Yeni mevzuat · Karadağ
Karadağ’da kritik altyapı dayanıklılığı — yeni kanun ne istiyor
Kritik Altyapı Dayanıklılığı Kanunu (Karadağ Resmî Gazetesi 150/26) on bir sektör, Bakanlık onaylı bir dayanıklılık planı, bir koordinatör, yıllık stres testi ve — ilk kez — yasal yükümlülük olarak MEST ISO 31000 ve MEST ISO 22301 sertifikalarını getiriyor. Kanunun istediği dokümantasyonu ve sistemleri biz hazırlıyoruz.
Kanun şu anda nerede
Karadağ Meclisi, Kritik Altyapı Dayanıklılığı Kanununu 29 Eylül 2026 tarihinde kabul etti; kanun Karadağ Resmî Gazetesi’nin 12 Ekim 2026 tarihli 150/26 sayısında yayımlandı ve yayımından sekiz gün sonra, 20 Ekim 2026’da yürürlüğe girdi. Kanunla (AB) 2022/2557 sayılı Direktif (CER) ve onu tamamlayan, temel hizmetler listesini belirleyen (AB) 2023/2450 sayılı Tüzük iç hukuka aktarılıyor. Yürürlüğe girdiği gün, Kritik Altyapının Belirlenmesi ve Korunması Kanunu (Karadağ Resmî Gazetesi 72/19 ve 33/26) yürürlükten kalkıyor.
Hâlihazırda olan ve henüz çıkarılacak olan
İkincil düzenlemeler yürürlüğe girişten itibaren dokuz ay içinde, yani 20 Temmuz 2027’ye kadar çıkarılacaktır (48. madde). O tarihe kadar, kanuna aykırı olmadıkları sürece mevcut düzenlemeler uygulanır.
İki düzenleme açıkça yürürlükte kalır: Kritik altyapının belirlenmesine ilişkin sektör ölçütleri Yönetmeliği (Karadağ Resmî Gazetesi 91/26) ve Hükümetin kritik altyapıyı belirleyen Kararı; bu Karar «DAHİLİ» gizlilik derecesi taşır. Dolayısıyla ölçütler hâlihazırda mevcuttur ve kritik kuruluşlar listesi kamuya açık değildir — belirlendiğinizi bir sicile bakarak değil, yazılı bildirimle öğrenirsiniz.
Bu sayfadaki metin, Karadağ Resmî Gazetesi’nde yayımlanan kanundan alınmıştır; aktarımdaki hata hakkımızı saklı tutar ve kaynak metnin kontrol edilmesini öneririz.
13. maddedeki on bir sektör
Kanun; bu sektörlerde kritik altyapı işleten devlet organlarına, devlet idaresi organlarına, yerel yönetim birimlerine, şirketlere ve diğer tüzel kişilere uygulanır:
Sektörde olmak yeterli değil
En yaygın yanlış anlama budur. Enerjide veya sağlıkta çalışıyor olmanız sizi kritik kuruluş yapmaz; bunu Hükümet kararı belirler (16. madde, 3. fıkra). Karar, Bakanlığın birleştirilmiş önerisi üzerine, sektör bakanlığının sizi 15. maddedeki ölçütlere göre tespit etmesinin ardından alınır: kesintinin temel hizmetlerin sunumuna etkisi, diğer sektörlerle karşılıklı bağımlılık, tek arıza noktası ve olası sınır ötesi etkiler. Sektör ölçütlerini ve alt sektörleri Hükümet belirler (14. madde); sektör ölçütleri Yönetmeliği (Resmî Gazete 91/26) yürürlüktedir.
Kanun kritik kuruluştan ne istiyor
17. maddedeki yükümlülükler ve diğer maddelere dağılmış süreler — tek bir yerde ve yapılmaları gereken sırayla.
Standartların doğru kodları
Kanunun istediği standartlar MEST ISO 31000 — risk analizi ve yönetimi, ve MEST ISO 22301 — iş sürekliliğidir. ISO/IEC ön eki, Uluslararası Standardizasyon Örgütü’nün Uluslararası Elektroteknik Komisyonu ile birlikte yayımladığı standartlara aittir; bu alanda bunlar sıkça birlikte anılan ISO/IEC 27001 ve ISO/IEC 27701’dir. Bu sayfada doğru kodları kullanıyoruz.
