Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik

(1) Nükleer tesislerin siber güvenliğinin sağlanmasında asıl sorumluluk Kuruluşa aittir.

(2) Nükleer tesislerin siber güvenliğinin sağlanmasına ilişkin Kurum tarafından yürütülen düzenleyici kontrol faaliyetlerinde dereceli yaklaşım esas alınır.

(3) Nükleer tesislerde siber güvenlik önlemlerinin belirlenmesinde ve uygulanmasında derinliğine savunma ilkesi esas alınır.

(4) Siber güvenlik önlemleri güvenlik, emniyet ve nükleer güvenceye yönelik sistemlerin işleyişini performans, verimlilik, güvenilirlik veya işletme açısından engellemeyecek ve destekleyecek şekilde bütüncül olarak uygulanır.

(5) Bilgi güvenliği yönetim sistemi kapsamındaki kritik dijital varlıklara ve bilgilere erişim, bilmesi gereken ilkesine göre sınırlandırılır. Kritik dijital varlıklara ve ilgili bilgilere yönelik gerçekleştirilecek faaliyetler, ilgili kişilerin görev tanımları ve yetkileri doğrultusunda yürütülür.

(1) Kuruluş, siber güvenliğin sağlanmasına ilişkin olarak;

a) Nükleer tesis ve sahanın düzenleyici kontrolden çıkarılmasına kadar nükleer tesisin ve dijital varlıkların siber saldırılara karşı korunmasını, siber saldırıların önlenmesini, tespit edilmesini, siber saldırılara müdahale edilmesini, siber saldırıların etkilerinin azaltılmasını ve siber saldırılardan etkilenen dijital varlıkların kurtarılmasını sağlayacak faaliyetleri yürütmekle,

b) Nükleer tesisteki tüm dijital varlıkların siber güvenliğinden sorumlu bir yönetici atamakla ve bunu organizasyon yapısına dâhil etmekle,

c) Siber güvenlik politikasını içeren bilgi güvenliği yönetim sistemini güncel ulusal ve uluslararası standartlara uygun olarak kurmak, uygulamak, sürdürmek ve değerlendirmekle,

ç) Bütün dijital varlıklarda siber güvenlik önlemlerini dijital varlığın güvenlik, emniyet ve nükleer güvenceye etkisini ve olası sonuçları göz önünde bulundurup dereceli yaklaşımı ve derinliğine savunmayı esas alarak uygulamakla,

d) Siber güvenlik mimarisini, derinliğine savunmayı esas alarak dijital varlıkların siber saldırılara karşı korunmasına yönelik gerekleri sağlayacak şekilde oluşturmakla,

e) Siber güvenlik önlemlerini dijital varlıkları içeren sistemlerin tasarımı aşamasında nükleer tesisin tasarımına mümkün olan en üst düzeyde dâhil etmekle,

f) Siber olaylara hazırlanmak, siber olayları tespit etmek, siber olaylara etkin bir şekilde müdahale etmek, siber olayların etkilerini azaltmak, siber olaylardan etkilenen dijital varlıkları kurtarmak, ilgili kurum veya kuruluşları siber olaylar hakkında en kısa sürede bilgilendirmek ve Kuruma rapor sunmak için siber olaylara müdahale planını oluşturmak, uygulamak ve geliştirmekle,

g) Siber güvenliğin sağlanmasına yönelik faaliyetleri gerçekleştirmek için gerekli personel yeterliğini ve yetkinliğini sağlamakla,

ğ) Siber güvenliğe ilişkin testler ve dış tetkikleri ilgili mevzuat uyarınca sertifikasyona sahip, yetkilendirilmiş veya belgelendirilmiş kuruluşlara yaptırmakla,

yükümlüdür.

(1) Kuruluş, siber güvenlik planını;

a) Nükleer santrallerde saha hazırlama izni başvurusunda sunulacak olan inşaat emniyet planı kapsamında ve inşaat izni başvurusundan itibaren dereceli yaklaşım esas alınarak her yetkilendirme başvurusunda,

b) Araştırma reaktörlerinde saha hazırlama izni başvurusunda sunulacak olan inşaat emniyet planı kapsamında ve inşaat izni başvurusunda sunulacak olan nükleer emniyet planı kapsamında,

c) (a) ve (b) bentleri kapsamı dışında kalan diğer nükleer tesislerde 17/3/2023 tarihli ve 32135 sayılı Resmî Gazete’de yayımlanan Nükleer Tesislere İlişkin Yetkilendirmeler Yönetmeliğinde yer alan ilgili yetkilendirme başvurularında sunulacak olan emniyet planları kapsamında,

Kuruma sunar.

