NIS2 Direktifi ve Türkiye’nin Siber Güvenlik Dönüşümü
Son güncelleme: 28 Ekim 2026
2026 yılına doğru ilerlerken, küresel ticaretin ve dijital ekosistemin kuralları yeniden yazılıyor. Avrupa Birliği’nin siber güvenliği ulusal güvenlik stratejisinin merkezine alan NIS2 Direktifi, Avrupa sınırları içinde kalmıyor; Türkiye gibi stratejik ticari ortakları da doğrudan etkiliyor. Artık siber güvenlik, teknik bir detaydan öte, yönetim kurullarının şahsi sorumluluğunda olan ve şirketin piyasadaki varlığını belirleyen bir “lisans” niteliği taşıyor.
İçindekiler
- NIS2 Direktifi Neden ve Nasıl Ortaya Çıktı?
- Şirketiniz NIS2 Kapsamında mı?
- Madde 21 ve Zorunlu 10 Güvenlik Önlemi
- 24 Saat Kuralı ve Siber Olay Raporlama
- Yönetim Kurulu Sorumluluğu ve Kişisel Riskler
- 7545 Sayılı Kanun ve Siber Güvenlik Başkanlığı
- Türk İhracatçıları İçin NIS2 Ne Anlama Geliyor?
- ISO 27001 Sertifikanız NIS2 İçin Yeterli mi?
- Sıkça Sorulan Sorular
Türkiye, bu küresel dalgaya 2025 yılının başında hayata geçirdiği Siber Güvenlik Başkanlığı (SGB) ve 7545 sayılı Siber Güvenlik Kanunu ile yanıt verdi. Bu yeni yasal mimari, şirketlere ağır sorumluluklar yüklerken, aynı zamanda dijital dayanıklılığını kanıtlayan firmalar için AB pazarında büyük bir rekabet avantajı sunuyor. Bu rehberde, siber güvenliğin bu devrimsel dönüşümünü, yasal gereklilikleri ve işletmenizi 2026 eşiğine nasıl hazırlayacağınızı adım adım inceleyeceğiz.
1. NIS2 Direktifi Neden ve Nasıl Ortaya Çıktı?
Avrupa Birliği, 2016 yılında siber güvenliği düzenleyen ilk kapsamlı yasa olan NIS1 Direktifi’ni hayata geçirdiğinde dünya çok daha farklı bir yerdi. Ancak pandemi sonrası hızlanan dijitalleşme süreci, devlet destekli siber saldırıların artması ve kritik altyapılara yönelik tehditlerin karmaşıklaşması, NIS1’in yetersiz kalmasına neden oldu. Bazı AB üyesi ülkelerin kritik sektörleri dar tanımlaması, Avrupa’nın dijital savunmasında “zayıf halkalar” oluşturdu.
İşte bu ihtiyaca yanıt olarak Aralık 2022’de yürürlüğe giren NIS2 Direktifi (2022/2555 sayılı Direktif), Avrupa’nın yeni siber egemenlik stratejisinin temel taşı haline geldi. NIS2’nin en belirgin felsefesi “Tüm Tehlikeler” (All-Hazards) yaklaşımıdır. Bu yaklaşım, sistemlerinizi sadece bilgisayar korsanlarından değil; doğal afetlerden, fiziksel kesintilerden veya tedarik zincirindeki küçük bir aksaklıktan bile korumanızı hedefler.
Türkiye için bu süreç, sadece bir Avrupa yasasını izlemekten ibaret değildir. AB ile olan yoğun ticari ilişkilerimiz, Gümrük Birliği ve Türk sanayisinin Avrupa tedarik zincirindeki kritik rolü, NIS2’yi Türk şirketleri için “sınır ötesi bir düzenleme” haline getirmiştir.
2. Şirketiniz NIS2 Kapsamında mı?
NIS2, kapsamını NIS1’e göre muazzam ölçüde genişletmiştir. Artık bir kuruluşun kapsama girip girmediği, sadece yaptığı işin kritikliği ile değil, aynı zamanda büyüklüğü ile de ölçülmektedir. “Size-Cap” (Boyut Sınırı) kuralı uyarınca, 50’den fazla çalışanı olan veya yıllık cirosu 10 milyon Euro’yu aşan orta ve büyük ölçekli işletmeler otomatik olarak direktif kapsamına girmektedir.
