NIS 2, REC ve DORA: Fransa'da siber kurallarda erteleme dönemi bitiyor

Fransa'da NIS 2 ve REC direktiflerinin iç hukuka aktarılması ile DORA tüzüğünün uygulanması yaklaşık iki yıl boyunca teknik bir dosya olarak görüldü. Metin duyuruldu, sonra ertelendi; Avrupa takvimi aydan aya kaydı ve konu uzmanların meselesine dönüştü. Bu erteleme dönemi şimdi kapanıyor.

Fransa Ulusal Meclisi'nin özel komisyonunda dinlenen Dijital'den sorumlu Bakan Anne Le Hénanff, tehdidin yasa koyucuyu beklemediğini vurguladı. Son aylarda ANTS ve DGFIP dahil birçok stratejik kurum saldırıdan etkilendi. Risk artık yalnızca hayati önemdeki işletmecileri değil, faaliyeti dijitale dayanan tüm kurumları, kırsaldaki bir belediyeden uluslararası bir gruba kadar kapsıyor.

"Yasa yok" gerekçesi geçerliliğini yitirdi

Birçok kurum beklemesini kesinleşmiş bir yasal çerçevenin olmamasıyla açıkladı. Ancak NIS 2, REC ve DORA'nın yönergeleri yıllardır biliniyor, Avrupa metinleri yayımlandı ve temel yükümlülükler belli. ANSSI de uyuma hazırlanmak için gereken referansların büyük bölümünü sundu. Eksik olan çoğu zaman zor kararları alma iradesiydi.

NIS 2 ya da REC'e hazırlanmak birkaç formu doldurmakla bitmez. Yönetişim, risk analizi yöntemleri, tespit kapasitesi, iş sürekliliği planları, kriz organizasyonu ve alt yüklenicilerin denetimi yeniden düşünülmelidir.

Siber güvenlik yönetim kuruluna taşınıyor

Yeni çerçevede siber güvenlik, mali yönetim, uyum ve insan kaynakları gibi yöneticilerin doğrudan sorumluluğuna giriyor. Önemli olan kâğıt üzerindeki önlemler değil, gerçek koşullarda işleyen yapı: kurumlar risklerini belirleyip yönetebildiklerini, olayları tespit edip bildirebildiklerini ve krizde faaliyetlerini hızla geri getirebildiklerini kanıtlamak zorunda. Dayanıklılık zaman, yöntem, araç, sağlam dokümantasyon ve düzenli tatbikat gerektiriyor.

Yerel yönetimler ve kamu kuruluşları ilk safta. Parlamento tartışmalarında dile getirilen kaygılar haklı: kaynakları kısıtlı, uzman personel az. Buna rağmen hassas veri tutuyor ve temel hizmetler sunuyorlar; bazen daha geniş bir ekosistemin en zayıf halkası oluyorlar. AB'nin kapsamdaki kurum sayısını önemli ölçüde genişletmesinin nedeni bu.

Risk haritaları, denetimler, onaylama süreçleri, kanıt belgeleri ve olay bildirimleri birikince elle yönetim sınırlarına dayanıyor. GDPR sürecinde de benzer şekilde tablolar yerini uyum yönetişim platformlarına bıraktı. Birçok idare ayrıca güvenlik onayı (homologasyon) için 2022-513 sayılı kararnameye de uymak zorunda.