AB'nin NIS2 Direktifi, siber güvenlik standartlarını eskisine göre çok daha fazla şirket için zorunlu kılıyor. Almanya'daki ulusal uygulama (NIS2-UmsuCG), tahminen 30.000 şirketi kapsıyor. Kapsama girenlerin büyük bölümü ise henüz hazırlıklara başlamış değil. İşte yol haritası.
Kimler kapsamda?
NIS2, kuruluşları temel ve önemli olmak üzere iki kategoriye ayırıyor. Temel kuruluşlar, kritikliği yüksek sektörlerdeki (enerji, ulaşım, bankacılık, sağlık, dijital altyapı) büyük şirketlerdir. Önemli kuruluşlar ise bu sektörlere ek olarak posta, gıda, kimya ve dijital hizmet sağlayıcıları gibi sektörlerde faaliyet gösteren orta ölçekli şirketlerdir.
Eşik değerler:
- Orta ölçekli şirket: 50–249 çalışan veya yıllık ciro 10–50 milyon €
- Büyük şirket: 250+ çalışan veya yıllık ciro > 50 milyon €
Yükümlülüklere genel bakış
1. Risk Yönetimi Önlemleri (Md. 21)
- Risk analizi ve bilgi sistemleri güvenliği konsepti
- Siber güvenlik olaylarının yönetimi
- İş sürekliliğinin sağlanması (BCM)
- Tedarik zinciri güvenliği
- IT sistemlerinin tedariki, geliştirilmesi ve bakımında güvenlik
- Önlemlerin etkinliğini değerlendirme konseptleri
- Kriptografi ve şifreleme konseptleri
- Personel güvenliği (farkındalık, erişim kontrolü)
- Çok faktörlü kimlik doğrulama
2. Bildirim Yükümlülükleri (Md. 23)
- Erken uyarı: Önemli bir siber güvenlik olayının öğrenilmesinden itibaren 24 saat içinde
- Bildirim: Öğrenilmesinden itibaren 72 saat içinde — ilk değerlendirme ile birlikte
- Nihai rapor: Bildirimden itibaren en geç 1 ay içinde
3. Yönetici Sorumluluğu
Şirket yönetimi, siber güvenlik önlemlerini onaylamak ve uygulanmasını denetlemekle yükümlüdür. Yöneticiler için eğitim zorunluluğu bulunur. İhlal hâlinde kişisel sorumluluk doğar.
İhlal hâlinde temel kuruluşlar için 10 milyon € veya küresel yıllık cironun %2'sine kadar idari para cezası öngörülüyor. Önemli kuruluşlar için ise 7 milyon € veya cironun %1,4'ü. Buna ek olarak yöneticilere yönelik kişisel yaptırımlar da söz konusu.
6 Aylık Yol Haritası
1. Ay: Kapsam Değerlendirmesi
- İnceleme: Sektör + büyüklük ⇒ temel / önemli / kapsam dışı
- Kapsamdaysanız: BSI nezdinde kayıt yükümlülüğü
- Mevcut güvenlik önlemlerinin envanterinin çıkarılması
2.–3. Ay: Gap Analizi & Konsept
- NIS2 gerekliliklerine göre eksiklik analizi
- Tehdit modellemesi ile risk analizi
- Önceliklendirilmiş önlem yol haritası
- Yöneticiler için çalıştay
4.–5. Ay: Temel Önlemlerin Uygulanması
- Tüm erişimler için MFA'nın devreye alınması
- EDR/XDR uç nokta koruması
- Yedekleme stratejisi + felaket kurtarma tatbikatı
- Olay müdahale planının dokümantasyonu
- Tüm çalışanlar için farkındalık eğitimleri
6. Ay: Dokümantasyon & Denetim
- ISMS dokümantasyonu
- Önlemlerin iç denetimi
- BSI denetimi için kanıt dosyasının hazırlanması
- Sürekli farkındalık mekanizmalarının devreye alınması
TABAK'ta biz ne yapıyoruz?
NIS2 kapsamındaki her müvekkilimiz için hazırladığımız eksiksiz NIS2 paketi: kapsam tespiti, gap analizi, yol haritası, teknik önlemlerin uygulanması ve ISMS dokümantasyonu. Teknik uygulama için veri merkezi partnerimiz DAVINCIRechenzentrum ile koordinasyonu üstleniyoruz. Tipik proje süresi: 4–6 ay. Tipik maliyet: büyüklüğe bağlı olarak 25.000–80.000 €.
Girişimciler, yatırımcılar ve aile şirketleri için 20 yılı aşkın danışmanlık deneyimi. Yasal olarak yetki gerektiren vergi hizmetleri, partner büro TABAK Steuerberatung tarafından sunulmaktadır.
Büro Profili →NIS2 kapsamında olup olmadığınızı öğrenin.
Ücretsiz bir ilk görüşmede, NIS2 kapsamına girip girmediğinizi ve uygulamanın sizin durumunuzda ne kadar kapsamlı olacağını birlikte netleştirelim.