M
MAP Master
Misafir
Misafir
Bir EDI sağlayıcısındaki yönetici hesabı ele geçirildiğinde yalnız tek bir uygulama etkilenmez. Sipariş, sevkiyat bildirimi ve fatura mesajları değiştirilebilir veya durabilir. NIS2 tedarikçi güvenliği yaklaşımı, bu bağımlılığı sözleşme imzalanmadan önce ölçmeyi ve hizmet boyunca izlemeyi gerektiriyor.
NIS2, AB'deki kapsama tabi kuruluşlardan doğrudan tedarikçi ve hizmet sağlayıcı ilişkilerindeki siber riskleri yönetmelerini istiyor. Türkiye'deki bir üretici direktifin doğrudan kapsamında olmasa bile AB'li müşterisinden güvenlik soru formu, denetim hakkı veya kısa olay bildirim süresi içeren sözleşme alabilir.
NIS2 Madde 21(2)(d), tedarik zinciri güvenliğini asgari risk yönetimi tedbirlerinden biri sayıyor. Aynı maddenin üçüncü fıkrası, kuruluşların her doğrudan tedarikçinin zafiyetlerini ve güvenlik uygulamalarının kalitesini değerlendirmesini istiyor. Bu görev yazılım geliştirme, hizmet sunumu ve iş sürekliliği süreçlerini birlikte kapsıyor.
EDI ve B2B entegrasyon sağlayıcıları şirketler arasında sürekli veri taşır. Bir bağlantı sipariş miktarını, teslimat adresini, ürün kodunu veya fatura tutarını işleyebilir. Sağlayıcının sistem erişimi, sıradan bir ofis yazılımından daha geniş operasyonel sonuç doğurabilir.
Risk yalnız teorik değil. ENISA'nın 2025 NIS Investments araştırmasında kuruluşların yüzde 37'si tedarik zinciri risk yönetimini uygulanması en zor NIS2 alanları arasında gösterdi. Aynı araştırmada tedarik zinciri ve üçüncü taraf ihlalleri, son 12 ayda günlük operasyonu en çok etkileyen saldırı türlerinin yüzde 10'unu oluşturdu. Katılımcıların yüzde 47'si bu saldırıları gelecek dönem için başlıca kaygıları arasında saydı.
Bu veriler, sağlayıcı seçimini bir sertifika kutusuna indirmenin yetersiz kaldığını gösteriyor. İşletme, hangi bağlantının hangi veriye ve sürece eriştiğini kaydetmeli. Sağlayıcı değiştiğinde veya yeni bir alt yüklenici eklendiğinde risk kaydı da güncellenmeli.
Bir EDI bağlantısını dört katmanda incelemek pratik bir başlangıç sağlar.
Erişim katmanı. İnsan kullanıcıları ile makine hesaplarını ayrı listeleyin. Yönetici erişiminde MFA, rol ayrımı ve süreli yetki olup olmadığını sorun. Kullanılmayan servis hesaplarının ne zaman kapatıldığını ve kimlik bilgilerinin nasıl yenilendiğini görün.
Mesaj katmanı. Aktarım sırasında ve depolamada şifreleme yeterli değildir. Mesajın kaynağı, hedefi, alınma zamanı, doğrulama sonucu ve son durumu izlenebilmelidir. Mapping veya yönlendirme kuralındaki değişiklik de kullanıcı, zaman ve önceki değer bilgisiyle kayda girmelidir.
Olay ve kanıt katmanı. Başarısız girişler, sıra dışı dosya hacmi, tekrar gönderimler ve yönetici değişiklikleri için uyarı kuralları tanımlanmalıdır. Log saklama süresi ile müşterinin denetim ihtiyacı birbirini karşılamalıdır. Olay sırasında delil oluşturacak saat bilgisinin bütün sistemlerde aynı zaman kaynağına bağlı olması gerekir.
Süreklilik katmanı. Yedek almak tek başına yeterli kanıt değildir. Sağlayıcı geri yükleme testinin tarihini, sonucunu ve hedef süresini gösterebilmelidir. Alternatif kanal, kuyruklama, yeniden gönderim ve manuel devam planı da kritik belge türleri için önceden belirlenmelidir.
