Resmi Gazete’de yayımlanan yeni düzenleme ile nükleer tesislerde siber güvenlik alanında kapsamlı bir dönem başladı. Nükleer Düzenleme Kurumu (NDK) tarafından hazırlanan yönetmelik, tesislerdeki tüm dijital altyapının korunmasını ve olası siber tehditlere karşı sistemli bir savunma kurulmasını zorunlu kılıyor.
SORUMLULUK İŞLETMECİYE VERİLDİ
Yeni düzenlemeye göre, nükleer tesislerde siber güvenliğin sağlanmasından doğrudan tesisi kuran, işleten veya devreden çıkaran kuruluş sorumlu olacak. Bu kuruluşlar, tesisin tüm yaşam döngüsü boyunca dijital varlıkların korunması, saldırıların önlenmesi ve olası tehditlere müdahale edilmesi için gerekli tüm tedbirleri almakla yükümlü olacak.
HER TESİSTE SİBER GÜVENLİK YÖNETİCİSİ
Yönetmelik kapsamında, her nükleer tesiste siber güvenlikten sorumlu bir yönetici atanması zorunlu hale getirildi. Bu görev, kurumun organizasyon yapısının bir parçası olacak ve tüm dijital varlıkların güvenliğinden sorumlu olacak.
RİSK BAZLI VE KATMANLI KORUMA
Düzenleme ile “dereceli yaklaşım” ve “derinliğine savunma” ilkeleri esas alındı. Bu çerçevede:
- Tüm dijital varlıklar tek tek tanımlanacak
- Her varlığa kritiklik derecesi verilecek
- Kritik sistemler için güncel envanter tutulacak
Bu sayede siber güvenlik önlemleri, risk seviyesine göre katmanlı şekilde uygulanacak.
SİBER GÜVENLİK PLANI VE DENETİM
Kuruluşlar, kapsamlı bir siber güvenlik planı hazırlayarak NDK’ye sunacak. Bu plan yılda en az bir kez güncellenecek. Reaktör içeren tesislerde her yıl, diğer tesislerde ise en az üç yılda bir risk değerlendirmesi yapılacak.
Ayrıca siber olaylara ilişkin bildirim ve raporlama zorunlu hale getirildi. Tespit edilen olaylar 5 iş günü içinde kuruma bildirilecek.
FELAKET SENARYOLARINA KARŞI ÖNLEM
Yönetmelik, kritik sistemlerin sürekliliğini sağlamak için yedekleme ve felaket kurtarma merkezlerinin kurulmasını da zorunlu kılıyor. Bu merkezlerin, ana sistemlerden etkilenmeyecek şekilde konumlandırılması şart koşuldu.
TATBİKAT VE EĞİTİM ZORUNLULUĞU
Her yıl en az bir kez siber saldırı senaryolarına yönelik tatbikat yapılacak. Ayrıca tüm personele düzenli siber güvenlik eğitimi verilecek. Personelin sistem erişimleri ise görev tanımı ve yetkinliğine göre sınırlandırılacak.
UYMAYANA YAPTIRIM
Yönetmelik kapsamındaki tüm faaliyetler NDK denetimine tabi olacak. Kurallara aykırı hareket eden kuruluşlara idari yaptırımlar uygulanacak.
Yeni düzenleme ile nükleer tesislerde siber güvenliğin yalnızca teknik bir konu olmaktan çıkarılarak kurumsal bir sorumluluk haline getirildiği vurgulanıyor.