(2) Kuruluş, siber güvenliğin uygulanmasına esas teşkil eden mevzuat ve standartlar ile DBL’de belirtilen belgeleri siber güvenlik planında belirtir.

(3) Kuruluş, siber güvenlik planının yılda en az bir kez gözden geçirilmesini ve aşağıdaki durumlardan birinin gerçekleşmesi durumunda güncellenmesini sağlar:

a) Riskin değişmesi.

b) DBL’de yer alan, nükleer tesislerde siber güvenliği ilgilendirebilecek belgelerin değişmesi.

c) Kuruluşun siber güvenliğinden sorumlu veya bağlı olduğu üst birimleri içeren organizasyon yapısının değişmesi.

ç) TET Belgesinin güncellenmesi.

(4) Kuruluş, siber güvenlik planının gözden geçirilmesi sonucunda yapılması öngörülen değişiklikler ile bunların gerekçelerini Kuruma sunar. Sunulan değişikliklerin Kurum tarafından uygun bulunması hâlinde Kuruluş değişiklikleri uygular. Siber güvenlik planında yapılan değişikliklerin Kurum tarafından uygun bulunması, Kuruluşun siber güvenliğin sağlanmasına ilişkin sorumluluklarını azaltmaz veya ortadan kaldırmaz.

(1) Kuruluş, nükleer tesisteki tüm dijital varlıkları tanımlar ve bunların olası arayüzleri de dâhil olmak üzere güvenlik, emniyet ve nükleer güvenceye ilişkin işlevlerini belirler.

(2) Kuruluş; gizlilik, bütünlük ve erişilebilirlik açısından her bir dijital varlık için güvenlik, emniyet ve nükleer güvence üzerindeki en kötü olası sonuçları belirleyerek kritiklik derecelerini atar.

(3) Kuruluş, her bir dijital varlık için uygun siber güvenlik seviyesini belirler.

(4) Kuruluş, sorumlularını dokümante ederek kritik dijital varlıkların ve bunların işlevlerini destekleyen diğer dijital varlıkların güncel envanterini tutar. Kritik dijital varlıkların envanteri asgari olarak; varlığın adı, tipi, yeri, yedekleme bilgisi, kritiklik derecesi ve varlık sorumlusu bilgilerini içerir.

(1) Kuruluş, riskleri yönetmek için siber güvenlik risk yönetimi sürecini yönetir, uygular ve sürdürür.

(2) Kuruluş, reaktör içeren tesisler için yılda en az bir, diğer tesisler için en az üç yılda bir olacak şekilde planlı risk değerlendirmeleri gerçekleştirir. Aşağıdaki durumlardan birinin gerçekleşmesi durumunda Kuruluş tarafından ivedilikle ilave risk değerlendirmeleri yapılır:

a) Kritik dijital varlıklarda değişiklik olması.

b) Tehdit bilgilerinde değişiklik olması.

c) Yeni zafiyetlerin tanımlanması.

(3) Siber güvenlik risk yönetimi; siber güvenlik testleri, iç denetimler, değerlendirmeler ve benzeri doğrulama faaliyetlerinden elde edilen çıktılar kullanılarak Kuruluş tarafından bütünleşik bir şekilde yürütülür.

(4) Kuruluş, siber güvenlik risk analizi ve değerlendirmesi sonucu ortaya çıkan riskleri gidermek için her bir riske uygun olarak gerekli teknik, idari ve fiziksel önlemleri planlar ve uygular.

(5) Kuruluş; dijital varlıkların zafiyetlerinin belirlenmesi, değerlendirilmesi, derecelendirilmesi, etkilerinin azaltılması veya ortadan kaldırılması ve gözetimiyle ilgili zafiyet yönetimi faaliyetlerini gerçekleştirir.

(6) Kuruluş, zafiyet yönetimi faaliyetleri kapsamında zafiyet analizi için uygun araç ve teknikleri kullanır. Zafiyet analizi için kullanılan araç ve teknikler güvenlik, emniyet ve nükleer güvence işlevlerinin yerine getirilmesini engellemez.

