Guardian360
Ücretsiz denemeyi başlatınİş ortağı olun
← Tüm yazılar

Uyumluluk

Vekâleten uyumluluk ölçeklenmez

Yazan Jan Martijn Broekhof ·

Cyberbeveiligingswet 15 Ağustos 2026’da yürürlüğe girdi ve Hollanda’da yaklaşık 8.000 kuruluş için yeni yükümlülükleri resmileştirdi (Rijksoverheid, 2026). Danışmanlık piyasasının bu tarihe hazırlanması aylar aldı ve bu hazırlığın neredeyse tamamı tek bir gruba yönelikti: yeni yasa kapsamında artık doğrudan yükümlü olan temel ve önemli kuruluşlar. Danışmanlar, bu kuruluşların özen yükümlülüğü önlemlerini haritalandırmasına, NCSC’ye kayıt olmasına ve yönetişimlerini düzene sokmasına yardımcı olmakla dolu bir ajandaya sahipti.

İhtiyatlı bir tahminle, bu 8.000 kuruluşun her birinin en az yirmi tedarikçiye dayandığını varsayarsak, kendileri doğrudan düzenlenmediği halde bu yasa nedeniyle artık bir uyumluluk sorusuyla karşı karşıya kalan işletmelerin sayısı halihazırda rahatlıkla 100.000’in üzerine çıkıyor.

NFIR, tam da bu danışmanlık çalışmasını yaparken başka bir şey fark etti. Bu görüşmelerin içinde, tekrar tekrar, aynı boşluk ortaya çıkıyordu: yükümlü kuruluşun kendisi genellikle makul durumdaydı, çoğu zaman zaten ISO 27001 sertifikalıydı ya da buna yaklaşmıştı, ancak tedarikçileri değildi. Bu tedarikçilerin gösterebilecekleri bir sertifikaları, güvenlik duruşlarını ortaya koyabilecekleri ortak bir yöntemleri ve aynı anda birden fazla müşteriden gelen kutularına düşmek üzere olan uyumluluk sorusuna nasıl yanıt verecekleri konusunda hiçbir fikirleri yoktu.

Bizway aynı sorunu diğer taraftan gördü. Kendisi de bir tedarikçi olan Bizway, tam da bu tür taleplerde bir artış fark etmeye başlamıştı: müşteriler, bazen resmi olarak bazen de bir hesap değerlendirmesinde sonradan akla gelen bir düşünce olarak, Bizway’in NIS2 ile ilgili beklentileri karşıladığını nasıl kanıtlayabileceğini soruyordu. İki kuruluş, iki bakış açısı, aynı gözlem: bu yasanın baskısı hiçbir zaman doğrudan düzenlenen 8.000 şirketle sınırlı kalmayacaktı. Her zaman bir kat daha aşağıya, onlara tedarik sağlayan kişilerin üzerine düşecekti.

Müşteriniz neden aniden sizden bir uyumluluk beyanı istiyor?

Bu bir tesadüf değil ve aşırı hevesli bir hesap yönetimi de değil. NIS2 Direktifi’nin 21. Maddesi, temel ve önemli kuruluşların tedarik zincirlerinin güvenliğini, doğrudan tedarikçileriyle olan ilişkilerinin güvenlikle ilgili yönleri dahil olmak üzere yönetmesini gerektirir (ENISA, 2023). Uygulamada, bu yükümlülük düzenlenen kuruluşun içinde kalamaz. Aşağıya, sözleşmelere, katılım kontrol listelerine ve en görünür şekilde, kuruluşun bağımlı olduğu her tedarikçiye yöneltilen bir uyumluluk sorusuna aktarılmak zorundadır.

