Hollanda’da şirketleri ve kamu kurumlarını siber saldırılara karşı daha hazırlıklı olmaya zorlayan yeni Siber Güvenlik Yasası yürürlüğe girdi. Yaklaşık 8 bin kuruluşu doğrudan kapsayan düzenleme kapsamında, ciddi siber olayların 24 saat içinde yetkililere bildirilmesi, güvenlik önlemlerinin artırılması ve tedarik zincirindeki risklerin değerlendirilmesi gerekiyor. Kurallara uyulmaması durumunda şirketler yaptırımlarla karşılaşabilecek; ağır ihmal veya kasıt tespit edilmesi hâlinde yöneticilerin şahsi sorumluluğu da gündeme gelebilecek.
HABER: A. Hamit Sürmeneli
Albert Heijn saldırısı yeni düzenlemeyi gündeme taşıdı
Hollanda’nın en büyük süpermarket zinciri Albert Heijn’e yönelik siber saldırı, yeni yasanın önemini ortaya koyan gelişmelerden biri oldu. Saldırının tespit edilmesinin ardından şirket, güvenlik amacıyla bazı bilgi işlem sistemlerini devre dışı bıraktı. Bu karar, şirketin günlük faaliyetlerinde önemli aksamalara yol açtı. İnternet sitesi ve mobil uygulama kullanılamaz hâle gelirken çevrim içi siparişlerin teslimatında sorunlar yaşandı. Bazı dağıtım merkezlerindeki faaliyetlerin durması, süpermarketlere ürün sevkiyatını da etkiledi. Albert Heijn Üst Yöneticisi Margaret Versteden-van Duijn, dağıtım merkezlerinde yaşanan aksaklıkları doğruladı. NOS’un haberine göre olay, yeni siber güvenlik düzenlemesinin uygulandığı dönemde şirketlerin dijital altyapılarının ne kadar kritik olduğunu bir kez daha gösterdi.
Ciddi siber saldırılar 24 saat içinde bildirilecek
Ağustos ayında yürürlüğe giren Siber Güvenlik Yasası (Cyberbeveiligingswet), kapsama giren kuruluşlara ciddi siber olayları yetkililere bildirme yükümlülüğü getiriyor. Şirketlerin faaliyetlerini önemli ölçüde etkileyen bir saldırı gerçekleştiğinde veya ciddi bir olaydan şüphelenildiğinde, ilk bildirimin 24 saat içinde yapılması gerekiyor. Bildirim yükümlülüğü yalnızca müşteri bilgilerinin çalındığı olaylarla sınırlı değil. Büyük maddi kayıplara yol açan veya sunulan hizmetlerin ciddi biçimde aksamasına neden olan saldırılar da bu kapsamda değerlendirilebiliyor. İlk bildirimin ardından kuruluşların 72 saat içinde ek bilgi sunması gerekiyor. Bu aşamada saldırının niteliği, ortaya çıkan zararlar ve alınan güvenlik önlemleri hakkında daha ayrıntılı bilgi paylaşılması amaçlanıyor. Hukuk bürosu Hogan Lovells Cadwalader'den avukat Joke Bodewits, saldırıların ilk saatlerinde elde edilen bilgilerin değişebileceğine dikkat çekerek sonraki bildirimin önemini vurguladı. Ulusal Siber Güvenlik Merkezi (NCSC) ise kuruluşlara teknik destek sağlayarak saldırının değerlendirilmesine yardımcı olabiliyor.
