USCG, MTSA İçin Siber Güvenlik Rehberi Yayınladı

Yeni Genelge MTSA Siber Güvenlik Kuralını Destekliyor

ABD Sahil Güvenliği (USCG), “Deniz Taşımacılığı Güvenliği Yasası (MTSA) Kapsamında Düzenlenen Kuruluşlar İçin Siber Güvenlik Mevzuatı Uygulama Rehberi” başlıklı Seyrüsefer ve Gemi Denetim Genelgesi (NVIC) 02-26’yı yayımladı. Sahil Güvenliği’ne göre genelge, MTSA kapsamında düzenlenen gemilerin, tesislerin ve Dış Kıta Sahanlığı (Outer Continental Shelf, OCS) tesislerinin sahip ve işletmecilerinin, 33 CFR Bölüm 101, Alt Bölüm F’de yer alan siber güvenlik gerekliliklerini anlamalarına ve uygulamalarına yardımcı olmak amacıyla hazırlandı.

Bu gereklilikler, 17 Ocak 2025 tarihinde Federal Register’da yayımlanan ve MTSA’ya tabi ABD bayraklı gemiler, tesisler ve Dış Kıta Sahanlığı tesislerine yönelik siber güvenlik yükümlülüklerini güncelleyen nihai kuraldan kaynaklanıyor. Söz konusu kural, Deniz Taşımacılığı Sistemi genelinde hem mevcut hem de ortaya çıkan siber güvenlik tehditlerini ele almak amacıyla; riskleri tespit etmeye, zafiyetleri azaltmaya ve olaylara müdahale ile sonrasında normale dönüşe yönelik asgari standartlar belirleyerek getirildi.

Önemli Son Tarihler ve Teslim Edilecek Belgeler

NVIC 02-26, Siber Güvenlik Görevlisi (CySO) atamalarının belgelenmesi, Siber Güvenlik Değerlendirmelerinin (CSA) yürütülmesi ve Siber Güvenlik Planlarının (CSP) geliştirilmesi için pratik adımlar ortaya koyuyor. Düzenlemeye tabi kuruluşlar bu unsurları en geç 16 Temmuz 2027 tarihine kadar tamamlayıp Sahil Güvenliği’ne sunmak zorunda. Genelge, CSP’lerin derlenmesi, biçimlendirilmesi ve Sahil Güvenliği onayına sunulması sürecinde bir yol haritası işlevi görmeyi amaçlıyor.

Sahil Güvenliği, rehberin performansa dayalı bir yaklaşım izlediğini; yani beklenen standardın tanımlandığını ancak uyumun hangi yöntemle sağlanacağının, iş ihtiyaçlarına, işletme ortamına ve risk toleransına bağlı olarak sahip veya işletmeciye bırakıldığını belirtti.

Dört Destekleyici Ek

NVIC 02-26 dört ek içeriyor:

• Ek (1), Siber Güvenlik Planının geliştirilmesi ve sürdürülmesini, mevzuat metnine bağlı bölüm bölüm rehberlikle ele alıyor.
• Ek (2), örnek bir Siber Güvenlik Görevlisi atama mektubu ve ilgili rehberliği sunuyor.
• Ek (3), beş yıllık yenileme döngülerinde sızma testi (penetrasyon testi) beklentilerini, operasyonel teknolojiye ilişkin güvenlik hususları da dahil olmak üzere ele alıyor. Sahil Güvenliği, Temmuz 2027’de sunulacak ilk CSP teslimi için sızma testinin gerekli olmadığını açıkladı.
• Ek (4), NIST Siber Güvenlik Çerçevesi’ne dayanan, işletmecilerin ortamlarının kapsamını belirlemelerine ve kritik BT/OT sistemlerini ile bunlar arasındaki bağımlılıkları tanımlamalarına yardımcı olacak isteğe bağlı bir “risk filtreleme” metodolojisi sunuyor.

Üçüncü Taraf Zorunluluğu Yok

Sahil Güvenliği, düzenlemeye tabi kuruluşlara, siber güvenlik çalışmalarını desteklemek üzere üçüncü taraf hizmetlerinin mevcut olabileceğini ancak CSA’yı yürütmek veya CSP’yi geliştirmek için dışarıdan bir sağlayıcı tutma zorunluluğu bulunmadığını hatırlattı. Genelge, Sahil Güvenliği’nin Deniz Siber Güvenliği Politikası Ofisi (CG-MCP) tarafından daha önce yayımlanan rehberlik üzerine inşa ediliyor; bu rehberlik, kurumun Deniz Endüstrisi Siber Güvenlik Kaynak Merkezi’nde diğer kaynaklarla birlikte erişime açık. Sahil Güvenliği, paydaşların bu gereklilikleri -bağımsız olarak veya üçüncü taraf desteğiyle- karşılamalarına yardımcı olmak için rehberliği geliştirmeye ve güncellemeye devam edeceğini belirtti. NVIC veya ilgili siber güvenlik konularına dair sorular CG-MCP’ye yönlendirilebilir.

Apeks yorumu — Burada asıl iş emir listesi değil, kanıt listesi: CySO ataması, Siber Güvenlik Değerlendirmesi ve Planı’nın belgelenmesi. Sahil Güvenliği yöntemi değil standardı tanımlıyor; uyumun nasıl sağlanacağı işletmeciye bırakılıyor — bu da kararın insanda kalması demek. 2027 teslim tarihine kadar sahipler için risk, son dakika hazırlanmış kağıt plan değil, gerçek değerlendirmeye dayanan, denetime dayanıklı bir kayıt çıkarabilmek olacak.