NIS2 direktifi şirketimizi gerçekten kapsıyor mu nasıl doğrularız?

Beyza K***17 gün önce·33 mesaj·5,2 B görüntülenme#nis2 kime uygulanır #siber mevzuat #kobi uyumluluk #avrupa birliği

Görev: Saha satış temsilcisi
Sektör: Reklam ve tanıtım
Yapı: iki şubeli işletme
Katılım: Şub 2024
Mesaj: 6

Doki · Log yönetimi kurulumu · 2026

17 gün önce#1

Brescia'da endüstriyel vana ve mekanik parça üretimi yapan 38 çalışanlı bir aile şirketiyiz. Yıllık ciromuz yaklaşık 6,5 milyon EUR seviyesinde seyrediyor. Ürünlerimizin bir kısmını enerji santrallerine ve içme suyu altyapı projelerine taşeron olarak sağlıyoruz.

Dün büyük bir müşterimizden resmi bir e-posta aldık. Avrupa Birliği'nin NIS2 siber güvenlik direktifi kapsamında tedarik zinciri denetimine tabi olduklarını, bizim de doğrudan bu kapsama girip girmediğimizi, giriyorsak güvenlik sertifikalarımızı ve risk yönetim planlarımızı bildirmemizi talep ediyorlar. Hatta kapsama girdiğimiz varsayılarak ağır yükümlülüklerden bahsedilmiş.

İnternette araştırdığımda çalışan sayısı 50'nin, cirosu 10 milyon EUR'nun altındaki KOBİ'lerin kapsam dışı kaldığı yazıyor. Ancak kritik sektörlere parça tedarik ettiğimiz için istisna kapsamında olup olmadığımızı anlayamadık. Şirketimizin NIS2 yükümlüsü olup olmadığını kesin olarak nasıl teyit edebiliriz?

Feyza K***Katılımcı

Görev: Stajyer
Sektör: Catering
Yapı: imalathane
Katılım: Kas 2024
Mesaj: 2

17 gün önceEn çok yardımcı olan#2

Kısa cevap: Doğrudan çalışan ve ciro sınırları (50 çalışan ve 10 milyon EUR ciro) baz alındığında şirketiniz kural olarak NIS2 doğrudan kapsamı dışındadır; ancak enerji ve su gibi kritik sektörlerin doğrudan tedarikçisi olmanız sizi dolaylı yoldan sözleşmesel olarak aynı gereksinimleri karşılamak zorunda bırakır.

Durumunuzu netleştirmek icin şu adımları izlemelisiniz: 1) Boyut Kriteri: NIS2 temel olarak orta ve büyük işletmeleri (50+ çalışan veya 10+ milyon EUR ciro) bağlar. Firmanız 38 çalışan ve 6,5 milyon EUR ile mikro/küçük işletme tanımına girdiği için doğrudan yasal bildirim yükümlülüğünüz normal şartlarda yoktur. 2) Sektörel İstisnalar: Bazı özel durumlarda (örneğin tek yetkili DNS sağlayıcıları, kamu yönetimleri veya kesintisi sistemik kriz yaratacak tekil kritik tedarikçiler) boyut kuralı aranmaz; ancak mekanik parça imalatçıları genelde bu tekil kritik sınıfına sokulmaz.

Buradaki asıl risk yasal denetim değil ticari baskıdır. NIS2 direktifinin 21. işte maddesi kapsama giren ana kuruluşları kendi tedarik zincirlerinin güvenliğinden sorumlu tutar. Müşteriniz enerji altyapısı olduğu icin doğrudan sorumludur ve riskini azaltmak adına taşeronlarına sözleşme yoluyla bu kriterleri dayatmaktadır... İtalyan Siber Güvenlik Ajansı (Agenzia per la Cybersicurezza Nazionale - ACN) portalındaki sınıflandırma rehberini kontrol edin, müşterinize doğrudan mükellef olmadığınızı ancak tedarikçi güvenlik gereksinimlerini hangi seviyede karşılayabileceğinizi netleştiren bir yanıt iletin.

