Madde 25 — Yedek merkez, yedek sistemler ve iş sürekliliği planı
MADDE 25 – (1) Sistem işleticisi, faaliyetlerinin kesintisiz devam etmesini sağlamak amacıyla yedek sistemler kurmak ve bunları dönemsel olarak test etmek zorundadır. Yedek sistemlerin tasarımının, acil ve beklenmedik durumlar karşısında birincil sistemlerde yaşanabilecek sorunların yedek sistemlerde de yaşanmasını engelleyecek şekilde yapılmasına özen gösterilir.
(2) Sistem işleticisi, acil ve beklenmedik durumlar sonucunda sistemde bulunan verilerin kaybının önlenmesi amacıyla veri yedekleme merkezi oluşturmakla yükümlüdür. Veri yedekleme merkezi, veriye yetkisiz erişim riskleri dikkate alınarak tasarlanır ve asgari olarak birincil sistemlerle aynı seviyede güvenlik özellikleri içerir.
(3) Sistem işleticisi, acil ve beklenmedik durumların ortaya çıkması nedeniyle birincil merkezin kullanılamaz hale gelmesi durumunda faaliyetlerinin kesintisiz devam etmesini sağlamak amacıyla birincil merkezden farklı bir yerde yedek bir merkez oluşturur, bu durumlarda görev alacak acil durum personelini ve bunların görevlerini belirler ve acil durum personelinin bu merkezde çalışabilmesi için gerekli önlemleri alır. Yedek merkezin, acil durum personelinin yedek sistemleri ve veri yedekleme merkezlerini etkin bir şekilde kullanabilmesini sağlayacak şekilde tasarlanması şarttır.
(4) Yedek merkez, yedek sistemler ve veri yedekleme merkezi yurt içinde bulunmak zorundadır. Yedek merkezin, yedek sistemlerin ve veri yedekleme merkezinin yeri, acil ve beklenmedik durumların, yedekleri birincil sistem ve merkezlerle aynı anda ve oranda etkilemesini engelleyecek şekilde belirlenir.
(5) Sistem işleticisi, sistemin kesintisiz işlemesini olumsuz etkileyebilecek acil ve beklenmedik durumlara ilişkin senaryolar ile bu senaryoların gerçekleşmesi nedeniyle sistemde yaşanabilecek kesintilerin, makul bir süre içinde ve veri kaybı olmaksızın giderilmesine ilişkin hususları da içerecek iş sürekliliği planını oluşturmak ve düzenli olarak test etmek zorundadır.
(6) İş sürekliliği planı oluşturulurken acil ve beklenmedik durumların ortaya çıkması durumunda ağ ve iletişim altyapısı, birincil ve yedek sistemler, personel dahil olmak üzere kritik kaynaklar, kritik operasyonlar, katılımcılarca yapılması gerekenler ve dış hizmet sağlayıcı kullanımı gibi sistemin işletimi ile yakından ilgili hususlar konusunda yapılması gerekenler belirlenir.
(7) Acil ve beklenmedik durumlar ortaya çıktığında mümkün olan en kısa süre içerisinde bu durumdan ve olayların boyutundan haberdar olunması ile etkilenen katılımcıların ve hasarın boyutunun tespit edilmesini sağlayacak mekanizmaların oluşturulması iş sürekliliği planının ayrılmaz bir parçasını oluşturur.
(8) İş sürekliliği planı yazılı olarak hazırlanır ve ilgili kısımları katılımcılarla paylaşılır.
(9) Sistem işleticisi, sistem katılımcısı tarafından iş sürekliliği planı kapsamında yapılması gerekenleri yazılı olarak katılımcılarla paylaşır. Sistem katılımcısı, sistem işleticisi tarafından bu fıkra uyarınca kendisine bildirilen hususları yerine getirmekle yükümlüdür.
(10) Yedek merkez, yedek sistem veya veri yedekleme merkezi ile ilgili olarak dış hizmet sağlayıcı kuruluş kullanılması durumunda sistem işleticisi, iş sürekliliği planına ilişkin yapılan testlere bu kuruluşları dahil etmek zorundadır.
Acil durum iletişim yetkilisi