Nükleer tesislere siber güvenlik yükümlülüğü: NDK yönetmeliği Resmî Gazete'de yayımlandı

Nükleer Düzenleme Kurumu (NDK) tarafından hazırlanan Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik, 5 Mayıs 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girdi. Düzenleme, nükleer tesislerin inşası, işletilmesi ve devreden çıkarılması süreçlerinde siber güvenliğin sağlanmasına ilişkin usul ve esasları belirliyor. Yönetmelik, kademeli yaklaşım ve derinlemesine savunma ilkelerine dayanıyor.

Temel yükümlülükler

Yönetmelik, siber güvenlikten birincil sorumluluğu tesisi inşa eden, işleten veya devreden çıkaran kuruluşa veriyor. Öne çıkan yükümlülükler şöyle:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• Sorumlu yönetici: Tesisteki tüm dijital varlıkların siber güvenliğinden sorumlu bir yönetici atanacak ve bu görev organizasyon yapısında yer alacak.
• Risk değerlendirmesi: Reaktör içeren tesislerde yılda en az bir kez, diğer nükleer tesislerde en az üç yılda bir planlı siber güvenlik risk değerlendirmesi yapılacak. Kritik dijital varlıklarda değişiklik, yeni tehdit bilgisi veya yeni zafiyet tespiti durumunda ek değerlendirme gerekecek.
• Siber güvenlik planı: Hazırlanan plan NDK'ya sunulacak, en az yılda bir gözden geçirilecek.
• Tatbikat ve eğitim: Kritik dijital varlıkları kapsayan olay müdahale tatbikatları yılda en az bir kez, emniyet ve güvenlik senaryolarıyla birleştirilmiş hibrit tatbikatlar ise en az iki yılda bir yapılacak. Tüm personele yılda en az bir kez farkındalık eğitimi verilecek.
• Yedekleme ve felaket kurtarma: Kritik dijital varlıklar için yedekleme mekanizmaları ve ana sistemlerden yeterince uzakta bir felaket kurtarma merkezi bulunacak.

Olay bildirimi: NDK ve Siber Güvenlik Başkanlığı

Güvenliğe, emniyete veya nükleer güvenceye zarar veren ya da verebilecek siber olay ve tehditler hem NDK'ya hem de Siber Güvenlik Başkanlığı'na bildirilecek. Olayın tespitinden itibaren beş iş günü içinde ayrıntılı rapor sunulacak. Kuruluşlar ayrıca bir önceki yılın siber güvenlik faaliyetlerini her yıl şubat ayı sonuna kadar raporlayacak.

Yönetmelik yürürlüğe girdiğinde yetkilendirilmiş ya da yetki başvurusu bulunan kuruluşlar, uyum eylem planlarını altı ay içinde NDK'ya sunacak; bu süre gerekçesi uygun bulunursa bir yıla kadar uzatılabilecek. Yönetmelik kapsamındaki faaliyetler NDK denetimine tabi olacak ve aykırılıklarda idari yaptırım uygulanabilecek.

Olayların Siber Güvenlik Başkanlığı'na da bildirilmesi şartı, sektörel düzenlemelerin 7545 sayılı Siber Güvenlik Kanunu ile kurulan ulusal yapıya bağlandığını gösteriyor.

Ne yapılmalı?

• Nükleer sektörde faaliyet gösteren kuruluşlar ve tedarikçileri, kritik dijital varlık envanterini çıkararak altı aylık uyum takvimine göre plan hazırlamalı.
• OT ve endüstriyel kontrol sistemleri için olay müdahale ve bildirim süreçleri beş iş günü kuralına göre yeniden düzenlenmeli.
• Diğer kritik altyapı sektörleri de benzer gerekliliklerin kendi alanlarına yansıyabileceğini dikkate alarak hazırlık yapmalı.