Avrupa Birliği Siber Güvenlik Ajansı ENISA, 4 Kasım tarihli ortak açıklamada, perakendecilere ve soğutma sistemlerini işleten kuruluşlara internete açık sistemlerin riskini azaltmak için hemen harekete geçme çağrısı yaptı. Uyarı, Avrupa’daki market soğutucularını etkileyen olayların 1 ve 2 Kasım’da yeniden görülmesinin ardından geldi. Ortak metin, ülkelerin yürüttüğü soruşturmalar ile Avrupa düzeyindeki koordinasyonu birbirinden ayırıyor.
Avrupa Komisyonunun ilgili birimi, Europol’ün Avrupa Siber Suç Merkezi, ulusal bilgisayar güvenliği olaylarına müdahale ekiplerinin ağı ve siber kriz irtibat ağı açıklamaya katıldı. Kurumlar, farklı ülkeleri etkileyen olaylar nedeniyle hızlı bilgi paylaşımına ve ortak müdahaleye ihtiyaç olduğunu belirtiyor. Öte yandan etkilenen ülkelerin yetkilileri kendi soruşturmalarını sürdürüyor ve yerel kuruluşlara yönlendirme sağlıyor.
ENISA, farklı ulusal ekiplerin yayımladığı teknik uyarıları bir ortak başvuru listesinde topluyor. Bu liste, açıklamanın genel çağrısından farklı olarak işletmelerin kendi sistemlerine uygun ulusal teknik duyurulara ulaşmasına yardımcı oluyor. Listeyi güncel tutan ajans, ulusal ekiplerin en yeni önerileri kendi resmî kanallarında yayımladığını da hatırlatıyor. Kurumlar, 4 Kasım metninde saldırganların kimliğine ilişkin kesin bir tespit açıklamadı.
Avrupa’daki önceki olaylarda mağazalar, sıcaklığı uzaktan değişen soğutuculardaki ürünleri ayırmak zorunda kalmıştı. Bu nedenle soğutma sistemi, perakendeci için hem bir ağ güvenliği konusu hem de fiziksel işleyişin parçası. Ortak uyarı, kuruluşların yalnızca soruşturmanın sonucunu beklemek yerine etkilenen sistemlere yönelik önlem almasını istiyor.
AB’nin bildirim kuralları üreticileri de kapsıyor
Açıklama, Siber Dayanıklılık Yasası’nın bildirim hükümlerine de işaret ediyor. Donanım ve yazılım üreticileri, 11 Eylül 2026’dan bu yana ağır olayları ve saldırganların fiilen kullandığı güvenlik açıklarını ortak bildirim platformu üzerinden bildirmekle yükümlü. Düzenlemenin ürün güvenliği ve yaşam döngüsü desteğine ilişkin ana yükümlülükleri ise 11 Aralık 2027’de uygulanmaya başlayacak.
Buna ek olarak NIS2 kapsamındaki kuruluşlar, operasyonlarına ilişkin siber güvenlik risklerini yönetmek ve önemli olayları kendi ülkelerindeki yetkili kuruma veya müdahale ekibine bildirmek zorunda. Dolayısıyla ortak açıklamadaki bildirim başlığı, hem ürünü üreten şirketi hem de sistemi kullanan kapsama tabi kuruluşu ilgilendirebiliyor. ENISA ve diğer kurumlar, üye ülkelerdeki soruşturmalar sürerken yeni gelişmeleri izlemeye devam edeceklerini bildirdi.
Günün Öne Çıkan Fırsatları
