ENISA 2026 raporu: AB'de ankete katılan BT hizmet sağlayıcılarının yüzde 45'i kritik patch'leri üç aydan uzun sürede uyguluyor
ENISA'nın 2026 AB siber güvenlik değerlendirmesi, ülke skorları yüksek görünse de başka kurumların sistemlerini işleten BT hizmet sağlayıcılarında patch süresinin aylara uzadığını gösteriyor. Ajans, AB'ye yönelik tehdit seviyesini "substantial" olarak koruyor.
Avrupa Birliği Siber Güvenlik Ajansı ENISA, 2026 yılı AB siber güvenlik durumu değerlendirmesini yayımladı. Help Net Security'nin 11 Kasım tarihli aktarımına göre raporun en dikkat çeken bulgusu, ankete katılan BT hizmet yönetimi sağlayıcılarının yüzde 45'inin kritik sistemlerdeki kritik patch'leri üç aydan uzun sürede uyguladığı. Aynı grupta sağlayıcıların yüzde 43'ü bir yıl boyunca hiçbir siber güvenlik değerlendirmesi yapmamış.
Bu sağlayıcılar başka kurumların sistemlerini işlettiği için, birindeki gecikmiş patch doğrudan müşterilerinin riskine dönüşüyor. ENISA, AB'ye yönelik siber tehdit seviyesini Temmuz 2026'ya kadarki iki yıllık dönem için önceki değerlendirmedeki gibi "substantial" olarak tuttu.
Ülke skorları iyi, sahadaki tablo farklı
Yenilenen AB Siber Güvenlik Endeksi'nde AB ortalaması 100 üzerinden 71,53. 27 üye devletten 22'si 60–80 arasında, ikisi 80'in üzerinde, üçü 40–60 arasında; 40'ın altında ülke yok. ENISA bu yıl çerçeveyi değiştirdiği için rakamlar 2024 baskısıyla karşılaştırılamıyor.
Tedarik zincirinde de benzer bir ayrışma var: üye devletler, temel ve önemli kuruluşların tedarik zinciri yönetimi uygulamalarında 89,91 puan alıyor. Ancak ankette kuruluşların yüzde 37'si tedarik zinciri risk yönetimini NIS2'nin uygulanması en zor gereksinimi olarak gösterdi; bankacılık dışındaki kuruluşların üçte birinden fazlası kendini büyük ölçüde hazırlıksız hissettiğini söyledi. Kuruluşlar arası bilgi paylaşımı skoru ise yalnızca 26,30.
Yapay zekâ henüz derecelendirmede yok
Rapora göre frontier AI modelleri zafiyet keşfini ucuzlatıyor ve hızlandırıyor; darboğaz artık keşiften sonraki triage, önceliklendirme, koordineli ifşa ve düzeltme adımlarına kayıyor. ENISA, bazı kritik hizmet sağlayıcılarının onay süreçleri uzun sürdüğü için otonom patch'e yönelebileceğini, bunun da kesinti ve AI üretimli patch'lerin doğrulanması gibi yeni sorunlar doğurabileceğini belirtiyor. Ajans yapay zekânın etkisini hâlâ değerlendirdiği için "substantial" derecesi bu faktörü henüz içermiyor.
Raporda alıcılar için bir not da var: 11 Eylül 2026'dan bu yana dijital ürün üreticileri, aktif istismar edilen açıkları ve ciddi olayları Cyber Resilience Act tek bildirim platformu üzerinden raporlamak zorunda. CRA, 11 Aralık 2027'de tam olarak yürürlüğe giriyor.
Ne yapılmalı?
- Sistemlerinizi işleten BT hizmet sağlayıcılarıyla yapılan sözleşmelerde kritik patch için azami süre (SLA) tanımlı mı, kontrol edin; tanımlı değilse bir sonraki yenilemede gündeme alın.
- Sağlayıcılardan yılda en az bir bağımsız güvenlik değerlendirmesi ya da denetim raporu isteyin.
- AB'de faaliyet gösteren ya da AB'ye ürün satan kurumlar, NIS2 tedarik zinciri gereksinimleri ve CRA bildirim yükümlülükleri için sorumluları şimdiden belirlesin.
- Zafiyet bildirimlerinin artacağını varsayarak triage ve önceliklendirme kapasitesini (KEV ve istismar durumuna göre sıralama) gözden geçirin.