ISO 31000 belgelendirmesi
17. maddenin 9 ve 10. bentleri, kritik kuruluşun risk analizi ve yönetimi için MEST ISO 31000 ve iş sürekliliği için MEST ISO 22301 standardına göre sertifika bulundurmasını ister; 45. madde ise bunların bulunmaması hâlinde 3.000 ile 20.000 avro para cezası öngörür.
Buradaki «belgelendirme» ifadesi geniş anlamda kullanılmıştır ve standarda uygunluğu ifade eder. Uygulamada şöyle işler:
ISO 22301 şartlar içeren bir standarttır: bağımsız ve akredite bir belgelendirme kuruluşu yönetim sistemini belgelendirir ve kuruluşa sertifika verir.
ISO 31000 bir rehber standarttır. Tam olarak uygulanır ve uygulandığı; risk yönetimi politikası, risk kaydı, kabul ölçütleri ve gözden geçirme kayıtlarıyla kanıtlanır. Bu şekilde kurulan bir sistem için ISO 31000’e uygulama ve uygunluk beyanı düzenlenir; uygunluk ayrıca, risk yönetiminin denetim kapsamında olduğu ISO 22301 belgelendirmesinde de değerlendirilir.
Ayrıca kişisel belgelendirme — risk yöneticisi vardır; eğitim ve sınav sonrasında kişiye verilir. Bu, sistemin değil kişinin belgesidir ve kuruluşunuzda risk yönetimini yürüten kişinin yetkinliğini kanıtlar.
Biz her ikisini de yaparız: sistemi ISO 31000’e göre kurar ve uygunluk kanıtlarını hazırlarız, kuruluşu ISO 22301 belgelendirmesine hazırlarız ve risk yöneticisi rolünü üstlenecek kişiyi eğitiriz.
Dayanıklılık ekibi
Dayanıklılık önlemlerinin uygulanması, risklerin yönetilmesi ve olayların kuruluş düzeyinde doğrudan giderilmesi için kurulur. Kesinti hâlinde koordinasyonu bu ekip üstlenir.
Koordinatör — altı ay
Dayanıklılık sorumlusu, Hükümet kararından itibaren altı ay içinde çalışanlar arasından belirlenir. Koşullar: Karadağ’da ikamet, en az VIII seviye nitelik, sağlık yeterliliği, sabıkasızlık, mesleki yeterlilik ve geçilmiş meslekî sınav. Kritik altyapı koruma, fiziksel ve teknik güvenlik ya da koruma ve kurtarma alanında VIII seviye ve beş yıl deneyimi olanlar sınavdan muaftır. Bilgileri 15 gün içinde, değişiklikler beş gün içinde Bakanlığa bildirilir.
Risk değerlendirmesi
Temel hizmetlerin sunumunu kesintiye uğratabilecek tehditlere ilişkin değerlendirme. 29. maddeye göre bu değerlendirme yalnızca kurum içi görüşle değil, ulusal ve sektörel risk değerlendirmeleriyle de uyumlu olmalıdır.
Dayanıklılık planı — dokuz ay
Plan; risk değerlendirmesini ve önleme, koruma, müdahale ve toparlanma önlemlerini içerir. Hükümet kararından itibaren dokuz ay içinde Bakanlığın onayı alınır. Komisyon talimat verirse 60 gün içinde uyulur. Plan en az dört yılda bir ve koşullar değiştiğinde gözden geçirilir.
Planı kim hazırlayabilir
İlgili sektörde fiziksel ve teknik güvenlik, kritik altyapı koruma, koruma ve kurtarma veya dayanıklılık alanında VIII seviye nitelik ve en az beş yıl deneyimi olan bir çalışan. Böyle bir çalışanınız yoksa hazırlık, bu niteliklere sahip çalışanı bulunan bir şirkete veya esnafa sözleşmeyle verilebilir.
