Tedarikçiler için NIS2: Siber güvenlik neden artık sizin de sorununuz

NIS2'nin sizi etkilemediğini mi düşünüyorsunuz? En büyük müşterileriniz farklı düşünüyor.

Bunu sürekli duyuyorum. Eifel bölgesinde 20 çalışanlı bir üretim tesisi, bir otomobil üreticisine tedarik yapan firma, bana diyor ki: "Bu büyüklerin meselesi." Ve teknik olarak haklı. Şirketi NIS2 eşik değerlerinin altında kalıyor. Ama sonra OEM'den bir e-posta geldi. Konu: Tedarik Zinciri Güvenlik Denetimi Q2 2026.

DHL, Delivery Hero ve New Relic'te çalıştım. Büyük şirketlerin bakış açısını içeriden biliyorum. Ve size bir şey söyleyebilirim: tam olarak bu tür denetimleri yapacaklar. Soru yapıp yapmayacakları değil, ne zaman yapacakları.

Bu yazıda size tedarikçileri neyin beklediğini, büyük müşterilerinizin somut olarak ne talep edeceğini ve 20 kişilik bir işletme olarak gerçekçi olarak neler yapabileceğinizi gösteriyorum. Panik pazarlaması yok, "her şeyi hemen değiştirmelisiniz" yok. Bunun yerine duruma dürüst bir bakış.

NIS2 aslında ne gerektiriyor?

NIS2, bir AB Direktifidir ve üye devletlerin siber güvenlik standartlarını yükseltmeyi hedefler. Almanya'daki uygulama yasası (NIS2UmsuCG) 6 Aralık 2025'ten bu yana yürürlüktedir. Geçiş süresi yok. Enerji, ulaşım, sağlık, gıda üretimi ve imalat gibi sektörlerde yaklaşık 29.000 şirketi doğrudan etkiliyor. AB genelinde bu sayı çok daha yüksek. Temel gereksinimler on ölçüm alanını kapsıyor. İşte tedarikçiler için en alakalı beş tanesi:

• BT sistemleri ve ağları için risk yönetimi
• Tespit sonrası 24 saat içinde yetkili makama olay bildirimi
• Güvenlik politikaları ve sürekli belgelenmesi
• Yönetim kurulu için siber güvenlik eğitimi (evet, patronların bizzat kendisi)
• Ve işte kilit nokta: tedarik zincirinin güvence altına alınması

Yaptırımlar hafif değil. 10 milyon euroya kadar para cezası veya küresel yıllık cironun %2'si. Ve yönetim kurulu kişisel olarak sorumlu. Bu yeni ve etkili. Bir CEO, şirketinin BT güvenliğinden kişisel varlıklarıyla sorumlu olduğunda, tedarik zincirini ne kadar titizlikle inceleyeceğini tahmin edebilirsiniz.

AB ile ticaret yapan Türk işletmeleri için not: NIS2 doğrudan Türk şirketlerini düzenlemese de, AB'deki müşterileriniz NIS2 kapsamındaysa, bu gereksinimler tedarik zinciri aracılığıyla size ulaşacaktır. AB pazarına tedarik yapıyorsanız bu sizi ilgilendirir.

Tedarik zinciri etkisi: Neden yine de sizi etkiliyor

İşte tedarikçiler için konunun can alıcı noktası. NIS2, her NIS2 yükümlüsü şirketi, doğrudan tedarik zincirinin güvenliğini değerlendirmeye ve belgelemeye zorunlu kılıyor. Bu şu anlama geliyor: büyük müşteriniz, sizin güvenli BT süreçlerinize sahip olduğunuzu kanıtlamak zorunda.

İlke şöyle işliyor: OEM'in uyumluluğa ihtiyacı var. Uyumluluk, güvenli tedarikçiler gerektiriyor. Dolayısıyla gereksinimler, NIS2'ye doğrudan tabi olun ya da olmayın, masanıza geliyor.

Bunu DHL'de bizzat yaşadım. Tedarikçi denetimleri orada rutin işti. Gereksinimleri karşılamayan, tedarik sürecinden çıkarılıyordu. Nokta. Tartışma yok. NIS2 ile de tam olarak böyle olacak, sadece artık resmileştirilmiş ve yasayla desteklenmiş haliyle.