Örnek bir üreticide ORDERS mesajı ERP'ye yanlış müşteri koduyla düşsün. İnceleme, mapping kuralının bir alt yüklenici hesabıyla değiştirildiğini gösteriyor. Güçlü kontrol modeli; hesabın yetkisini, değişiklik kaydını, etkilenen mesaj listesini ve doğru verinin yeniden gönderildiğini aynı olay dosyasında birleştirir. Bu kanıt zinciri yoksa şirket olayın kapsamını ve başlangıç zamanını geç belirler.
MAP'in
Komisyon Uygulama Tüzüğü (AB) 2024/2690, belirli dijital hizmet sağlayıcıları için tedarikçi sözleşmelerinde bulunabilecek hükümleri ayrıntılandırıyor. Liste; güvenlik şartları, olay ihbarı, denetim hakkı, zafiyet yönetimi, alt yükleniciler ve sözleşme sonundaki veri işlemlerini içeriyor.
NIS2 tedarikçi güvenliği dosyası, bu hükümleri her EDI bağlantısının gerçek erişim ve veri kapsamıyla eşleştirmelidir.
EDI sağlayıcısı için sekiz maddelik bir kontrol dosyası hazırlayın:
Her satıra belge adı, sahibi, son inceleme tarihi ve geçerlilik süresi ekleyin. “Politika var” cevabını kanıt saymayın. Güncel denetim raporu, test kaydı, erişim listesi veya imzalı sözleşme maddesi aranmalıdır.
Kararı üç durumdan biriyle kaydedin: onayla, koşullu onayla veya reddet. Koşullu onayda eksik kontrolün sahibi ve kapanış tarihi yazılmalıdır. İş riski yüksek bir bağlantıda belirsiz olay ihbarı ya da doğrulanamayan yönetici erişimi açık kalıyorsa sözleşme imzalanmamalıdır.
MAP'in
NIS2 Madde 23, önemli olaylarda farkındalıktan itibaren 24 saat içinde erken uyarı öngörüyor. İlk olay bildirimi 72 saat içinde yapılmalı. Nihai rapor için genel süre, ilk olay bildiriminden sonra bir ay.
Bu süreler doğrudan tedarikçiye verilmiş otomatik ihbar süreleri değildir. Kapsama tabi müşteri, kendi değerlendirmesini ve kurum içi onayını tamamlamak için zamana ihtiyaç duyar. EDI sağlayıcısı olayı müşteriye 24. saatte bildirirse müşterinin erken uyarı penceresi fiilen tükenebilir.
Sözleşmedeki tedarikçi ihbar eşiğini bu nedenle daha kısa tanımlayın. İlk sinyal tam kök neden analizini beklememeli. Hangi sistemin etkilendiği, ilk tespit zamanı, bilinen mesaj veya veri kapsamı ve alınan ilk tedbir güvenli bir kanaldan iletilmelidir.
Operasyon ekibi de bildirim zincirine katılmalıdır. Bir DESADV akışı durduğunda güvenlik ekibi şüpheli erişimi incelerken lojistik ekibi bekleyen sevkiyatları belirler. Entegrasyon ekibi yeniden gönderimden önce hatalı veya eksik mesaj listesini sabitler. Böylece teknik müdahale, ticari kayıtların üzerine yazmaz.
Tatbikat sırasında dört süreyi ölçün: alarmın oluşması, sağlayıcının olayı sınıflandırması, müşteriye ilk ihbar ve etkilenen mesaj listesinin çıkarılması. Bu ölçümler sözleşmedeki sürenin gerçekçi olup olmadığını gösterir.
NIS2 bir AB direktifidir. Her Türk şirketi yalnız ihracat yaptığı için otomatik olarak doğrudan kapsama girmez. Kuruluşun AB'deki faaliyeti, yerleşimi, sektörü, büyüklüğü ve ilgili üye ülkenin ulusal düzenlemesi birlikte değerlendirilmelidir.
Dolaylı etki daha yaygın olabilir. AB'deki kapsama tabi müşteri, Madde 21 kapsamındaki tedarik zinciri görevini yerine getirmek için Türk tedarikçisinden güvenlik soru formu, olay ihbar taahhüdü, denetim raporu veya alt yüklenici bilgisi isteyebilir. Bu şartlar satın alma ve sözleşme sürecinde ticari yükümlülüğe dönüşür.
