NIS2 tedarikçi gereksinimleri, AB'nin NIS2 Direktifi kapsamındaki müşterilerin kendi tedarik zinciri güvenliğini sağlamak için tedarikçilerinden istediği siber güvenlik önlemleri ve kanıtlarıdır. Türkiye bir AB üye devleti olmadığından NIS2'yi iç hukukuna aktarmakla yükümlü değildir; ancak AB'ye parça, yazılım ya da hizmet satan bir Türk firması bu şartları çoğu zaman sözleşme, güvenlik anketi ve denetim yoluyla dolaylı olarak karşılamak zorunda kalır.
Kısaca
- NIS2 (AB Direktifi 2022/2555) Türkiye'de doğrudan uygulanmaz; AB'deki müşteri tedarik zinciri yükümlülüğünü sözleşme, anket ve denetimle tedarikçisine yansıtır.
- Direktifin 21'inci maddesi on risk yönetimi önlemi sayar; (d) bendi tedarik zinciri güvenliğidir ve müşteri "evet" yerine politika, kayıt ve test kanıtı ister.
- Kapsamdaki müşteri önemli bir olayda 24 saatte erken uyarı, 72 saatte olay bildirimi yapmak zorundadır; tedarikçiden daha kısa süre bekler.
- Verizon 2026 DBIR'a göre üçüncü tarafın dahil olduğu ihlaller bir yılda %60 artarak tüm ihlallerin %48'ine ulaştı.
- 2026 itibarıyla en hızlı kazanımlar: MFA, ayrık yedek ve geri yükleme testi, yazılı olay bildirim prosedürü ve üretim ağının ofisten ayrılması.
AB müşterinizden gelen güvenlik anketi nereden çıktı?
Tablo çoğu firmada aynıdır: yıllardır sorunsuz çalıştığınız Alman ya da İtalyan müşteriden onlarca soruluk bir "tedarikçi siber güvenlik değerlendirmesi" gelir. Sorular çok faktörlü kimlik doğrulamadan (MFA) yedeklemeye, olay bildirim süresinden alt yüklenicilerinize kadar uzanır ve her birine "evet" demek yetmez; politika belgesi, ekran görüntüsü ya da test kaydı istenir. Satın alma birimi de yanıtı yeni sözleşme ya da sipariş yenilemesinin ön koşulu yapar.
Tedarikçi anketlerindeki bu baskının kaynağı AB'nin 2022/2555 sayılı NIS2 Direktifi'dir. Direktif enerji, ulaştırma, sağlık gibi kritik sektörlerin yanında motorlu taşıt, makine, elektrikli ekipman, elektronik imalatını ve gıda üretimini de kapsama alır. Kapsamdaki "temel" ve "önemli" kuruluşlar yalnızca kendi ağlarından değil, doğrudan tedarikçileriyle ilişkilerinin güvenliğinden de sorumludur. Sorumluluk zincir boyunca size iner.
Burada önemli bir ayrım var: parça üreten ya da hizmet veren tipik bir Türk tedarikçi için bağlayıcı olan, NIS2'nin idari yaptırımları değil müşterinizin sözleşmesidir; yani eksiğin bedeli çoğu zaman ceza değil, kaybedilen sipariş, uzayan onay süreci ya da tedarikçi listesinden düşmektir.
NIS2'nin AB dışındaki bir firmaya doğrudan uygulandığı bir istisna da var: direktifin 26'ncı maddesi, AB'de kurulu olmadığı hâlde AB'de bulut bilişim, veri merkezi, yönetilen BT ya da yönetilen güvenlik hizmeti gibi dijital hizmetler sunan kuruluşların bir AB temsilcisi atamasını ve doğrudan kapsama girmesini öngörür. Bu tür bir hizmet veriyorsanız durumunuzu bir hukuk danışmanıyla ayrıca değerlendirin.
Genel güvenlik hazırlığınız için KOBİ siber güvenlik kontrol listesi iyi bir başlangıç noktasıdır; bu yazı ise özellikle AB müşterisinin soracaklarına odaklanır. Madalyonun öbür yüzünü, yani kendi tedarikçilerinizi nasıl denetleyeceğinizi merak ediyorsanız tedarikçi güvenlik değerlendirmesi rehberine bakın.
