Siber Güvenlik Olaylarını Bildirme Yükümlülükleri: Nasıl Uyum Sağlanır?

Kuruluşunuz olağandışı ağ etkinliği tespit ediyor. BT ekibiniz araştırma yapıyor ve müşteri verilerine yetkisiz erişim buluyor. Tehdidi kontrol altına alıyorsunuz. Şimdi acil soru şu: Bunu yetkililere bildirmeniz gerekiyor mu? Tam olarak kime? Hangi bilgileri vereceksiniz? Ne kadar zamanınız var?

NIS2 ve Hollanda yasalarına göre, birçok kuruluş siber güvenlik olaylarını belirli süreler içinde devlet yetkililerine bildirmek zorundadır. Genellikle tespitin ardından 24 ila 72 saatiniz vardır. Yönetmelikler, raporunuzun hangi yetkili makama iletileceğini, hangi bilgileri sağlamanız gerektiğini ve format gereksinimlerini belirtir. Son tarihi kaçırırsanız veya yanlış kuruma rapor verirseniz, ciddi para cezaları, yaptırım işlemleri ve olayın kendisinin ötesine uzanabilecek yasal sorumluluklarla karşı karşıya kalırsınız.

Bu kılavuz, raporlama yükümlülüklerinizi nasıl yerine getireceğinizi adım adım gösteriyor. Kuruluşunuz için hangi yasaların geçerli olduğunu, bir olayın ne zaman raporlanması gerektiğini, her aşamada hangi yetkililere bildirimde bulunmanız gerektiğini, her raporun hangi bilgileri içermesi gerektiğini ve gerçekten işe yarayan prosedürlerin nasıl oluşturulacağını öğreneceksiniz. Hukuki jargonlardan kaçınarak, uyumlu kalmak ve kuruluşunuzu korumak için hemen atabileceğiniz pratik adımlara odaklanacağız.

Siber güvenlik olay raporlama görevleriniz nelerdir?

Siber güvenlik olayları raporlama yükümlülükleriniz, kuruluşunuzun büyüklüğüne, sektörüne ve sağladığınız hizmetlere bağlıdır. Temel kuruluşlar (enerji, ulaşım, bankacılık, sağlık hizmetleri, kritik altyapı) ve önemli kuruluşlar (posta hizmetleri, atık yönetimi, dijital sağlayıcılar, gıda üretimi) NIS2 kapsamında zorunlu raporlama yapmakla yükümlüdür. Hollandalı tüketiciler için kritik altyapı veya dijital hizmetler işletiyorsanız, neredeyse kesinlikle bu kurallara tabisiniz.

Tamamlamanız gereken üç raporlama aşaması

Farklı son teslim tarihlerine sahip üç ayrı raporlama yükümlülüğünüz var . İlk göreviniz, önemli bir olayı tespit ettikten sonraki 24 saat içinde başlar : Bilgisayar Güvenliği Olay Müdahale Ekibinize (CSIRT) veya yetkili makama erken uyarı gönderirsiniz. Bu ilk bildirim, olayı işaretler ve kötü niyetli faaliyet veya sınır ötesi etki şüphesi olup olmadığını belirtir.

72 saat içinde olay bildirimini gönderirsiniz. Bu rapor, olayın ciddiyeti, etkisi, etkilenen sistemler ve mevcut ihlal göstergelerine ilişkin ilk değerlendirmenizi içerir. Yetkililerin ihlalin kapsamını ve niteliğini anlamalarına yardımcı olacak teknik ayrıntıları sağlarsınız.

Bu süreleri kaçıran kuruluşlar, NIS2 kapsamında 10 milyon Euro'ya kadar veya küresel yıllık cironun %2'si kadar (hangisi daha yüksekse) para cezasıyla karşı karşıya kalırlar.

Olay bildiriminizin üzerinden bir ay geçmeden nihai raporunuz size ulaşacaktır . Bu kapsamlı belge, olayın tüm kapsamını, temel neden analizini, uyguladığınız hafifletme önlemlerini ve sınır ötesi etkilerini ayrıntılı olarak ele alır. Bir ay dolduğunda hala olayla ilgileniyorsanız, bir ilerleme raporu ve ardından çözümden sonraki bir ay içinde nihai bir rapor sunmanız gerekir.

