NIS2 · Bilgi ve BT · Karadağ
NIS2 ve Bilgi Güvenliği Kanunu
Karadağ, NIS2'yi Aralık 2024'te mevzuatına aktardı. Kilit kuruluşlar MEST ISO/IEC 27001 sertifikasına sahip olmalıdır — süre Haziran 2027. Kimlerin kapsandığını, hangi sürelerin işlediğini ve NIS2 ile NIST'in neden aynı şey olmadığını burada bulabilirsiniz.
NIS2 mi NIST mi — aynı şey değil
Bu iki ad birbirine benzediği için sürekli karıştırılır, ama tamamen farklı iki şeydir. Avrupa Birliği'nde artık zorunlu olanın adı NIS2'dir.
- NIS2 — (AB) 2022/2555 sayılı Direktif. Her üye devletin ulusal mevzuatına aktardığı bir Avrupa kanunu. Gönüllü değildir: denetim, olay bildirme yükümlülükleri ve yaptırımlar getirir. Aktarım süresi 17 Ekim 2024'tü ve 2026 boyunca AB genelinde denetim otoriteleri halihazırda aktif olarak para cezası uyguluyor.
- NIST — ABD Ulusal Standartlar ve Teknoloji Enstitüsü. Enstitünün Cybersecurity Framework 2.0 belgesi bir mevzuat değil, gönüllü bir çerçevedir. NIST sertifikası düzenleyen bir kuruluş ve geçilecek ya da kalınacak bir denetim yoktur.
Pratik olarak: Avrupa'da bir müşteri, banka veya düzenleyici size bir şey soruyorsa NIS2 ve ISO 27001'i soruyordur. NIST, ABD'li bir ortakla çalıştığınızda gündeme gelir — bununla ilgili ayrıntılar aşağıda.
Karadağ mevzuatı ne gerektiriyor
Karadağ Meclisi Bilgi Güvenliği Kanunu'nu 19 Kasım 2024'te kabul etti ve kanun 5 Aralık 2024'ten beri yürürlüktedir. Kanun, (AB) 2022/2555 sayılı Direktifle, yani NIS2 ile uyumludur.
Kanun, yükümlü kuruluşları kilit ve önemli kuruluşlar olarak ayırır. Kilit kuruluşlar için yükümlülük belirsiz bir şekilde "güvenlik önlemleri uygulayın" diye tarif edilmez — kanun açıkça, kanunun yürürlüğe girmesinden itibaren 30 ay içinde bir MEST ISO/IEC 27001 uygunluk sertifikası ister. Bu da Haziran 2027'ye işaret eder. Sertifikaya periyodik uygunluk kontrolleri yükümlülüğü de eşlik eder.
Kilit veya önemli kuruluşlar listesinde olup olmadığınızdan emin değilseniz: listeyi, kanunda sayılan sektörlere göre ve kuruluşun büyüklüğünden bağımsız olarak Hükümet belirler; ilgili bakanlık listedeki kuruluşları bilgilendirir. Önemli kuruluşlar öngörülen önlemleri zorunlu sertifika olmadan uygular; kanun, bilgi sistemleri kullanan diğer şirketlerden de temel güvenlik önlemlerini uygulamalarını ve bunları izleyecek bir çalışan belirlemelerini ister. Bizi arayın, birlikte kontrol edelim — beş dakikalık bir soru ve yanıtı önümüzdeki iki yılın planını değiştirir.
Halihazırda işleyen süreler
- 5 Aralık 2024 — Bilgi Güvenliği Kanunu yürürlüğe girdi.
- 31 Ekim 2025 — ISO/IEC 27001:2013'ten 2022 sürümüne geçiş dönemi sona erdi. Eski sürüme göre sertifikalar bu tarihten itibaren geçerli değildir. Sertifikanızda 2013 yazıyorsa, üzerinde yazan son geçerlilik tarihinden bağımsız olarak geçerli bir sertifikanız yoktur.
- Haziran 2027 — Karadağ'daki kilit kuruluşların MEST ISO/IEC 27001 sertifikasına sahip olması gereken son tarih (kanunun yürürlüğe girmesinden itibaren 30 ay).
- devam ediyor — 2026 itibarıyla 27 AB üye devletinden 22'si NIS2'yi aktarmıştı; denetim ve yaptırımlar halihazırda uygulanıyor. İhracat yapıyor veya Avrupalı bir müşteri için çalışıyorsanız bilgi güvenliği sorusu bir müfettişten değil, onlardan gelir.
ISO 27001'in uygulanması, sistemin büyüklüğüne bağlı olarak gerçekçi olarak dört aydan bir yılı aşan bir süreye kadar sürer; bu yüzden 2027 süresi 2027'de planlanacak bir şey değildir.
Neden her şey ISO 27001'in etrafında dönüyor
Kanun yeni bir Karadağ güvenlik sistemi icat etmedi — zaten var olan uluslararası bir standarda atıf yaptı. Bu iyi bir haber: kanun için yaptığınız, Almanya'daki bir müşteri nezdinde, bir ihalede ve bir bankada da geçerlidir.