Tedarikçi güvenliğinde hazırlıksız yakalanmanın maliyeti nedir?
AB müşterinizin tedarikçi güvenliğinde neden bu kadar titiz davrandığını rakamlar açıklıyor. Tedarikçi kaynaklı ihlaller artık istisna değil:
Verizon'un 2026 Data Breach Investigations Report'una göre üçüncü tarafın dahil olduğu ihlaller bir önceki yıla göre %60 artarak tüm ihlallerin %48'ine ulaştı; üçüncü taraf kurumların yalnızca %23'ü bulut hesaplarındaki eksik ya da zayıf MFA sorununu tamamen giderdi. (Verizon 2026 DBIR)
NIS2 kapsamındaki müşterinin kendi riski de ağır. Avrupa Komisyonu'nun NIS2 SSS sayfasına göre idari para cezasının üst sınırı, temel kuruluşlar için en az 10 milyon avro ya da dünya genelindeki yıllık cironun %2'si, önemli kuruluşlar için en az 7 milyon avro ya da cironun %1,4'ü olarak (hangisi yüksekse) belirleniyor. Aynı kaynağa göre kapsamdaki kuruluş, önemli bir olayı fark ettikten sonra 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi yapmak zorunda. Sizin sisteminizdeki bir olayı geç haber vermeniz, müşterinizin olayı değerlendirip bu sürelere uyması için elindeki zamanı daraltır.
Tedarik zincirini tehdit eden saldırının türü de bellidir. Avrupa Birliği Siber Güvenlik Ajansı'nın ENISA Threat Landscape 2025 Threat Landscape 2025 raporuna göre AB kuruluşlarını hedef alan siber suç faaliyetlerinin %81,1'i fidye yazılımıydı. Üretim hattı fidye yazılımıyla duran bir tedarikçi, müşterinin montaj bandını da durdurur; bu yüzden anketlerde yedekleme ve kurtarma soruları hep öndedir. Bu hazırlıkta dış destek alacaksanız firmayı değerlendirme ölçütlerini siber güvenlik firması seçimi yazımızda bulabilirsiniz.
NIS2 madde 21: müşteriniz tedarikçiden tam olarak ne istiyor?
Direktifin 21'inci maddesi kapsamdaki kuruluşlardan en az on risk yönetimi önlemi ister ve (d) bendiyle tedarik zinciri güvenliğini açıkça sayar (NIS2 Direktifi, EUR-Lex). Madde 21(3) ise kuruluşların tedarik zinciri önlemlerini belirlerken her doğrudan tedarikçinin kendine özgü zafiyetlerini, ürünlerinin genel kalitesini ve güvenli geliştirme prosedürleri dahil siber güvenlik uygulamalarını dikkate almasını ister.
Müşteriniz bunu dikkate alabilmek için bilgiyi sizden toplar; sorular bu yüzden size gelir. Aşağıdaki tablo, madde 21 başlıklarının tedarikçi anketinde nasıl bir soruya ve kanıta dönüştüğünü gösterir.
| NIS2 madde 21 başlığı | Tedarikçiye sorulan tipik soru | Beklenen kanıt |
|---|---|---|
| (a) Risk analizi ve güvenlik politikaları | Yazılı bilgi güvenliği politikanız var mı, en son ne zaman gözden geçirildi? | Onaylı politika, risk kaydı |
| (b) Olay yönetimi | Bir olayı müşteriye kaç saat içinde bildirirsiniz? | Olay müdahale prosedürü, iletişim listesi |
| (c) İş sürekliliği ve yedekleme | Yedekleriniz ayrık mı, geri yükleme test ediliyor mu? | Yedekleme planı, son test tutanağı |
| (d) Tedarik zinciri güvenliği | Kendi alt yüklenicilerinizi nasıl değerlendiriyorsunuz? | Tedarikçi listesi, sözleşme maddeleri |
| (e) Güvenli edinim, geliştirme ve zafiyet yönetimi | Kritik yamaları ne kadar sürede uyguluyorsunuz? | Yama kaydı, tarama raporu |
| (f) Önlemlerin etkinliğinin değerlendirilmesi | Kontrollerinizin işlediğini nasıl ölçüyorsunuz? | İç denetim raporu, gözden geçirme kaydı |
| (g) Siber hijyen ve eğitim | Çalışanlarınız düzenli güvenlik eğitimi alıyor mu? | Eğitim katılım kayıtları |
| (h) Kriptografi | Müşteri verisi aktarımda ve depoda şifreli mi? | Yapılandırma açıklaması |
| (i) İnsan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi | Ayrılan çalışanın erişimi ne zaman kapanıyor? | Erişim prosedürü, varlık envanteri |
| (j) Çok faktörlü kimlik doğrulama | Uzak erişim ve e-postada MFA zorunlu mu? | Yapılandırma ekran görüntüsü |
Madde 21 tablosundaki soruların çoğu ISO 27001 Ek A kontrolleriyle örtüşür; belgeniz varsa yanıtların büyük kısmı hazırdır. Belge yoksa panik gerekmez; müşteri çoğu zaman belgeden önce işleyen bir kontrolün kanıtını görmek ister.
