DORA (Digital Operational Resilience Act), NIS 2 (Network and Information Systems Directive 2) ve ISO 22301 (Business Continuity Management Systems) birbirinden farklı düzenlemeler ve standartlar olsalar da, her biri dijital altyapıların, organizasyonların ve iş süreçlerinin sürekliliğini sağlamaya yönelik önlemleri ve gereksinimleri içerir.
1. DORA (Digital Operational Resilience Act)
DORA, Avrupa Birliği tarafından 2022 yılında kabul edilen bir düzenlemeyle, finansal sektörde dijital operasyonel dayanıklılığı sağlamaya yönelik bir çerçeve sunmaktadır. Bu düzenleme, finansal kuruluşların dijital altyapılarını güvence altına almak, siber tehditlere karşı dayanıklı hale getirmek ve operasyonel kesintilere karşı hazırlıklı olmak için gerekli tedbirleri belirler. DORA’nın odaklandığı başlıca alanlar şunlardır:
- Dijital dayanıklılık: Finansal sektörün dijital altyapılarının, siber saldırılar ve diğer operasyonel kesintiler karşısında dayanıklı olması.
- Tedarik zinciri yönetimi: Kritik üçüncü taraf hizmet sağlayıcılarının (örneğin bulut hizmet sağlayıcıları) güvenlik ve sürekliliği.
- Testler ve tatbikatlar: Potansiyel riskleri belirlemek ve hazırlıklı olmak amacıyla düzenli testler yapılması.
2. NIS 2 (Network and Information Systems Directive 2)
NIS 2, Avrupa Birliği’nin siber güvenlik alanındaki düzenlemelerinden birisidir ve kritik altyapılara sahip organizasyonların ağ ve bilgi sistemlerinin güvenliğini sağlamayı amaçlar. NIS 2’nin amacı, Avrupa’daki siber tehditlere karşı güvenliği artırmak, özellikle kritik altyapıların ve hizmet sağlayıcılarının dayanıklılığını sağlamak ve organize siber suçlara karşı bir çerçeve oluşturmaktır. NIS 2, aşağıdaki unsurlara odaklanır:
- Siber güvenlik önlemleri: Ağ ve bilgi sistemlerinin korunması, siber saldırılara karşı savunma stratejilerinin geliştirilmesi.
- Risk yönetimi: Kriz anlarında riskleri minimize edecek eylem planlarının oluşturulması.
- Olay bildirim yükümlülüğü: Organizasyonlar, siber güvenlik olaylarını 24 saat içinde ilgili otoritelere bildirmek zorundadır.
3. ISO 22301 (Business Continuity Management Systems)
ISO 22301, bir organizasyonun operasyonel sürekliliğini sağlamak amacıyla geliştirilen bir yönetim sistemi standardıdır. Bu standart, organizasyonların afetler, krizler veya büyük kesintiler durumunda faaliyetlerini sürdürebilmeleri için gerekli hazırlıkları yapmalarını öngörür. ISO 22301, iş sürekliliği yönetim sistemi kurarak, şirketlerin çeşitli kriz durumlarına karşı dayanıklı hale gelmesini sağlar.
Başlıca bileşenler şunlardır:
- Risk analizi ve iş etki analizi: Organizasyonun kritik iş süreçlerinin ve varlıklarının belirlenmesi.
- İş sürekliliği planlaması: Olası kesintiler durumunda faaliyetlerin sürdürülebilmesi için stratejiler oluşturulması.
- Tatbikatlar ve testler: Kriz senaryoları üzerinde tatbikat yaparak, planların etkinliğini test etmek.
Ortak Paydaları Nedir?
Bu üç düzenleme ve standart, özellikle dijital sistemlerin, altyapıların ve organizasyonların sürekliliği ve güvenliği açısından benzer hedeflere yöneliktir:
- Dijital Operasyonel Dayanıklılık:
- DORA ve NIS 2, finansal kuruluşlar ve diğer kritik hizmet sağlayıcılarının dijital operasyonel dayanıklılığını artırmaya yönelik düzenlemeler sunar. Bu, ISO 22301’in iş sürekliliği yönetim sistemiyle uyumludur, çünkü her ikisi de organizasyonların kriz ve kesinti durumlarında operasyonlarını sürdürebilmesine odaklanır.
- Risk Yönetimi ve Kriz Hazırlığı:
-
- ISO 22301, kriz ve afet senaryolarına karşı iş sürekliliği planları geliştirilmesini zorunlu kılar. Aynı zamanda DORA ve NIS 2 de siber güvenlik ve dijital operasyonel kesintilere karşı hazırlıklı olmayı gerektirir. Bu bağlamda, her üçü de organizasyonların karşılaştığı riskleri tanımlama ve bu risklere karşı önleyici tedbirler alma konularında paralel bir yaklaşım sergiler.
- Sürekli Test ve İyileştirme:
-
- DORA ve NIS 2, tedarik zinciri risklerini, üçüncü taraf hizmet sağlayıcılarını ve dijital altyapıları düzenli olarak test etmeyi gerektirir. Bu, ISO 22301‘in tatbikatlar ve testlerle iş sürekliliği planlarının etkinliğini test etme gereksinimleriyle örtüşmektedir.
- Regülasyonlar ve Standartlar Arasındaki Uyumluluk:
-
- DORA ve NIS 2, Avrupa’daki yasal düzenlemelerdir ve belirli organizasyonları uyumlu hale getirmeyi hedeflerken, ISO 22301 gibi uluslararası standartlar, organizasyonların bu yasal gereksinimleri yerine getirmelerinde yardımcı olabilir.
Sonuç olarak DORA ve NIS 2, dijital altyapılara ve siber güvenliğe odaklanarak organizasyonların siber saldırılara karşı dirençli olmalarını sağlamaya çalışırken, ISO 22301 iş sürekliliği yönetimi açısından geniş bir çerçeve sunar.
Bu düzenlemeler ve standartlar, birbirini tamamlayan unsurlar olarak, organizasyonların dijital ve operasyonel kesintilere karşı dayanıklı hale gelmelerine yardımcı olur. Yani, DORA ve NIS 2’nin dijital güvenlik ve altyapı dayanıklılığı ile ilgili hükümleri, ISO 22301’in iş sürekliliği yönetim sistemi ilkeleriyle entegre bir şekilde çalışarak organizasyonel sürekliliği sağlar.
Bu bağlantılar, finansal ve kritik sektörlerde faaliyet gösteren organizasyonların, operasyonel ve siber risklerle başa çıkabilmek için kapsamlı bir yaklaşım benimsemeleri gerektiğini vurgular.
CFECERT olarak DORA ve NIS 2 Gap Analizi Hizmetlerimizin yanında Bilinçlendirme ve Uygulama eğitimleriyle kuruluşların sağlam temellerde yol almasına yardımcı olmanın yanı sıra IAS Akredite olarak ISO 22301 İş Sürekliliği Yönetim Sistemlerinde Denetim hizmeti vererek Akredite Belge sunmaktayız.
CFE Academy’nin sunduğu eğitim hizmetlerimiz için bizlere training@cfecert.co.uk adresinden ulaşabilirsiniz.
CFECERT ve CFE AUDIT Hizmetlerimiz içinse bizlere sales@cfecert.co.uk adresimizden ulaşabilirsiniz.