(7) Kuruluş, siber güvenlik zafiyetlerine ilişkin bilgileri sürekli olarak güncel tutar; ilgili yazılım ve donanım üreticileri, ulusal ve uluslararası ilgili veri tabanları ve ulusal veya uluslararası kurum ve kuruluşlardan edinilen bildirimler doğrultusunda yeni zafiyetleri düzenli olarak izler, değerlendirir ve gerekli önlemleri alır.

(8) Kuruluş, sistemlerin işleyişine yönelik zararı daha yüksek olabilecek zafiyetlerin azaltılmasına ve ortadan kaldırılmasına öncelik verir.

(9) Zafiyetleri bilinen dijital varlıklara ilişkin siber güvenlik önlemlerinin uygulanmasında değişiklik olması durumunda, bu zafiyetler yeniden değerlendirilir ve derecelendirilir.

(1) Kuruluş, risk yönetimi kapsamında sistemlerin kritikliklerine göre siber güvenlik seviyeleri oluşturur, her bir dijital varlığı bağlı olduğu sistemin kritiklik derecesine uygun siber güvenlik seviyesine atar ve her seviyeye uygun siber güvenlik gereklerini uygular. Kritiklik derecelerine göre siber güvenlik seviyelerine yerleştirilen dijital varlıkları, işlevlerini göz önünde bulundurarak siber güvenlik bölgelerine ayırır ve bu doğrultuda tesiste siber güvenlik mimarisini oluşturur.

(2) Kuruluş, siber güvenlik bölgeleri içerisinde yer alan kritik dijital varlıklardan herhangi biri için belirlenen en yüksek siber güvenlik seviyesindeki önlemleri uygular.

(3) Siber güvenlik önlemleri birbirini destekleyecek ve birinin etkisiz hâle gelmesi durumunda diğerlerinin işlevini etkilemeyecek şekilde belirlenir.

(4) Kuruluş, tesis içinde veya dışında paylaşılan kritik dijital varlıkların korunması için gerekli siber güvenlik önlemlerini uygular.

(5) Kuruluş, dijital varlıklar için tüm erişimleri, işlemleri, hareketleri ve sistem olaylarını eksiksiz şekilde kayıt altına alır, söz konusu kayıtlara yetkisiz erişimi ve bu kayıtlarda değişiklik yapılmasını engeller ve tüm kayıtları en az iki yıl muhafaza eder.

(6) Kuruluş, kritik dijital varlıkların kaybı ve zarar görmesi durumlarına karşın yedekleme mekanizmalarını kurar, periyodik olarak yedekleme işlemlerini gerçekleştirir ve alınan yedeklerin gizliliğini, bütünlüğünü ve erişilebilirliğini koruyucu önlemleri uygular.

(1) Kuruluş, her bir kritik dijital varlığı ve bu varlıklarla bağlantılı diğer dijital varlıkları kapsayacak şekilde konfigürasyon yönetimini geliştirir, uygular ve sürdürür.

(2) Kuruluş, kritik dijital varlıkların konfigürasyonunda yapılan değişikliklerin kritik dijital varlıkların işlevselliğine zarar vermemesini sağlar.

(3) Kuruluş, konfigürasyon yönetimine dijital varlıklara yönelik yedekleme ve kurtarma faaliyetlerini dâhil eder. Bununla birlikte Kuruluş yedek yapılandırmaları ve konfigürasyon geçmişini ilgili prosedürlerinde belirlediği süreler boyunca muhafaza eder.

(4) Kuruluş tarafından yönetilen dijital varlıkların mevcut konfigürasyonlarında yapılması planlanan herhangi bir değişikliğin uygulanmasından önce Kuruluş tarafından asgari olarak aşağıdaki eylemler gerçekleştirilir:

a) Kritik dijital varlıklarda yapılacak değişikliklerin etkisinin değerlendirmesi, doğrulanması ve belgelenmesi.

b) Kritik dijital varlıklar ve bu varlıklarla bağlantılı diğer dijital varlıklardaki değişikliklerin siber güvenliğin mevcut etkinliğini azaltmadığının, yeni bir güvenlik açığı oluşturmadığının veya siber güvenlik önlemlerinin uygulanmasında bir engel oluşturmadığının doğrulanması ve belgelenmesi, bu gereğin sağlanamadığı durumlarda telafi edici önlemlerin alınması.

c) Personel değişikliklerinin siber güvenlik önlemleri üzerindeki etkisinin değerlendirilmesi.

ç) Değişiklik taleplerinin belgelenmesi.