Kritiklik Seviyelerine Göre Sektörel Dağılım
Direktif, faaliyet alanlarını “Yüksek Kritiklikteki Sektörler” ve “Diğer Kritik Sektörler” olarak iki gruba ayırmaktadır. Bu ayrım, sadece bir etiketleme değil, aynı zamanda tabi olunacak denetim rejimini (proaktif veya reaktif) belirleyen yasal bir statüdür.
| Yüksek Kritiklikteki Sektörler (Ek I) | Diğer Kritik Sektörler (Ek II) |
|---|---|
| Enerji: Elektrik, petrol, gaz ve hidrojen sistemleri. | Posta ve Kurye: Dağıtım ve kurye hizmetleri. |
| Ulaşım: Hava, raylı, su yolu ve karayolu taşımacılığı. | Atık Yönetimi: Toplama ve bertaraf tesisleri. |
| Sağlık: Hastaneler, ilaç üreticileri ve tıbbi cihaz sektörü. | Kimyasallar: Üretim ve dağıtım süreçleri. |
| Bankacılık ve Finans: Kredi kuruluşları ve piyasa altyapıları. | Gıda: Üretim, işleme ve toptan dağıtım kanalları. |
| Dijital Altyapı: Bulut hizmetleri, veri merkezleri ve DNS sağlayıcıları. | İmalat: Elektronik, makine ve motorlu taşıt üretimi. |
| Kamu Yönetimi: Merkezi ve bölgesel düzeydeki kamu birimleri. | Araştırma: Kritik teknolojiler üzerine çalışan kurumlar. |
Bu tabloya göre, otomotiv parçası üreten bir fabrikadan (İmalat), bir arama motoruna (Dijital Sağlayıcı) kadar geniş bir yelpaze artık siber güvenlik yasalarına doğrudan uymak zorundadır.
3. Madde 21 ve Zorunlu 10 Güvenlik Önlemi
NIS2 Direktifi’nin “kalbi” olarak kabul edilen Madde 21, kuruluşların “State-of-the-art” (teknolojinin geldiği son nokta) seviyesinde alması gereken asgari on temel güvenlik alanını tanımlar. Bu maddeler, teknik bir kontrol listesinden ziyade kurumsal bir yaşam biçimidir.
1. Risk Analizi ve Bilgi Sistemleri Güvenliği
Sadece ateş duvarı kurmak yetmez. Tüm dijital varlıklarınızı tanımlamalı ve her birinin maruz kalabileceği tehditleri analiz eden yaşayan bir politika oluşturmalısınız.
2. Olay Yönetimi (Incident Management)
Bir saldırı anında ne yapacağınız önceden belli mi? Tespit, analiz, kontrol altına alma ve kurtarma süreçleriniz test edilmiş olmalıdır.
3. İş Sürekliliği ve Kriz Yönetimi
Doğal afet veya fidye yazılımı saldırısı anında operasyonlarınız durmamalı. Yedekleme ve felaket kurtarma planları en kötü senaryoya göre hazır olmalı.
4. Tedarik Zinciri Güvenliği
En kritik madde budur. Sadece kendi güvenliğinizden değil, hizmet aldığınız yazılımcıdan bulut sağlayıcınıza kadar tüm zincirden sorumlusunuz.
5. Sistem Geliştirme ve Bakım Güvenliği
Yazılım geliştirme süreçlerinizde “Security by Design” (tasarımda güvenlik) prensibi uygulanmalı ve zafiyet bildirim politikaları aktif olmalıdır.
6. Siber Güvenlik Denetimi ve Etkinlik Ölçümü
Yaptığınız yatırımlar gerçekten çalışıyor mu? Düzenli sızma testleri (pentest) ve bağımsız denetimlerle etkinliğinizi ispatlamanız gerekir.
7. Siber Hijyen ve Eğitim
En zayıf halka insandır. Tüm personelin düzenli farkındalık eğitimlerinden geçmesi ve güçlü şifre yönetimi gibi temel hijyen kurallarını benimsemesi şarttır.