İlk raporlamanın ötesindeki ek görevler

Ayrıca, hizmet alıcılarını etkileyen önemli bir olay meydana geldiğinde, etkilenen tarafları bilgilendirmeniz gerekir . Bu bildirim gereksiz gecikme olmaksızın yapılır ve alıcıların kendilerini korumak için atabilecekleri pratik adımları içerir. Özellikle güven hizmeti sağlayıcıları için , güven hizmetlerini etkileyen olaylar söz konusu olduğunda 72 saatlik süre 24 saate iner.

CSIRT veya yetkili makam, erken uyarınızı aldıktan sonra 24 saat içinde yanıt vererek, ilk geri bildirimi ve risk azaltma önlemlerine ilişkin operasyonel rehberliği sağlar.

Adım 1. Hangi AB ve Hollanda yasalarının sizin için geçerli olduğunu belirleyin.

Bir siber güvenlik olayı meydana gelmeden önce, olay bildirim yükümlülüklerinizi hangi düzenleyici çerçevelerin yönettiğini belirlemeniz gerekir . NIS2 (Ağ ve Bilgi Güvenliği Direktifi) Hollanda genelinde yaygın olarak uygulanırken, DORA (Dijital Operasyonel Direnç Yasası) ve belirli Hollanda uygulama kuralları bazı sektörler için ek yükümlülükler oluşturmaktadır. Öncelikle kuruluşunuzu her bir çerçevenin kriterlerine göre değerlendirerek başlayın.

NIS2'nin kuruluşunuz için geçerli olup olmadığını kontrol edin.

NIS2, temel kuruluş veya önemli kuruluş olarak nitelendiriliyorsanız geçerlidir . Temel kuruluşlar arasında enerji, ulaşım, bankacılık, finans piyasası altyapısı, sağlık, içme suyu, atık su, dijital altyapı, kamu yönetimi ve uzay sektörlerindeki kuruluşlar yer almaktadır. Önemli kuruluşlar ise posta hizmetleri, atık yönetimi, kimya, gıda üretimi, imalat, dijital sağlayıcılar ve araştırma kuruluşlarını kapsamaktadır.

Organizasyonunuzun büyüklüğü yalnızca dijital hizmet sağlayıcıları (DSP'ler) için önemlidir. En az 50 çalışanı olan ve yıllık cirosu 10 milyon Euro veya toplam varlıkları 10 milyon Euro olan bir çevrimiçi pazar yeri, bulut hizmeti veya arama motoru işletiyorsanız, NIS2 kapsamında bir DSP olarak kabul edilirsiniz . Diğer tüm temel ve önemli kuruluşlar, büyüklüklerine bakılmaksızın yükümlülüklerle karşı karşıyadır.

Kritik altyapı işletiyorsanız veya daha önce eski NIS Direktifi (Wbni) kapsamında belirlenmiş bir kuruluşsanız, NIS2 kapsamında otomatik olarak hak kazanırsınız.

Hollanda hükümeti, belirlenmiş kuruluşların bir kaydını tutmaktadır. Durumunuzu teyit etmek için sektörünüzün yetkili makamıyla iletişime geçin (enerji ve dijital altyapı için RDI'ya; finansal hizmetler için AFM ve DNB'ye; sağlık sektörü için IGJ'ye bildirimde bulunun). Güçlendirilmiş denetimlerin başlayacağı Ocak 2026'dan önce bunu doğrulamanız gerekmektedir.

DORA'nın finansal hizmetlerinizi kapsayıp kapsamadığını belirleyin.

DORA, finans kuruluşları ve onlara hizmet veren BİT hizmet sağlayıcıları için ayrı ayrı uygulanır . Kredi kuruluşu, ödeme hizmeti sağlayıcısı, sigorta şirketi, yatırım firması, kripto varlık hizmeti sağlayıcısı veya elektronik para kuruluşu olarak faaliyet gösteriyorsanız DORA kapsamına girersiniz. Bu düzenleme, kendi raporlama gereksinimleriyle NIS2'ye paralel olarak işler.

