Enerji Sektöründe ISO 27001 Bilgi Güvenliği Zorunluluğu ve EPDK Mevzuatı

Giriş: Kritik Ulusal Enerji Altyapısının Korunması

Enerji sektörü; elektrik üretim ve dağıtım şebekeleri, doğal gaz iletim hatları, rafineriler ve barajlar gibi kritik bileşenleriyle ulusal güvenliğin merkezinde yer alır. Bu altyapılarda meydana gelebilecek bir siber saldırı veya kesinti; sanayi üretiminin durmasına, iletişimin çökmesine, hastanelerin enerjisiz kalmasına ve telafisi imkânsız kamu zararına yol açabilir.

Bu tehditler karşısında Enerji Piyasası Düzenleme Kurumu (EPDK), enerji piyasasında faaliyet gösteren lisans sahipleri için iki katmanlı bir güvenlik mimarisi zorunlu kılmıştır:

1. TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi belgesine sahip olmak,
2. EPDK Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli gereksinimlerini sağlamak ve bağımsız denetimlerden geçmek.

---

İki Ayrı Yükümlülük: ISO 27001 Belgesi vs EPDK Yetkinlik Modeli

Enerji kuruluşlarının yaptığı en yaygın hata; ISO 27001 belgesi almanın EPDK Yetkinlik Modeli gereksinimlerini de otomatik olarak karşıladığını varsaymaktır. Bu iki mekanizma birbirinden farklıdır:

Kriter	TS ISO/IEC 27001 Sertifikasyonu	EPDK Siber Güvenlik Yetkinlik Modeli
Yasal Dayanak	Elektrik, Doğal Gaz ve Petrol Lisans Yönetmelikleri	6 Haziran 2023 / 32213 & 25 Kasım 2025 / 33088 sayılı Yönetmelik
Niteliği	Genel Bilgi Güvenliği Yönetim Sistemi standardı	Enerjiye özgü Endüstriyel Kontrol Sistemleri (EKS/SCADA) olgunluk modeli
Denetim Mercii	TÜRKAK akreditasyonlu bağımsız belgelendirme kuruluşları	EPDK tarafından yetkilendirilen bağımsız denetim ekipleri
Değerlendirme Çıktısı	Başarılı / Başarısız (Sertifika düzenlenir)	Seviye Bazlı Olgunluk Puanı (Temel, Orta, İleri Seviye)
Kapsam Odağı	Kurumsal BT + Süreçler + Operasyonel Altyapı	Doğrudan SCADA, DCS, PLC, RTU ve saha operasyonel teknolojisi (OT)

---

Yönetmelik Kapsamındaki Lisans Sahipleri

EPDK Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği uyarınca aşağıdaki piyasa katılımcıları kapsama dahildir:

1. Elektrik Piyasası

• İletim Lisansı Sahibi (TEİAŞ)
• Piyasa İşletim Lisansı Sahibi (EPİAŞ)
• Dağıtım Lisansı Sahibi Şirketler (21 elektrik dağıtım bölgesi)
• EPDK tarafından belirlenen kurulu güç eşiğine (100 MW ve üzeri) sahip Üretim Lisansı sahipleri

2. Doğal Gaz Piyasası

• İletim Lisansı Sahipleri (BOTAŞ vb.)
• Şehir içi Doğal Gaz Dağıtım Lisansı Sahipleri
• Sıvılaştırılmış Doğal Gaz (LNG) İthalat, İletim ve Depolama Lisansı Sahipleri

3. Petrol Piyasası

• Rafinerici Lisansı Sahipleri
• Dağıtıcı Lisansı Sahipleri (belirli bayi sayısını aşanlar)
• İletim ve Depolama Lisansı Sahipleri

---

Yetkinlik Modelinin Kontrol Alanları ve Ekleri

Yönetmelik ve ilgili tebliğler uyarınca enerji kuruluşları üç seviyeli (Temel, Orta, İleri) yetkinlik kontrol eklerine tabidir:

İdari ve Organizasyonel Güvenlik

• Enerji Siber Güvenlik Yöneticisinin ve Kurumsal SOME ekibinin atanması,
• Tedarikçi ve üçüncü taraf erişim sözleşmelerinde siber güvenlik yaptırımları,
• Siber olay müdahale ve kriz tatbikatlarının yılda en az bir kez yapılması.