Bu durumda NIS2 tedarikçi güvenliği değerlendirmesi, doğrudan mevzuat kapsamından bağımsız bir müşteri kabul şartı haline gelebilir.
Türkiye'deki 7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te yürürlüğe girdi. Kanun, Türkiye'nin siber güvenlik yapısını ve geniş kapsamlı yükümlülük çerçevesini düzenliyor. NIS2 ile aynı metin değildir; iki düzenlemenin kapsam ve sorumlulukları ayrı değerlendirilmelidir.
Şirket önce rolünü yazılı olarak belirlemeli: doğrudan kapsama tabi kuruluş, kapsama tabi müşterinin tedarikçisi veya yalnız Türkiye'de faaliyet gösteren işletme. Ardından sözleşmedeki güvenlik hükümlerini teknik ekiple birlikte incelemelidir. Hukuki kapsam kararı için ilgili ülke ve sektör konusunda uzman görüşü alınmalıdır.
İlk hafta kritik EDI ve B2B bağlantılarının envanterini çıkarın. Her bağlantı için belge türünü, veri sahibini, sistem hesabını, sağlayıcıyı, alt yükleniciyi ve kesintinin iş etkisini kaydedin. En yüksek etkiyi oluşturan beş bağlantıyı seçin.
İkinci hafta sağlayıcılardan kanıt dosyasını isteyin. Sertifika adının yanında kapsam sayfasını ve geçerlilik tarihini kontrol edin. Olay planı, erişim listesi, yedek geri yükleme sonucu ve son güvenlik testi eksikse bunları ayrı bulgu olarak kaydedin.
Üçüncü hafta sözleşme boşluklarını çıkarın. Olay bildirimi, denetim hakkı, zafiyet yönetimi, alt yüklenici değişikliği ve çıkış işlemleri için mevcut maddeyi ve gereken düzeltmeyi yan yana yazın. Teknik ekibin tutamayacağı bir süreyi sözleşmeye eklemeyin.
Dördüncü hafta masa başı olay tatbikatı yapın. Bir mapping değişikliğiyle siparişlerin yanlış ERP hesabına yönlendirildiği senaryoyu kullanın. Kim alarm aldı, kaç mesaj etkilendi, müşteri ne zaman bilgilendirildi ve kayıtlar nasıl düzeltildi sorularını gerçek saatlerle yanıtlayın.
İlk 30 günün çıktısı bir “NIS2 uyumludur” etiketi olmamalıdır. Kritik bağlantı envanteri, kanıtlı tedarikçi kararları, sözleşme boşlukları ve ölçülmüş olay bildirim süreleri hazır olmalıdır. Bu kayıtlar sonraki denetim ve müşteri taleplerinde tekrar kullanılabilir.
NIS2 tedarikçi güvenliği çalışmasını yılda bir yapılan form doldurma işi olarak bırakmayın. Yeni bağlantı, alt yüklenici, olay veya büyük sürüm değişikliği sonrasında ilgili risk kararını yenileyin.
MAP'in entegrasyon, EDI ve tedarik zinciri içeriklerini
NIS2 Türk şirketlerini doğrudan bağlar mı?
NIS2 bir AB direktifidir ve her Türk şirketini otomatik olarak doğrudan kapsamaz. Ancak AB'deki kapsama tabi müşteriler, tedarik zinciri güvenliği şartlarını sözleşme ve tedarikçi değerlendirmeleri yoluyla Türk iş ortaklarına yansıtabilir.
NIS2 kapsamında tedarikçi güvenliği hangi maddede yer alır?
NIS2 Madde 21(2)(d), kuruluşların doğrudan tedarikçi ve hizmet sağlayıcı ilişkilerindeki güvenlik risklerini yönetmesini ister. Madde 21(3), her tedarikçinin zafiyetleri ile ürün ve güvenlik uygulamalarının kalitesinin dikkate alınmasını öngörür.
EDI sağlayıcısından hangi güvenlik kanıtları istenmeli?
