Uygulamada NIS2: Kayıt, 24 Saatlik Bildirim ve Tedarik Zincirinin Gerçekleri

NIS2'nin uygulamaya geçişi alışılmadık oldu. İç hukuka aktarım için son tarih 17 Ekim 2024'tü ve üye devletlerin çoğu bu tarihi kaçırdı. İki yıl sonra tablo hâlâ dengesiz; bu da birçok şirkette pek bir şey olmadığı izlenimi yarattı.

Bu izlenim artık yanlış. Ulusal yasalar çıktı, kayıt portalları açıldı ve denetim makamları soru sormaya başladı. Almanya kayıt portalını 6 Ocak 2026'da açtı ve yasal son tarihi 6 Mart olarak belirledi. Hollanda, Cyberbeveiligingswet'i 15 Ağustos 2026'da yürürlüğe koydu. Diğerleri yıl içinde onları izledi.

Netlik bekliyorduysanız netlik geldi ve yanıt şu: muhtemelen erken değil, geç kaldınız.

Kimler Kapsamda

NIS2, 2016 tarihli ilk ağ ve bilgi güvenliği direktifinin yerini aldı ve kapsamı önemli ölçüde genişletti. Kapsam, sektöre ve büyüklüğe göre belirleniyor.

Temel kuruluşlar (essential entities) yüksek kritiklikteki sektörleri kapsıyor: enerji, ulaştırma, bankacılık, finansal piyasa altyapısı, sağlık, içme suyu, atık su, dijital altyapı, BİT hizmet yönetimi, kamu yönetimi ve uzay.

Önemli kuruluşlar (important entities) diğer kritik sektörleri kapsıyor: posta ve kurye hizmetleri, atık yönetimi, kimyasallar, gıda, tıbbi cihazlar, bilgisayarlar, elektronik ürünler, makineler ve araçlar dahil belirli ürünlerin imalatı, çevrimiçi pazaryerleri, arama motorları ve sosyal platformlar gibi dijital sağlayıcılar ve araştırma kuruluşları.

Büyüklük eşiği genel olarak orta ölçekli işletme ve üzeri; yani 50 veya daha fazla çalışan ya da 10 milyon avronun üzerinde yıllık ciro. Bazı kuruluş türleri ise büyüklükten bağımsız olarak kapsamda; belirli DNS sağlayıcıları, TLD kayıt kuruluşları, güven hizmeti sağlayıcıları ve kamuya açık elektronik haberleşme sağlayıcıları bunlar arasında.

Almanya'nın denetim makamı yalnızca bu ülkede yaklaşık 29.500 kuruluşun kapsamda olduğunu tahmin etti. Mart 2026'daki yasal son tarihe kadar yaklaşık 11.500 kuruluş kayıt yaptırmıştı; bu sayı Mayıs sonunda yaklaşık 18.500'e çıktı. Bunu bir güvence olarak değil, bir uyarı olarak okuyun. Benzer şirketlerin kayıtta yavaş kalması size bir muafiyet sağlamaz.

Şirketleri iki şey hazırlıksız yakalıyor. Birincisi, sektör listesi yalnızca altyapı işletmecilerini değil, sıradan imalatçıları da içeriyor. Herhangi bir ölçekte makine, elektronik ürün veya tıbbi cihaz üretiyorsanız dikkatle inceleyin. İkincisi, kapsam dışında olsanız bile kapsamdaki müşterileriniz tedarik zinciri yükümlülüklerini sözleşmeler yoluyla size yansıtacak. Kapsam dışında olmak etkilenmemek anlamına gelmiyor.

Kayıt Ayrı Bir Yükümlülük

Üye devletlerin çoğu kapsamdaki kuruluşların ulusal makama kayıt yaptırmasını şart koşuyor ve ilk başarısızlıklar da burada yaşanıyor.

Kayıt genellikle kuruluşun kimliğini, sektör sınıflandırmasını, hizmetlerini, güvenlik konularındaki irtibat noktalarını ve faaliyet gösterdiği üye devletleri bildirmek anlamına geliyor. Son tarihler ülkeye göre değişiyor ve süreç çoğu zaman bir web formundan daha kapsamlı.