Ağ ve Sistem Güvenliği (OT / SCADA Segmentasyonu)

• Purdue Modeli Uyumu: Ofis bilişim ağı (IT) ile operasyonel kontrol ağı (OT) arasında endüstriyel güvenlik duvarları ve DMZ yapısı kurulması.
• Saha kontrol cihazlarına (PLC, RTU) doğrudan internet erişiminin kesin olarak engellenmesi.
• Operasyonel ağa yapılacak tüm uzaktan erişimlerin Çok Faktörlü Kimlik Doğrulama (MFA) ve zaman sınırlı atlama sunucuları (jump host) üzerinden yürütülmesi.

---

4. Yayın Bağımlılıkları ve İç Bağlantılar

• İç Bağlantılar:
  • Hizmet: Bilgi Güvenliği Danışmanlığı
  • Enerji Yönetimi: ISO 50001:2018 Enerji Yönetim Sistemi
  • Zafiyet ve Test: Penetrasyon Testi ve Zaafiyet Analizi

---

5. Resmî Kaynaklar ve Doğrulama Referansları

• T.C. Resmî Gazete (6 Haziran 2023 / Sayı: 32213): Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (İlk Yayım).
• T.C. Resmî Gazete (25 Kasım 2025 / Sayı: 33088): Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik.
• EPDK: Elektrik, Doğal Gaz ve Petrol Piyasalarında Lisans Yönetmelikleri.
• 6446 Sayılı Elektrik Piyasası Kanunu & 4646 Sayılı Doğal Gaz Piyasası Kanunu.
• Cumhurbaşkanlığı Dijital Dönüşüm Ofisi: Bilgi ve İletişim Güvenliği Rehberi (BİGR) Kritik Altyapılar Tedbirleri.

Sık Sorulan Sorular

EPDK ISO 27001 belgesi sunulmazsa ne tür yaptırımlar uygular?

Süresi içinde geçerli akredite ISO 27001 sertifikasını EPDK'ya ibraz etmeyen lisans sahibi şirketler hakkında 6446 sayılı Elektrik Piyasası Kanunu uyarınca ağır idari para cezaları uygulanır ve lisans iptaline kadar varan idari süreçler başlatılır.

SCADA ve Endüstriyel Kontrol Sistemleri (ICS/OT) bilgi güvenliği kapsamına nasıl dahil edilir?

Klasik ofis ağları (IT) ile fabrika/santral operasyonel ağları (OT) ISA/IEC 62443 ve ISO 27001 Ek A prensipleri doğrultusunda güvenlik duvarları ve endüstriyel DMZ ile segmente edilmeli; SCADA sunucularına doğrudan internet erişimi engellenmeli ve uzaktan erişimler çok faktörlü kimlik doğrulamayla (MFA) sınırlandırılmalıdır.

EPDK lisansına sahip bir şirket sadece genel müdürlük binasını kapsama alarak belge alabilir mi?

Hayır. EPDK mevzuatı açıkça lisans konusu faaliyetin yürütüldüğü tesisleri ve üretim/iletim altyapısını işaret eder. SCADA ve şebeke yönetim sistemlerini dışarıda bırakan dar kapsamlı sertifikalar EPDK tarafından reddedilir.

Kaynaklar ve Referanslar

Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:

• [1]

  epdk.gov.tr/

  epdk.gov.trhttps://www.epdk.gov.tr/
• [2]

  resmigazete.gov.tr/

  resmigazete.gov.trhttps://www.resmigazete.gov.tr/

TOPLULUK VE GÖRÜŞLER

Yorumlar ve Değerlendirmeler

Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.

Yorum Gönder

Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.

Adınız Soyadınız *

E-posta Adresiniz (Yayımlanmaz)

Yorumunuz *

Gönderdiğiniz bilgiler Gizlilik Politikası kapsamında yalnızca moderasyon ve yanıtlama amacıyla işlenir.

Yorumu Gönder