Gemi siber güvenliği rehberi: hangi kural hangi geminize uygulanıyor?

Bir armatöre “gemilerinizde siber güvenlik uyumu ne durumda?” diye sorduğunuzda alınan cevap genellikle tek bir şeye işaret ediyor. Oysa ortada tek bir kural yok; birbirinden kapsamı, tarihi ve bağlayıcılığı ayrı iki rejim var ve bunlar sürekli birbirine karıştırılıyor.

Birincisi klas tarafı: Uluslararası Klas Kuruluşları Birliği’nin (IACS) Birleşik Kuralları E26 ve E27. İkincisi emniyet yönetimi tarafı: IMO’nun MSC.428(98) sayılı kararı ve onun ISM Kodu ile ilişkisi. Birincisi belirli bir gemi kümesine teknik koşul getiriyor; ikincisi bütün filoya yönetimsel bir beklenti koyuyor — ve ikisi arasındaki farkı bilmeden yapılan harcama ya yanlış gemiye gidiyor ya yanlış soruyu cevaplıyor.

Bu rehber ikisini ayırıyor: hangi kural hangi geminize, hangi tarihten itibaren, ne getiriyor.

Kapsam notu. Bu bağımsız bir rehberdir; IACS, IMO veya herhangi bir klas kuruluşunun yayını değildir ve onların onayını taşımaz. Kural metinlerinin yerine geçmez. Çelişki hâlinde geçerli olan, geminizin klas kuruluşunun ve bayrak devletinin güncel dokümantasyonudur.

Önce ayrım: tarih mi, filo mu?

Karar ağacı beklenenden basit. Tek bir soruyla başlıyor: geminin inşa sözleşmesi ne zaman imzalandı?

	İnşa sözleşmesi 1 Tem 2024 öncesi	İnşa sözleşmesi 1 Tem 2024 ve sonrası
IACS E26 / E27	Zorunlu kapsamda değil	Zorunlu — klas doğrulaması teslim öncesi
IMO MSC.428(98) / ISM	Kapsamda (aşağıdaki nüansla)	Kapsamda
Pratik başlangıç noktası	Emniyet yönetim sistemi	Yeni-inşa sözleşmesi ve tedarik zinciri

Bugün suda olan filonun ezici çoğunluğu ilk sütunda. Bu, “siber güvenlik bizi ilgilendirmiyor” anlamına gelmiyor — ama ilgilendirdiği yerin klas sörveyi değil, emniyet yönetim sistemi olduğu anlamına geliyor. Bütçeyi ve dikkati yanlış sütuna koymak, sektörde en sık gördüğümüz hata.

IACS tarafı: E26 ve E27 fiilen ne istiyor?

1 Temmuz 2024’ten bu yana E26 ve E27, inşa sözleşmesi bu tarihte veya sonrasında imzalanan gemilere uygulanıyor. Kapsam 500 groston ve üzeri ticari ve açık-deniz gemileri, 12’den fazla yolcu taşıyan yolcu gemileri ve kendinden yürümeli seyyar açık-deniz üniteleri. Daha küçük ve konvansiyonel olmayan tekneler zorunlu çekirdeğin dışında tutuldu.

İki kural sorunu bilinçli olarak bölüyor.

E26 — gemi, tek bir sistem olarak. Kural gemiyi bileşenler toplamı değil kolektif bir bütün olarak ele alıyor ve asgari temeli beş işlev etrafında kuruyor: tanımlama, koruma, saldırı tespiti, yanıt ve kurtarma. Bu beşli, NIST ve IEC 62443 çerçevelerinin de dayandığı yapı — yani IACS burada denizciliğe özgü bir şey icat etmedi, kara sanayisinde oturmuş bir iskeleti gemiye uyarladı. Amaç, BT ve OT (operasyonel teknoloji) sistemlerinin tasarım, inşa, devreye alma ve işletme ömrü boyunca güvenli biçimde bütünleştirilmesi.

