Yeni siber güvenlik yasası! Şirket yöneticileri şahsen sorumlu tutulabilecek

Hollanda'da şirketlerin ve kamu kurumlarının siber saldırılara karşı sorumluluklarını artıran yeni yasa uygulanmaya başladı. Düzenlemeye göre önemli hizmetler sunan kuruluşlar, ciddi sonuçlar doğurabilecek siber saldırıları 24 saat içerisinde yetkililere bildirmek zorunda. Siber güvenliği ihmal eden şirketler yaptırımlarla karşılaşabilecek. Ağır ihmal veya kasıt söz konusu olduğunda ise yöneticiler şahsen sorumlu tutulabilecek.

NOS'un haberine göre yeni düzenleme, ülkenin en büyük süpermarket zinciri Albert Heijn'e yönelik siber saldırının ardından yeniden gündeme geldi.

Ağustos ayında yürürlüğe giren Siber Güvenlik Yasası (Cyberbeveiligingswet), yaklaşık 8 bin şirket ve kamu kuruluşunu kapsıyor. Bu kuruluşların yalnızca kendi bilgisayar sistemlerini değil, birlikte çalıştıkları şirketlerden kaynaklanan riskleri de değerlendirmesi gerekiyor.

Albert Heijn'e yapılan saldırı yeni yasanın ilk büyük sınavlarından biri oldu

Hollanda'nın en büyük süpermarket zinciri Albert Heijn, geçtiğimiz günlerde ciddi bir siber saldırıya maruz kaldı.

Şirket, saldırıyı tespit etmesinin ardından bazı bilgi işlem sistemlerini güvenlik amacıyla kapattı.

Bu karar, günlük faaliyetlerde büyük aksamalara neden oldu.

Albert Heijn'in internet sitesi ve mobil uygulamasına erişim sağlanamadı. İnternet üzerinden sipariş veren müşterilere alışverişleri teslim edilemedi.

Bazı dağıtım merkezlerinde faaliyetler tamamen durdu. Bu nedenle süpermarketlere ürün sevkiyatında da sorunlar yaşandı.

Albert Heijn Üst Yöneticisi Margaret Versteden-van Duijn, dağıtım merkezlerindeki aksaklıkları daha önce yaptığı açıklamada doğruladı.

Yaşanan olay, yeni yasanın yürürlüğe girmesinden sonraki ilk büyük siber güvenlik vakalarından biri oldu.

Siber saldırıyı 24 saat içinde bildirmek zorundalar

Yeni düzenlemenin en önemli maddelerinden biri, siber güvenlik olaylarının yetkililere bildirilmesiyle ilgili.

Yasa kapsamındaki şirketler, faaliyetlerini ciddi biçimde etkileyen bir siber saldırı yaşadıklarında veya böyle bir saldırıdan şüphelendiklerinde, durumu 24 saat içerisinde Hollanda Ulusal Siber Güvenlik Merkezine (NCSC) bildirmek zorunda.

Bu yükümlülük yalnızca müşteri bilgilerinin çalındığı saldırılar için geçerli değil.

Şirketin büyük miktarda maddi zarara uğraması veya müşterilere sunduğu hizmetlerin ciddi biçimde aksaması da bildirim yapılmasını gerektirebiliyor.

Albert Heijn'de yaşanan olay da bu kapsama giriyor.

Çünkü siber saldırı nedeniyle şirketin dijital hizmetleri kullanılamaz hâle geldi ve gıda dağıtımı aksadı.

Ancak ilk 24 saatlik bildirimle süreç tamamlanmıyor.

Şirketlerin, olaydan sonraki 72 saat içerisinde yetkililere yeni bir bilgilendirme yapması gerekiyor.

Bu bildirimde saldırıya ilişkin elde edilen yeni bilgiler, ortaya çıkan zararlar ve alınan önlemler aktarılıyor.

Uzman: Şirketler saldırıya uğradıklarını başlangıçta anlayamayabilir

Uluslararası hukuk bürosu Hogan Lovells Cadwalader'den avukat Joke Bodewits, yeni bildirim yükümlülüğünün önemine dikkat çekti.

