Madde 37 — Rapor hazırlama yükümlülüğü

MADDE 37 – (1) Şebeke ve bilgi güvenliğine ilişkin rapor işletmeci tarafından her yıl Mart ayı sonuna kadar hazırlanır ve istenildiğinde Kuruma gönderilmek ve/veya Kurum tarafından yapılan denetimlerde ibraz edilmek üzere 5 yıl süreyle muhafaza edilir. Söz konusu rapor asgari olarak aşağıdaki hususları içerir:

a) 10 uncu madde kapsamında yapılan risk değerlendirme ve işleme metotlar ve bu metotlara göre yapılan işlemlerin ayrıntıları.

b) 11 inci madde kapsamında yapılan iş sürekliliği planları.

c) 12 nci madde kapsamında gerçekleşen bilgi güvenliği ihlal olaylarına ilişkin bilgiler.

ç) En son yapılan iç denetimler ile belgelendirme kuruluşu tarafından yapılan son denetimin sonuçları, rapor edilen bilgi güvenliği ihlalleri ve söz konusu ihlallere ilişkin yapılan faaliyetler.

d) Şebeke ve bilgi güvenliğinin sağlanmasına yönelik yapılan yatırımlar ve yatırım tutarları.

e) Şebeke ve bilgi güvenliğinin sağlanmasına yönelik istihdam edilen personel sayısı ve niteliği.

İhlallerin bildirilmesi yükümlülüğü