NIS2 ve ISO 27001: ISO 27001 sertifikası, kuruluşların NIS2 siber güvenlik gerekliliklerini karşılamasına nasıl yardımcı olur?

NIS2 bir AB direktifi olmakla birlikte, pratikteki etkisi Birliğin sınırlarının çok ötesine uzanmaktadır. Avrupa değer zincirlerinin bir parçası olan üreticiler, teknoloji sağlayıcıları, lojistik şirketleri ve hizmet sağlayıcıları, müşterilerinin belirli siber güvenlik beklentileri ve kanıt gereklilikleriyle giderek daha fazla karşı karşıya kalmaktadır. ISO 27001 sertifikası bu bağlamda önemli bir gösterge haline gelmektedir: Bu sertifika, bir kuruluşun bilgi güvenliği risklerini sistematik bir şekilde ve uluslararası kabul görmüş bir standarda uygun olarak yönettiğini kanıtlamaktadır.

Bu durum, birçok kuruluş için stratejik bir soruyu gündeme getirmektedir:

Avrupa tedarik zincirlerine güvenilir bir şekilde katılmak istiyorsak, ISO 27001 sertifikası bir giriş koşulu haline mi geliyor?

Avrupa tedarik zincirlerine açılan kapı olarak ISO 27001

Giderek artan sayıda ihale ve tedarikçi değerlendirmesinden net bir tablo ortaya çıkıyor:

• ISO 27001, NIS2'nin getirdiği siber güvenlik ve yönetişim beklentilerinin çoğu için tanınmış ve denetlenebilir bir temel sağlıyor.
• Zorlu müşteri ilişkilerine ve kritik tedarik zincirlerine erişim için sertifikasyon, artık bir farklılaştırıcı unsurdan ziyade asgari bir beklenti olarak görülüyor.
• Olgun ve sertifikalı bir ISMS'ye sahip kuruluşlar, tedarik zinciri boyunca NIS2 kaynaklı anketlere, denetimlere ve durum tespiti faaliyetlerine yanıt verme konusunda daha avantajlı konumdadır.

Bu anlamda, ISO 27001 sertifikası, Avrupa tedarik zincirlerine açılan etkili bir kapı haline gelmektedir – bunun nedeni, tek başına tüm NIS2 yükümlülüklerini yerine getirmesi değil, birçok Avrupalı müşterinin artık asgari bir gereklilik olarak beklediği yapılandırılmış ve doğrulanabilir bir çerçeve sunmasıdır.

Siber kesintilerin artan maliyeti

Günümüzde siber olaylar nadiren izole kalır; tedarik zincirleri boyunca yayılır, operasyonları durdurur ve ilk ihlalin üzerinden uzun süre geçtikten sonra bile kuruluşları düzenleyici kurumların denetimine maruz bırakır.

İmalat, sağlık hizmetleri, ulaşım ve kritik altyapı sektörlerinde kuruluşlar, günler hatta haftalar süren operasyonel kesintilerle karşı karşıya kalmıştır: üretim hatları durmuş, lojistik ağlar tıkanmış ve müşteri hizmetlerine erişim imkansız hale gelmiştir.

Bu olayların çoğunu özellikle endişe verici kılan şey, her zaman son derece sofistike saldırılarla başlamamış olmalarıdır. Çoğu durumda saldırganlar, tedarikçi ekosistemlerindeki zayıflıkları, yamalanmamış sistemleri, yetersiz izlemeyi veya gecikmiş olay müdahalesini istismar etmiştir.

İş dünyası liderleri için bir ders netleşmiştir:
Artık asıl soru, bir kuruluşun her siber olayı önleyip önleyemeyeceği değil, bir olay meydana geldiğinde faaliyetlerini sürdürüp sürdüremeyeceğidir.

Bu zihniyet değişikliği, NIS2’nin temelini oluşturmaktadır.

NIS2 yönetim kurulları için neden önemli?

• Siber güvenlik, artık salt bir BT meselesi olmaktan çıkıp yönetim kurulu gündemine girmiştir: yönetim organları, siber güvenlik risk yönetimi önlemlerini onaylamalı ve denetlemelidir.
• NIS2’yi uygulayan ulusal yasalar, GDPR düzeyinde para cezaları uygulayabilir – kritik kuruluşlar için 10 milyon avroya veya küresel yıllık cirosunun %2’sine kadar, önemli kuruluşlar için ise 7 milyon avroya veya %1,4’e kadar.
• Yönetim organı üyeleri, ulusal sorumluluk kurallarına tabi olarak, siber güvenlik risk yönetiminin yetersiz denetiminden sorumlu tutulabilir.