Erişim rolleri, MFA veya eşdeğer kontrol, şifreleme, mesaj ve yönetici işlem logları, olay müdahale planı, yedek geri yükleme testi, alt yüklenici listesi ve güncel denetim raporları istenebilir. Kanıt kapsamı hizmetin riskine göre belirlenmelidir.
Tedarikçi olay bildirimi için 24 saat yeterli mi?
Müşterinin NIS2 erken uyarısını kendi farkındalık anından itibaren 24 saat içinde yapması gerekebilir. İnceleme ve karar süresi bırakmak için tedarikçi sözleşmesindeki ihbar eşiği çoğu senaryoda 24 saatten kısa tanımlanmalıdır.
ISO 27001 belgesi NIS2 uyumu için yeterli mi?
Hayır. ISO 27001 bir yönetim sistemi temeli ve yararlı bir kanıt olabilir, ancak NIS2 kapsamı, ulusal uygulama, olay bildirimleri ve tedarikçi ilişkileri ayrıca değerlendirilmelidir.
NIS2, AB'deki kapsama tabi kuruluşlardan doğrudan tedarikçi ve hizmet sağlayıcı ilişkilerindeki siber riskleri yönetmelerini istiyor. Türkiye'deki bir üretici direktifin doğrudan kapsamında olmasa bile AB'li müşterisinden güvenlik soru formu, denetim hakkı veya kısa olay bildirim süresi içeren sözleşme alabilir.
İçindekiler
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
NIS2 EDI ve B2B Entegrasyonlarını Neden Etkiliyor?
NIS2 Madde 21(2)(d), tedarik zinciri güvenliğini asgari risk yönetimi tedbirlerinden biri sayıyor. Aynı maddenin üçüncü fıkrası, kuruluşların her doğrudan tedarikçinin zafiyetlerini ve güvenlik uygulamalarının kalitesini değerlendirmesini istiyor. Bu görev yazılım geliştirme, hizmet sunumu ve iş sürekliliği süreçlerini birlikte kapsıyor.
EDI ve B2B entegrasyon sağlayıcıları şirketler arasında sürekli veri taşır. Bir bağlantı sipariş miktarını, teslimat adresini, ürün kodunu veya fatura tutarını işleyebilir. Sağlayıcının sistem erişimi, sıradan bir ofis yazılımından daha geniş operasyonel sonuç doğurabilir.
Risk yalnız teorik değil. ENISA'nın 2025 NIS Investments araştırmasında kuruluşların yüzde 37'si tedarik zinciri risk yönetimini uygulanması en zor NIS2 alanları arasında gösterdi. Aynı araştırmada tedarik zinciri ve üçüncü taraf ihlalleri, son 12 ayda günlük operasyonu en çok etkileyen saldırı türlerinin yüzde 10'unu oluşturdu. Katılımcıların yüzde 47'si bu saldırıları gelecek dönem için başlıca kaygıları arasında saydı.
Bu veriler, sağlayıcı seçimini bir sertifika kutusuna indirmenin yetersiz kaldığını gösteriyor. İşletme, hangi bağlantının hangi veriye ve sürece eriştiğini kaydetmeli. Sağlayıcı değiştiğinde veya yeni bir alt yüklenici eklendiğinde risk kaydı da güncellenmeli.
EDI Sağlayıcısı Hangi Dört Katmanda Değerlendirilmeli?
Bir EDI bağlantısını dört katmanda incelemek pratik bir başlangıç sağlar.
Erişim katmanı. İnsan kullanıcıları ile makine hesaplarını ayrı listeleyin. Yönetici erişiminde MFA, rol ayrımı ve süreli yetki olup olmadığını sorun. Kullanılmayan servis hesaplarının ne zaman kapatıldığını ve kimlik bilgilerinin nasıl yenilendiğini görün.
Mesaj katmanı. Aktarım sırasında ve depolamada şifreleme yeterli değildir. Mesajın kaynağı, hedefi, alınma zamanı, doğrulama sonucu ve son durumu izlenebilmelidir. Mapping veya yönlendirme kuralındaki değişiklik de kullanıcı, zaman ve önceki değer bilgisiyle kayda girmelidir.