Avrupa Komisyonu bunu bilinçli olarak böyle tasarladı. Fikir şu: her KOBİ'yi doğrudan düzenleyemeseniz bile, tedarik zinciri üzerinden gelen pazar baskısı güvenlik standartlarının alta doğru yayılmasını sağlıyor. Büyük müşteriniz kibarca rica etmeyecek. Bunu iş birliğinin koşulu haline getirecek.

Otomotiv endüstrisinde TISAX ek bir katman oluşturuyor. Orada zaten tedarikçiyseniz, bilgi güvenliği denetimlerini biliyorsunuzdur. Ancak NIS2, TISAX'ın ötesine geçiyor. İki standart örtüşüyor, ancak NIS2 ek olarak 24 saatlik bildirim yükümlülüğü, resmi olay yönetimi ve yönetimin açık sorumluluğu gibi şeyler gerektiriyor. TISAX'a sahip olmak avantaj sağlıyor, ama her şeyi kapsamıyor.

Etki otomotiv dışına da uzanıyor. Enerji sağlayıcıları, hastaneler, lojistik şirketleri, gıda üreticileri: hepsi NIS2 kapsamına giriyor. Ve hepsinin tedarikçileri var. Belki siz de onlardan birisiniz.

Büyük müşterileriniz ne talep edecek

Somutlaştıralım. Sizi ne bekliyor? NIS2 bağlamında tedarikçi denetimlerinde şu anda hangi gereksinimlerin ortaya konulduğunu inceledim. Kalıp tekrarlanıyor:

Sunmanız gereken belgeler:

• Bir BT güvenlik politikası (200 sayfalık bir belge değil, ama "bir şifremiz var"dan fazlası)
• Düzenli yedeklemeler ve kurtarma testlerinin kanıtı
• Son güvenlik olaylarınızın ve nasıl müdahale ettiğinizin kaydı
• Kendi BT hizmet sağlayıcılarınızla yapılan sözleşmeler

Gündeme gelecek teknik kontrol noktaları:

• Hassas verilerin şifrelenmesi, hem aktarım sırasında hem de depolamada
• Uzaktan erişim ve VPN bağlantıları için çok faktörlü kimlik doğrulama
• Düzenli yazılım güncellemeleri ve yama yönetimi
• Ofis BT'si ile üretim OT'si arasında ağ segmentasyonu
• İzleme: kritik sistemlere erişimler günlüğe kaydediliyor mu?

Sorulacak organizasyonel sorular:

• Şirketinizde BT güvenliğinden kim sorumlu?
• Siber saldırılar için acil durum planınız var mı?
• Çalışanlarınız eğitimli mi?

Bunun çok fazla gibi göründüğünü biliyorum. Ama dürüst olalım: bunların çoğu zaten yapmanız gereken şeyler. NIS2 sadece ona bir isim ve son tarih veriyor.

20 kişilik bir şirket için Minimum Uygulanabilir Güvenlik

Şimdi pratik kısma geçelim. Denetimleri geçmek için ISO 27001 sertifikasına ihtiyacınız yok. Ama bir temele ihtiyacınız var. Ben buna "Minimum Uygulanabilir Güvenlik" diyorum: müşterilerinizin kabul edeceği asgari güvenlik düzeyi.

Adım 1: Sorumluluk belirleyin

BT güvenliğinden sorumlu bir kişi atayın. 20 çalışanla tam zamanlı bir pozisyon olması gerekmiyor. Ama birinin üstlenmesi gerekiyor. Bu, yönetici veya teknik bilgiye sahip bir çalışan olabilir. Önemli olan bu kişinin genel görüşe sahip olması ve denetim sorularında müşterileriniz için irtibat noktası olarak hizmet etmesi.

Adım 2: Envanter çıkarın

Listeleyin:

• Hangi BT sistemlerini kullanıyorsunuz? (ERP, e-posta, üretim kontrolleri, ...)
• Verileriniz nerede? (Yerelde, bulutta, BT hizmet sağlayıcınızda mı?)
• Kimin neye erişimi var?
• BT hizmet sağlayıcılarınızla hangi sözleşmeleriniz var?

