Bölgelere Göre Siber Güvenlik Düzenleme Gereksinimleri: Küresel İşletmeler için Bir Uyumluluk Haritası

2023'ten bu yana 70'ten fazla ülke siber güvenlik düzenlemelerini yürürlüğe koydu veya güncelledi. Düzenleme ortamı çoğu şirketin takip edebileceğinden daha hızlı gelişiyor. İki yıl önce gönüllü rehberlik olan şey, artık önemli cezalar içeren uygulanabilir bir yasa haline geldi. Bu kılavuz, büyük bölgelerdeki siber güvenlik düzenleme gerekliliklerini haritalandırarak küresel işletmelerin yükümlülüklerini anlamalarına ve uyumluluğa öncelik vermelerine yardımcı olur.

Önemli Çıkarımlar

• NIS2 (AB), siber güvenlik yükümlülüklerini kişisel yönetim sorumluluğuyla birlikte 160.000'den fazla kuruluşu kapsayacak şekilde genişletti
• SEC siber güvenlik açıklama kuralları, ABD'deki halka açık şirketlerin maddi olayları 4 iş günü içinde raporlamasını gerektirir
• APAC düzenlemeleri büyük farklılıklar göstermektedir: Singapur ve Avustralya başı çekerken diğerleri hâlâ çerçeveler geliştirmeye devam ediyor
• Birleşik bir güvenlik çerçevesi (ISO 27001 veya NIST CSF), küresel olarak bölgesel gereksinimlerin %60-80'ini karşılar

---

Bölgesel Düzenleme Haritası

Avrupa Birliği

NIS2'de NIS1'e göre önemli değişiklikler:

• ~10.000 kuruluştan ~160.000 kuruluşa genişletildi
• Uyumdan şahsen sorumlu olan yönetim organları
• Önemli olaylar için 24 saat zorunlu "erken uyarı"
• Tedarik zinciri güvenliği gereksinimleri
• Önemli kuruluşlar için minimum 10 milyon Avro ceza

Amerika Birleşik Devletleri

Birleşik Krallık

Asya-Pasifik

Orta Doğu ve Afrika

---

Evrensel Uyumluluk Çerçevesi Oluşturmak

Kontrolleri Düzenlemelerle Eşleyin

Her düzenleme için ayrı kontroller uygulamak yerine birleşik bir çerçeve oluşturun:

Önerilen Temel Çerçeve

Temeliniz olarak NIST Siber Güvenlik Çerçevesi 2.0 veya ISO 27001:2022 ile başlayın:

• NIST CSF 2.0: Ücretsiz, esnek, ABD'de ve uluslararası alanda yaygın olarak tanınmaktadır
• ISO 27001: Sertifikalandırılabilir, AB'de ve kurumsal müşteriler tarafından tercih edilir

Her iki çerçeve de çoğu düzenlemenin gerektirdiği temel kontrol alanlarını kapsar. En üste, mevzuata özgü gereksinimleri (raporlama zaman çizelgeleri, belge formatları) ekleyin.

---

Olay Raporlama Karşılaştırması

---

Uyumluluk Önceliklendirmesi

Birden Fazla Bölgede Faaliyet Gösteren Şirketler İçin

1. Temel olarak ISO 27001 veya NIST CSF'yi uygulayın (tüm gereksinimlerin %60-80'ini karşılar)
2. Faaliyet gösterdiğiniz her yetki alanı için mevzuat boşluklarının haritasını çıkarın
3. Ceza ciddiyetine göre önceliklendirin: AB (NIS2/GDPR) ve SEC kuralları en yüksek cezaları taşır
4. Raporlamayı uyumlu hale getirin: En katı son teslim tarihini (Hindistan için 6 saat) karşılayan tek bir olay raporlama süreci oluşturun ve çıktıları her otorite için uyarlayın
5. Her şeyi belgeleyin: Düzenlemelerin çoğu, yalnızca güvenlik değil, kanıtlanabilir uyumluluk da gerektirir

---

Sıkça Sorulan Sorular

NIS2 şirketimiz için geçerli mi?

NIS2, AB'de faaliyet gösteriyorsanız ve 18 sektörden (enerji, ulaştırma, bankacılık, sağlık, dijital altyapı, kamu yönetimi, uzay, posta, atık, gıda, imalat, kimyasallar, araştırma ve BİT hizmetleri) birine dahil olmanız durumunda geçerlidir. Temel kuruluşlar kritik sektörlerdeki büyük işletmelerdir. Önemli kuruluşlar bu sektörlerdeki orta ölçekli işletmelerdir. Genişletilmiş kapsam NIS1'den çok daha fazla şirketi kapsıyor. Doğrudan kapsam dahilinde olmasanız bile müşterileriniz tedarik zincirlerinin NIS2 uyumluluğunu talep edebilir.

Birden fazla ülkedeki siber güvenlik düzenlemelerine nasıl uyum sağlıyoruz?

Ortak gereksinimleri kapsayan birleşik bir güvenlik çerçevesi (ISO 27001 veya NIST CSF) oluşturun. Hangi çerçeve kontrollerinin hangi düzenlemeleri karşıladığını gösteren bir düzenleme eşleme belgesi oluşturun. Belirli yargı bölgelerine özgü gereksinimler için (raporlama zaman çizelgeleri, belge formatları), temel çerçevenize ekler oluşturun. Bu, ayrı uyumluluk programları oluşturmaktan çok daha verimlidir.

Özellikle ERP sistemleri için siber güvenlik gereksinimleri var mı?

ERP'ye özel olmasa da ERP sistemleri genellikle birden fazla düzenleme kapsamına girer çünkü finansal verileri (SOX, DORA), kişisel verileri (GDPR, NIS2) işlerler ve genellikle kritik iş sistemleri olarak kabul edilirler. ERP'nizin aşağıdaki özelliklere sahip olduğundan emin olun: rol tabanlı erişim kontrolü, denetim günlüğü, şifreleme, düzenli yama uygulama ve olay müdahale prosedürleri. ECOSIRE, bu gereksinimleri karşılayan Odoo güvenlik güçlendirmesini sağlar.

---

Sırada Ne Var?

Siber güvenlik mevzuatına uygunluk, yönetişim programınızın bir boyutudur. Bunu, verilere özgü düzenlemeler için veri yönetimi, iş gücü verileri için çalışan veri gizliliği ve web mülkleri için çerez izni uygulaması ile birleştirin.

Birden fazla yargı alanında siber güvenlik uyumluluğu danışmanlığı için ECOSIRE ile iletişime geçin.

---

ECOSIRE tarafından yayınlandı - işletmelerin küresel düzenleyici ortamda gezinmesine yardımcı oluyor.