Özgür K***Katılımcı

Görev: Sistem destek elemanı
Sektör: Mobilya üretimi
Yapı: 8 kişilik ekip
Katılım: May 2025
Mesaj: 79

Doki · Mobil uygulama · 2023

17 gün önce#3

Bu mektuplar son dönemde herkese gidiyor. Ana yüklenici firmaların hukuk departmanları matbu formları tüm tedarikçi listesine kopyalayıp gönderiyor. Boyut sınırından dolayı doğrudan NIS2 muhatabı değilsiniz, dolayısıyla devlete resmi bildirim zorunluluğunuz yok. Panikleyip yüz binlerce euroluk danışmanlık bütçeleri ayırmayın, sözleşme şartlarını müzakere edin.

Mehmet M***Katılımcı

Görev: Dijital pazarlama uzmanı
Sektör: Eğitim
Yapı: bölge bayisi
Katılım: Kas 2025
Mesaj: 302

17 gün önce#4

Doğrudan tabi olmasanız bile müşteriniz sizden asgari siber hijyen şartlarını isteyecektir. Genelde talep edilenler şunlardır: Çok faktörlü kimlik doğrulama (MFA) kullanımı, veri yedeklerinin ağdan yalıtılmış tutulması, temel bir olay müdahale planı ve şirket içi personelin güvenlik farkındalık eğitimi. Bunları sağlamak zaten işletme sağlığı için şart.

Filiz P***UzmanTopluluk üyesi

Katılım: Kas 2024
Mesaj: 14

16 gün önce#5

Kontrol etmeniz gereken üç resmi kaynak var: 1) İtalya'da yürürlüğe giren ulusal uygulama kararnamesindeki (decreto legislativo) ek listeler. 2) ACN'nin yayımladığı şirket büyüklüğü hesaplama kılavuzu. 3) Bağlı olduğunuz ortaklık veya holding yapısı varsa grup şirketlerinin toplam çalışan ve ciro sayısı (tek başınıza küçük görünseniz bile grup toplamı sizi eşiğin üzerine çıkarabilir).

Orhan K***Katılımcı

Görev: İnsan kaynakları uzmanı
Sektör: Elektrik-elektronik
Yapı: aile şirketi
Katılım: Nis 2026
Mesaj: 395

Doki · Oltalama farkındalık eğitimi · 2026

16 gün önce#6

Sayın meslektaşım, ana firma ile olan ticari ilişkinizin devamlılığı açısından ilgili yazıyı yanıtsız bırakmamanız tavsiye edilir. Şirketinizin çalışan ve ciro limitleri gereğince 'önemli' veya 'temel' kuruluş kategorisinde yer almadığını, ancak tedarik güvenliğini sağlamak adına mevcut güvenlik önlemlerinizi paylaşmaya hazır olduğunuzu belirten resmi bir yazı düzenlemeniz yerinde olacaktır.

Efe A***Katılımcı

Görev: Bilgi işlem müdürü
Sektör: Hayvancılık
Yapı: yeni kurulmuş girişim
Katılım: Nis 2024
Mesaj: 2

16 gün önce#7

Büyük şirketler kendi yükümlülüklerini KOBİ'lerin sırtına yıkmaya bayılır. Size 'NIS2 kapsamındasınız' diyerek pahalı denetim maliyetlerini kabul ettirmeye çalışıyor olabilirler. Doğrudan tabi değilsiniz. Avukatınıza danışın ve müşterinize yasal çerçevenin dışındaki ağır cezai şartları sözleşmeye ekletmeyeceğinizi açıkça belirtin.

Kader K***Katılımcı

Görev: Mağaza müdürü
Sektör: Matbaa
Yapı: 8 kişilik ekip
Katılım: Şub 2022
Mesaj: 4

16 gün önce#8

Benzer ölçekteyiz (42 personel, 8 milyon EUR ciro). Aynı yazı bize de enerji sektöründeki müşterimizden geldi. Bağımsız bir bilişim hukuku uzmanına 1.200 EUR ödeyerek kapsam dışı olduğumuza dair teknik hukuki mütalaa hazırlattık ve müşteriye sunduk. Konuyu kapattılar, denetimden muaf tutulduk.

İlhanYeni üye

Görev: Mobilya ustası
Katılım: Kas 2024
Mesaj: 26

16 gün önce#9

50 çalışan ve 10 milyon ciro altındaysanız yasal olarak NIS2 doğrudan sizi bağlamaz, fakat ana müşteriniz çalışmaya devam etmek için bunu sözleşme şartı yapabilir.