Bodewits'e göre siber saldırıya uğrayan bir şirkette aynı anda çok sayıda sorun yaşanabiliyor. Teknik ekipler saldırıyı durdurmaya çalışırken yönetim de faaliyetlerin nasıl sürdürüleceğine karar vermek zorunda kalıyor.

Bu nedenle saldırının ilk saatlerinde elde edilen bilgilerin daha sonra değişmesi mümkün.

Bodewits, başlangıçta doğru olduğu düşünülen bazı bilgilerin ilerleyen saatlerde yanlış olduğunun anlaşılabildiğini belirtti.

Yasanın 72 saat sonra ikinci bir bildirim yapılmasını zorunlu kılmasının nedeni de bu.

Uzman ayrıca Ulusal Siber Güvenlik Merkezine yapılan bildirimin şirketler açısından avantaj sağladığını söyledi.

Çünkü merkezdeki uzmanlar, saldırıya uğrayan kuruluşlara teknik destek verebiliyor ve saldırının nasıl gerçekleşmiş olabileceğini değerlendirmelerine yardımcı olabiliyor.

Süpermarketler de kritik kuruluş sayılıyor

Yeni yasa yalnızca teknoloji şirketlerini veya devlet kurumlarını ilgilendirmiyor.

Hollanda'nın günlük yaşamı için önemli kabul edilen çok sayıda sektör düzenlemenin kapsamına alındı.

Bunların arasında sağlık kuruluşları, içme suyu sağlayıcıları, bankalar ve gıda sektörü bulunuyor.

Süpermarketler de temel gıda tedarikindeki rolleri nedeniyle yeni yükümlülüklere tabi tutuluyor.

Denetim ve belgelendirme kuruluşu Kiwa'dan Bart Scholten, düzenlemenin amacını Hollanda'daki temel hizmetlerin her koşulda sürdürülebilmesini sağlamak olarak açıkladı.

Scholten'e göre ülkenin işleyişi açısından kritik öneme sahip kuruluşların Ulusal Siber Güvenlik Merkezine kayıt yaptırması gerekiyor.

Böylece devlet, önemli hizmetleri etkileyebilecek siber güvenlik risklerini daha yakından izleyebilecek.

Süpermarketleri Gıda ve Tüketici Ürünleri Güvenliği Kurumu denetleyecek

Şirketlerin Ulusal Siber Güvenlik Merkezine yaptığı bildirimler, ilgili denetim kurumlarına da aktarılacak.

Süpermarketler açısından bu görevi Hollanda Gıda ve Tüketici Ürünleri Güvenliği Kurumu (NVWA) üstleniyor.

Kurum, şirketlerin siber güvenlik konusunda gerekli önlemleri alıp almadığını denetleyebilecek.

Yeni yasada kuruluşların siber saldırıları önlemek için uygun güvenlik tedbirleri alması gerektiği belirtiliyor.

Ancak bu tedbirlerin kapsamı her şirket için aynı değil.

Örneğin bir bankanın karşı karşıya olduğu siber güvenlik riskleriyle bir süpermarketin riskleri farklı olabiliyor.

Bu nedenle şirketlerin faaliyet alanlarına ve karşılaşabilecekleri tehditlere uygun önlemler geliştirmesi gerekiyor.

Uzman Bart Scholten'e göre yalnızca saldırıları önlemeye çalışmak yeterli değil.

Şirketlerin, bütün önlemlere rağmen bir saldırı gerçekleşirse ne yapacaklarını da önceden planlaması gerekiyor.

Küçük şirketler de dolaylı olarak etkilenecek

Yeni yasanın dikkat çekici yönlerinden biri, şirketlerin sorumluluklarının kendi sistemleriyle sınırlı olmaması.

Düzenleme yaklaşık 8 bin kuruluşu doğrudan kapsıyor. Ancak bu şirketlerin birlikte çalıştığı çok sayıda küçük işletme de dolaylı olarak yeni kurallardan etkilenecek.

Örneğin büyük bir süpermarket zinciri, ürün aldığı veya lojistik hizmet satın aldığı şirketlerin siber güvenlik risklerini de değerlendirmek zorunda.