Makam sizinle iletişime geçmedi diye muaf olduğunuzu varsaymayın. NIS2 öz tespite dayanıyor. Kapsamı belirlemek ve kayıt yaptırmak sizin işiniz; sizi bulmak düzenleyicinin işi değil.

Bildirim Takvimi

Olay bildirimi, direktifin operasyonel açıdan en zorlu kısmı ve süreler kısa.

• Önemli bir olaydan haberdar olunduktan sonra 24 saat içinde: olayın hukuka aykırı veya kötü niyetli eylemlerden kaynaklandığından şüphelenilip şüphelenilmediğini ve sınır ötesi etkisi olup olamayacağını belirten bir erken uyarı.
• 72 saat içinde: erken uyarıyı ilk değerlendirme, ciddiyet, etki ve ihlal göstergeleri (indicators of compromise) ile güncelleyen bir olay bildirimi.
• Talep üzerine: ara durum güncellemeleri.
• Bir ay içinde: ayrıntılı bir açıklama, tehdit türü veya kök neden, uygulanan azaltım önlemleri ve varsa sınır ötesi etkiyi içeren nihai bir rapor.

Önemli olay, ciddi operasyonel aksamaya veya mali kayba yol açmış ya da yol açabilecek nitelikte olan veya kayda değer maddi ya da manevi zarara neden olarak başkalarını etkilemiş ya da etkileyebilecek olan olaydır.

Zor kısım 24 saatlik erken uyarı. Yirmi dört saat, inceleme yapmak için yeterli bir süre değil. Bu bir ön haber ve direktif de bunu bir ön haber olarak bekliyor. Olayı anlayana kadar bildirimi bekleten ekipler bu süreyi her seferinde kaçıracak.

Kuruluşunuz kişisel veri de işliyorsa, paralel olarak farklı bir makama, farklı bir kapsam ve farklı bir eşikle GDPR kapsamında 72 saatlik ihlal bildirimi yürütüyor olabilirsiniz. Bu süreçlerin birlikte tasarlanması gerekiyor; bu konuyu GDPR rehberimizde ele alıyoruz.

On Önlem

Madde 21, asgari olarak on alanı kapsayan risk yönetimi önlemleri öngörüyor. Sade bir dille:

1. Risk analizi ve bilgi sistemi güvenlik politikaları. Belgelenmiş, güncel ve sistemleri yöneten kişilerin gerçekten başvurduğu politikalar.
2. Olay yönetimi. Tespit, müdahale, kurtarma ve yukarıdaki bildirim iş akışı.
3. İş sürekliliği ve kriz yönetimi. Yedekleme yönetimi, felaket kurtarma ve yalnızca zamanlanmış bir yedekleme işi değil, test edilmiş bir geri yükleme.
4. Tedarik zinciri güvenliği. Çabanın büyük kısmı buraya gittiği için aşağıda ayrıca ele alınıyor.
5. Edinim, geliştirme ve bakımda güvenlik. Güvenli geliştirme uygulamaları, güvenlik açığı yönetimi ve açıklanması.
6. Etkinlik değerlendirmesi. Kontrollerinizin işe yaradığını nasıl bildiğiniz. Testler, denetimler, metrikler.
7. Siber hijyen ve eğitim. Yönetim dahil, temel uygulamalar ve farkındalık.
8. Kriptografi ve şifreleme politikaları. Şifrelemenin nerede kullanıldığı ve anahtarların nasıl yönetildiği.
9. İnsan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi. İşe girenler, görev değiştirenler, ayrılanlar, en az yetki ilkesi ve güncel bir varlık envanteri.
10. Çok faktörlü kimlik doğrulama ve güvenli iletişim. MFA veya sürekli kimlik doğrulama, güvenli sesli, görüntülü ve yazılı iletişim ve acil durum iletişim sistemleri.

Bunların hiçbiri sıra dışı değil. Çoğu kuruluştaki eksik ne yapılacağını bilmemek değil, kanıt. NIS2 denetimi yoğun biçimde belgeye dayanıyor ve belgelenmemiş bir kontrol işlevsel olarak var olmayan bir kontroldür.

