Enerji ve Ulaşım Sektörleri Dahil 15 Alan İçin Önemli Olay Eşikleri Belirleniyor
Polonya Dijitalleşme Bakanlığı, Ulusal Siber Güvenlik Sistemi Kanunu kapsamında önemli bir olayın kabul edilmesine ilişkin Bakanlar Kurulu tüzük taslağı üzerinde çalışıyor. Hazırlanan taslak, enerji...
Polonya Dijitalleşme Bakanlığı, Ulusal Siber Güvenlik Sistemi Kanunu kapsamında önemli bir olayın kabul edilmesine ilişkin Bakanlar Kurulu tüzük taslağı üzerinde çalışıyor. Hazırlanan taslak, enerji ve ulaşım dahil olmak üzere toplam 15 sektör ve alt sektörü kapsarken, kritik veya önemli nitelikteki kuruluşların tespit edilen ciddi olayları ilgili sektörel CSIRT ekiplerine 72 saat içinde bildirmesini zorunlu kılıyor. Düzenleme, mevcut gerçeklikler ve Avrupa Birliği hukuku gereklilikleri doğrultusunda güncel eşiklerin belirlenmesini ve olay bildirim yükümlülüklerinin netleştirilmesini amaçlıyor.
Önemli Olay Eşiklerinin Belirlenmesi Süreci
Ulusal siber güvenlik sistemi kanununa göre kritik kuruluşların ciddi olayları sektörel açıdan yetkili CSIRT’e bildirmesi gerekiyor. Bu doğrultuda hangi olayın “ciddi” kabul edileceğinin tanımlanması zorunluluğu bulunuyor ve Dijitalleşme Bakanlığı tam olarak bu konu üzerinde çalışıyor.
Bakanlar Kurulu yasama ve program çalışmaları listesinde yer alan bilgilere göre Dijitalleşme Bakanlığı, önemli olayların kabul edilmesine ilişkin Bakanlar Kurulu tüzük taslağı üzerinde çalışmaktadır. Tasarlanan tüzük, 31 Ekim 2018 tarihli ciddi olayın kabul edilme eşiklerine ilişkin yürürlükteki Bakanlar Kurulu tüzüğünün yerini almaktadır.
Bakanlık, ciddi olay kabul eşiklerinin doğru bir şekilde belirlenmesinin bir yandan gerçekten tehlikeli olayları hesaba katması gerektiğini, diğer yandan ise bu eşiklerin kuruluşun işleyişi üzerinde çok az etkisi olan olayları kapsamaması gerektiğini belirtmektedir. Ulusal siber güvenlik sistemi kanununa göre, bireysel sektör ve alt sektörlerdeki olaylara göre önemli olay kabul eşikleri diğer hususların yanı sıra bunları dikkate almaktadır.
Ciddi Olay Tanımı ve Kuruluşların Yükümlülükleri
Ulusal siber güvenlik sistemi kanununa göre ciddi olay; kritik bir kuruluş veya önemli bir kuruluş tarafından sunulan hizmetin kalitesinde ciddi bir düşüşe veya sürekliliğinin kesilmesine neden olan veya neden olabilecek, söz konusu kuruluş için mali kayıplara yol açan ya da ciddi maddi veya maddi olmayan zarar vererek diğer gerçek kişileri, tüzel kişileri, tüzel kişiliği olmayan organizasyon birimlerini etkileyen olaydır.
Böyle bir olayın meydana gelmesi durumunda, kritik veya önemli kuruluşun, tespit edildiği andan itibaren 72 saat içinde ilgili sektörel CSIRT ekibine bildirimde bulunma zorunluluğu vardır. Dijitalleşme Bakanlığı, CSIRT ekiplerinin olaya müdahale edebilmesi ve kritik ya da önemli kuruluşa yönetiminde destek olabilmesi için ciddi olayların sektörel CSIRT’lere bildirilmesinin zorunlu olduğunu vurgulamaktadır.
Olayın bildirilmemesi durumunda ilgili kuruluşa idari para cezası uygulanması zorunluluğu ortaya çıkmaktadır.
Enerji ve Ulaşım Dahil 15 Sektörü Kapsayan Düzenleme
Metinde belirtildiği üzere tasarlanan tüzük, yürürlükteki kurallara kıyasla özellikle eşiklerin hizmetlerin güncel işleyiş gerçekliklerine ve Avrupa Birliği hukukundan kaynaklanan gerekliliklere uyarlanmasını içeren değişiklikler getirmektedir.
Bakanlık, bir olayın ciddi olarak kabul edilme eşiklerinin belirlenmesinin, belirli bir sektördeki kuruluşların, ciddi olayın ilgili sektörel CSIRT ekibine bildirilmesi yükümlülüğünün doğduğu anı tespit etmesine olanak tanıyacağını vurgulamaktadır.
Ayrıca ciddi olaylar yalnızca olayın meydana geldiği kritik veya önemli kuruluşu olumsuz etkilemekle kalmamakta, aynı zamanda söz konusu kuruluşun hizmet kullanıcılarını, toplumunu ve ekonomisini de önemli ölçüde etkilemektedir.
Tüzük taslağı, toplamda 15 sektör ve alt sektör için eşikleri belirlemektedir.
Kaynak : GazetaPrawna