Çünkü tedarikçilerden birinin sistemlerine yönelik saldırı, büyük şirketin faaliyetlerini durdurabilecek sonuçlar doğurabiliyor.

Kiwa'dan Bart Scholten, yeni düzenlemeyle şirketlerin sorumluluğunun kendi sınırlarının ötesine geçtiğini söyledi.

Scholten'e göre yasa kapsamındaki büyük kuruluşlar, iş yaptıkları şirketlerin siber güvenlik düzeyini incelemeli.

Gerekirse bu şirketlerden belirli güvenlik önlemlerini almalarını talep edebilmeli.

Böylece yasa doğrudan küçük işletmelere uygulanmasa bile büyük şirketlerle çalışmak isteyen tedarikçilerin daha güçlü siber güvenlik önlemleri alması gerekebilecek.

Şirket yöneticilerine şahsi sorumluluk geliyor

Yeni yasanın en sert düzenlemelerinden biri, şirket yöneticilerinin sorumluluğuyla ilgili.

Eskiden siber güvenlik çoğunlukla şirketlerin bilgi işlem departmanlarının sorumluluğunda görülüyordu.

Yeni düzenleme ise bu yaklaşımı değiştiriyor.

Şirketlerin üst yönetimleri, siber güvenlik konusunda gerekli önlemlerin alınmasından sorumlu tutuluyor.

Denetim kurumları, şirketin yeterli tedbirleri almadığını tespit ederse yaptırım uygulayabilecek.

Bazı durumlarda şirket yöneticileri de şahsen sorumlu tutulabilecek.

Ancak bu durum, her siber saldırının ardından yöneticilere otomatik olarak ceza verileceği anlamına gelmiyor.

Avukat Joke Bodewits'e göre kişisel sorumluluk özellikle yöneticilerin ağır biçimde ihmalkâr davranması veya kasıtlı hareket etmesi hâlinde gündeme gelebilir.

Bodewits, yöneticilerden siber saldırıları önlemeye çalışmaları ve bu konuyu ciddiye almalarının beklendiğini söyledi.

Artık 'Bu bilgi işlem departmanının işi' diyemeyecekler

Kiwa'dan Bart Scholten, yeni yasanın şirket yönetiminde önemli bir anlayış değişikliği yaratacağını düşünüyor.

Scholten'e göre şirketler artık siber güvenlik konusunda bütün sorumluluğu teknik personele bırakamayacak.

Siber saldırılara karşı hazırlık, şirket yönetimlerinin doğrudan ilgilenmesi gereken bir konu hâline geliyor.

Uzman, düzenlemeyle siber güvenliğin yönetim kurullarında ele alınmasının zorunlu hâle geldiğini vurguladı.

Amaç, Hollanda'nın dijital saldırılara karşı daha dayanıklı bir ülke hâline gelmesini sağlamak.

Albert Heijn saldırısı büyük şirketler için uyarı oldu

Albert Heijn'in yaşadığı siber saldırı, yeni düzenlemenin neden gerekli görüldüğünü ortaya koyan önemli örneklerden biri.

Ülkenin en büyük süpermarket zincirlerinden birinin bilgisayar sistemlerinde yaşanan sorun, yalnızca şirketin internet sitesini etkilemedi.

Marketlere ürün sevkiyatı aksadı, dağıtım merkezlerinde faaliyetler durdu ve müşteriler internetten verdikleri siparişleri alamadı.

Yeni yasayla Hollanda, bu tür olaylarda şirketlerin hem daha hazırlıklı olmasını hem de yetkilileri daha hızlı bilgilendirmesini hedefliyor.

Bundan sonra özellikle kritik sektörlerde faaliyet gösteren kuruluşların yalnızca siber saldırıya uğrayıp uğramadıkları değil, saldırıdan önce yeterli güvenlik önlemlerini alıp almadıkları da denetlenecek.

Yöneticilerin şahsen sorumlu tutulabilmesi ise siber güvenliği yalnızca teknik bir mesele olmaktan çıkarıp doğrudan şirket yönetiminin sorumluluğuna dönüştürüyor.