Olay ve kanıt katmanı. Başarısız girişler, sıra dışı dosya hacmi, tekrar gönderimler ve yönetici değişiklikleri için uyarı kuralları tanımlanmalıdır. Log saklama süresi ile müşterinin denetim ihtiyacı birbirini karşılamalıdır. Olay sırasında delil oluşturacak saat bilgisinin bütün sistemlerde aynı zaman kaynağına bağlı olması gerekir.
Süreklilik katmanı. Yedek almak tek başına yeterli kanıt değildir. Sağlayıcı geri yükleme testinin tarihini, sonucunu ve hedef süresini gösterebilmelidir. Alternatif kanal, kuyruklama, yeniden gönderim ve manuel devam planı da kritik belge türleri için önceden belirlenmelidir.
Örnek bir üreticide ORDERS mesajı ERP'ye yanlış müşteri koduyla düşsün. İnceleme, mapping kuralının bir alt yüklenici hesabıyla değiştirildiğini gösteriyor. Güçlü kontrol modeli; hesabın yetkisini, değişiklik kaydını, etkilenen mesaj listesini ve doğru verinin yeniden gönderildiğini aynı olay dosyasında birleştirir. Bu kanıt zinciri yoksa şirket olayın kapsamını ve başlangıç zamanını geç belirler.
MAP'in
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
, sistemler ve ticaret ortakları arasındaki veri akışını merkezi bir proje konusu olarak ele alır. Güvenlik değerlendirmesi de aynı akış haritasından başlamalıdır.Sözleşme ve Kanıt Dosyasında Neler Bulunmalı?
Komisyon Uygulama Tüzüğü (AB) 2024/2690, belirli dijital hizmet sağlayıcıları için tedarikçi sözleşmelerinde bulunabilecek hükümleri ayrıntılandırıyor. Liste; güvenlik şartları, olay ihbarı, denetim hakkı, zafiyet yönetimi, alt yükleniciler ve sözleşme sonundaki veri işlemlerini içeriyor.
NIS2 tedarikçi güvenliği dosyası, bu hükümleri her EDI bağlantısının gerçek erişim ve veri kapsamıyla eşleştirmelidir.
EDI sağlayıcısı için sekiz maddelik bir kontrol dosyası hazırlayın:
- Hizmete erişen insan ve makine kimliklerinin güncel envanteri
- Şifreleme, anahtar yönetimi ve kimlik doğrulama kontrollerinin kanıtı
- Mesaj, yönetici işlemi ve kural değişikliği loglarının kapsamı ile saklama süresi
- Müşteriyi etkileyen olaylar için sözleşmedeki ihbar süresi ve iletişim zinciri
- Denetim hakkı veya bağımsız denetim raporunu alma hükmü
- Zafiyet bildirme, düzeltme ve acil güncelleme sorumlulukları
- Alt yüklenici ekleme, değiştirme ve aynı şartları alt zincire aktarma kuralı
- Sözleşme sonunda erişim kapatma, veri iadesi, silme ve doğrulama yöntemi
Her satıra belge adı, sahibi, son inceleme tarihi ve geçerlilik süresi ekleyin. “Politika var” cevabını kanıt saymayın. Güncel denetim raporu, test kaydı, erişim listesi veya imzalı sözleşme maddesi aranmalıdır.
Kararı üç durumdan biriyle kaydedin: onayla, koşullu onayla veya reddet. Koşullu onayda eksik kontrolün sahibi ve kapanış tarihi yazılmalıdır. İş riski yüksek bir bağlantıda belirsiz olay ihbarı ya da doğrulanamayan yönetici erişimi açık kalıyorsa sözleşme imzalanmamalıdır.
MAP'in
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
yazısı API, kimlik ve veri güvenliği katmanlarını daha geniş çerçevede açıklar. NIS2 değerlendirmesi bu teknik kontrolleri sözleşme, kanıt ve sorumluluk kayıtlarıyla tamamlar.Olay Bildirimi 24 ve 72 Saatlik Takvime Nasıl Yetişir?
NIS2 Madde 23, önemli olaylarda farkındalıktan itibaren 24 saat içinde erken uyarı öngörüyor. İlk olay bildirimi 72 saat içinde yapılmalı. Nihai rapor için genel süre, ilk olay bildiriminden sonra bir ay.