ENISA’nın 2023’te yayınlanan ve bu mekanizmaya ilişkin hâlâ en çok atıf yapılan AB referansı olan tedarik zinciri siber güvenliği analizi, tedarik zinciri ihlallerinin 2020’de izinsiz girişlerin yüzde 1’inin altındayken 2021’e gelindiğinde yüzde 17’ye yükseldiğini ortaya koydu. İncelediği olayların yüzde 66’sında, etkilenen tedarikçi nasıl ihlal edildiğini bilmiyordu ya da buna bağımlı olan müşteriye şeffaf bir şekilde açıklayamıyordu. Cyberbeveiligingswet’in kapatmak için tasarlandığı boşluk tam da budur ve düzenlenen bir kuruluşun artık tedarikçilerinden, güvene dayanmak yerine çalışmalarını göstermelerini istemek için her türlü teşvike sahip olmasının nedeni tam da budur.

Sertifika bariz cevap değil mi?

Düzenli cevap, her tedarikçinin ISO 27001 sertifikası alıp meseleyi kapatması olurdu. Bir avuç daha büyük tedarikçi için bu mantıklı bir yoldur ve bazıları bunu zaten yapıyor. Çoğu için ise gerçekçi değil ve muhtemelen gerekli de değil. Sertifika pahalıdır, elde edilmesi aylar sürer ve belirli bir büyüklük ve olgunluktaki kuruluşlar için tasarlanmıştır. Müşterilerinin NIS2 uyumluluğuna anlamlı hiçbir risk oluşturmayan pek çok tedarikçiden, örtük olarak, risk oluşturuyormuş gibi davranmaları isteniyor.

Bu tedarikçilerin gerçekte ihtiyaç duyduğu şey bir sertifika değil. Kendilerine sorulan soruya, güven verici bir e-postadan daha sağlam bir şeyle desteklenen, inandırıcı ve kanıta dayalı bir yanıt verme yoludur.

Bir tedarikçiye aynı soru elli kez sorulduğunda ne olur?

Sorun burada katlanır. Bir tedarikçiye bu soruyu genellikle tek bir müşteri sormaz; her biri biraz farklı bir formla, farklı bir son teslim tarihiyle ve farklı bir beklenen yanıtlar dizisiyle birkaç müşteri sorar. ISACA’nın Mayıs 2026 tarihli sektör analizi bunu doğrudan, anket yorgunluğundan bağlamsal, kanıta dayalı güvenceye doğru bir geçiş olarak tanımlıyor ve eski usul, tek seferlik anketlerin, her müşteri bağımsız olarak sormaya başladığında basitçe ölçeklenmediğini belirtiyor (ISACA, 2026). Bunu orta ölçekli bir tedarikçinin hizmet verdiği müşteri sayısıyla çarpın ve tedarikçi, aslında güvenliğini iyileştirmekten çok form doldurmaya vakit harcar hale gelir.

Bu, herhangi bir tedarikçinin özenindeki bir başarısızlık değildir. Ara sıra gelen sorular için kurulmuş, ancak şimdi herkes tarafından aynı anda sürekli olarak sorulan bir modelin yapısal başarısızlığıdır.

Her müşteriden özel bir anket daha kapsamlı olmaz mıydı?

Mevcut yaklaşım için gerçek bir argüman var. Kendi anketini hazırlayan bir müşteri, bunu o tedarikçinin kendisi için temsil ettiği riske tam olarak uyarlayabilir: hassas veri işleyen bir tedarikçiye, internete bağlı bir kart okuyuculu ofis mobilyası tedarik edenden farklı sorular sorulur. Özel anketler ayrıca sahiplenmeyi ve hesap verebilirliği tam olarak NIS2’nin koyduğu yerde, yani hiç kimsenin gözden geçirmediği ortak bir şablonda değil, düzenlenen kuruluşun kendisinde tutar.

Sorun şu ki bu kapsamlılık yalnızca küçük ölçekte işe yarar. Bir kuruluş onlarca ya da yüzlerce tedarikçiyi değerlendirmek zorunda kaldığında ve bu tedarikçilerin her biri aynı talebi paralel olarak birkaç müşteriden karşıladığında, özel, elle yürütülen bir süreç hacimle birlikte daha doğru hale gelmez. Daha yavaş, daha tutarsız ve sırf birinin masasından kaldırmak için yüzeysel yanıtlanma olasılığı daha yüksek hale gelir. Tamamlanmanın pahasına satın alınan hassasiyetin kimseye pek faydası yoktur.

