Madde 9 — Siber güvenlik risk yönetimi
MADDE 9-(1) Kuruluş, riskleri yönetmek için siber güvenlik risk yönetimi sürecini yönetir, uygular ve sürdürür.
(2) Kuruluş, reaktör içeren tesisler için yılda en az bir, diğer tesisler için en az üç yılda bir olacak şekilde planlı risk değerlendirmeleri gerçekleştirir. Aşağıdaki durumlardan birinin gerçekleşmesi durumunda Kuruluş tarafından ivedilikle ilave risk değerlendirmeleri yapılır:
a) Kritik dijital varlıklarda değişiklik olması.
b) Tehdit bilgilerinde değişiklik olması.
c) Yeni zafiyetlerin tanımlanması.
(3) Siber güvenlik risk yönetimi; siber güvenlik testleri, iç denetimler, değerlendirmeler ve benzeri doğrulama faaliyetlerinden elde edilen çıktılar kullanılarak Kuruluş tarafından bütünleşik bir şekilde yürütülür.
(4) Kuruluş, siber güvenlik risk analizi ve değerlendirmesi sonucu ortaya çıkan riskleri gidermek için her bir riske uygun olarak gerekli teknik, idari ve fiziksel önlemleri planlar ve uygular.
(5) Kuruluş; dijital varlıkların zafiyetlerinin belirlenmesi, değerlendirilmesi, derecelendirilmesi, etkilerinin azaltılması veya ortadan kaldırılması ve gözetimiyle ilgili zafiyet yönetimi faaliyetlerini gerçekleştirir.
(6) Kuruluş, zafiyet yönetimi faaliyetleri kapsamında zafiyet analizi için uygun araç ve teknikleri kullanır. Zafiyet analizi için kullanılan araç ve teknikler güvenlik, emniyet ve nükleer güvence işlevlerinin yerine getirilmesini engellemez.
(7) Kuruluş, siber güvenlik zafiyetlerine ilişkin bilgileri sürekli olarak güncel tutar; ilgili yazılım ve donanım üreticileri, ulusal ve uluslararası ilgili veri tabanları ve ulusal veya uluslararası kurum ve kuruluşlardan edinilen bildirimler doğrultusunda yeni zafiyetleri düzenli olarak izler, değerlendirir ve gerekli önlemleri alır.
(8) Kuruluş, sistemlerin işleyişine yönelik zararı daha yüksek olabilecek zafiyetlerin azaltılmasına ve ortadan kaldırılmasına öncelik verir.
(9) Zafiyetleri bilinen dijital varlıklara ilişkin siber güvenlik önlemlerinin uygulanmasında değişiklik olması durumunda, bu zafiyetler yeniden değerlendirilir ve derecelendirilir.
Siber güvenlik önlemlerinin uygulanması