Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik yayımlandı. Yeni düzenleme, nükleer tesislerin dijital varlıklarının korunması sorumluluğunu kuruluşlara veriyor.
Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik, Resmi Gazete’de yayımlanarak yürürlüğe girdi. Yeni düzenlemeyle, nükleer tesislerin dijital varlıklarının siber saldırılara karşı korunması ve güvenliğinin sağlanması konusunda tesisleri kuran, işleten veya işletmeden çıkaran kuruluşlara asıl sorumluluk yüklendi.
Kuruluşlar, nükleer tesis ve sahanın düzenleyici kontrolden çıkarılmasına kadar geçen süreçte dijital varlıkları siber saldırılara karşı korumak, saldırıları önlemek, tespit etmek, müdahale etmek ve etkilenen dijital varlıkları kurtarmakla yükümlü olacak. Bu kapsamda, nükleer tesisteki tüm dijital varlıkların siber güvenliğinden sorumlu bir yönetici atanacak.
Yönetmelik, nükleer tesislerde siber güvenlik önlemlerinin belirlenmesinde ve uygulanmasında “dereceli yaklaşım” ve “derinliğine savunma” ilkelerini esas alıyor. Dijital varlıkların güvenlik, emniyet ve nükleer güvence üzerindeki etkisine göre risk bazlı ve katmanlı bir koruma yapısı oluşturulacak.
Kuruluşlar, tüm dijital varlıkları tanımlayacak, işlevlerini belirleyecek ve kritiklik dereceleri atayacak. Kritik dijital varlıklar için güncel envanter tutulacak; bu envanterde varlığın adı, tipi, yeri, yedekleme bilgisi, kritiklik derecesi ve sorumlusu gibi detaylar yer alacak.
Yılda en az bir kez planlı siber güvenlik risk değerlendirmesi yapılacak. Kritik dijital varlıklarda değişiklik olması, tehdit bilgilerinin değişmesi veya yeni zafiyetlerin tespit edilmesi halinde ilave risk değerlendirmesi ivedilikle gerçekleştirilecek. Kritik dijital varlıkların kaybı veya zarar görmesi ihtimaline karşı yedekleme mekanizmaları kurulacak ve felaket kurtarma merkezleri oluşturulacak.
Siber olaylara ilişkin bildirim süreci de düzenlendi. Güvenlik, emniyet veya nükleer güvenceye zarar veren ya da verme ihtimali bulunan siber olaylar ve tehditler, tespit edilmesini izleyen beş iş günü içinde Nükleer Düzenleme Kurumu (NDK) ve Siber Güvenlik Başkanlığına bildirilecek. Raporlarda olayın nedenleri, etkileri, müdahale faaliyetleri ve çıkarılan dersler yer alacak.
Kuruluşlar, siber olaylara müdahale planının yeterliliğini test etmek için yılda en az bir kez tatbikat yapacak. Personele yönelik ise yılda en az bir kez siber güvenlik eğitim ve farkındalık programı uygulanacak. Siber güvenlik personeline özel eğitimler verilecek ve personelin erişim yetkileri görev tanımına göre sınırlandırılacak.
Yönetmelik kapsamındaki faaliyetler NDK denetimine tabi olacak ve mevzuata aykırılık halinde idari yaptırımlar uygulanacak. Yönetmeliğin yürürlüğe girdiği tarihten önce yetkilendirilen veya başvuruda bulunan kuruluşlar, uyum eylem planlarını altı ay içinde NDK’ye sunacak.
Yorum Yap