Nükleer Tesisler Siber Güvenlik Yönetmeliği Yürürlükte

Nükleer Düzenleme Kurumu’nun (NDK) hazırladığı “Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik”, Resmi Gazete’de yayımlanarak yürürlüğe girdi. Yönetmelik, nükleer tesislerin dijital varlıklarının siber saldırılara karşı korunmasını zorunlu hale getiriyor.

Yönetmeliğe göre, nükleer tesislerin kurulumu, işletmesi veya işletmeden çıkarılması süreçlerinde yer alan kuruluşlar, dijital varlıkların siber saldırılardan korunmasından birincil derecede sorumlu olacak. Bu sorumluluk, tesisin düzenleyici kontrolden çıkışına kadar devam edecek.

Siber Güvenlik Sorumlusu ve İlkeler

Kuruluşlar, nükleer tesislerdeki tüm dijital varlıkların siber güvenliğinden sorumlu olacak bir yönetici atamakla yükümlü. Yönetmelik, siber güvenlik önlemlerinin belirlenmesi ve uygulanmasında “dereceli yaklaşım” ile “derinliğine savunma” ilkelerini esas alıyor. Bu prensipler, dijital varlıkların güvenlik, emniyet ve nükleer güvence üzerindeki etkisine göre risk bazlı ve katmanlı bir koruma yapısı oluşturmayı amaçlıyor.

Tesislerdeki tüm dijital varlıklar tanımlanacak, işlevleri belirlenecek ve kritiklik dereceleri atanacak. Kritik dijital varlıkların güncel envanteri tutulacak. Bu envanterde varlığın adı, tipi, yeri, yedekleme bilgisi, kritiklik derecesi ve sorumlusu gibi detaylar yer alacak.

Siber Güvenlik Planı ve Risk Değerlendirmesi

NDK’ye sunulacak bir siber güvenlik planı hazırlanacak ve bu plan yılda en az bir kez gözden geçirilecek. Plan, risk değişimleri, organizasyon yapısındaki değişiklikler veya tehdit güncellemeleri gibi durumlarda yenilenecek. Reaktör içeren tesislerde yılda bir, diğer nükleer tesislerde ise en az üç yılda bir planlı siber güvenlik risk değerlendirmesi yapılacak.

Kritik dijital varlıkların kaybı veya zarar görmesi ihtimaline karşı yedekleme mekanizmaları kurulacak. Felaket, arıza veya siber saldırı durumlarında hizmet sürekliliğini sağlamak amacıyla uzak bir felaket kurtarma merkezi oluşturulacak.

Siber Olay Bildirimi ve Tatbikatlar

Güvenlik, emniyet veya nükleer güvenceye zarar veren veya verme potansiyeli taşıyan siber olaylar ve tehditler NDK’ye ve Siber Güvenlik Başkanlığına bildirilecek. Olay tespitinden sonra beş iş günü içinde sunulacak raporda, olayın nedenleri, etkileri, müdahale faaliyetleri ve çıkarılan dersler yer alacak. Kuruluşlar, siber olaylara müdahale planının etkinliğini test etmek için yılda en az bir kez siber olay tatbikatı yapacak.

Tüm tesis personeline yılda en az bir kez siber güvenlik eğitimi ve farkındalık programı uygulanacak. Siber güvenlik personeline özel eğitimler verilecek ve personel erişim yetkileri görev tanımlarına göre sınırlandırılacak. Yönetmelik kapsamındaki faaliyetler NDK denetimine tabi olacak ve aykırılıklar idari yaptırımlara neden olacak.