Asıl İş Tedarik Zinciri

NIS2'deki en sonuçları ağır değişiklik, tedarik zinciri riskine yapılan vurgu. Kapsamdaki kuruluşlar, doğrudan tedarikçilerinin ve hizmet sağlayıcılarının güvenlik uygulamalarını, ürünlerinin kalitesi ve güvenli geliştirme uygulamaları dahil, dikkate almak zorunda.

Pratikte bu, zincirleme bir etki yaratıyor. Kapsamdaki bir hastane, gereklilikleri yazılım tedarikçilerine yansıtıyor. Bu tedarikçiler de gereklilikleri barındırma sağlayıcılarına ve bileşen tedarikçilerine yansıtıyor. Resmi kapsamın çok dışındaki şirketler, müşterileri kapsamda olduğu için NIS2'den türetilmiş güvenlik anketlerini yanıtlamak durumunda kalıyor.

Listelenen sektörlerden herhangi birine yazılım veya hizmet satıyorsanız şunları bekleyin:

• Satın alma sürecinin standart bir parçası olarak, sözleşmeden sonra değil önce, güvenlik anketleri.
• Müşterinizin 24 saatlik yükümlülüğüne kadar uzanan olay bildirim süreleri dahil, sözleşmesel güvenlik gereklilikleri.
• Kanıt talepleri: sızma testi özetleri, SOC 2 veya ISO 27001 durumu, güvenlik açığı yönetimi süreç belgeleri, SBOM'lar.
• Denetim hakları.

Verimli yanıt, kanıt paketini bir kez hazırlamak. Müşterilerin istediklerinin çoğu anketten ankete aynı ve bu belgeler Cyber Resilience Act yükümlülükleriyle büyük ölçüde örtüşüyor. Bir yazılım malzeme listesi (SBOM) hattı, belgelenmiş bir güvenlik açığı yönetim süreci ve bir olay müdahale el kitabı oluşturun; ikisinin de büyük kısmını yanıtlamış olursunuz.

Yönetimin Sorumluluğu

NIS2, siber güvenlik risk yönetimi önlemlerini onaylama ve uygulamayı denetleme sorumluluğunu yönetim organlarına veriyor ve üye devletler bu organları kişisel olarak sorumlu tutabiliyor. Yönetimin ayrıca eğitim alması gerekiyor.

NIS2 görüşmelerinin şirketler içinde çoğu uyum konusundan daha hızlı ilerlemesinin nedeni bu. Kişisel sorumluluk, bir yönetim kurulunun bütçeyi ne kadar hızlı onayladığını değiştiriyor.

Yaptırımlar

Temel kuruluşlar için 10 milyon avroya veya dünya genelindeki toplam yıllık cironun yüzde 2'sine kadar, hangisi yüksekse. Önemli kuruluşlar için 7 milyon avroya veya yüzde 1,4'e kadar. Makamlar ayrıca bağlayıcı talimatlar verebilir, uyumsuzluğun kamuya duyurulmasını emredebilir ve ciddi durumlarda sertifikasyonu askıya alabilir ya da kişilerin yönetim görevlerini geçici olarak yerine getirmesini yasaklayabilir.

Neler Değişiyor

Avrupa Komisyonu 20 Ocak 2026'da, önerilen bir Cybersecurity Act 2 ile birlikte yayımlanan, NIS2'de hedefli değişiklikler önerdi (2026/0012(COD) sayılı prosedür). Yüksek kritiklikteki sektörlerde yer alan ve küçük orta ölçekli şirket (small mid-cap: 750'den az çalışan ve 150 milyon avroya kadar ciro ya da 129 milyon avroya kadar bilanço) niteliği taşıyan kuruluşlar kural olarak temel değil önemli kuruluş sayılacak ve bu kademenin daha hafif denetiminden yararlanacak. Üye devletler, bir kuruluşun siber güvenlik durumuna ilişkin Avrupa sertifikasyon şeması kapsamında bir sertifika şart koşabilecek; geçerli bir sertifika da kuruluşu, kapsadığı gereklilikler konusunda ek denetim önlemlerinden muaf tutacak. Komisyon ayrıca kapsamdaki kuruluşların tedarikçilerine gönderdiği tedarik zinciri anketlerini standartlaştırmak için kılavuzlar hazırlayacak; BİT tedarik zinciri riskine ilişkin yeni kurallar ise Cybersecurity Act 2 önerisinde yer alıyor. Üye devletlerin değişiklikleri iç hukuka aktarmak için 12 ayı olacak.