ISO/IEC 27001, mevzuatın istediği ama tarif etmediği şeyleri sağlar: bilgi varlıkları envanteri, risk değerlendirmesi, Uygulanabilirlik Beyanı (SoA), politikalar ve prosedürler, personel eğitimi, olay bildirimi ve yönetimi, iç denetim ve yönetim gözden geçirmesi. Sertifikayı bağımsız, akredite bir sertifikasyon kuruluşu düzenler — biz sizi buna hazırlıyoruz.
NIST'e gerçekten ne zaman ihtiyacınız olur
NIST Cybersecurity Framework 2.0, bu dili konuşan ABD'li bir müşteri, ana şirket veya ortakla çalıştığınızda anlam kazanır. Bu durumda sizden onlara göre sertifika almanız değil, güvenliğinizi onların kategorileriyle tarif etmeniz istenir — çünkü NIST sertifikasyonu yoktur.
İyi haber şu ki işi iki kez yapmanız gerekmez. NIST, CSF 2.0'ın ISO/IEC 27001:2022 ile resmî eşlemesini (OLIR kataloğu aracılığıyla) yayımlar; böylece kanun ve sertifika için kurduğunuz aynı sistem NIST terimlerine çevrilebilir. Eşleme tek yönlüdür ve bire bir değildir, ama işin büyük kısmını kapsar.
Tavsiyemiz her çifte gereksinimde olduğu gibidir: omurga olarak ISO 27001, ABD tarafı için sözlük olarak NIST. Tersi — NIST'e göre kurup sonra 27001 sertifikası almak — aynı işi iki kez yapmak demektir.
Gerçekte ne yapıyoruz
- Yükümlü kuruluş olup olmadığınızın kontrolü — sektör ve faaliyetlerin kısa bir analizi ve kanunun sizin için ne anlama geldiği.
- Boşluk analizi — ISO/IEC 27001:2022'ye ve kanunun gereksinimlerine göre şu anda nerede olduğunuz.
- Uygulama — riskler, SoA, dokümantasyon, personel eğitimi, iç denetim.
- Sertifikasyona hazırlık ve akredite bir sertifikasyon kuruluşuyla denetim gününde destek.
- 2013'ten 2022'ye geçiş — sertifikanız hâlâ eski sürümdeyse.
- NIST CSF 2.0 ile eşleme — bir ortak bunu istediğinde.
NIS2 ve bilgi güvenliği — sık sorulan sorular
AB'de değilken NIS2 Karadağ için geçerli mi?
Doğrudan değil — direktif üye devletleri bağlar. Ancak Karadağ, içeriğini 5 Aralık 2024'ten beri yürürlükte olan Bilgi Güvenliği Kanunu'na aktardı. Dolayısıyla yükümlülük size Karadağ mevzuatı üzerinden ulaşır. Buna ek olarak, AB'deki bir müşteri için çalışıyorsanız NIS2 kapsamında o müşteri tedarik zincirinin güvenliğini kontrol etmekle yükümlüdür — yani soru o taraftan da gelir.
NIST sertifikasına ihtiyacım var mı?
Böyle bir sertifika yoktur. NIST Cybersecurity Framework gönüllü bir çerçevedir ve ona göre sertifika düzenleyen akredite bir kuruluş yoktur. Bir ortak "NIST uyumu" isterse bu, kendi önlemlerinizin tarif edilmesiyle, çoğunlukla sertifikalandırılabilir bir standart olan ISO 27001 ile eşleme yoluyla kanıtlanır.
2019 tarihli bir ISO 27001 sertifikamız var — geçerli mi?
Standardın hangi sürümünü gösterdiğine bakın. ISO/IEC 27001:2013 yazıyorsa o sertifika artık geçerli değildir — 2022 sürümüne geçiş süresi 31 Ekim 2025'te doldu. Bu durumda geçiş bir güncelleme olarak değil, yeni bir sertifikasyon olarak yapılır.
ISO 27001'in sertifikasyona kadar uygulanması ne kadar sürer?
Küçük ve orta ölçekli kuruluşlar için süreçlerin olgunluğuna ve ekibin müsaitliğine bağlı olarak genellikle dört ila sekiz ay. Birden fazla lokasyonu olan büyük sistemlerde bir yıldan fazla. Haziran 2027 süresi nedeniyle bu, işe çok daha erken başlanması gerektiği anlamına gelir.
Kilit değil de önemli bir kuruluşsak ne olur?
Yükümlülükler daha hafiftir — odak risk yönetimi ve olay bildirimindedir, açık bir sertifika gereksinimi yoktur. Bu, sertifikanın anlamsız olduğu anlamına gelmez: çoğu kuruluş için denetimler nedeniyle değil, müşteriler ve ihaleler nedeniyle kendini amorti eder.
İlgili sayfalar
Referanslarımızdan bazıları
Karadağ ve bölgede 400’ü aşkın kuruluş uygulamayı bizimle birlikte tamamladı — bankalardan ve kamu kurumlarından üretime, BT’ye, laboratuvarlara ve konaklamaya kadar.
Bunlar müşterilerimizden sadece bazıları. Hakkımızda daha fazlası →
İhale bir standart mı istiyor?
İhale dokümantasyonundan bir bölüm gönderin — tam olarak neye ihtiyacınız olduğunu ücretsiz kontrol edelim. Bizi arayın ya da bir talep gönderin — 24 saat içinde yanıtlıyoruz.