Enerji Sektöründe 'Siber Güvenlik' Şartları Güncellendi

EPDK tarafından yayımlanan yönetmelikle, Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli'nde bazı değişiklikler yapıldı.

Yapılan güncellemeye göre, enerji sektörü için siber güvenlik yetkinlik modeli denetimlerini gerçekleştirecek olan firma ve personelin niteliklerinde revizyon gerçekleştirildi.

Denetçi personelin, geçerli bir ISO 27001 Başdenetçi sertifikasına veya CISA sertifikasına sahip olması zorunlu kılındı. Başdenetçilerin en az 7 yıl, denetçilerin ise en az 5 yıl bilgi sistemleri denetimi, yönetimi, geliştirilmesi veya güvenliği konularında tam zamanlı mesleki deneyime sahip olması gerekecek.

Denetim ekibinde, Kritik Altyapılar Ulusal Test Yatağı Merkezi tarafından verilen EKS eğitimini tamamlayarak başarı sertifikası almış en az bir kişi bulunması şartı da eklendi.

Denetçi firmaların, son 5 yıl içerisinde ISO/IEC 27001 veya benzeri ulusal ya da uluslararası bilgi güvenliği standartları kapsamında en az 5 bilgi güvenliği denetimi gerçekleştirmiş olmaları gerekiyor.

Firmalar, bünyelerinde çalıştırdıkları başdenetçi ve denetçilerin tam zamanlı istihdam edildiğini belgeleme zorunluluğuna tabi olacak.

Bir yatırımcının hissedarı olduğu denetim firması, aynı yatırımcının bağlı olduğu yükümlü kuruluşu denetleyemeyecek.

Denetçi firmalara, yeni kurallar gereğince uyum sağlamaları için 1 Mart 2026 tarihine kadar süre verildi. Bu tarihe kadar firma yetkilendirmelerinde, eski Bilgi ve İletişim Güvenliği Denetim Rehberi kriterlerine ek olarak personelin EKS eğitimi başarı sertifikasının ya da yeni yönetmelikteki tüm niteliklerin karşılanması yeterli olacaktır.