Finansal hizmet sağlayıcıları, önemli olayları RDI'ya ek olarak AFM'ye (AFM Portalı aracılığıyla) ve DNB'ye (My DNB aracılığıyla) bildirmelidir . Ayrıca, kritik veya önemli işlevler için BT üçüncü taraflarıyla yapılan tüm sözleşme anlaşmalarını belirtilen süreler içinde bu portallar aracılığıyla kaydetmeniz gerekmektedir .

Dijital hizmet sağlayıcınıza karşı yükümlülüklerinizi değerlendirin.

WBNI ( Hollanda uygulaması ) , çevrimiçi pazar yerleri, bulut bilişim veya arama motorları sağlıyorsanız belirli yükümlülükler getiriyor . Olayları hem RDI'ye hem de CSIRT-DSP'ye (dijital sağlayıcılar için uzmanlaşmış olay müdahale ekibi) bildirmeniz gerekiyor . Diğer sektörlerdeki temel kuruluşlardan farklı olarak, 50'den fazla çalışanı ve 10 milyon Euro'dan fazla ciro veya varlığı olan işletmeler için belirli büyüklük eşikleri uygulanıyor.

Güven hizmeti sağlayıcıları, eIDAS düzenlemesi kapsamında hızlandırılmış sürelerle karşı karşıyadır. Güven hizmetlerini etkileyen önemli olayları , diğer kuruluşlar için geçerli olan standart 72 saatlik süre yerine 24 saat içinde bildirmeniz gerekmektedir .

Adım 2. Bir olayın ne zaman raporlanması gerektiğini tanımlayın.

Bir olayın raporlama eşiğini aşıp aşmadığını belirlemek için somut kriterlere ihtiyacınız var. Kanun, önemli olayları, ciddi operasyonel aksamaya, mali kayba veya başkalarına önemli zarara neden olan olaylar olarak tanımlar. Siber güvenlik olaylarını raporlama göreviniz, soruşturmayı bitirdiğinizde değil, bu kriterleri karşılayan bir olayı tespit ettiğinizde başlar. Bu, genellikle eksik bilgilerle bile olsa, raporlama kararlarını hızlı bir şekilde vermeniz gerektiği anlamına gelir.

Kuruluşunuz için ciddiyet eşiğini değerlendirin.

Bir olay, temel hizmetlerinizi aksattığında veya önemli mali etki yarattığında önemli olarak nitelendirilir . NIS2 iki ana kategori sunar: operasyonlarınızı ciddi şekilde aksatan veya mali kayba neden olan olaylar ve önemli maddi veya manevi zarara neden olarak diğer tarafları etkileyen olaylar. Bu kategorilerden herhangi biri geçerli olduğunda raporlama yaparsınız.

Operasyonel aksama, müşterilerinize hizmet sunamamanız, kritik sistemlerin arızalanması veya temel verilere erişiminizi kaybetmeniz anlamına gelir. Mali kayıp, fidye ödemeleri, kurtarma masrafları, gelir kaybı veya düzenleyici para cezaları gibi doğrudan maliyetleri içerir. Kanun, kesin euro eşiklerini belirtmediğinden, kuruluşunuzun büyüklüğüne ve olayın göreceli etkisine göre değerlendirme yaparsınız.

Olay meydana gelmeden önce dahili eşik değerlerinizi belgeleyin. Bu, raporlama kararlarında tutarlılık sağlar ve yetkililer daha sonra kararınızı sorguladığında iyi niyetli uyumluluğu gösterir.

Önemini değerlendirirken bu göstergeleri göz önünde bulundurun:

• Servis UygunluğuMüşteriler hizmetlerinize erişebiliyor mu? Sistemler ne kadar süredir çalışmıyor?
• Veri bütünlüğüYetkisiz erişim gerçekleşti mi? Hangi veri kategorileri etkilendi?
• Coğrafi kapsamOlay birden fazla bölgeyi veya ülkeyi etkiliyor mu?
• Müşteri etkisiHizmet kesintisiyle karşılaşan kullanıcı veya alıcı sayısı kaç?
• İyileşme süresiSorunun saatler, günler veya haftalar içinde çözülmesini mi bekliyorsunuz?

