Yeni hibrit çalışma modellerinin, bulut kullanımlarının, yapay zekanın ve mobilitenin ortaya çıkışıyla birlikte esneklik bir parola haline geldi. Ancak bu çok değerli esnekliğin göz ardı edemeyeceğimiz bir bedeli var: Siber güvenlik risklerinde inkar edilemez bir artış.
Bu yeni bir şey değil; siber saldırılar sürekli gelişiyor ve her zaman sistem kusurlarından yararlanmaya çalışıyor. Bağlantı noktalarının ve uç noktaların çoğalmasıyla saldırı yüzeyi hiç bu kadar geniş olmamıştı ve bu da işletmeleri daha savunmasız hale getiriyor.
Değişen bir manzarayla karşı karşıya kalan Avrupa Birliği, ENISA (Avrupa Birliği Siber Güvenlik Ajansı) ile yakın işbirliği içinde, Avrupa Birliği’nin oyu ile AB genelinde ortak yüksek düzeyde siber güvenlik sağlamak için sağlam önlemler aldı. 10 Kasım 2022 tarihli NIS 2 (Ağ Bilgi Güvenliği 2) direktifi hakkında Parlamento.
NIS direktifinde bir gelişme
Bu direktif kendi içinde yeni değildir; olayların raporlanması, kriz yönetimi, Avrupa CERT EU-CyCLONE ile işbirliği veya farkındalık konularında daha katı kurallar getirerek Temmuz 2016’da kabul edilen ve NIS olarak bilinen ilk direktifin geliştirilmiş halidir.
Önemli bir gelişme de, uygulama kapsamının ve özellikle bu düzenlemeye tabi sanayi sektörlerinin genişletilmesiyle ilgilidir. Bugün sadece teknoloji devleri, dijital hizmet sağlayıcılar ve çevrimiçi platformlar değil, 50 çalışandan oluşan küçük yapılar ve yerel yönetimlerin yanı sıra posta hizmetleri, havacılık, gıda ve hatta su yönetimi gibi yeni alanlar da söz konusu. Ekonomide, vatandaşların güvenliğinde, lojistikte ve toplumun düzgün işleyişi için gerekli hizmetlerde önemli bir rol oynadıkları için bu kritik sektörlerin siber suçlular için tercih edilen hedefler olduğu bir dönemde bu bir zorunluluktur.
Bu direktifin Üye Devletler tarafından ulusal hukuka uygulanması en geç 17 Ekim 2024 olarak belirlendi.
İşletmeler NIS 2’nin gerekliliklerini karşılamaya hazır mı?
Meydan okuma ? Siber tehditlere karşı artan hazırlık. Anssi’ye göre direktifin 18’den fazla sektöre ait binlerce kuruluş için geçerli olması gerekiyor ancak Cisco araştırmasına göre Fransa’daki kuruluşların çok küçük bir kısmı (%7) bu zorluklarla yüzleşmeye hazır görünüyor. Bu bulgu endişe vericidir, çünkü bir yıl içinde olası para cezalarından ve cezalardan kaçınmak için NIS 2’ye şimdi uymaları çok önemlidir; bu, Avrupa Birliği’nin Üye Devletlerinde aktarılan yasalara özel ve kesin olacaktır. Direktif halihazırda aşağıdaki maksimum göstergeleri vermektedir:
- Önemli kuruluşlar için 10 milyon Euro’ya veya toplam küresel yıllık cironun %2’sine kadar para cezaları uygulanırken, önemli kuruluşlar için 7 milyon Euro’ya veya toplam küresel yıllık iş cirosunun %1,4’üne kadar para cezaları uygulanır.
- Mali yaptırımlara ek olarak (GDPR’de gördüğümüz gibi), direktif, siber güvenlik yükümlülüklerine uyulmaması durumunda yönetim işlevlerinin yerine getirilmesine ilişkin geçici yasaklar öngörmektedir. Uygulamadan yönetim komiteleri ve yöneticiler sorumlu olacaktır.
Kamu ve özel sektör nasıl hazırlanmalı?
Başlamak için yetkililerin açık ve etkili düzenleyici çerçeveler oluşturması gerekiyor. Çoğu zaman işletmeler, yardımcı olmak yerine engel olan külfetli bürokrasiye saplanıp kalırlar. Basitleştirilmiş süreçlerin titizlikten ödün vermeden uygulanması gerekiyor.
İş tarafında ise yaklaşım pragmatik olmalıdır. Yeni düzenlemeler kontrol edilmesi gereken basit kutular olarak değil, güvenliği artıracak kaldıraçlar olarak görülmelidir. Bulutun, mobilitenin ve hibrit çalışmanın ortaya çıkışıyla birlikte KOBİ’ler bile siber güvenlik duruşlarını güçlendirecek araçlara sahip. Bu, şirket içinde siber güvenlik sorunlarına ilişkin daha genel bir farkındalığın teşvik edilmesi amacıyla çalışanlara yönelik daha derinlemesine eğitimleri içerebilir. KOBİ’ler ayrıca, örneğin Bbifrance tarafından sunulan ve bu şirketlerin siber tehditlere karşı zayıf noktalarını tespit etmelerine ve BT güvenlik sistemlerindeki boşlukları doldurmak için somut bir eylem planı tasarlamalarına olanak tanıyan teşhis hizmetlerinden de yararlanabilir. İşletmeler ayrıca siber güvenlik hizmeti ve ürün sağlayıcılarının kademeli olarak birleştirip basitleştirdiği çeşitli çözümlerin yanı sıra bu süreç boyunca onları destekleyecek cybermalveillance.gouv.fr gibi hizmetlere de erişebiliyor.
Sonuç olarak NIS 2 direktifi doğru yönde atılmış bir adım olsa da siber güvenliğe proaktif bir yaklaşımın önemini de hatırlatıyor. Bu kolektif bir sorumluluktur: Düzenleyiciler, işletmeler ve kullanıcılar güvenli bir dijital ortam yaratmak için güçlerini birleştirmelidir.