ISO 31000 ve ISO 22301 sertifikaları
Kanun, kritik kuruluşun risk analizi ve yönetimi için MEST ISO 31000 ve iş sürekliliği için MEST ISO 22301 standartlarına göre sertifika bulundurmasını ister. Her birinin yokluğu ayrı bir kabahattir.
Beş maddede risk yönetimi
Kesinti riskinin analizi; olayların erken tespiti, müdahalesi ve etkilerinin azaltılmasına ilişkin prosedürler; MEST ISO 22301’e göre iş sürekliliği planı; altyapı yönetiminin kurulması, geliştirilmesi ve sürdürülmesine ilişkin iç düzenlemeler; tesislerin fiziksel ve teknik korunması.
Stres testi — yılda en az bir kez
Dayanıklılık yılda en az bir kez stres testine tabi tutulur. Bakanlık tatbikat emredebilir, türünü, yöntemini ve sürelerini belirleyebilir ve doğrudan denetleyebilir. Tatbikat sonuçlarına göre dayanıklılık planı revize edilir.
Olay — 24 saat ve 30 gün
Önemli bir olay, Bakanlığa ve sektör bakanlığına gecikmeksizin, öğrenilmesinden itibaren en geç 24 saat içinde bildirilir. Ayrıntılı rapor 30 gün içinde sunulur.
Sicil bilgileri — 15 gün
Sektörel Sicil için bilgiler, bildirimin alınmasından itibaren 15 gün içinde verilir: unvan, merkez, sicil ve vergi numarası, sorumlu kişi ve koordinatör, resmî elektronik adres, iletişim telefonu ve faaliyet bilgileri. Her değişiklik 15 gün içinde bildirilir.
Çalışanların eğitimi
Çalışanlar, Bakanlığın hazırladığı programa göre risk yönetimi ve dayanıklılık konusunda eğitilir. Kanunda öngörülen eğitimi lisanslı bir yetişkin eğitimi kuruluşu verir (25. madde).
Cezalar
Cezalar ağırlığa göre üç maddeye dağılmıştır. Para cezasının yanında, dayanıklılık alanında meslek, faaliyet veya görev yapma yasağı üç ila altı ay süreyle uygulanabilir.
3.000 ile 20.000 avro
23 ihlal için: dayanıklılık ekibinin olmaması, risk değerlendirmesinin olmaması, dayanıklılık planının veya dokuz ay içinde onayın bulunmaması, altı ay içinde koordinatör atanmaması, koşulları karşılamayan koordinatör, MEST ISO 31000 sertifikasının olmaması, MEST ISO 22301 sertifikasının olmaması, yıllık stres testinin yapılmaması, olay tespit prosedürlerinin bulunmaması, iş sürekliliği planının olmaması, fiziksel ve teknik koruma önlemlerinin alınmaması. Sorumlu kişi: 500 ile 2.000 avro.
2.500 ile 20.000 avro
Olayın 24 saat içinde bildirilmemesi, ayrıntılı raporun 30 gün içinde sunulmaması, sonuçların giderilmesi için önlem alınmaması, Bakanlıkla iş birliği yapılmaması. Sorumlu kişi: 500 ile 2.000 avro.
1.000 ile 10.000 avro
Sicil bilgilerinin 15 gün içinde verilmemesi, değişikliklerin bildirilmemesi, müfettiş talimatına uyulmaması veya dayanıklılık planına ve belgelere erişimin engellenmesi. Sorumlu kişi: 300 ile 1.500 avro.
Kritik kuruluşlar için ne yapıyoruz
Kanunun adıyla istediği belgeler ve sistemler. Bir hizmete tıklayın, sayfanın altındaki formda işaretlenecektir.
Risk değerlendirmesi ve analizi
Temel hizmetinizi kesintiye uğratabilecek tehditlere ilişkin, ulusal ve sektörel değerlendirmelerle uyumlu bir risk değerlendirmesi — denetimde ayakta kalan ve dayanıklılık planına giren bir biçimde.
