NDK’nın Siber Güvenlik Yönetmeliğinin Uygulama Rehberi – Nükleer Tesislerde Güvenli Dijital Varlık Yönetimi

Nükleer Tesislerde Siber Güvenlik Yönetmeliği Resmi Gazete’de yayımlanarak yürürlüğe girdi. Buna göre, tesisleri kuran, işleten ya da işleten kuruluşlardan dijital varlıkları korumak ve olaylara karşı müdahale etmekle sorumlu olan birim/bir kişi belirlenir. Kuruluşlar, nükleer tesis ve sahasının düzenleyici kontrollerden çıkma riskine karşı tüm dijital varlıklarını siber saldırılara karşı korumalı, saldırıları tespit etmeli ve gerektiğinde müdahale etmelidir. Ayrıca, bu görev organizasyon yapısına uygun bir şekilde atanan bir siber güvenlik yöneticisini kapsar. Bu yaklaşım, güvenlik kararlarında dereceli bir sistemi ve derinlemesine savunmayı esas alır; böylece dijital varlıkların güvenlik, emniyet ve nükleer güvence üzerindeki etkileri risk temelli ve çok katmanlı bir koruma stratejisiyle ele alınır.

Kuruluşlar, tüm dijital varlıklarını tanımlayarak hangi güvenlik, emniyet ve nükleer güvence fonksiyonlarını yerine getirdiklerini belirtir ve her varlık için kritiklik derecesi atar. Kritik dijital varlıklar için güncel bir envanter tutulur; bu envanterde varlığın adı, tipi, konumu, yedekleme bilgisi, kritiklik seviyesi ve sorumlusu yer alır. Ayrıca, siber güvenlik planı hazırlanması ve ilgili NDK’ye sunulması zorunluluğu getirilmiştir. Plan, yılda en az bir kez gözden geçirilir ve risk değiştiğinde, ilgili belgeler güncellendiğinde ya da yapı değiştiğinde güncellenir. Reaktör içeren tesislerde siber güvenlik risk değerlendirmesi yılda en az bir kez yapılırken, diğer tesislerde üç yılda bir bu değerlendirme gerçekleştirilir. Kritik dijital varlıklarda meydana gelebilecek değişiklikler, tehdit bilgilerinin güncellenmesi veya yeni açıkların tespiti halinde ek risk değerlendirmesi hızlıca yürütülmelidir. Bu varlıkların kaybı veya zarar görmesi durumunda yedekleme mekanizmaları devreye alınır ve felaket mühendisliği kapsamında ana sistemlerden bağımsız bir felaket kurtarma merkezi kurulur.

Siber olay bildirim süreci netleştirilmiş olup, güvenlik, emniyet ya da nükleer güvenceye zarar verebilecek ya da zarar verme potansiyeli bulunan olaylar NDK’ye ve Siber Güvenlik Başkanlığına bildirilir. Olayın tespitinden sonra beş iş günü içinde kurum raporu sunulur; raporda olayın nedenleri, etkileri, müdahale çalışmaları ve çıkarılan dersler ile düzeltici/önleyici faaliyetler yer alır. Kuruluşlar, her yıl en az bir kez kritik dijital varlıkları kapsayan bir siber olay tatbikatı yapar; tatbikatlar en az iki yılda bir güvenlik ve emniyete yönelik senaryolarla hibrit biçimde birleştirilir.

vurgusuyla, tüm tesis personeline yıllık en az bir kez siber güvenlik eğitimi ve farkındalık programı uygulanır. Siber güvenlik personeli için özel eğitim programları düzenlenir ve erişim yetkileri görev tanımı ve uzmanlık düzeyine göre sınırlandırılır. Kuruluşlar, uygulamalara ilişkin bilgileri bir sonraki yılın Şubat ayı sonuna kadar raporlar. Bu rapor; güvenlik testleri, iç denetimler, eğitimler, zafiyet giderme çalışmaları ve gelecek yıl planlanan faaliyetleri kapsar. Yönetmelik kapsamındaki faaliyetler NDK denetimine tabidir ve mevzuata, yetki şartlarına ya da talimatlara aykırılık durumunda idari yaptırımlar uygulanır.

Yürürlüğe giriş tarihinden önce yetkilendirilen veya yetkilendirilmek üzere NDK’ye başvuran kuruluşlar için uyum eylem planlarının altı ay içinde kuruma sunulması gerekir; gerekçenin uygun bulunması halinde bu süre bir yıla kadar uzatılabilir.