Adım 3: Hızlı kazanımları uygulayın

Az maliyetle çok getiren önlemler:

• Tüm hizmetler için çok faktörlü kimlik doğrulamayı etkinleştirin (Microsoft 365, Google Workspace ve benzeri platformlarda dahildir)
• Otomatik yedeklemeler kurun ve her çeyrekte bir kurtarmanın gerçekten çalıştığını test edin
• Mümkün olan yerlerde yazılım güncellemelerini otomatikleştirin. Üretim BT'si için: bakım pencereleri tanımlayın
• Çalışanları bir kez eğitin: kimlik avını tanıma, güvenli parolalar, şüpheli e-postaları bildirme
• Yönetici yetkilerini gerekli minimuma indirin. Her çalışanın yönetici erişimine ihtiyacı yok

Adım 4: Belgeleme oluşturun

Yaptıklarınızı yazın. Basit bir BT güvenlik politikası kabaca şu yapıyı izler:

1. Kapsam ve sorumluluklar: hangi sistemleri kapsıyor ve kim yönetiyor?
2. Koruma önlemleri: somut olarak ne yapıyorsunuz?
3. Olay yönetimi: saldırı durumunda ne oluyor?
4. Gözden geçirme ve iyileştirme: ne sıklıkla kontrol ediyorsunuz?

On ila on beş sayfa yeterli. Roman değil. Büyük müşterileriniz, konuyu düşündüğünüzü ve sistematik çalıştığınızı görmek istiyor. Ve evet: belge yaşayan bir belge olmalı. Bir kez yazıp dosyalamak hiçbir işe yaramaz. Yılda en az bir kez gözden geçirmeyi ve güncellemeyi planlayın.

Pratik bir ipucu: birçok BT hizmet sağlayıcısı, küçük işletmelere uyarlanmış BT güvenlik politikası şablonları sunuyor. Sağlayıcınıza sorun. Tekerleği yeniden icat etmenize gerek yok.

Adım 5: Acil durum planı oluşturun

Siber saldırı eninde sonunda gerçekleşir. Fidye yazılımı, ele geçirilmiş e-posta hesapları, veri sızıntıları. Soru şu: gerçekleştiğinde ne yapacağınızı biliyor musunuz?

Acil durum planınız şunları yanıtlamalı:

• Kimi arıyorsunuz? (BT hizmet sağlayıcısı, yetkili makam, siber sigorta)
• Etkilenen sistemleri ağdan nasıl ayırıyorsunuz?
• Dahili, harici ve yetkililere nasıl iletişim kuruyorsunuz?
• Çevrimiçi yedeklemelerin etkilenmesi durumunda çevrimdışı yedeklemeleriniz nerede?

Acil durum planını yazdırın. Cidden. BT'niz şifrelendiğinde, şifrelenmiş sunucudaki dijital belge işinize yaramaz. Yönlendiricinin yanındaki lamine edilmiş kağıt kulağa eski moda geliyor ama işe yarıyor.

Adım 6: Siber sigortayı değerlendirin

Bu sıklıkla gözden kaçar. Siber sigorta bir güvenlik politikasının yerini almaz, ama önemli bir yapı taşıdır. 20 kişilik bir işletme için fidye yazılımı olayının maliyetleri kolayca 50.000 ila 200.000 euroya ulaşır: adli analiz, iş kesintisi, etkilenen müşterilere bildirim ve olası para cezaları.

Birçok sigortacı artık poliçe düzenlemeden önce temel güvenlik önlemlerini uyguladığınıza dair kanıt istiyor. 1'den 5'e kadar olan adımlar bu nedenle çift yönlü faydalı: sizi müşteri denetimlerine hazırlıyor ve sigortalanabilir kılıyor.

BSI kaydı: Bilmeniz gerekenler

Kısa bir ara bilgi. NIS2'ye doğrudan tabi iseniz (belirli sektörlerde 50 ve üzeri çalışan ve 10 milyon euro ciro), Almanya'da BSI'ye (Federal Bilgi Güvenliği Ofisi) kaydolmanız gerekiyor. Portal Ocak 2026'dan beri aktif. Özellikle önemli kuruluşlar için son tarih 6 Mart 2026 idi.

Ancak eşik değerlerin altında olsanız bile: yine de kontrol edin. Kriterler karmaşık. Bazen belirli bir sektörde aktif olmak yeterli ve eşik değerler beklendiği gibi uygulanmıyor. Enerji, ulaşım, sağlık, imalat, kimya, gıda, dijital altyapı. Etkilenen sektörlerin listesi uzun.