Sınır ötesi ve zincirleme etkileri değerlendirin.

Yurtiçi etkileri önemsiz görünse bile, sınır ötesi etki potansiyeli olan olayları bildirmeniz gerekmektedir . Hollanda'daki faaliyetlerinizi etkileyen bir olay , diğer AB üye devletlerindeki müşterileri, ortakları veya tedarik zincirlerini etkileyebilir . Bu durum, yetkililerin sınır ötesi müdahaleleri koordine etmesi nedeniyle bildirim yükümlülüğünü doğurur.

Zincirleme etkiler de aynı derecede önemlidir. Olayın, son kullanıcılara doğrudan etkisi olup olmamasına bakılmaksızın, diğer önemli veya hayati kuruluşlara sağladığınız hizmetleri aksatması durumunda raporlanması gerekir. Örneğin, bir hastaneye bulut hizmetleri sağlıyorsanız ve güvenlik ihlaliniz onların hasta sistemlerini etkiliyorsa, yalnızca kendi kayıplarınıza değil, operasyonel etkilerine göre de raporlama yapmalısınız.

Güven hizmeti sağlayıcıları daha katı eşiklerle karşı karşıya . Güven hizmetlerinin (dijital imzalar, sertifikalar, zaman damgaları) sağlanmasını etkileyen herhangi bir olay, 24 saat içinde derhal bildirilmelidir. Etkinin genel önem kriterlerini karşılayıp karşılamadığını değerlendirmek için beklemenize gerek yok.

3. Adım. Olay bildirim prosedürlerinizi oluşturun.

Olay anında kimin neyi, ne zaman ve nasıl yapacağını tam olarak belirten belgelenmiş prosedürlere ihtiyacınız var. Olay müdahale planınız, ekibiniz önemli bir olay tespit ettiğinde otomatik olarak devreye giren net raporlama iş akışlarını içermelidir. Bu prosedürler, siber güvenlik olayları raporlama görevlerinizi soyut yasal gerekliliklerden, personelinizin baskı altında uygulayabileceği somut eylemlere dönüştürür.

Olay sınıflandırma matrisinizi oluşturun.

Sınıflandırma matrisiniz, olay müdahale ekiplerinin olayın tespit edilmesinden dakikalar sonra raporlama gereksinimlerini belirlemesine yardımcı olur. Olay türlerini ve ciddiyet seviyelerini raporlama yükümlülükleri, son tarihler ve yetkili mercilerle eşleştiren bir tablo oluşturun. Bu, tahmini ortadan kaldırır ve kuruluşunuz genelinde tutarlı kararlar alınmasını sağlar.

Yönetmelikler değiştiğinde veya kuruluşunuz yeni hizmetler eklediğinde bu matrisi güncelleyin . Eksiklikleri veya kafa karışıklığı noktalarını belirlemek için gerçekçi senaryolar kullanarak üç ayda bir test edin.

Bildirim iş akışınızı tasarlayın

İş akışınız , olay tespitinden nihai raporlamaya kadar olan eylem sırasını tam olarak belirtmelidir . Raporlamayı kimin başlattığını, bildirimleri kimin inceleyip onayladığını, kimin gönderdiğini ve yetkililerle kimin iletişim kurduğunu belgeleyin. Her rol için, devamsızlıkları karşılamak üzere yedek personel atayın.

İş akışınız, üst yönetimin hemen müsait olmayabileceği mesai saatleri dışında da olayların meydana gelebileceğini varsaymalıdır. Gecikmeleri önleyecek onay mekanizmaları oluşturun.