NIS2, yönetişim, hesap verebilirlik ve kurumsal dayanıklılığa büyük önem vermektedir. Direktifin kapsamına giren kuruluşlar, diğer hususların yanı sıra aşağıdakileri kanıtlamalıdır:

• Üst yönetimin siber güvenlik önlemlerinin uygulanması ve izlenmesine aktif katılımı,
• Önemli güvenlik olaylarına ilişkin etkili raporlama süreçleri,
• Yapılandırılmış siber güvenlik risk yönetimi,
• Tedarik zincirinde etkili güvenlik kontrolleri,
• İş sürekliliği düzenlemeleri 

ISO 27001'in sağlam bir temel oluşturduğu alanlar

ISO 27001 sertifikalı kuruluşlar, risk yönetimi, yönetişim ve olay yönetimi için halihazırda yapılandırılmış bir çerçeveye sahiptir; bunların tümü NIS2 gerekliliklerini destekleyen unsurlardır.

Temelde ISO 27001, bir kuruluşun iş süreçleriyle ilgili risk temelli kontrol önlemlerinin seçimi, net yönetişim sorumlulukları ve politikaları ile sürekli iyileştirme (PDCA döngüsü) üzerine kuruludur. Bu ilkeler, NIS2 düzenlemelerinde belirtilen kurumsal ve teknik önlemlere doğrudan uygulanabilir.

Olgun bir bilgi güvenliği yönetim sistemine (ISMS) sahip kuruluşlar genellikle aşağıdakileri halihazırda uygulamaktadır:

• Bilgi güvenliği için yönetişim yapıları
• Risk değerlendirmesi ve risk yönetimi için etkili süreçler
• Belgelenmiş güvenlik politikaları ve açıkça tanımlanmış sorumluluklar
• Olay yönetimi prosedürleri
• İç denetim ve yönetim gözden geçirme döngüleri
• Tedarik zinciri yönetimi önlemleri
• Felaket kurtarma ve iş sürekliliği planları

Bu unsurlar, NIS2'nin temel risk yönetimi önlemlerinin uygulanması için sağlam bir temel oluşturur.

ISO 27001'in Tek Başına Yeterli Olmayabileceği Durumlar

ISO/IEC 27001:2022 bir uluslararası standarttır, bir yasa değildir. ISO 27001 sertifikası, NIS2 uyumluluğunu garanti etmez. Tedarik zinciri güvenliği, yönetim sorumluluğu ve güvenlik olaylarını bildirme yasal yükümlülüğü olmak üzere üç alan, genellikle ISO 27001 sertifikasının tek başına kanıtlayabileceğinin ötesine geçen önlemler ve kanıtlar gerektirir.

ISO 27001 gönüllü bir uluslararası standartken, NIS2 bağlayıcı bir Avrupa yasasıdır. Bu nedenle sertifikasyon, özellikle tedarik zinciri güvenliği, raporlama yükümlülükleri ve yönetim sorumluluğu ile ilgili tüm NIS2 yükümlülüklerine uyumu otomatik olarak yerine getirmez.

NIS2’nin 21(2) maddesi, etkilenen kuruluşların yasal olarak uygulamakla yükümlü olduğu on kategoride siber güvenlik risk yönetimi önlemini tanımlamaktadır. ISO/IEC 27001:2022 standardının içeriği ve Ek A’da listelenen kontroller, bu kategorilerin çoğuyla eşleştirilebilir – ancak yasal gereklilikler olarak bunlarla bire bir karşılık gelmez:

Tedarik Zinciri Güvenliği

NIS2 Direktifi, kuruluşların siber güvenlik risklerini sadece kendi kurumsal sınırları içinde değil, tüm tedarik zinciri boyunca değerlendirmesini ve yönetmesini gerektirmektedir.

Son zamanlarda meydana gelen siber güvenlik olayları, saldırganların daha büyük müşteri ağlarına yetkisiz erişim sağlamak için tedarik zincirini istismar ettiklerini defalarca göstermiştir. Sonuçta, verimlilik ilkesi – “asgari çabayla maksimum erişim sağlamak!” – burada da geçerlidir.

