi yer alır ve bunların tümü NIS2'nin teknik ve organizasyonel önlemler konusundaki zorunluluklarını doğrudan destekler.

SD-WAN ve SSE, yani SASE'nin ağ ve güvenlik bileşenleri, bir araya gelerek kuruluşların NIS2 yükümlülüklerini yerine getirmelerine yardımcı olmakla kalmayıp, daha güvenli ve dayanıklı bir dijital gelecek inşa etmelerini sağlayan kapsamlı, bulut tabanlı bir mimari oluşturur.

Aşağıdaki tablo, SASE'nin temel bileşenlerinin, özellikle erişim kontrolü, tehdit önleme ve bulut güvenliği gibi alanlarda belirli NIS2 uyumluluk gerekliliklerini nasıl doğrudan desteklediğini özetlemektedir.

SD-WAN ile ilgili olarak, aşağıdaki tablo, ağ ile ilgili özelliklerin dağıtılmış ortamlarda ağ esnekliğini, görünürlüğü ve güvenli veri akışını geliştirerek NIS2 uyumluluğuna nasıl katkıda bulunduğunu göstermektedir.

NIS2 Maddelerine Uygun Güvenlik Hizmetleri

SASE ve SD-WAN size mimari ve bağlantı sağlarken, Deutsche Telekom'un siber güvenlik hizmetleri NIS2'nin daha zorlu gereksinimlerini karşılamak için operasyonel gücü sağlar. İşte nasıl:

NIS2 uyumluluğunu sağlamak için parçalı araçlar yetmez; entegre, stratejik bir yaklaşım gerekir. SD-WAN, SASE ve sağlam operasyonel güvenlik yeteneklerini bir araya getiren kuruluşlar, yalnızca yasal gereklilikleri karşılamakla kalmayıp, aynı zamanda dayanıklılığı ve operasyonel çevikliği de güçlendiren kapsamlı bir siber güvenlik mimarisi oluşturabilirler.

7. Neden Deutsche Telekom'u Seçmelisiniz?

Deutsche Telekom, işletmelerin bu yeni zorlukların üstesinden gelmelerine ve NIS2 Direktifi'nin gerekliliklerini karşılamalarına yardımcı olmaya kararlıdır. Günümüzün sürekli değişen dijital ortamında operasyonlarınızın güvenliğini sağlamak bizim misyonumuzdur - çünkü siber güvenliğiniz bizim işimizdir!

İşletmenizi daha güvenli hale getirmek için Deutsche Telekom'u seçmeniz için pek çok iyi neden var:

• Güvenlik DNA'sı: Mobil cihazların korunması, güvenlik açığı taraması, kimlik ve erişim yönetimi, akıllı saldırı tespiti ve izleme, kapsamlı tehdit kütüphanemiz veya küresel güvenlik operasyon merkezleri ağımız olsun, güvenlik yaptığımız her şeyin derinlerinde yer alır.
• Deneyim: Bağlantıdan bulut hizmetlerine ve 7/24 desteğe kadar, çeşitli sektörler ve kamu sektörü için iş açısından kritik ICT altyapısını uçtan uca güvenli bir şekilde nasıl çalıştıracağımızı ve koruyacağımızı onlarca yıldır biliyoruz.
• Lider ekosistem: Ortak ekosistemimiz, güvenlik, yazılım tanımlı ağ katmanları ve bulut hizmetleri alanlarında lider teknoloji tedarikçilerinden oluşur.
• Küresel erişim - Yerel dokunuş: Yirmi sekiz ülkede yasal tüzel kişiliklere sahip olan şirketimiz, yerel bilgi ve uzmanlığı bir araya getirerek küresel ölçekte müşterilerine hizmet vermektedir.
• İlke olarak sürdürülebilirlik: Yirmi yılı aşkın bir süredir, çevresel ve sosyal sorumluluk günlük işlerimizin temel unsurları ve kurumsal yönetişimimizin ayrılmaz parçalarıdır.

NIS2 Direktifi sadece bir yasal gereklilik değil, aynı zamanda stratejik bir fırsattır. Siber güvenlik uygulamalarını NIS2 ile uyumlu hale getirerek, kuruluşlar riskleri azaltabilir, cezaları önleyebilir ve operasyonları genelinde güven ve dayanıklılık oluşturabilir. 

Öncülük edin − NIS2 hazırlığını değerlendirme fırsatını kaçırmayın

Ücretsiz danışmanlık randevusu almak ve uyumluluk yolculuğunuza güvenle başlamak için iletişim formunu kullanarak ağ ve siber güvenlik uzmanlarımızla bugün iletişime geçin.