Ekibinizin izleyeceği bir kontrol listesi formatı oluşturun:

1. Olay tespit edildi: Güvenlik ekibi lideri, 2 saat içinde sınıflandırma matrisine göre değerlendirme yaptı.
2. Bildirilmesi gereken olay doğrulandı: Bilgi Güvenliği Yöneticisi (CISO) derhal bilgilendirildi, erken uyarı hazırlıklarına başlandı.
3. Erken uyarı taslağı: Olay türü, tespit zamanı, şüpheli neden ve potansiyel sınır ötesi etkiyi içerecektir.
4. Hukuki inceleme: Hukuk danışmanı taslağı doğruluk ve eksiksizlik açısından 4 saat içinde inceler.
5. Gönderim: CISO veya vekili, 24 saatlik süre içinde resmi portal üzerinden gönderimi gerçekleştirir.
6. Yetkililerin yanıtı: Güvenlik ekibi, alınan talimatları 24 saat içinde uygulamaya koymuştur.
7. Olay bildirimi: Teknik ekip 60 saatlik süre içinde detaylı değerlendirme hazırlıyor.
8. Son teslim tarihi: Tüm belgelerin 72 saatlik süre dolmadan önce teslim edilmesi.

Her aşama için rapor şablonları hazırlayın.

Şablonlar, raporlarınızın gerekli tüm bilgileri içermesini sağlarken hazırlık süresini de azaltır. NIS2 ve Hollanda yetkilileri tarafından belirtilen tüm zorunlu alanları içeren erken uyarı, olay bildirimi ve nihai raporunuz için ayrı şablonlar oluşturun.

Erken uyarı şablonunuz şunları içermelidir: tespit zaman damgası, olay kategorisi, etkilenen sistemlerin özeti, şüpheli kötü amaçlı faaliyet göstergesi (evet/hayır), sınır ötesi etki göstergesi (evet/hayır), birincil iletişim bilgileri. Olay bildiriminiz şunları ekler: ciddiyet değerlendirmesi, etki kapsamı, etkilenen kullanıcı sayısı, ihlal göstergeleri, alınan ilk hafifletme adımları. Nihai raporlar şunları içerir: olayın tam zaman çizelgesi, temel neden analizi, tam etki değerlendirmesi, uygulanan güvenlik önlemleri, öğrenilen dersler, önleyici öneriler.

Bu şablonları, ekibinizin anında erişebileceği doldurulabilir formlar olarak kaydedin . Sistem kesintileri sırasında kullanılabilirliği sağlamak için bunları olay müdahale platformunuzda, güvenlik wikinizde ve çevrimdışı yedeklemelerinizde saklayın.

4. Adım. Raporlamayı eğitim ve yönetişime entegre edin.

Personelin rollerini anlamaması veya yönetim yapılarının hızlı karar almayı desteklememesi durumunda raporlama prosedürleriniz başarısız olur. Kuruluşunuzun siber güvenlik olayları raporlama görevlerini her zaman doğru bir şekilde yerine getirmesini sağlamak için sistematik eğitime ve yönetim kurulu düzeyinde denetime ihtiyacınız var . Bu, raporlama yükümlülüklerini mevcut güvenlik eğitim programlarınıza entegre etmek ve yönetim düzeyinde net bir hesap verebilirlik oluşturmak anlamına gelir.

Tüm personele tespit ve üst kademeye bildirme konusunda eğitim verin.

Tüm çalışanlarınızı potansiyel güvenlik olaylarını tanıma ve bunları nasıl üst mercilere iletecekleri konusunda eğitmelisiniz . Teknik personelinizin sınıflandırma matrisi ve raporlama iş akışları konusunda detaylı eğitime ihtiyacı varken, teknik olmayan çalışanlar için olağandışı faaliyetleri tespit etmeye ve doğru kişilerle hemen iletişime geçmeye odaklanan daha basit bir rehberliğe ihtiyaç duyulmaktadır.

Raporlama gerektiren gerçekçi olayları simüle eden masa başı tatbikatlarını üç ayda bir gerçekleştirin . Olay müdahale ekibinizi, olayın tespitinden nihai raporun sunulmasına kadar tüm süreç boyunca yönlendirin. Bu tatbikatları prosedürel eksiklikleri belirlemek, şablonlarınızı test etmek ve yedek personelin rollerini anladığından emin olmak için kullanın. Her tatbikattan sonra öğrenilen dersleri belgeleyin ve prosedürlerinizi buna göre güncelleyin.