8. Kriptografi ve Şifreleme
Verileriniz hem saklanırken hem de iletilirken en güncel şifreleme yöntemleriyle (AES-256 vb.) korunmalıdır.
9. İnsan Kaynakları ve Erişim Kontrolü
“En az ayrıcalık” prensibi ile her personel sadece işi için gerekli verilere erişebilmeli; işten ayrılma süreçleri güvenlik protokollerine bağlanmalıdır.
10. Çok Faktörlü Kimlik Doğrulama (MFA)
Hassas sistemlere girişte sadece şifre yetmez. MFA ve güvenli iletişim araçlarının kullanımı kurumsal bir zorunluluktur.
4. 24 Saat Kuralı ve Siber Olay Raporlama
NIS2, siber olayların gizlenmesini engelleyen ve kolektif savunmayı artıran katı bir raporlama takvimi getirmiştir. Önemli bir siber olayla karşılaştığınızda saatiniz işlemeye başlar.
| Aşama | Zaman Çizelgesi | Beklenen İçerik |
|---|---|---|
| Erken Uyarı | İlk 24 Saat | Olayın tespiti, olası etkisi ve saldırı kaynağına dair ilk bilgiler. |
| Olay Bildirimi | İlk 72 Saat | Ciddiyet değerlendirmesi, etkilenen sistemler ve ihlal belirtileri (IoC). |
| İlerleme Raporu | 1 Ay İçinde | Olay devam ediyorsa güncel durum ve alınan geçici önlemler. |
| Final Raporu | 1 Ay İçinde | Kök neden analizi, uygulanan kalıcı iyileştirmeler ve sınır ötesi etkiler. |
Bu katı süreler, şirketlerin kriz anındaki çevikliğini ölçmekte ve yetkili makamların (Türkiye’de SGB) tehdidi diğer kuruluşlara yayılmadan engellemesini sağlamaktadır.
5. Yönetim Kurulu Sorumluluğu ve Kişisel Riskler
NIS2’nin en “devrimsel” yönü Madde 20‘dir. Artık siber güvenlik bir IT problemi değil, bir yönetim kurulu riskidir. Şirket yöneticileri siber güvenlik stratejilerini bizzat onaylamak ve uygulanmasını denetlemekle yükümlüdür.
Hangi riskler söz konusu?
- Kişisel Sorumluluk: Ciddi ihlallerde yöneticiler şahsi olarak sorumlu tutulabilir.
- Görevden Uzaklaştırma: CEO düzeyinde bile olsa, yöneticilerin görevlerini icra etmeleri geçici olarak yasaklanabilir.
- Zorunlu Eğitim: Yönetim kurulu üyelerinin siber riskleri anlayabilecek seviyede düzenli eğitim almaları artık yasal bir zorunluluktur.
Bu durum, “Board-level Accountability” (Yönetim Kurulu Düzeyinde Hesap Verebilirlik) kavramını dijital çağın kurumsal yönetişim standardı haline getirmiştir.
6. 7545 Sayılı Kanun ve Siber Güvenlik Başkanlığı
Türkiye, küresel standartlara uyum sağlamak amacıyla 2025 yılında devrim niteliğinde adımlar atmıştır. 8 Ocak 2025’te kurulan Siber Güvenlik Başkanlığı (SGB), Türkiye’nin bu alandaki tek ve en üst yetkili otoritesidir.
Yeni Mimari Nasıl Şekilleniyor?
- DDO’nun Devri: 28 Mart 2025’te Dijital Dönüşüm Ofisi’nin görevleri SGB’ye devredilerek tüm siber güç tek çatıda toplanmıştır.
- 7545 Sayılı Kanun: 19 Mart 2025’te yürürlüğe giren bu kanun, Türkiye’nin “Milli NIS2″sidir. Kritik altyapı sahipleri için ağır yükümlülükler getirir.
- Ağır Yaptırımlar: Kanuna uymayan veya tedarik zinciri güvenliğini sağlamayan şirketlere 10 milyon TL’ye kadar veya cironun %5’ine varan idari para cezaları öngörülmüştür.
- Sertifikasyon Zorunluluğu: Siber güvenlik hizmeti veren firmaların 2027 başına kadar SGB’den sertifika alması şart koşulmuştur.