Sonuç olarak, NIS2’nin 21(2)(d) maddesi, ISO 27001 Ek A’daki 5.19–5.23 numaralı gerekliliklerle tutarlı olan tedarik zinciri güvenliğini zorunlu kılmaktadır:

• Tedarikçi ilişkilerinde bilgi güvenliği
• Tedarikçi sözleşmelerinde bilgi güvenliğinin ele alınması
• ICT tedarik zincirinde bilgi güvenliğinin yönetimi
• Tedarikçi hizmetlerinin izlenmesi, denetlenmesi ve değişiklik yönetimi
• Bulut hizmetlerinin kullanımına ilişkin bilgi güvenliği

Yönetici Sorumluluğu

NIS2 kapsamında, siber güvenlik artık sadece BT departmanına devredilebilecek tamamen teknik bir konu olarak görülmemektedir.

Yönerge, kuruluşun yönetim organının siber güvenlik risk yönetimi tedbirlerinin uygulanmasını onaylama, izleme ve düzenli olarak gözden geçirme sorumluluğunu üstlenmesi gerektiğini belirtmektedir. Uygulamada, üst yönetimden aşağıdakiler beklenmektedir:

• Siber riskleri anlamak ve bu risklerle aktif olarak ilgilenmek,
• Siber güvenlikle ilgili yönetişim faaliyetlerine ve karar alma süreçlerine katılmak,
• Dayanıklılık önlemleri için yeterli kaynak sağlamak, ve
• Olay müdahale hazırlıklarını ve raporlama yükümlülüklerini izlemek.

NIS2’nin ulusal düzeyde uygulanışına ve ilgili kurumsal ve sorumluluk düzenlemelerine bağlı olarak, yönetim organı üyeleri siber güvenlik görevlerini yeterince yerine getiremedikleri takdirde kişisel sonuçlarla da karşı karşıya kalabilirler. Dolayısıyla siber güvenlik yönetişimi, önemli bir yönetim sorumluluğu haline gelmektedir; yeterli denetimin ikna edici bir şekilde gösterilememesi durumunda, bu durumun düzenleyici ve mali sonuçları olabilir.

Olay Raporlama

NIS2, yasal olarak bağlayıcı süreler getirmektedir: kuruluşlar, önemli bir olaydan haberdar olduktan sonra 24 saat içinde yetkili makama ilk erken uyarı bildirimini sunmalı, bunu 72 saat içinde daha ayrıntılı bir rapor ve daha sonra mevzuatta tanımlandığı şekilde nihai bir rapor izlemelidir.

Şu anda birçok kuruluş, bu süreleri güvenilir bir şekilde yerine getirmek için gerekli olan belgelenmiş süreçlere, açıkça atanmış sorumluluklara ve test edilmiş prosedürlere sahip değildir. Bir ISMS (Bilgi Güvenliği Yönetim Sistemi) içindeki mevcut olay yönetimi çerçeveleri, genellikle NIS2 tarafından getirilen yasal son tarihleri ve harici raporlama yükümlülüklerini yansıtacak şekilde hedefli ayarlamalar gerektirir.

Uygulamada bu, genellikle üç belirli eksikliğin giderilmesi anlamına gelir. İlk olarak, önemli bir olaydan “haberdar olmanın” 24 saatlik süreyi ne zaman başlattığına dair net bir tetikleyicinin tanımlanması ve belgelenmesi gerekir – çoğu ISMS prosedürü, yasal sürelerden ziyade iç ciddiyet sınıflandırmasına odaklanır. İkinci olarak, iç müdahaleyi yöneten rolden ayrı olarak, erken uyarı bildirimi ve ulusal CSIRT veya yetkili makamla doğrudan irtibat kurmaktan sorumlu belirli bir rolün belirlenmesi. Üçüncü olarak, denetlenebilir bir kanıt zinciri oluşturmak – zaman damgalı günlükler, bildirimlerin kopyaları ve ilk ciddiyet değerlendirmesinin gerekçesini içeren – bu kanıtlar, bir denetim otoritesi daha sonra NIS2 kapsamındaki 24 ve 72 saatlik süre sınırlarının nasıl karşılandığını incelediğinde sunulabilir.

Operasyonel Dayanıklılık

Düzenleyici kurumlar ve müşteriler, dayanıklılık önlemlerinin sadece kağıt üzerinde belgelenmiş olmasının ötesinde, test edildiğine dair kanıtları giderek daha fazla beklemektedir.

Bu nedenle kuruluşların, yalnızca yazılı planlar sunmakla kalmayıp, kesintiye neden olan olaylar sırasında kritik operasyonları sürdürebileceklerini veya hızla geri yükleyebileceklerini göstermeleri beklenmektedir. Bu genellikle şunları içerir:

• İş sürekliliği planlaması ve düzenli testler
• Kritik sistemler ve veriler için felaket kurtarma tatbikatları
• Gerçekçi olay müdahale simülasyonları
• Tanımlanmış ve uygulamaya konmuş kriz yönetimi prosedürleri

Bu unsurlar bir araya geldiğinde, dayanıklılığın günlük operasyonlara gerçekten entegre olup olmadığını gösterir.

