NIS2 Direktifi: Türkiye’ye Etkisi

AB’nin Ağ ve Bilgi Güvenliği Direktifi (NIS2), Avrupa’da kritik altyapı ve önemli hizmet sağlayıcılar için kapsamlı siber güvenlik standartları getirmektedir. Türkiye’de faaliyet gösteren şirketler de NIS2 etkisinden tam pay almaktadır.

NIS2 Genel Bakış

NIS2 Direktifi Ekim 2024’te yürürlüğe girmiş olup AB üye devletlerinin iç hukuka aktarmasıyla uygulanmaktadır. Direktif siber güvenlik risk yönetimi, olay bildirimi ve denetim çerçevesini sıkı şekilde düzenlemektedir.

Kapsam

Enerji, ulaşım, bankacılık, sağlık, içme suyu, dijital altyapı ve kamu yönetimi gibi sektörlerdeki büyük ve orta ölçekli kuruluşlar kapsama girmektedir. Yüksek kritik ve önemli kuruluşlar olarak iki kategori belirlenmiştir.

Türkiye’deki Etkiler

NIS2 ülke dışı uygulama hükümleri kapsamında AB’de hizmet sunan veya AB merkezli iştirake sahip Türk şirketlerini etkilemektedir. Tedarik zinciri etkisi nedeniyle AB müşterilerinin Türk tedarikçilerinden uyum talebi de yaygındır.

Risk Yönetimi Yükümlülükleri

Risk değerlendirmesi, olay yönetimi, iş sürekliliği, tedarik zinciri güvenliği, ağ güvenliği, kriptografi, erişim kontrolü ve çalışan eğitimi temel uyum başlıklarıdır. Önlemler kuruluşun risk profili ve büyüklüğüyle orantılı olmalıdır.

Olay Bildirimi

Önemli siber olaylar ülke yetkili makamına 24 saat içinde erken uyarı olarak bildirilmeli, 72 saat içinde detaylı bildirim yapılmalıdır. Nihai rapor en geç bir ay içinde tamamlanır.

Yönetim Sorumluluğu

NIS2 yönetim kurulu seviyesinde siber güvenlik sorumluluğunu pekiştirmektedir. Yönetim kurulu üyeleri siber güvenlik eğitimi almak ve risk yönetiminden hesap verebilir konumda olmak zorundadır.

Yaptırımlar

NIS2 ihlalleri için 10 milyon Euro veya küresel cironun yüzde 2’si oranında idari para cezaları öngörülmüştür. Yönetim kurulu üyelerinin bireysel sorumluluğu da gündeme gelebilir.

Türk Mevzuatı ile İlişki

Türkiye’de Cumhurbaşkanlığı Dijital Dönüşüm Ofisi koordinasyonunda yürütülen ulusal siber güvenlik stratejisi NIS2 ile uyumlu yaklaşımları içermektedir. KVKK ve sektörel düzenlemelerle entegre değerlendirme önemlidir.

Yargısal Yaklaşım

Siber güvenlik ve veri koruma uyuşmazlıklarında idari yargı KVKK Kurulu kararlarını ve yaptırımları titizlikle inceler. Danıştay İDDK 26.11.2025 tarih ve 2025/2915 K. sayılı kararı idari yaptırımların hukuka uygunluğunda önemli içtihat sağlamaktadır.

Sıkça Sorulan Sorular

NIS2 doğrudan Türk şirketlerine uygulanır mı?

AB pazarına hizmet sunan veya AB iştiraki olan Türk şirketleri kapsama girmektedir.

NIS2 ile NIS1 arasındaki temel fark nedir?

NIS2 daha geniş sektör kapsamı, sıkı yaptırımlar ve yönetim sorumluluğu içermektedir.

Tedarik zinciri güvenliği nasıl yönetilir?

Tedarikçi risk değerlendirmesi, sözleşmesel güvenlik klauzülleri ve denetim süreçleriyle yönetilir.

Sonuç

NIS2 küresel siber güvenlik standartlarını yükseltmektedir. Türk şirketlerinin proaktif uyum stratejileri geliştirmesi rekabet gücünün korunması için kritik önemdedir.