Bu süreler doğrudan tedarikçiye verilmiş otomatik ihbar süreleri değildir. Kapsama tabi müşteri, kendi değerlendirmesini ve kurum içi onayını tamamlamak için zamana ihtiyaç duyar. EDI sağlayıcısı olayı müşteriye 24. saatte bildirirse müşterinin erken uyarı penceresi fiilen tükenebilir.
Sözleşmedeki tedarikçi ihbar eşiğini bu nedenle daha kısa tanımlayın. İlk sinyal tam kök neden analizini beklememeli. Hangi sistemin etkilendiği, ilk tespit zamanı, bilinen mesaj veya veri kapsamı ve alınan ilk tedbir güvenli bir kanaldan iletilmelidir.
Operasyon ekibi de bildirim zincirine katılmalıdır. Bir DESADV akışı durduğunda güvenlik ekibi şüpheli erişimi incelerken lojistik ekibi bekleyen sevkiyatları belirler. Entegrasyon ekibi yeniden gönderimden önce hatalı veya eksik mesaj listesini sabitler. Böylece teknik müdahale, ticari kayıtların üzerine yazmaz.
Tatbikat sırasında dört süreyi ölçün: alarmın oluşması, sağlayıcının olayı sınıflandırması, müşteriye ilk ihbar ve etkilenen mesaj listesinin çıkarılması. Bu ölçümler sözleşmedeki sürenin gerçekçi olup olmadığını gösterir.
Türk Şirketleri Doğrudan Kapsam ile Sözleşme Etkisini Nasıl Ayırmalı?
NIS2 bir AB direktifidir. Her Türk şirketi yalnız ihracat yaptığı için otomatik olarak doğrudan kapsama girmez. Kuruluşun AB'deki faaliyeti, yerleşimi, sektörü, büyüklüğü ve ilgili üye ülkenin ulusal düzenlemesi birlikte değerlendirilmelidir.
Dolaylı etki daha yaygın olabilir. AB'deki kapsama tabi müşteri, Madde 21 kapsamındaki tedarik zinciri görevini yerine getirmek için Türk tedarikçisinden güvenlik soru formu, olay ihbar taahhüdü, denetim raporu veya alt yüklenici bilgisi isteyebilir. Bu şartlar satın alma ve sözleşme sürecinde ticari yükümlülüğe dönüşür.
Bu durumda NIS2 tedarikçi güvenliği değerlendirmesi, doğrudan mevzuat kapsamından bağımsız bir müşteri kabul şartı haline gelebilir.
Türkiye'deki 7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te yürürlüğe girdi. Kanun, Türkiye'nin siber güvenlik yapısını ve geniş kapsamlı yükümlülük çerçevesini düzenliyor. NIS2 ile aynı metin değildir; iki düzenlemenin kapsam ve sorumlulukları ayrı değerlendirilmelidir.
Şirket önce rolünü yazılı olarak belirlemeli: doğrudan kapsama tabi kuruluş, kapsama tabi müşterinin tedarikçisi veya yalnız Türkiye'de faaliyet gösteren işletme. Ardından sözleşmedeki güvenlik hükümlerini teknik ekiple birlikte incelemelidir. Hukuki kapsam kararı için ilgili ülke ve sektör konusunda uzman görüşü alınmalıdır.
İlk 30 Günde Hangi Adımlar Atılmalı?
İlk hafta kritik EDI ve B2B bağlantılarının envanterini çıkarın. Her bağlantı için belge türünü, veri sahibini, sistem hesabını, sağlayıcıyı, alt yükleniciyi ve kesintinin iş etkisini kaydedin. En yüksek etkiyi oluşturan beş bağlantıyı seçin.
İkinci hafta sağlayıcılardan kanıt dosyasını isteyin. Sertifika adının yanında kapsam sayfasını ve geçerlilik tarihini kontrol edin. Olay planı, erişim listesi, yedek geri yükleme sonucu ve son güvenlik testi eksikse bunları ayrı bulgu olarak kaydedin.