Pratikte bunun anlamı, “bir güvenlik duvarı aldık” cevabının artık yetmemesi. Beş işlevin her biri ayrı ayrı gösterilebilir olmak zorunda: gemide hangi sistemlerin bulunduğunun envanteri (tanımlama), ağ ayrımı ve erişim kontrolü (koruma), anormal davranışın fark edilmesi (tespit), olay hâlinde kimin ne yapacağı (yanıt) ve sistemin bilinen iyi bir hâle döndürülebilmesi (kurtarma).

E27 — tedarikçi kapısı. E27 bir kademe aşağıda çalışıyor ve üçüncü taraf tedarikçilerin sağladığı bilgisayar tabanlı sistem ve ekipmanları hedefliyor. Talep açık: güvenlik, ürün gemiye kurulmadan önce tasarıma gömülmüş olmalı. Bu, kuralın en az konuşulan ama satın alma tarafında en çok iş çıkaran kısmı.

E27’nin gerçek etkisi teknik değil sözleşmesel. Yeni-inşa için ekipman alan bir armatör artık tedarikçiden yalnız performans değil, siber dayanıklılık kanıtı da istemek zorunda — ve bunu tedarik sözleşmesine yazmadıysa, teslim aşamasında sorunu kendisi devralmış oluyor.

Asıl değişim: sorumluluk artık paylaşılıyor

E26/E27’nin en kalıcı etkisi, teknik kontrol listesinde değil hesap verebilirlik zincirinde. Siber dayanıklılık artık tek bir tarafın işi değil:

• Tersane sistemleri güvenli biçimde entegre etmek,
• Ekipman tedarikçisi E27 kapsamında güçlendirilmiş ürün sevk etmek,
• Operatör bunları çalıştırmak ve bakımını sürdürmek zorunda.

Zincirin her halkası artık gayrıresmî bir beklenti yerine belgelenmiş, denetlenebilir bir yükümlülük taşıyor. Bu da uyumsuzluğun nerede ortaya çıkacağını değiştiriyor: sorun genellikle bir kontrolün yokluğunda değil, kimin sorumlu olduğunun sözleşmede yazmamasında çıkıyor.

IMO tarafı: MSC.428(98) hakkındaki yaygın yanlış

Burada dikkatli olmak gerekiyor, çünkü sektörde en çok tekrarlanan yanlış bilgi bu başlıkta.

MSC.428(98), IMO Deniz Emniyeti Komitesi’nin 98. oturumunda 16 Haziran 2017’de kabul edildi. Kararın istediği şey, siber risklerin ISM Kodu’nda tanımlandığı biçimiyle emniyet yönetim sistemlerinde ele alınması ve bunun 1 Ocak 2021’den sonraki ilk yıllık Uygunluk Belgesi (DoC) doğrulamasından geç olmaması.

Yaygın anlatım burada duruyor ve “1 Ocak 2021’den itibaren siber güvenlik zorunlu oldu” diye özetleniyor. Metnin kendisi bundan daha yumuşak: karar, idareleri (bayrak devletlerini) bunu sağlamaya teşvik ediyor. Yani bağlayıcılık kararın kendisinden değil, bayrak devletinin bunu nasıl uyguladığından ve klas/PSC pratiğinden geliyor.

Bu nüans neden önemli? Çünkü iki farklı hataya yol açıyor. Birincisi, “zorunlu değilmiş” deyip konuyu tamamen bırakmak — oysa bayrak devletlerinin ve denetim rejimlerinin pratiği bu boşluğu fiilen doldurdu. İkincisi, kararı bir teknik standart sanmak — oysa MSC.428(98) size hangi güvenlik duvarını kuracağınızı söylemiyor; siber riski, mevcut emniyet yönetim sisteminizde ele aldığınız diğer riskler gibi ele almanızı istiyor. Talep teknik değil, yönetimsel.