“Çalışmanızı göstermek” gerçekte nasıl görünür?

Bu, Lighthouse’un NFIR ve Bizway ile birlikte geliştirilen yeni uyumluluk anketleri özelliğinin hedeflediği sorundur. Bir kuruluşa, müşterisinin temel mi yoksa önemli bir kuruluş mu olduğuna göre ölçeklendirilmiş varyantlarda standart NIS2/Cbw anketleri sunar, böylece bir tedarikçi maksimalist bir en kötü senaryo yerine fiili yükümlülükle orantılı bir şeyi tamamlayabilir. Yanıtlar evet ya da hayıra indirgenmez; her biri bir kanıt, bir açıklama ya da bir şey hâlâ devam ediyorsa beklenen bir tarih taşır ve her yanıt bir denetim izi ile zaman damgalıdır.

Daha yararlı olan değişim, ilk yanıttan sonra olan şeydir. Bir tedarikçi bir kez yanıt verebilir, kanıtı ekleyebilir ve farklı bir müşteri aynı soruyu sorduğunda, her seferinde boş bir formdan başlamak yerine o tasdikli kanıtı yeniden kullanabilir. Daha da iyisi, bir tedarikçinin talebi beklemesi hiç gerekmez: aynı tamamlanmış anket, soru daha ortaya çıkmadan önce onu önleyerek, aynı anda her müşteriyle proaktif olarak paylaşılabilir.

Müşteri tarafı için ise bir kuruluş, bağımlı olduğu tedarikçileri kaydedebilir, her birine kendi adına uygun anketi gönderebilir ve tüm zincirin nerede durduğuna dair canlı bir görünüm elde edebilir; bir sonraki döngüde yeniden değerlendirme tek bir tıklama uzaktadır. Anketler, Guardian360 partnerleri ve müşterileri için ek bir maliyet olmadan dahildir, dolayısıyla bunu bir sonraki çeyreğe bırakmanın nedeni bütçe değildir. Guardian360 bunun bir sertifikasyon değil, bir hazırlık aracı olduğunu açıkça belirtir: resmi bir denetimin ya da uygunluk değerlendirmesinin yerini almaz ve almayı da iddia etmez. Yerini aldığı şey, kimsenin karşılaştırmaya vakti olmayan elli ayrı elektronik tablodur.

Mesele hiçbir zaman 8.000 değildi

Bunun nereden başladığına geri dönmekte fayda var. NIS2 ve onu iç hukuka aktaran Cyberbeveiligingswet, hiçbir zaman gerçekten 8.000 kuruluşu tek başına güçlendirmekle ilgili değildi. 21. Madde’nin tedarik zinciri gerekliliğinin tüm mantığı, düzenlenen bir kuruluşun güvenliğinin ancak altındaki tedarikçiler kadar iyi olduğudur. Yasayı, kapsamında adı geçen şirketler için bir uyumluluk alıştırması olarak ele alın, o zaman asıl hedef, yani 100.000’in çok üzerinde işletmeden oluşan bir tedarik zincirinin tamamında güvenlik tabanını yükseltmek, o kapsamın dışındaki ilk halkada sessizce başarısız olur.

NFIR bunu danışmanlık koltuğundan fark etti; kuruluş üstüne kuruluşun kendi evini düzene sokmasını, tedarikçilerinin ise başvuracak hiçbir yerinin olmamasını izleyerek. Bizway bunu alıcı uçtan fark etti; aynı soruyu her seferinde daha sık ve daha az sabırla yanıtlayarak. İki gözlem aynı sonuca işaret ediyor: vekâleten uyumluluk, yani birer birer bir müşteri, bir anket, bir tedarikçi, NIS2’nin çözmek için yazıldığı sorunun büyüklüğüne ölçeklenmez. 8.000’in altındaki kat için inşa etmek bir yan proje değildir. Yasanın asıl noktasına, sertifikasyon yarışının olduğundan daha yakındır.

Kaynaklar