Süpermarketlerden bankalara kadar birçok sektör kapsamda
Yeni düzenleme yalnızca teknoloji şirketlerini ve kamu kurumlarını ilgilendirmiyor. Sağlık hizmetleri, bankacılık, içme suyu tedariki ve gıda dağıtımı gibi toplumun günlük yaşamı açısından önemli sektörlerde faaliyet gösteren kuruluşlar da yasanın kapsamına giriyor. Süpermarketlerin düzenlemeye dâhil edilmesinin temel nedenlerinden biri, gıda tedarik zincirinde üstlendikleri rol. Denetim ve belgelendirme kuruluşu Kiwa’dan Bart Scholten, düzenlemenin temel hedefinin Hollanda’daki kritik hizmetlerin kesintiler karşısında sürdürülebilmesini sağlamak olduğunu belirtti. Kapsamdaki kuruluşların uygun siber güvenlik önlemleri alması, risklerini değerlendirmesi ve olası bir saldırı durumunda faaliyetlerini nasıl sürdüreceklerini önceden planlaması gerekiyor. Süpermarketler açısından denetim görevini Hollanda Gıda ve Tüketici Ürünleri Güvenliği Kurumu (NVWA) üstleniyor. Şirketlerin alması gereken tedbirler ise faaliyet alanlarına ve karşı karşıya oldukları risklere göre değişebiliyor.
Küçük işletmeler de tedarik zinciri nedeniyle etkilenecek
Yasa yaklaşık 8 bin kuruluşu doğrudan kapsasa da düzenlemenin etkisi bu şirketlerle sınırlı kalmayacak. Büyük kuruluşların birlikte çalıştıkları tedarikçilerin ve hizmet sağlayıcıların siber güvenlik risklerini de değerlendirmeleri gerekecek. Örneğin bir süpermarket zincirinin lojistik şirketinde yaşanacak saldırı, ürün sevkiyatının durmasına ve mağazalardaki faaliyetlerin aksamasına neden olabilir. Bu nedenle kapsamdaki şirketlerin iş ortaklarının güvenlik düzeyini incelemesi ve gerektiğinde ek önlemler talep etmesi önem kazanıyor. Böylece yasaya doğrudan tabi olmayan küçük işletmeler de büyük müşterileriyle çalışmaya devam edebilmek için güvenlik uygulamalarını geliştirmek zorunda kalabilir. Kiwa’dan Bart Scholten’e göre bu yaklaşım, siber güvenlik sorumluluğunu şirketlerin kendi bilgisayar sistemlerinin ötesine taşıyor. Tedarik zincirindeki bir güvenlik açığının başka kuruluşları da etkileyebilmesi, risk yönetiminin daha geniş bir çerçevede ele alınmasını gerektiriyor.
Şirket yöneticileri de sorumluluk üstlenecek
Yeni yasanın öne çıkan hükümlerinden biri, siber güvenliğin doğrudan şirket yönetiminin sorumluluk alanına alınması. Kuruluşların yalnızca bilgi işlem ekiplerine güvenmesi yeterli görülmüyor; üst yönetimin de gerekli güvenlik tedbirlerinin alınmasını sağlaması ve riskleri takip etmesi bekleniyor. Denetim kurumları, yükümlülüklerini yerine getirmeyen şirketler hakkında yaptırım uygulayabilecek. Ağır ihmal veya kasıt söz konusu olduğunda yöneticilerin şahsi sorumluluğu da gündeme gelebilecek. Bununla birlikte, her siber saldırının otomatik olarak yönetici cezasına yol açacağı anlamına gelmiyor. Avukat Joke Bodewits’e göre kişisel sorumluluğun değerlendirilmesinde yöneticilerin tutumu ve gerekli önlemlerin alınıp alınmadığı önem taşıyor. Düzenlemeyle şirketlerin saldırıları önlemenin yanı sıra olası bir kriz karşısında uygulanacak müdahale planlarını da hazırlaması hedefleniyor. Albert Heijn vakası ise dijital sistemlerdeki bir aksaklığın yalnızca çevrim içi hizmetleri değil, lojistik süreçleri ve temel tüketim ürünlerinin dağıtımını da etkileyebileceğini ortaya koydu. Yeni dönemde şirketlerin siber güvenlik hazırlıkları ve yönetim düzeyindeki sorumlulukları, denetimlerin önemli başlıkları arasında yer alacak.
YASAL UYARI: Haber, fotoğraf ve videolarımızı link vermeden kullananlar hakkında hukuki süreç başlatılacaktır. ©ufuk.nl UMG (Ufuk Media Grubu)