NIS2 tedarikçi hazırlığı nasıl yapılır? Türk firmaları için 7 adım
Aşağıdaki yedi adımlık NIS2 hazırlık sırası, anket geldikten sonra telaşla değil, gelmeden önce hazırlanmak için tasarlandı. Her adımın sonunda bir belge ya da kayıt kalmalı; çünkü müşteri yanıtınızı değil, kanıtınızı değerlendirir.
- Kapsamı netleştirin. Hangi AB müşterileriniz NIS2 kapsamında, sözleşmelerinde hangi güvenlik maddeleri var ve onların verisine ya da sistemlerine hangi noktadan dokunuyorsunuz? Bu haritayı çıkarmadan yapılan her yatırım dağınık kalır.
- Olay bildirim prosedürü yazın. Müşterinin 24 ve 72 saatlik yükümlülüğünü karşılayabilmesi için sizin daha kısa bir iç süre tanımlamanız gerekir. Kim fark eder, kime haber verir, müşteride kim aranır; hepsi yazılı olsun. KVKK'daki 72 saatlik ihlal bildirimi için kurduğunuz akışla aynı ekibi kullanabilirsiniz.
- Kimlik ve erişimi sıkılaştırın. E-posta, VPN ve bulut yönetim panellerinde iki adımlı doğrulamayı zorunlu yapın. İşten ayrılan çalışanın ve eski tedarikçinin hesaplarının kapandığını belgeleyin. E-posta ve dosya paylaşımını Smart360 çatısı altında SmartMail ve SmartFiles ile yürütüyorsanız ayrılan çalışanın erişimi tüm ürünlerde tek işlemle kapanır ve açık oturumlar cihaz bilgisiyle listelenip uzaktan sonlandırılabilir; bu da müşteriye gösterilebilecek somut bir kanıttır.
- Yedekleme ve kurtarmayı kanıtlayın. Ayrık yedek ve düzenli geri yükleme testi anketlerde neredeyse her zaman sorulur. Test tutanağı, "yedeğimiz var" cümlesinden çok daha ikna edicidir.
- Zafiyet ve yama yönetimini kayda bağlayın. Kritik yamalar için hedef süre belirleyin ve bunu yazılı bir yama yönetimi sürecine bağlayın, uygulama tarihlerini tutun ve dışarıya açık sistemleri düzenli tarayın. Önemli müşteriler için dönemsel bir sızma testi raporu güçlü bir kanıttır.
- Üretim ağını ayırın. Fabrikadaki PLC, SCADA ve makine bilgisayarları ofis ağıyla aynı düzlemdeyse müşterinin en çekindiği senaryo budur. OT güvenliği için segmentasyon ve uzak bakım erişiminin kontrolü öncelikli olmalı.
- Kendi tedarikçilerinizi listeleyin. Madde 21(d) zincirin bir halka aşağısına da iner: BT hizmeti aldığınız firmalar, bulut sağlayıcılarınız, uzak erişimi olan makine üreticileri. Kimin neye eriştiğini ve sözleşmede hangi güvenlik maddesi olduğunu tek listede tutun.
Adımları tamamladığınızda elinizde bir "kanıt klasörü" oluşur: politika, prosedürler, test tutanakları, eğitim kayıtları ve erişim listeleri. Yeni bir anket geldiğinde yanıt süresi haftalardan günlere iner.