(5) Kuruluş, konfigürasyon yönetimine ilişkin faaliyetleri yılda en az bir kez gözden geçirir ve gerektiğinde günceller.

(1) Kuruluş, tedarikçilerin uyması zorunlu olan ve DBL’de yer alan siber güvenlik gereklerini belirler ve tedarikçiler tarafından bu gereklere uyulmasını sağlayacak tedbirleri alır.

(2) Kuruluş, siber güvenliği etkileyen mal ve hizmetlerin tedarikinin belirlenmesi, gözetimi ve yönetimi için tedarik zincirine yönelik etkin bir risk yönetimi geliştirir, uygular ve sürdürür.

(3) Kuruluş, tedarik zincirindeki tüm tedarikçilerin, malların ve hizmetlerin güvenilirliğini doğrular. Doğrulama DBL’deki ilgili belgelerde yer alan yöntemlere göre gerçekleştirilir.

(4) Kuruluş, siber güvenlik önlemlerinin uygulandığını doğrulamak için tedarikçilere yönelik gözetimin yapılmasını ve siber güvenliği etkileyen mal ve hizmetlerin doğrulanmış olmasını sağlar.

(1) Kuruluş, siber olaylara müdahale sürecinde faaliyet gösterecek iç ve dış paydaşların görev ve sorumluluklarını içeren siber olaylara müdahale planını hazırlar.

(2) Kuruluş; güvenlik, emniyet veya nükleer güvenceye zarar veren veya zarar verme olasılığı olan siber olayları ve siber tehditleri derhâl Kuruma ve Siber Güvenlik Başkanlığına bildirir. Siber olayların bildirilme şekli ve bildirileceği adresler Kurum tarafından belirlenir.

(3) Kuruluş, Kurum ve Siber Güvenlik Başkanlığı ile koordinasyon ve iş birliği içinde siber olaylara müdahale planında belirtilen müdahale eylemlerini uygular.

(4) Kuruluş, siber olaya yönelik raporu olayın tespit edilmesini takip eden beş iş günü içerisinde Kuruma sunar. Rapor aşağıdaki hususları içerir:

a) Siber olayın nedenleri ve etkileri.

b) Yürütülen müdahale faaliyetleri.

c) Olaydan çıkarılan dersler.

ç) Düzeltici ve önleyici faaliyetler ve süreleri.

(5) Kuruluş; siber olaylara müdahale planının yeterliliğini test etmek ve doğrulamak için yılda en az bir kez kritik dijital varlıkları ele alan bir senaryoyla bir siber olay tatbikatı gerçekleştirir. Bu tatbikatlar en az iki yılda bir güvenlik ve emniyete yönelik senaryolarla birleştirilerek hibrit olarak gerçekleştirilir.

(6) Kuruluş; gerçekleştirilecek siber olay tatbikatının tarihini, kapsamını ve senaryosunu içeren bilgileri “Hizmete Özel” gizlilik derecesiyle tatbikat tarihinden en az on iş günü önce Kuruma bildirir.

(7) Kuruluş; siber olay tatbikatının sonucuna ilişkin raporu “Hizmete Özel” gizlilik derecesiyle en geç on beş iş günü içinde Kuruma sunar. Rapor aşağıdaki hususları içerir:

a) Tatbikat sırasında yürütülen faaliyetler.

b) Siber olay müdahalesinde yetersiz olarak değerlendirilen hususlar.

c) Düzeltici ve önleyici faaliyetler ve süreleri.

(8) Kuruluş; felaket, arıza veya siber saldırı durumunda kritik dijital varlıkların ve elektronik haberleşme hizmetlerinin sürekliliğini ve zamanında kurtarılmasını sağlamak amacıyla, ana sistemlerin yer aldığı alandan etkilenmeyecek uzaklıkta bir felaket kurtarma merkezi kurulmasını sağlar.

(1) Kuruluş, siber güvenlik planının uygulanması için gerekli yeterlik, yetkinlik ve güvenilirliğin sağlanmasına yönelik faaliyetleri içeren personel yönetimini geliştirir, uygular ve sürdürür.

(2) Kuruluş, tesis personelinin tamamına yönelik siber güvenlik eğitim ve farkındalık programları ile siber güvenlik personeline yönelik özel eğitim programlarını yılda en az bir kez uygulanacak şekilde yürütür.

(3) Kuruluş, siber güvenliğin emniyet kültürüne entegre edilerek geliştirilmesini ve tüm organizasyonunda siber güvenliğin uygulanmasını sağlar.