Teklif isteyin 20–22. maddeDayanıklılık planı hazırlığı
Plan yapısı, risk değerlendirmesi, önleme, koruma, müdahale ve toparlanma önlemleri, Bakanlık onayına ve Komisyon talimatlarının 60 gün içinde yerine getirilmesine hazırlık. Planı 22. maddedeki koşulları taşıyan bir kişi imzalamalıdır — bunun sizde kim olduğunu birlikte kontrol ederiz.
Teklif isteyin 17(9). maddeISO 31000 belgelendirmesi ve uygunluk
MEST ISO 31000’e göre risk yönetimi çerçevesi, politikası ve süreci; risk kaydı ve gözden geçirme prosedürü ile — standarda uygunluğun kanıtlandığı biçimde. Sistemi ve dokümantasyonu biz hazırlarız; uygulanabilir olduğu yerde belgelendirmeyi bağımsız bir belgelendirme kuruluşu yapar.
Teklif isteyin 17(10). maddeISO 22301 belgelendirmesi — iş sürekliliği
MEST ISO 22301’e göre iş etki analizi, kurtarma stratejileri, süreklilik planları ve test. Aynı sistem 29(3). maddedeki süreklilik planını da karşılar.
Teklif isteyin 29(2). maddeOlay prosedürleri
Erken tespit, müdahale ve etkilerin azaltılması; kim tespit eder, kim bildirir, kim raporlar — net rollerle. 24 saatlik bildirim prosedürünü ve 30 günlük ayrıntılı rapor şablonunu içerir.
Teklif isteyin 28. maddeStres testi ve tatbikat
Senaryolar, tatbikatın hazırlanması ve yürütülmesi, tutanak, bulgular ve sonuçlara göre planın revizyonu — yıllık yükümlülük kâğıt üzerinde kalmasın diye.
Teklif isteyin 17 ve 23. maddeEkip ve koordinatör
Ekibin kurulması, koordinatörün görev tanımı, adayın 23. maddedeki koşulları karşılayıp karşılamadığının kontrolü ve Bakanlık komisyonu önünde girilecek meslekî sınava hazırlık.
Teklif isteyin 29(4). maddeAltyapı yönetimi düzenlemeleri
Kritik altyapı yönetiminin ve temel hizmetlerin sunumunun kurulması, geliştirilmesi ve sürdürülmesine ilişkin iç düzenlemeler.
Teklif isteyin 29(5). maddeFiziksel ve teknik koruma
Mevcut önlemlerin gözden geçirilmesi ve eksikler için plan — erişim kontrolü, kamera, bölgeleme, güvenlik prosedürleri — yetkisiz erişimi ve kasıtlı zararı önlemek için.
Teklif isteyin 17(7). maddeKurum içi eğitim
Çalışanlara risk yönetimi, olaya müdahale ve dayanıklılık ekibindeki roller konusunda kayıtlı eğitim. Kanunda öngörülen eğitimi lisanslı bir yetişkin eğitimi kuruluşu verir — biz adayları hazırlar ve kurum içi oturumları yürütürüz.
Teklif isteyin 41–42. maddeSicil bilgileri
Kritik Kuruluşlar Sektörel Sicili için bilgilerin hazırlanması ve kontrolü ile değişikliklerin 15 gün içinde bildirilmesi prosedürü.
Teklif isteyin 3. maddeBilgi güvenliğiyle sınır
Aynı zamanda Bilgi Güvenliği Kanunu kapsamındaysanız, yükümlülüklerin bir kısmı örtüşür, bir kısmı ise açıkça hariç tutulmuştur. Aynı işi iki kez yapmayın diye sınırı çizeriz.
Teklif isteyinKim ne yapar
MEST ISO 31000 ve MEST ISO 22301 sertifikalarını bağımsız bir belgelendirme kuruluşu verir — biz bu denetim için sistemi ve dokümantasyonu hazırlar ve denetimde yanınızda dururuz. 25. maddedeki eğitimi lisanslı bir yetişkin eğitimi kuruluşu verir — biz adayı hazırlar ve kurum içi oturumları yürütürüz. Koordinatörün meslekî sınavı, İçişleri Bakanının oluşturduğu komisyon önünde verilir.
Sıkça sorulan sorular
Biz kritik altyapı mıyız?