Sık görülen tuzaklar: NIS2 şartlarını karşılarken yapılan hatalar
NIS2 tedarikçi anketinde ilk hata, anketi yalnızca BT sorumlusuna bırakmaktır. Soruların önemli kısmı insan kaynakları, satın alma ve üretimi ilgilendirir; tek kişinin tahminle doldurduğu anket, ilk denetimde çelişki üretir. Direktif, yönetim organının siber güvenlik eğitimi almasını da ayrıca ister; müşteriniz bu yüzden yönetimin sürece dahil olup olmadığını sorabilir.
İkinci hata, her şeye "evet" demektir. Müşteri, gerçekçi bir iyileştirme planıyla gelen "kısmen" yanıtını, sonradan yanlış çıkan bir "evet"ten çok daha iyi karşılar. Üçüncü hata ise KVKK tarafını ayrı dünya saymaktır. AB müşterisinin çalışan ya da son kullanıcı verisini işliyorsanız, kişisel veri güvenliği tedbirleriniz ve KVKK uyum süreciniz aynı kanıt klasörüne girer.
Digital Bridge'de NIS2 tedarikçi hazırlığını nasıl yapıyoruz?
2013'ten bu yana Adana'dan tüm Türkiye'ye hizmet veren Digital Bridge olarak hazır bir "NIS2 paketi" satmıyoruz; işe keşifle başlıyoruz. İlk görüşmede elinizdeki müşteri anketlerini ve sözleşme maddelerini birlikte okur, madde 21 başlıklarına göre bir boşluk analizi çıkarırız. Sonuç, hangi sorunun bugün kanıtla yanıtlanabildiğini, hangisinin kısa sürede kapatılabileceğini ve hangisinin yatırım gerektirdiğini gösteren önceliklendirilmiş bir listedir.
Boşluk analizinin ardından ikinci aşamada teknik açıkları kapatırız. Siber güvenlik danışmanlığı kapsamında MFA, ağ ayrımı, yedekleme mimarisi, zafiyet taraması ve olay müdahale prosedürünü kurar; her birinin kanıtını müşterinize sunulabilir biçimde belgeleriz. Yedekleme ya da sunucu altyapısı sorunun kaynağıysa bulut geçişi ve altyapı danışmanlığı ile ayrık yedek ve kurtarma planını birlikte tasarlarız.
Digital Bridge'in Smart360 ürünlerini kullanan tedarikçiler için anket kanıtının bir kısmı hazırdır. SmartMail kurumsal e-posta kutu açma, erişim verme, ayar değiştirme gibi her anlamlı işlemi aktör, zaman ve IP adresiyle denetim kaydına yazar; SmartFiles dosya yönetiminde etkinlik geçmişi tarih, kişi, işlem ve IP adresiyle CSV olarak indirilir. Bu kayıtlar, erişim kontrolünün gerçekten işlediğini müşteriye ekran görüntüsünden daha güçlü biçimde gösterir.
Kişisel veri boyutunu ayrı tutmuyoruz. KVKK uyum danışmanlığı ile veri envanteri, erişim yetkileri ve ihlal bildirimi akışını NIS2 hazırlığıyla aynı belgelerde birleştiriyoruz; böylece iki ayrı denetim için iki ayrı dosya tutmazsınız. Başlangıç noktası olarak KOBİ siber güvenlik rehberlerimizin tamamına da göz atabilirsiniz.
Otomotiv yan sanayi bu soruların en yoğun geldiği sektör. Otomotiv yan sanayi çözümlerimizde üretim sistemlerini, müşteri portallarını ve EDI entegrasyonunu zaten birlikte ele aldığımız için, güvenlik hazırlığını hattı durdurmadan ve pilot bir alanla başlayarak planlıyoruz. Güvenliği daha geniş bir dönüşüm planının parçası görmek isterseniz yan sanayide dijital dönüşüm yazımız iyi bir çerçeve sunar.
Sonraki adım
Elinizde cevaplanmayı bekleyen bir AB müşteri anketi varsa ya da bir sonrakinin gelmesini beklemek istemiyorsanız, anketi ve sözleşmedeki güvenlik maddelerini bizimle paylaşın. Birlikte boşluk analizini çıkarır, hangi adımın önce atılacağını ve kapsamı yazılı teklifle netleştiririz. İletişim sayfamızdan bize ulaşabilirsiniz.