Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği Yayımlanmıştır

Enerji Piyasası Düzenleme Kurumu tarafından hazırlanan Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (‘Yönetmelik’) 6 Haziran 2023 tarihli ve 32213 sayılı Resmi Gazete’de yayımlanmıştır.

• Yönetmeliğin[1] amacı; enerji sektöründe kullanılan endüstriyel kontrol sistemlerinin siber güvenliğini sürekli olarak gelişen ihtiyaç ve tehditlere göre iyileştirmeye, asgari kabul edilebilir güvenlik seviyesini tanımlamaya ve bu kontrol sistemlerinin siber dayanıklılığına, yeterliliğine ve olgunluğuna ilişkin usul ve esasları düzenlemektir.
• Yönetmelik; elektrik iletim lisansı sahibi, elektrik dağıtım lisansı sahibi, geçici kabulü yapılmış ve işletmedeki kurulu gücü 100 MWe ve üzeri lisansa sahip her bir elektrik üretim tesisi sahibi, boru hattı ile iletim yapan doğal gaz iletim lisansı sahibi, sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahibi, doğal gaz depolama lisansı sahibi (LNG, yer altı), ham petrol iletim lisansı sahibi ile rafinerici lisansı sahibi tüzel kişilerden oluşan kuruluşların endüstriyel kontrol sistemlerinin güvenliğinin ve güvenilirliğinin sağlanmasına ilişkin uygulanacak hükümleri kapsamakta olup OSB dağıtım lisansı sahipleri ile OSB üretim lisansı sahipleri kapsam dışında tutulmuştur.
• Yetkinlik modeli, aşağıda listelenen düzenleme ve uyumluluk gereksinimlerini adreslemektedir:

 

1. Bilgi ve İletişim Güvenliği Rehberi
2. Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları
3. TS ISO/IEC 27001
4. TS EN ISO/IEC 27019
5. Enerji sektöründe EKS güvenlik kontrolleri

• Yetkinlik modeli, enerji alt sektörleri özelinde farklılık göstermekle birlikte genel olarak şu başlıklardan oluşmaktadır: a) Endüstriyel ağ güvenliği; b) Endüstriyel istemci ve sunucu güvenliği; c) Endüstriyel tehdit ve zafiyet yönetimi; ç) Endüstriyel siber güvenlik risk yönetimi; d) Endüstriyel varlık, değişim ve konfigürasyon yönetimi; e) Endüstriyel kimlik ve erişim yönetimi; f) Endüstriyel olay yönetimi ve süreklilik; g) Akıllı cihaz güvenliği; ğ) Endüstriyel operasyon güvenliği; h) İnsan kaynakları güvenliği; ı) Fiziksel güvenlik; i) Tedarikçi yönetimi; j) PLC güvenliği.
• Yükümlü kuruluşların zorunlu olarak gerçekleştirmeleri gereken kontrol maddeleri belirlenirken aşağıdaki tablolarda yer alan sınıflandırma kullanılacaktır:

Sektör	Asgari Seviye	Kritiklik Derecesi
Elektrik Dağıtım	Seviye 2	Yükümlü kuruluşa özel
Doğal Gaz Dağıtım	Seviye 1	Yükümlü kuruluşa özel

 

Kritiklik Derecesi	Açıklama	Asgari Seviye
A Sınıfı	İlgili sektörde kritiklik derecesi en yüksek olan yükümlü kuruluşların sınıfını ifade eder.	Seviye 3
B Sınıfı	İlgili sektörde kritiklik derecesi orta olan yükümlü kuruluşların sınıfını ifade eder.	Seviye 2
C Sınıfı	İlgili sektörde kritiklik derecesi beklenen seviyede olan yükümlü kuruluşların sınıfını ifade eder.	Seviye 1

• Yetkinlik modeli uygulama yükümlülüğü, Kurum tarafından kritiklik dereceleri belirlenip yükümlü kuruluşlara tebliğ edildiğinde başlayacaktır. Yükümlü kuruluşlar, yükümlü oldukları kontrol maddelerine hedeflenen tamamlama süresi sonunda tam uyumlu olmak zorundadırlar.
• Yükümlü kuruluşlar, öz denetim/fark analizi çalışmaları esnasında danışmanlık hizmeti almaları durumunda sektörel denetimi, danışmanlık hizmeti aldıkları firma ile gerçekleştiremeyecektir. Danışmanlık ve sektörel denetim hizmetleri, alt yüklenici kullanmak suretiyle de gerçekleştirilemeyecektir. Sektörel denetim, aynı firma ile üst üste en fazla üç kez gerçekleştirilebilecektir.
• Bu Yönetmelik ile beraber, 13/7/2017 tarihli ve 30123 sayılı Resmî Gazete’de yayımlanan Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmeliği yürürlükten kaldırılmıştır.
• Yönetmeliğin ekinde Elektrik Dağıtım Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri tablosuna yer verilmiştir.
• Elektrik dağıtım şirketleri için asgari uygulanacak kontroller Seviye 2 olarak belirlenmiştir.
• Yönetmelik Resmi Gazete’de yayım tarihi itibariyle yürürlüğe girmiştir.

Bahsi geçen Yönetmelik’in tam metnine buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr