Giriş: Kritik Ulusal Enerji Altyapısının Korunması
Enerji sektörü; elektrik üretim ve dağıtım şebekeleri, doğal gaz iletim hatları, rafineriler ve barajlar gibi kritik bileşenleriyle ulusal güvenliğin merkezinde yer alır. Bu altyapılarda meydana gelebilecek bir siber saldırı veya kesinti; sanayi üretiminin durmasına, iletişimin çökmesine, hastanelerin enerjisiz kalmasına ve telafisi imkânsız kamu zararına yol açabilir.
Bu tehditler karşısında Enerji Piyasası Düzenleme Kurumu (EPDK), enerji piyasasında faaliyet gösteren lisans sahipleri için iki katmanlı bir güvenlik mimarisi zorunlu kılmıştır:
- TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi belgesine sahip olmak,
- EPDK Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli gereksinimlerini sağlamak ve bağımsız denetimlerden geçmek.
İki Ayrı Yükümlülük: ISO 27001 Belgesi vs EPDK Yetkinlik Modeli
Enerji kuruluşlarının yaptığı en yaygın hata; ISO 27001 belgesi almanın EPDK Yetkinlik Modeli gereksinimlerini de otomatik olarak karşıladığını varsaymaktır. Bu iki mekanizma birbirinden farklıdır:
| Kriter | TS ISO/IEC 27001 Sertifikasyonu | EPDK Siber Güvenlik Yetkinlik Modeli |
|---|---|---|
| Yasal Dayanak | Elektrik, Doğal Gaz ve Petrol Lisans Yönetmelikleri | 6 Haziran 2023 / 32213 & 25 Kasım 2025 / 33088 sayılı Yönetmelik |
| Niteliği | Genel Bilgi Güvenliği Yönetim Sistemi standardı | Enerjiye özgü Endüstriyel Kontrol Sistemleri (EKS/SCADA) olgunluk modeli |
| Denetim Mercii | TÜRKAK akreditasyonlu bağımsız belgelendirme kuruluşları | EPDK tarafından yetkilendirilen bağımsız denetim ekipleri |
| Değerlendirme Çıktısı | Başarılı / Başarısız (Sertifika düzenlenir) | Seviye Bazlı Olgunluk Puanı (Temel, Orta, İleri Seviye) |
| Kapsam Odağı | Kurumsal BT + Süreçler + Operasyonel Altyapı | Doğrudan SCADA, DCS, PLC, RTU ve saha operasyonel teknolojisi (OT) |
Yönetmelik Kapsamındaki Lisans Sahipleri
EPDK Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği uyarınca aşağıdaki piyasa katılımcıları kapsama dahildir:
1. Elektrik Piyasası
- İletim Lisansı Sahibi (TEİAŞ)
- Piyasa İşletim Lisansı Sahibi (EPİAŞ)
- Dağıtım Lisansı Sahibi Şirketler (21 elektrik dağıtım bölgesi)
- EPDK tarafından belirlenen kurulu güç eşiğine (100 MW ve üzeri) sahip Üretim Lisansı sahipleri
2. Doğal Gaz Piyasası
- İletim Lisansı Sahipleri (BOTAŞ vb.)
- Şehir içi Doğal Gaz Dağıtım Lisansı Sahipleri
- Sıvılaştırılmış Doğal Gaz (LNG) İthalat, İletim ve Depolama Lisansı Sahipleri
3. Petrol Piyasası
- Rafinerici Lisansı Sahipleri
- Dağıtıcı Lisansı Sahipleri (belirli bayi sayısını aşanlar)
- İletim ve Depolama Lisansı Sahipleri
Yetkinlik Modelinin Kontrol Alanları ve Ekleri
Yönetmelik ve ilgili tebliğler uyarınca enerji kuruluşları üç seviyeli (Temel, Orta, İleri) yetkinlik kontrol eklerine tabidir:
İdari ve Organizasyonel Güvenlik
- Enerji Siber Güvenlik Yöneticisinin ve Kurumsal SOME ekibinin atanması,
- Tedarikçi ve üçüncü taraf erişim sözleşmelerinde siber güvenlik yaptırımları,
- Siber olay müdahale ve kriz tatbikatlarının yılda en az bir kez yapılması.
Ağ ve Sistem Güvenliği (OT / SCADA Segmentasyonu)
- Purdue Modeli Uyumu: Ofis bilişim ağı (IT) ile operasyonel kontrol ağı (OT) arasında endüstriyel güvenlik duvarları ve DMZ yapısı kurulması.
- Saha kontrol cihazlarına (PLC, RTU) doğrudan internet erişiminin kesin olarak engellenmesi.
- Operasyonel ağa yapılacak tüm uzaktan erişimlerin Çok Faktörlü Kimlik Doğrulama (MFA) ve zaman sınırlı atlama sunucuları (jump host) üzerinden yürütülmesi.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Enerji Yönetimi: ISO 50001:2018 Enerji Yönetim Sistemi
- Zafiyet ve Test: Penetrasyon Testi ve Zaafiyet Analizi
5. Resmî Kaynaklar ve Doğrulama Referansları
- T.C. Resmî Gazete (6 Haziran 2023 / Sayı: 32213): Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (İlk Yayım).
- T.C. Resmî Gazete (25 Kasım 2025 / Sayı: 33088): Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik.
- EPDK: Elektrik, Doğal Gaz ve Petrol Piyasalarında Lisans Yönetmelikleri.
- 6446 Sayılı Elektrik Piyasası Kanunu & 4646 Sayılı Doğal Gaz Piyasası Kanunu.
- Cumhurbaşkanlığı Dijital Dönüşüm Ofisi: Bilgi ve İletişim Güvenliği Rehberi (BİGR) Kritik Altyapılar Tedbirleri.