Müşteriler ve İş Ortaklarından Gelen Yeni Sorular

ISO 27001 sertifikası, tedarikçilerle yapılan görüşmelerde bir ön koşul haline gelmektedir. Avrupalı müşteriler, yalnızca ISO 27001 sertifikasını değil, aynı zamanda kanıtlanmış dayanıklılık göstergelerini de beklemektedir.

Tedarik zincirindeki şirketler şu soruları ele almalıdır:

• Ciddi bir siber olaydan ne kadar hızlı bir şekilde toparlanabilirsiniz?
• Kritik tedarikçiler ve üçüncü taraflar güvenlik riskleri açısından nasıl değerlendiriliyor?
• Üst yönetim, siber güvenlik yönetişiminde nasıl bir rol oynar?
• Olay müdahale ve iş sürekliliği planları ne sıklıkla test edilmektedir?
• Bir kesinti sırasında iş sürekliliğini sağlamak için hangi önlemler alınmaktadır?

Hem sertifikasyona hem de kanıtlanmış operasyonel dayanıklılığa sahip şirketler, rekabetin yoğun olduğu pazarlarda öne çıkar.

Yönetim Ekiplerinin Dikkate Alması Gerekenler

En etkili yaklaşım, mevcut bir ISO 27001 ISMS'yi daha kapsamlı bir NIS2 uyumluluğunun temeli olarak kullanmak ve ardından sertifikasyonun tek başına ele almadığı belirli eksiklikleri belirleyip gidermektir.

Kuruluşların ISO 27001 ve NIS2 uyumluluğu arasında seçim yapması gerekmez. Çoğu durumda, ISO 27001 yönetim sistemi platformunu sağlar; NIS2 ve ulusal uygulama yasaları ise belirli alanlarda çıtayı yükseltir. Önemli olan, mevcut uygulamaların bu yasal gerekliliklerle hangi noktalarda uyumlu olduğunu ve hangi alanlarda hedefli iyileştirmelerin hala gerekli olduğunu anlamaktır.

Yönetim ekiplerinin dikkate alması gereken faydalı sorular:

• Siber güvenlik programımız, tedarikçi ekosistemimizdeki riskleri yeterince ele alıyor mu?
• Üst düzey yöneticiler, siber güvenlik yönetişimine aktif olarak katılıyor mu, yoksa sadece olaylar gerçekleştikten sonra bilgilendiriliyor mu?
• Yalnızca belgelenmiş prosedürlerin ötesinde operasyonel dayanıklılığımızı kanıtlayabiliyor muyuz?
• Olay müdahale ve kurtarma süreçleri, gerçekçi senaryolar karşısında düzenli olarak test ediliyor mu?
• NIS2’nin 24 ve 72 saatlik raporlama sürelerine uyan belgelenmiş süreçlerimiz var mı?
• Müşterilerimiz ve iş ortaklarımız, dayanıklılığın kanıtı olarak sertifikadan daha fazlasını mı bekliyor?

Önemli Noktalar

1. ISO/IEC 27001:2022, NIS2'nin 21(2) maddesinde belirtilen on risk yönetimi önleminin büyük bir kısmını desteklemektedir – ancak bunun ne ölçüde geçerli olduğu, mevcut ISMS'nin olgunluk düzeyine ve kapsamına bağlıdır.
2. Sertifikalı ISMS'lerde tipik olarak odaklanılan alanlar arasında öncelikle şunlar yer almaktadır: doğrudan sözleşme yapılan ortakların ötesine uzanan tedarik zinciri riskleri; net tetikleyicilere sahip, belgelenmiş 24 saat/72 saat olay raporlama iş akışı
3. Üst yönetim düzeyinde risk kabulüne ilişkin açıkça belirlenmiş sorumluluklar
4. Sadece tanımlanmakla kalmayıp düzenli olarak test edilen acil durum ve iş sürekliliği düzenlemeleri.
5. ISO 27001, risk sorumluluğunu üst yönetime atar (6.1.3(f) maddesi dahil), ancak kendi başına kişisel sorumluluk getirmez – bu sorumluluk yalnızca NIS2 ve ilgili ulusal uygulama (örneğin, yönetim organları ve denetim görevleri ile ilgili) kapsamında ortaya çıkar.
6. Müşteriler ve satın alma ekipleri, ISO 27001 sertifikasını tedarikçi değerlendirmeleri için bir ön koşul olarak görmektedir.