Genel personele yönelik güvenlik bilinci eğitiminde şu raporlama esasları ele alınmalıdır:

• Potansiyel bir güvenlik olayı teşkil eden durumlar nelerdir (alışılmadık e-postalar, yetkisiz erişim girişimleri, kayıp veriler)?
• Hemen kiminle iletişime geçilmeli (güvenlik ekibinizin 7/24 iletişim bilgilerini verin)
• Ne yapmamalısınız (kendiniz soruşturma yapmaya kalkışmayın, kanıtları silmeyin, Pazartesiye kadar beklemeyin)
• Hızın önemi (yasal süreler, olayların bildirilmesinden değil, tespit edilmesinden itibaren başlar)

Personeli, şüpheli faaliyetleri derhal tespit edip bildirmelerinin sadece uyumluluk gerekliliklerini yerine getirmekle kalmayıp, hem kuruluşu hem de kendilerini sorumluluktan koruduğu konusunda eğitin.

Raporlamayı mevcut yönetişime entegre edin.

Yönetim kurulunuzun ve üst düzey yöneticilerinizin, olay bildirim yetenekleri ve gerçekleşen olaylar hakkında düzenli olarak bilgilendirilmesi gerekir . Bildirim prosedürlerinizi, meydana gelen olayları, yetkili mercilerden alınan yanıtları ve uygulanan prosedürel iyileştirmeleri kapsayan üç aylık yönetim incelemeleri planlayın. Bu, hesap verebilirliği sağlar ve yönetimin bildirim yükümlülüklerini anlamasını garanti eder.

Olay raporlama uyumluluğu için belirli bir yönetici sorumluluğu atayın . Bu kişi (genellikle Bilgi Güvenliği Yöneticiniz veya Baş Risk Yöneticiniz) hazırlık konusunda doğrudan yönetim kuruluna rapor verir, yetkili mercilerle ilişkileri sürdürür ve raporlama araçları ve eğitim bütçesinden sorumludur. Net sorumluluk ataması, kararların hızlı bir şekilde alınması gereken gerçek olaylar sırasında karışıklığı önler.

Güvenlik panolarınıza raporlama ölçütlerini ekleyin : tespit anından erken uyarı gönderimine kadar geçen süre, son tarih gereksinimlerini karşılayan olayların yüzdesi, yetkili mercilerin müdahale süreleri ve tamamlanan düzeltici eylemler. Trendleri ve iyileştirme fırsatlarını belirlemek için bunları aylık olarak takip edin.

İleriye

Artık NIS2 ve Hollanda yasaları uyarınca siber güvenlik olaylarını bildirme yükümlülüklerinizi yerine getirmek için eksiksiz bir çerçeveye sahipsiniz. Kuruluşunuz için hangi düzenlemelerin geçerli olduğunu, olayların bildirim eşiğini ne zaman aştığını, hangi yetkililere bildirim gönderildiğini, her raporun hangi bilgileri içermesi gerektiğini ve baskı altında işlev gören prosedürlerin nasıl oluşturulacağını biliyorsunuz. Bir sonraki adımınız hemen uygulamaya geçmektir.

Öncelikle mevcut olay müdahale planınızı burada belirtilen gereksinimlere göre gözden geçirin. Sınıflandırma matrisinizi güncelleyin, rapor şablonlarınızı hazırlayın ve olay müdahale ekibinizi yeni iş akışları konusunda eğitin. Gerçek bir olay meydana gelmeden önce prosedürleri test etmek için ilk masa başı tatbikatınızı önümüzdeki 30 gün içinde planlayın . Ekibinizin ihtiyaç duyduğunda anında erişebilmesi için oluşturduğunuz her şeyi belgeleyin.

Siber güvenlikte yasal uyumluluk hem teknik uzmanlık hem de hukuk bilgisiBu düzenlemelerin sizin özel durumunuza nasıl uygulanacağını yorumlamada yardıma ihtiyacınız varsa, UAF ile Law & More Uzmanlaşmış rehberlik için. Ekipleri, Hollandalı kuruluşların karmaşık siber güvenlik uyumluluk gereksinimlerinde yol almalarına ve hem operasyonlarınızı hem de yasal durumunuzu koruyan olay müdahale çerçeveleri oluşturmalarına yardımcı olur.