Bu hâlâ bir öneri. 10 Ekim 2026 itibarıyla Parlamento'daki sorumlu komite (ITRE) taslak raporunu 24 Eylül'de yayımlamıştı ve kayda geçmiş bir Konsey tutumu yoktu. Değişiklikler kabul edilip iç hukuka aktarılana kadar bu makaledeki her şey yazıldığı gibi geçerli.

Henüz Başlamadıysanız Nereden Başlamalı

Sıfıra yakın bir noktadan başlayan bir kuruluş için uygulanabilir bir sıra:

Kapsamı doğru belirleyin. Sektör, büyüklük ve yerleşik olduğunuz üye devletler. Bunu hukuk danışmanınızdan yazılı olarak alın, çünkü diğer her şey buna bağlı.

Kayıt yaptırın. Ulusal makamınızın son tarihini ve sürecini kontrol edin. Tarih geçtiyse yine de kayıt yaptırın.

Varlık envanterini oluşturun. Listelemediğiniz sistemlerin riskini yönetemezsiniz. Bu, en yüksek getiriyi sağlayan ve en sık eksik olan tek belge.

Olay müdahale el kitabını yazın ve prova edin. 24 saatlik akışa odaklanın. Olayı kim ilan ediyor, sınır ötesi etkiyi kim değerlendiriyor, bildirimi kim gönderiyor ve resmi tatilde gece saat 3'te ne oluyor?

Tedarikçi incelemesini yapın. Kritik tedarikçilerinizi listeleyin, değerlendirin ve sözleşme yenilemelerinde güvenlik koşullarını sözleşmelere ekleyin.

Belirgin eksikleri kapatın. Her yerde MFA, test edilmiş yedekler, yama yönetimi, erişim incelemeleri, kayıt tutma (logging). Gösterişsiz işler ve bir denetimin ilk bakacağı yer bunlar.

İlerledikçe belgeleyin. Sonradan yazılmış bir politika klasörü değil. Kararlar, alındıkları anda tarih ve sorumlu kişiyle birlikte kaydedilmeli.

Gereken Çaba Üzerine Dürüst Bir Not

İşleyen bir güvenlik programı olan bir kuruluş için NIS2 büyük ölçüde bir belgeleme ve raporlama işi. Böyle bir programı olmayan bir kuruluş için ise haftalarla değil, çeyreklerle ölçülen gerçek bir yapılanma.

Hata, bunu hukuk biriminin sahiplendiği bir uyum projesi olarak görmek. Yükümlülükler operasyonel. Sistemleri yöneten kişilerin elinde ve belgeler ancak bir denetim için üretilen bir şey değil, ekibin çalışma biçiminin parçası olursa güncel kalır.

Destek Almak İçin

Avrupa genelindeki şirketler için, NIS2'nin beklediği izleme, kayıt tutma, yedekleme ve tedarik zinciri görünürlüğü dahil, yazılım sistemleri geliştiriyor ve işletiyoruz. Faydalı olduğumuz alan mühendislik tarafı: kontrolleri gerçeğe dönüştürmek ve kanıtı ayrı bir çaba değil, olağan işin bir yan ürünü haline getirmek.

office@c9group.dev adresinden bize ulaşın. 2026 AB dijital uyum rehberimiz NIS2'nin bu yıl yürürlüğe giren diğer düzenlemelerle nasıl bir arada işlediğini ele alıyor; eski sistem bakımı hizmeti sayfası da genellikle ilk yapılan işi anlatıyor.

Biz bir hukuk bürosu değiliz ve hukuki danışmanlık vermiyoruz. Özellikle kapsamın belirlenmesi hukuk danışmanınızın alanındadır.