AB, bir sonraki büyük siber saldırıyı yayılmadan önce tespit etmek amacıyla bir erken uyarı sistemi kurdu. Ancak aradan yaklaşık 20 ay geçmesine rağmen sistem hâlâ devreye alınmadı.
Brüksel, Avrupa'yı siber saldırılara karşı korumak için 1,4 milyar euro kaynak ayırdı. Ancak AB'nin kendi denetçilerine göre, bu paranın düşman devletlerin etkisine açık kuruluşlara ulaşıp ulaşmadığını yeterince denetleyen bir mekanizma bulunmuyor.
REKLAM
REKLAM
Uyarı, Avrupa Sayıştayının (ECA) pazartesi günü yayımladığı rapordan geldi. Raporda, AB'nin 2022-2025 döneminde büyük siber güvenlik olaylarını ne kadar etkin tespit edip bunlara yanıt verdiği incelendi.
Denetçilere göre, AB'nin siber güvenlik fonlarından yararlanan kuruluşlar, bu kaynaklardan faydalanan üçüncü tarafların mülkiyet ve kontrol yapısını değerlendirmekle sorumlu. Ancak bu hibeleri denetleyen Avrupa Siber Güvenlik Yetkinlik Merkezi, söz konusu değerlendirmeleri kendisi doğrulamıyor.
Bu durum, kritik altyapıların, operasyonel verilerin ve güvenlik açısından kritik teknolojilerin çeşitli güvenlik risklerine maruz kalabileceği anlamına geliyor. Söz konusu kaynaklar, AB'nin 2021-2027 bütçesi kapsamında siber güvenlik harcamalarının ana finansman kanalı olan Dijital Avrupa Programı'ndan sağlanıyor.
Alarm sistemi hâlâ devre dışı
Denetimde ayrıca, AB'nin büyük siber saldırılar için oluşturduğu erken uyarı ağının henüz faaliyete geçmediği ortaya çıktı.
Avrupa Siber Güvenlik Alarm Sistemi'nin temelini oluşturması planlanan ATHENA ve ENSOC adlı iki merkezin, tedarik süreçlerindeki gecikmeler nedeniyle henüz çalışmaya başlamadığı belirtildi.
Denetçilere göre, alarm sisteminin faaliyete geçmesi için gerekli iş birliği anlaşmaları, ortak sınıflandırma sistemi ve teknik standartlar da henüz oluşturulmuş değil.
Denetimi yürüten Avrupa Sayıştayı üyesi George-Marius Hyzler, “AB bir siber güvenlik iş birliği çerçevesi oluşturma konusunda ilerleme kaydetti ancak sistem henüz olması gerektiği kadar etkin çalışmıyor” dedi.
Hyzler, “Ciddi bir siber olay meydana geldiğinde zamanında ve kullanılabilir bilgi hayati önem taşıyor. Bu bilgi olmadan ağlar ve mekanizmalar sağladıkları katma değerin önemli bir bölümünü kaybediyor” ifadelerini kullandı.
Bilgi paylaşımı “Aşil topuğu”
Denetçiler, AB'nin siber savunmasındaki en büyük zayıflığın yetersiz bilgi paylaşımı olduğunu belirledi ve bunu “tüm sistemin Aşil topuğu” olarak nitelendirdi.
2025'te kabul edilen Siber Plan (Cyber Blueprint), büyük siber güvenlik krizleri sırasında görev ve sorumlulukları büyük ölçüde netleştiriyor.
Ancak rapora göre, AB'nin iki ana siber ağının nasıl birlikte çalışacağı hâlâ resmî olarak belirlenmiş değil. Bu durum, ulusal siber olaylara müdahale ekiplerini bir araya getiren CSIRTs ağı ile AB'nin kriz iş birliği ağı EU-CyCLONe arasındaki koordinasyonu zorlaştırıyor.
Bazı üye ülkeler, NIS 2 Direktifi de dahil olmak üzere AB'nin güncellenmiş siber güvenlik kurallarını hâlâ ulusal mevzuatlarına aktarıyor. Bazı ülkelerdeki ulusal güvenlik yasaları ise hangi bilgilerin paylaşılabileceğine dahi kısıtlamalar getiriyor.
Denetçilere göre bu eksikliklerin tümü, AB ağlarının tehditleri erken tespit etmekte ve etkili bir ortak müdahale gerçekleştirmekte zorlanabileceği anlamına geliyor.
Yetki alanlarında çakışmalar
Raporda ayrıca siber tehditleri izlemekle görevli AB kurumları arasındaki görev çakışmalarına da dikkat çekildi.
Avrupa Komisyonunun 2022'de kurduğu ve büyük ölçüde dış hizmet sağlayıcıların desteğiyle faaliyet gösteren siber durum merkezinin, tehditleri izleyen ve AB genelinde siber güvenlik durumuna ilişkin farkındalık oluşturan Avrupa Birliği Siber Güvenlik Ajansı (ENISA) ile benzer görevler yürüttüğü tespit edildi.
Denetçilerin önerileri arasında AB siber ağları arasındaki bilgi paylaşımının geliştirilmesi, görevleri örtüşen kurumların nasıl iş birliği yapacağının netleştirilmesi, alarm sisteminin devreye alınmasının hızlandırılması ve AB fonlarından yararlanan kuruluşlara yönelik güvenlik kontrollerinin güçlendirilmesi yer aldı.
Siber güvenlik olaylarına müdahaleden esas olarak üye devletler sorumlu. Ancak olayların ciddi aksamalara veya önemli mali kayıplara yol açması ya da birden fazla ülkeyi aynı anda etkilemesi halinde, tek bir ülkenin kendi başına yönetemeyeceği durumlarda AB de önemli bir rol üstleniyor.
Alarm sistemi, Avrupa'ya yönelik büyük ölçekli siber saldırıların gerçek zamanlı takibi, tehditlerin erken tespiti ve sınır ötesi istihbarat paylaşımı için birleşik bir ağ oluşturmak amacıyla Şubat 2025'te AB Siber Dayanışma Yasası kapsamında kuruldu.
Avrupa Komisyonu, bu yılın başlarında Siber Güvenlik Yasası'nı değiştirecek yeni bir Siber Güvenlik Paketi önerdi. Paket kapsamında, yüksek riskli üçüncü ülkelerin AB'nin kritik altyapılarına erişmesini önlemek amacıyla sıkı ve risk temelli bir tedarik zinciri güvenliği çerçevesi oluşturulması planlanıyor.
Pakette ayrıca ENISA'nın bütçesinin önemli ölçüde artırılması ve AB genelindeki siber güvenlik kurallarının uygulanmasını ve yönetimini kolaylaştırmak amacıyla mevcut AB ve ulusal mevzuatın gözden geçirilmesi öneriliyor.
Eylül ayı itibarıyla Siber Dayanıklılık Yasası kapsamında donanım ve yazılım üreticileri, istismar edilmiş herhangi bir güvenlik açığını veya ciddi bir güvenlik olayını 24 saat içinde ulusal CSIRT ekiplerine ve ENISA'nın Tek Bildirim Platformu'na bildirmek zorunda. Ciddi ihlallerde para cezaları 15 milyon euroya veya şirketin küresel cirosunun yüzde 2,5'ine kadar çıkabiliyor.