Kayıt için ihtiyacınız olacak:

• Federal hükümetin MUK kimlik hizmetinde bir şirket hesabı
• Şirketiniz ve etkilenen hizmetler hakkında bilgiler
• BSI için bir irtibat noktası

Kayıt sürecinin kendisi basit. Ancak önceden etkilenip etkilenmediğinizi netleştirmelisiniz. BSI, web sitesinde bir etkilenme kontrolü sunuyor.

Bu hafta yapabilecekleriniz

Ben pratik bir insanım. Büyük planlar güzel, ama sonuçta gerçekten uyguladıklarınız önemli. Bu hafta için önerim:

Pazartesi: BSI web sitesinden şirketinizin NIS2 kapsamına girip girmediğini kontrol edin. Etkilenme kontrolü 30 dakika sürüyor, tamam.

Salı: En büyük müşterinizi arayın ve doğrudan sorun: "NIS2 kapsamında tedarikçilere hangi BT güvenlik gereksinimlerini koyuyorsunuz?" Cevabın ne kadar somut olacağına şaşıracaksınız. Birçok satın alma departmanı anketleri çoktan hazırlamış durumda.

Çarşamba: Adım 2'deki envanteri yapın. Kalem, kağıt, bir saat. Her departmanı dolaşın ve hangi yazılım ve erişim kimlik bilgilerinin kullanıldığını not edin. Üretim BT'sini unutmayın: makine kontrol cihazları, SCADA sistemleri, IoT sensörleri.

Perşembe: Tüm bulut hizmetleri için çok faktörlü kimlik doğrulamayı etkinleştirin. Microsoft 365, Google Workspace ve diğer sağlayıcıların çoğunda lisansa dahildir. Ekstra maliyet yok, kullanıcı başına sadece 15 dakika yapılandırma.

Cuma: Oturun ve BT güvenlik politikanızın ilk sayfasını yazın. Sadece ilk sayfayı. Gerisi gelecektir. Ve gelmezse: bunun için danışmanlar ve BT hizmet sağlayıcıları var.

Kulağa basit geliyor. Ve basit. En zor kısmı başlamak.

Zorunluluk değil, rekabet avantajı

Bu tür konularda her zaman vurguladığım bir düşünceyle bitirmek istiyorum. Tedarikçi olarak NIS2 uyumluluğu sadece risk azaltma değil. Bir rekabet avantajı.

Büyük müşterinizin iki eşdeğer tedarikçi arasında seçim yapması gerektiğini düşünün. Birinin belgelenmiş BT güvenlik politikası, acil durum planı, doğrulanabilir MFA'sı ve düzenli eğitimleri var. Diğeri diyor ki: "Bir şekilde hallederiz." Satın alma yöneticisi hangisini seçecek?

Instacart ve DHL'deki zamanımda satın alma departmanlarının nasıl çalıştığını gördüm. Kontrol listeleri var. Ve listeyi karşılamayan, listeye giremiyor. Ürün ne kadar iyi olursa olsun. BT güvenliği bir yeterlilik kriteri haline geliyor, tıpkı kalite sertifikaları veya teslimat kapasitesi gibi.

Bunu şimdi ele alan işletmeler, iki yıl içinde tercih edilen tedarikçiler olacak. Bekleyenler, en önemli müşterileri sözleşmeyi yenilemekle tehdit ettiğinde, aceleyle telafi etmek zorunda kalacak.

Bu arada: AB AI Yasası ile de ilgilenmeniz gerekiyorsa, AB AI Yasası eğitim gereksinimleri hakkındaki yazımıza göz atın. Uyumluluk konuları giderek daha fazla birbirine bağlanıyor ve bir cephede öne geçmek diğerlerini kolaylaştırıyor.

Plexito olarak, Eifel ve Ren bölgesindeki KOBİ'lerin BT sistemlerini bu tür gereksinimlere hazırlamasına yardımcı oluyoruz. 200 sayfalık raporla değil, somut uygulamayla. Hizmetler sayfamızdan daha fazla bilgi alabilirsiniz. Ya da iletişim formumuz aracılığıyla doğrudan bize ulaşabilirsiniz.