Tedarikçimiz NIS2 direktifinin bizi etkilediğini söyledi, bu tam olarak nedir ve İspanya'da zorunlu mu?

Süreç tam olarak şöyle işliyor: 1) Büyük ana üretici NIS2 yasasına doğrudan tabi oluyor. 2) Yasa bu üreticiye 'seninle çalışan tedarikçilerin açığı senin açığındır, onları denetle' diyor. 3) Üretici de kendi sorumluluğunu yerine getirmek için size bu formu imzalatmaya çalışıyor. Yani kanundan değil ama sözleşmeden etkileniyorsunuz.

Müşterinin formundaki teknik maddeler genelde standarttır: CAD/CAM tasarım dosyalarının bulunduğu sunuculara uzaktan erişimde VPN ve MFA zorunluluğu, çalışan cihazlarında güncel uç nokta güvenliği ve haftalık çevrimdışı yedekleme. Bu dört adımı sağladığınızı belgelerseniz denetimi rahatça geçersiniz.

Yasada '50 çalışan altı muaftır' maddesini görüp rahatlayan çok firma var ama pratikte bu bir yanılsama. Büyük otomotiv devleri o sözleşmeyi önünüze koyup 'imzalamazsan parça almam' dediğinde kanundaki muafiyetin hiçbir ticari karşılığı kalmıyor.

Barselona'da 25 kişilik endüstriyel otomasyon ekibiyiz. Geçen ay benzer bi Alman müşterimiz 40 maddelik NIS2 güvenlik taahhütnamesi gönderdi. Şirket içi loglama ve güvenlik duvarı konfigürasyonu için bağımsız bi uzmana 3.800 euro ödedik eksikleri kapatıp formu onaylattık.

Müşteriniz sadece şirket yetkilisinin imzalayacağı bi öz değerlendirme beyanı mı istiyor yoksa dışarıdan akredite bi siber güvenlik şirketinin sızma testi veya denetim raporunu mu şart koşuyor? Bu ayrım operasyonel maliyetinizi çok değiştirir.

İspanya'da Ulusal Siber Güvenlik Enstitüsü (INCIBE), tedarik zincirinde yer alan işletmeler için rehberler ve öz değerlendirme araçları sunmaktadır. Müşterinize yanıt vermeden önce INCIBE'nin KOBİ kılavuzlarındaki asgari güvenlik tedbirlerini incelemeniz faydalı olacaktır.

Doğrudan kanun gereği ceza alacak grupta değilsiniz ancak müşteriyi kaybetmemek icin şartnamedeki asgari tedbirleri uygulamanız şart.

İlk duyduğumuzda bize de gereksiz bir Avrupa Birliği bürokrasisi gibi gelmişti. Ancak müşterinin talebiyle sistemlerimizi gözden geçirdiğimizde, şirket içi sunucumuzun dışarıya tamamen korumasız açık olduğunu ve eski personelin şifrelerinin hala aktif kaldığını fark ettik. Zorunluluk can sıkıcı olsa da aslında kendi şirketinizi felaketten korumuş oluyorsunuz.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Ben de merak ediyorum.

Katılıyorum, hatta altını çizmek isterim. Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Bu başlığı açtığınız iyi olmuş. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

Tecrübeyle sabit.

Üç ayrı görüş çıktı hepsi birbirini tamamlıyor. Olayların çoğu zafiyetten değl sızmış bi paroladan başlıyor.

Kendi durumunuz farklıysa tabii değişir.

Peki şunu nasıl çözdünüz? Acele karar, altı ay sonra düzeltilen karar oluyor.

Tek bir önleme güvenmeyin; katman katman gidin. Başka türlü yapan varsa onu da merak ederim.

burada bir tuzak var, söylemeden geçmeyeyim. nIS2 nedir tarafında yapılan hata genelde geri dönülebilir ama pahalı.

sorunuz oursa yazın, elimden geldiğince cevaplarım.

Bunun bi de ölçüm tarafı var. Yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

Bu kdr, uzattıysam kusura bakmayın.

bunu yaparken çok düşülen bi hata var.. ve herkesin yatığı şey doğru olduğu anlamına gelmiyor.

not olarak bırakyaım lazım olur.

NIS2 nedir konusunda en çok atlanan nokta şu: NIS2 nedir konusunda acele eden herkes aynı yerde takılıyor.

Yanlışım varsa düzeltin.

NIS2 nedir tarafında bu kadar net konuşmak zor bence. Bunu tek başına yapmaya çalışmak en pahalı yol.

Zaman kaybının çoğu onay bekleyen işlerde birikiyor.