(4) Kuruluş, bir personelin işlemlerinde meydana gelen hataların başka bir personel tarafından tespit edilip düzeltilmesini temin etmek amacıyla tesis organizasyonunun çeşitli bölümlerine birbirini tamamlayıcı görevler ve sorumluluklar tahsis ederek etkin bir görev dağılımı sağlar.

(5) Kuruluş, personelin yetkilerini belgeye dayalı uzmanlık seviyelerine göre belirleyip her personele yetkisi doğrultusunda sadece görevini ilgilendiren sistemlere erişim hakkını verir ve kontrolünü sağlar.

(1) Kuruluş, siber güvenlik planı uyarınca gerçekleştireceği siber güvenlik uygulamasının bir takvim yılı performansına ilişkin bilgileri, takip eden yılın şubat ayının sonuna kadar aşağıdaki hususları kapsayacak şekilde rapor hâlinde sunar:

a) Olası ve tespit edilmiş siber güvenlik zafiyetlerini azaltmak veya ortadan kaldırmak için uygulanacak ilave siber güvenlik önlemleri ile düzeltici ve önleyici faaliyetlerin listesi ve takvimi de dâhil olmak üzere siber güvenlik testleri, iç denetimler, değerlendirmeler gibi doğrulama faaliyetlerinin sonuçları.

b) Siber güvenlik eğitim ve farkındalık programlarının sonuçları, programların içeriği, eğitimi veren kişi ve kurum bilgisi.

c) Gelecek yıl için planlanan siber güvenlik eğitim ve farkındalık programları ile siber güvenlik test ve değerlendirme faaliyetleri ve siber olay tatbikatları.

(2) Kurumun raporlara ilişkin ilave bilgi ve belge talep etmesi durumunda Kuruluş, talep edilen bilgi ve belgeleri Kurum tarafından belirlenecek süre içerisinde Kuruma sunar.

(1) Kuruluş, siber güvenlik gereklerinin karşılandığından emin olmak amacıyla tedarik edilen mal ve hizmetler üzerinde fabrika kabul testleri ve saha kabul testleri de dâhil olmak üzere doğrulama ve onaylama testlerini uygular ve sürdürür.

(2) Kuruluş, periyodik olarak siber güvenlik testlerini uygular.

(1) Kuruluş, yılda en az bir kez siber güvenlik değerlendirmesi için tetkik yapar veya yaptırır. Tetkike ilişkin tarih, kapsam ve içerik tetkikin gerçekleştirilmesinden önce Kuruluş tarafından Kuruma bildirilir.

(2) Kuruluş, tetkikler sonucunda tespit edilen eksiklikleri ve bunların giderilmesine yönelik düzeltici ve önleyici faaliyet planını tetkikin bitiminden sonra on beş iş günü içerisinde Kuruma sunar.

(1) Kuruluşun bu Yönetmelik kapsamındaki faaliyetleri Kurumun denetimine tabidir. Denetime ilişkin hususlarda ilgili yönetmelikte yer alan hükümler uygulanır.

(2) İlgili mevzuat veya yetki koşullarına, Kurum kararlarına ve talimatlarına aykırı hareket edildiğinin tespit edilmesi hâlinde idari yaptırım uygulanır. İdari yaptırımlara ilişkin hususlarda ilgili yönetmelikte yer alan hükümler uygulanır.

(1) Bu Yönetmeliğin uygulanmasında öngörülmeyen durumların oluşması hâlinde, sürecin nasıl ve hangi koşullarda devam edebileceğine Kurum tarafından karar verilir.

(1) Bu Yönetmeliğin yürürlüğe girdiği tarihten önce yetkilendirilen veya yetkilendirilmek üzere Kuruma başvuruda bulunan Kuruluş, bir takvim çerçevesinde bu Yönetmelik hükümlerine uyumu sağlayacak olan eylem planını bu Yönetmeliğin yürürlük tarihinden itibaren altı ay içerisinde Kuruma sunar ve Kurumun uygun görüşü sonrasında uygular. Kuruluş tarafından gerekçelendirilmesi ve gerekçenin Kurum tarafından uygun bulunması hâlinde bu süre bir yıla kadar uzatılabilir.

(1) Bu Yönetmelik yayımı tarihinde yürürlüğe girer.

(1) Bu Yönetmelik hükümlerini Nükleer Düzenleme Kurumu Başkanı yürütür.