Bunu önceden kesin olarak bilemezsiniz ve kimse garanti edemez. 13. maddedeki on bir sektörden birinde olmak gerekli ama yeterli bir koşul değildir — kritik kuruluş olmanız ancak 16(3). madde uyarınca Hükümet kararıyla, sektör bakanlığının sizi 15. maddedeki ölçütlere göre tespit etmesinden sonra gerçekleşir. Faaliyetinizi ve sunduğunuz temel hizmeti bize yazın, ölçütleri birlikte geçelim.
Süreler ne zaman işlemeye başlar?
16(3). madde uyarınca alınan Hükümet kararından itibaren; yazılı bildirimin size ulaştığı günden değil. Koordinatör altı ay içinde belirlenir, Bakanlık onaylı dayanıklılık planı dokuz ay içinde, sicil bilgileri ise bildirimin alınmasından itibaren 15 gün içinde verilir.
ISO 31000 belgelendirmesi — standarda uygunluk nasıl kanıtlanır?
17(9). madde, risk analizi ve yönetimi için MEST ISO 31000 standardına göre sertifika ister. Buradaki «belgelendirme» ifadesi geniş anlamda kullanılmış olup standarda uygunluğu ifade eder. ISO 31000 bir rehber standarttır: tam olarak uygulanır ve uygulandığı; risk yönetimi politikası, risk kaydı, kabul ölçütleri ve gözden geçirme kayıtlarıyla kanıtlanır. Böyle bir sistem için ISO 31000’e uygulama ve uygunluk beyanı düzenlenir; uygunluk ayrıca, risk yönetiminin denetim kapsamında olduğu ISO 22301 belgelendirmesinde de değerlendirilir. Ayrıca kişisel belgelendirme — risk yöneticisi vardır; eğitim ve sınav sonrasında kişiye verilir.
Dayanıklılık planını kim hazırlayabilir?
22. maddeye göre, planın hazırlandığı sektörde fiziksel ve teknik güvenlik, kritik altyapı koruma, koruma ve kurtarma veya dayanıklılık alanında en az VIII seviye niteliğe ve beş yıl deneyime sahip bir çalışan. Böyle bir çalışanınız yoksa kanun, hazırlığın bu niteliklere sahip çalışanı bulunan bir şirkete, tüzel kişiye veya esnafa sözleşmeyle verilmesine açıkça izin verir.
Bu, Bilgi Güvenliği Kanunu ile nasıl ilişkilidir?
Ayrıdır. 3. maddeye göre bu kanun, siber ve bilgi güvenliği alanındaki önlem ve yükümlülüklere uygulanmaz — bunları ayrı bir kanun düzenler. Her iki düzenlemeye de tabi kuruluşlarda Bilgi Güvenliği Kanunu, bilgi ve iletişim sistemlerinin korunmasına ilişkin kısımda uygulanır.
Sadece bir kritik kuruluşun tedarikçisiysek?
Kanun yükümlülükleri kritik kuruluşa yükler, tedarikçilerine değil. Ancak uygulamada kritik kuruluş; süreklilik, olaya müdahale ve koruma gerekliliklerini sözleşmeyle tedarikçilerine aktarır. Enerji, su temini veya sağlık alanında bir işletmeciyle çalışıyorsanız, bu gereklilikleri kanunla değil sözleşmeyle bekleyin.
Referanslarımızdan bazıları
Karadağ ve bölgede 400’ü aşkın kuruluş uygulamayı bizimle birlikte tamamladı — bankalardan ve kamu kurumlarından üretime, BT’ye, laboratuvarlara ve konaklamaya kadar.
Bunlar müşterilerimizden sadece bazıları. Hakkımızda daha fazlası →
Talep gönderin — ölçütleri birlikte geçelim
Bu özel bir alan ve bir anketle çözülmez. Faaliyetinizi, sunduğunuz temel hizmeti ve size bildirim gelip gelmediğini yazın — sizi neyin beklediğini, neyi yapabileceğimizi ve neyin başkaları üzerinden gitmesi gerektiğini somut olarak söyleyelim. Bizi arayın veya talep gönderin — 24 saat içinde yanıtlıyoruz.