Üçüncü hafta sözleşme boşluklarını çıkarın. Olay bildirimi, denetim hakkı, zafiyet yönetimi, alt yüklenici değişikliği ve çıkış işlemleri için mevcut maddeyi ve gereken düzeltmeyi yan yana yazın. Teknik ekibin tutamayacağı bir süreyi sözleşmeye eklemeyin.
Dördüncü hafta masa başı olay tatbikatı yapın. Bir mapping değişikliğiyle siparişlerin yanlış ERP hesabına yönlendirildiği senaryoyu kullanın. Kim alarm aldı, kaç mesaj etkilendi, müşteri ne zaman bilgilendirildi ve kayıtlar nasıl düzeltildi sorularını gerçek saatlerle yanıtlayın.
İlk 30 günün çıktısı bir “NIS2 uyumludur” etiketi olmamalıdır. Kritik bağlantı envanteri, kanıtlı tedarikçi kararları, sözleşme boşlukları ve ölçülmüş olay bildirim süreleri hazır olmalıdır. Bu kayıtlar sonraki denetim ve müşteri taleplerinde tekrar kullanılabilir.
NIS2 tedarikçi güvenliği çalışmasını yılda bir yapılan form doldurma işi olarak bırakmayın. Yeni bağlantı, alt yüklenici, olay veya büyük sürüm değişikliği sonrasında ilgili risk kararını yenileyin.
MAP'in entegrasyon, EDI ve tedarik zinciri içeriklerini
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
üzerinden takip edebilirsiniz. İlk uygulama adımı olarak en yüksek iş etkisine sahip beş bağlantıyı belirleyin ve her biri için kanıt sahibi ile yenileme tarihini kayda alın.Sıkça Sorulan Sorular
NIS2 Türk şirketlerini doğrudan bağlar mı?
NIS2 bir AB direktifidir ve her Türk şirketini otomatik olarak doğrudan kapsamaz. Ancak AB'deki kapsama tabi müşteriler, tedarik zinciri güvenliği şartlarını sözleşme ve tedarikçi değerlendirmeleri yoluyla Türk iş ortaklarına yansıtabilir.
NIS2 kapsamında tedarikçi güvenliği hangi maddede yer alır?
NIS2 Madde 21(2)(d), kuruluşların doğrudan tedarikçi ve hizmet sağlayıcı ilişkilerindeki güvenlik risklerini yönetmesini ister. Madde 21(3), her tedarikçinin zafiyetleri ile ürün ve güvenlik uygulamalarının kalitesinin dikkate alınmasını öngörür.
EDI sağlayıcısından hangi güvenlik kanıtları istenmeli?
Erişim rolleri, MFA veya eşdeğer kontrol, şifreleme, mesaj ve yönetici işlem logları, olay müdahale planı, yedek geri yükleme testi, alt yüklenici listesi ve güncel denetim raporları istenebilir. Kanıt kapsamı hizmetin riskine göre belirlenmelidir.
Tedarikçi olay bildirimi için 24 saat yeterli mi?
Müşterinin NIS2 erken uyarısını kendi farkındalık anından itibaren 24 saat içinde yapması gerekebilir. İnceleme ve karar süresi bırakmak için tedarikçi sözleşmesindeki ihbar eşiği çoğu senaryoda 24 saatten kısa tanımlanmalıdır.
ISO 27001 belgesi NIS2 uyumu için yeterli mi?
Hayır. ISO 27001 bir yönetim sistemi temeli ve yararlı bir kanıt olabilir, ancak NIS2 kapsamı, ulusal uygulama, olay bildirimleri ve tedarikçi ilişkileri ayrıca değerlendirilmelidir.
Kaynaklar
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
-
Bu bağlantıyı görüntüleyebilmek için kayıt olmalı zaten üyeyseniz üye girişi yapmalısınız.
- Birincil: NIS2 tedarikçi güvenliği
- İkincil: EDI güvenliği, B2B entegrasyon güvenliği, NIS2 tedarikçi sözleşmesi
- Arama niyeti: Risk + sağlayıcı değerlendirme + uygulama
- Farklılaşma: Genel NIS2 özeti yerine EDI bağlantıları için dört katmanlı risk modeli, sekiz maddelik sözleşme ve kanıt dosyası, 24/72 saat takvimine bağlı olay senaryosu