7. Türk İhracatçıları İçin NIS2 Ne Anlama Geliyor?
NIS2, AB dışındaki ülkeleri de etkileyen “ekstra-territorial” bir etkiye sahiptir. Avrupa’daki “temel” bir kuruluş, NIS2 gereği tüm tedarik zincirinden sorumlu olduğu için, Türkiye’deki tedarikçisinden de aynı standartları talep etmektedir.
Neler Değişiyor?
- Sözleşmesel Dayatmalar: Avrupalı müşteriler, Türk firmalarına 24 saatlik olay bildirim zorunluluğu ve bağımsız denetim hakları içeren maddeleri imzalatmaya başlamıştır.
- Rekabet Avantajı: NIS2 uyumu sertifikalandırılmış Türk firmaları, uyum sağlayamayan Çinli veya Hintli rakiplerine karşı AB pazarında “güvenilir partner” olarak öne çıkmaktadır.
- Yerel Temsilci Atama: AB’ye dijital hizmet (SaaS, bulut vb.) sunan Türk firmaları, AB içinde bir “yerel temsilci” atamakla yükümlüdür.
8. ISO 27001 Sertifikanız NIS2 İçin Yeterli mi?
Birçok Türk kuruluşu ISO/IEC 27001 standardını esas almaktadır. Ancak NIS2 uyumu, ISO 27001’e sahip olmaktan “bir adım ötesini” gerektirir.
| Özellik | ISO 27001:2022 | NIS2 Direktifi / 7545 Sayılı Kanun |
|---|---|---|
| Niteliği | Gönüllülük esasına dayalı standart. | Yasal bir zorunluluk (Hukuki düzenleme). |
| Raporlama | Kurum içi ve yıllık denetim odağı. | Otoriteye 24 saatlik acil bildirim odağı. |
| Sorumluluk | Stratejik kaynak tahsisi. | Yöneticiler için şahsi ve cezai sorumluluk. |
| Kapsam | Kurumun kendi veri güvenliği. | Toplumsal ve ekonomik dayanıklılık. |
ISO 27001 altyapınızı NIS2’ye “yükseltmek” için; olay bildirim prosedürlerini hızlandırmalı ve tedarik zinciri denetimlerini çok katmanlı hale getirmelisiniz.
9. Sıkça Sorulan Sorular
Şirketimiz sadece Türkiye’de faaliyet gösteriyor, NIS2 bizi bağlar mı?
Doğrudan AB hukukuna tabi olmayabilirsiniz ancak müşterileriniz arasında AB merkezli firmalar varsa, onlar üzerinden dolaylı kapsam altındasınız demektir. Ayrıca Türkiye’nin 7545 sayılı Kanunu, NIS2 ile paralel olduğu için her iki durumda da benzer önlemleri almalısınız.
24 saatlik raporlama süresi ne zaman başlar?
Olayın fark edildiği (veya makul olarak fark edilmesi gereken) andan itibaren başlar. Bu yüzden 7/24 izleme (SOC) sistemleri kritik öneme sahiptir.
2026 yılı neden bu kadar önemli?
2026, hem AB üyesi devletlerin NIS2 denetimlerine tam kapasiteyle başlayacağı hem de Türkiye’deki SGB’nin ikincil mevzuatı tamamlayarak şirketleri sahada denetleyeceği “hesap verme yılı” olarak belirlenmiştir.
Uyum sürecine nereden başlamalıyız?
Öncelikle bir “Zafiyet Analizi ve Mevcut Durum Değerlendirmesi” yaptırmalısınız. Ardından yönetim kurulunuza yönelik siber risk eğitimi organize ederek bütçe ve strateji onayı almalısınız.
7545 Sayılı Kanun
Siber Güvenlik Başkanlığı
Tedarik Zinciri Güvenliği
Dijital Dönüşüm 2026
Yazar: Afra Görgen
Siber Güvenlik Dönüşümünüzü Birlikte Planlayalım
NIS2 ve 7545 sayılı Kanun uyum süreçlerinde profesyonel danışmanlık ve teknik destek almak için uzman ekibimize ulaşın.
Yazar: Afra Görgen