Mevcut filo için: zorunlu değil, ama boşluk da değil

Sözleşmesi 1 Temmuz 2024 öncesi olan gemiler E26/E27’nin zorunlu kapsamında değil. Klas kuruluşları ve danışmanlık tarafı bu gemiler için uygulamayı güçlü biçimde tavsiye ediyor — ama tavsiye, klas koşulu değildir ve öyleymiş gibi bütçelenmemeli.

Mevcut filo sahibinin gerçekçi sırası şöyle:

1. Emniyet yönetim sistemiyle başla. Zorunluluk hattı burada. Siber riskin SMS’te nasıl ele alındığı, DoC doğrulamasında sorulabilecek bir şey.
2. Envanteri çıkar. Gemide hangi bilgisayar tabanlı sistemler var, hangileri köprüüstü/makine dairesi kritik işlevine bağlı, hangisi karayla veri alışverişi yapıyor. Bu adım hem SMS tarafının hem E26’nın ilk işlevi; ikisine birden yarıyor.
3. Uzaktan erişimi haritala. Servis sağlayıcıların, tedarikçilerin ve teknik yönetimin gemiye hangi kanallardan bağlandığı çoğu filoda yazılı değil. Yazılı olmayan erişim, yönetilemeyen erişimdir.
4. E26’nın beşlisini olgunluk ölçeği olarak kullan. Zorunlu olmasa da tanımlama–koruma–tespit–yanıt–kurtarma, mevcut gemi için de kullanışlı bir öz-değerlendirme iskeleti. Nerede durduğunuzu görmenin ucuz yolu.
5. Yeni-inşa ve büyük tadilat sözleşmelerine şimdi yaz. Bir sonraki sipariş E26/E27 kapsamına girecek. Tedarikçi yükümlülüklerini sözleşme aşamasında konumlandırmak, teslim aşamasında tartışmaktan her zaman ucuzdur.

Türk armatörü için not

Türkiye’de bu başlıkta yerli kaynak neredeyse tamamen ya klas kuruluşlarının pazarlama sayfalarından ya da satıcı bloglarından oluşuyor; ikisi de doğal olarak kendi çözümüne doğru eğimli. Bağımsız okumanın işe yaradığı yer tam burası: kuralın ne istediğini bilmeden alınan teklifi değerlendiremezsiniz.

Pratik bir uyarı da şu: koster ve küçük tonaj ağırlıklı bir filoda 500 groston eşiği, gemilerin bir kısmını zorunlu kapsamın dışında bırakıyor. Bu bir muafiyet gibi görünüyor, ama kiralayan ve denetim tarafının beklentisi klas eşiğine göre değil, işin riskine göre şekilleniyor — kapsam dışında olmak, sorulmayacak olmak anlamına gelmiyor.

Özet

• E26/E27, yalnızca inşa sözleşmesi 1 Temmuz 2024 ve sonrasında imzalanan, 500 GT üzeri gemilere uygulanır. Mevcut filo zorunlu kapsamda değildir.
• E26 gemiyi bütün olarak ele alır (tanımlama–koruma–tespit–yanıt–kurtarma); E27 tedarikçi ekipmanını hedefler ve güvenliği tasarıma gömmeyi ister.
• MSC.428(98), 2017’de kabul edildi ve siber riskin 1 Ocak 2021 sonrası ilk DoC doğrulamasına kadar emniyet yönetim sistemine girmesini öngörür — bir zorunluluk olarak değil, idarelere yapılmış bir çağrı olarak. Bağlayıcılığı bayrak devletinin uygulaması belirler.
• Mevcut filo için doğru başlangıç noktası klas değil, emniyet yönetim sistemi ve sistem envanteri.

Siber güvenlik regülasyonunda sektörün iyi bildiği örüntü tekrar ediyor: iyi bir uygulama önce beklentiye, sonra bir denetim kalemine dönüşüyor. Belgeleyemediğiniz bir kontrol, denetçi gözünde var olmayan bir kontroldür — ve bu, hangi rejime tabi olduğunuzdan bağımsız olarak doğru.