Türkiye ilk nükleer enerji santralini devreye almaya hazırlanırken, bu tesislerin dijital altyapıların korunmasına yönelik yükümlülükler içeren “Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik” Resmi Gazetede yayımlanarak yürürlüğe girdi. Düzenleme, özellikle son yıllarda enerji altyapıları, kamu sistemleri ve kritik tesislere yönelik artan veri ihlalleri, fidye yazılımı saldırıları ve devlet destekli siber saldırıların yarattığı küresel risk iklimine yanıt niteliği taşıyor denebilir. Nükleer tesisler, bir siber saldırının yalnızca ekonomik değil, çevresel ve toplumsal sonuçlar doğurabileceği alanların başında geliyor.
Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmeliğe göre nükleer tesis işleten kuruluşlar; bu tesislerdeki tüm dijital altyapıyı, yazılımı, veri sistemlerini ve ağ bağlantılarını siber saldırılara karşı korumakla yükümlü olacak.
Yönetmeliğe göre her nükleer tesiste siber güvenlikten sorumlu bir yönetici olacak; bilgi güvenliği yönetim sistemi kurulacak; kritik dijital varlıklar sınıflandırılacak ve risk seviyelerine göre korunacak. Sistemlerdeki açıklar düzenli olarak taranacak, yeni zafiyetler ulusal ve uluslararası veri tabanları üzerinden sürekli izlenecek.
Yönetmelik ayrıca “derinliğine savunma” yaklaşımını esas alıyor. Buna göre siber güvenlik önlemleri tek bir bariyere değil; birbirini tamamlayan fiziksel, teknik ve idari katmanlara dayanacak. Bir savunma hattı aşılırsa diğer mekanizmalar devreye girecek.
Nükleer tesislerde siber kriz yönetimi
Yönetmelikle olası saldırılara karşı kriz yönetimi de yer alıyor. Kuruluşlar; siber olay müdahale planı hazırlayacak, yılda en az bir kez siber saldırı tatbikatı yapacak, güvenlik, emniyet ya da nükleer güvenceyi etkileyebilecek olayları derhal hem Nükleer Düzenleme Kurumu’na ve Siber Güvenlik Başkanlığı’na bildirecek. Siber olay raporları ise beş iş günü içinde Nükleer Düzenleme Kurumu’na sunulacak.
Düzenlemede tedarik zinciri güvenliği de ele alınıyor. Nükleer tesislere ürün veya hizmet sağlayan şirketler de siber güvenlik standartlarına tabi tutulacak. Böylece saldırganların üçüncü taraflar üzerinden sisteme sızmasının önüne geçilmesi hedefleniyor.
Siber saldırı, arıza veya afet durumunda kritik sistemlerin çalışmaya devam etmesi için ana tesisten bağımsız bir felaket kurtarma merkezi kurulacak.
Siber tehdit ikliminde kritik altyapının korunması artık ulusal güvenliğin ayrılmaz bir parçası olarak görülüyor. Kritik dijital varlıklara saldırı, yalnızca veri kaybı değil; güvenlik açısından da zincirleme riskler yaratabiliyor. Bir nükleer tesisi korumak için yalnızca kapıları değil, ağları da kilitlemek gerekiyor.
Yönetmeliğe buradan ulaşabilirsiniz.