Sektörel Uyum: BDDK, SPK ve EPDK Siber Güvenlik Gereklilikleri

Sektörel uyum, bir kurumun bağlı olduğu düzenleyici otoritenin bilgi sistemleri ve siber güvenlik şartlarını karşılamasıdır. Bu şartlar çoğunlukla test sıklığı, testi yapacak ekibin bağımsızlığı ve raporun içeriği gibi somut kurallar içerir.

Şartlar sektöre göre değişir; bu nedenle her çalışmayı ilgili düzenlemenin güncel metnine göre planlıyoruz.

• BDDK: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (15 Mart 2020 tarihli Resmî Gazete). Yönetmelik, bankaların yılda en az bir kez bağımsız ekiplere sızma testi yaptırmasını öngörür.
• SPK: Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10; 13 Mart 2025 tarihli Resmî Gazete). Önceki VII-128.9 Tebliği'nin yerini almıştır; kapsamdaki kurumlar için yılda en az bir sızma testi ve test raporlarının Kurula iletilmesine ilişkin usuller içerir.
• EPDK: Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (2023). Kapsamdaki lisans sahiplerinden kritiklik seviyesine göre kontrol uygulamasını ve denetimini ister; 2024 ve 2025'te yapılan değişikliklerle kapsam ve denetim şartları güncellenmiştir.

• Düzenlemeye göre kapsam ve test sıklığının belirlenmesi
• Ağ, web, mobil ve API sızma testleri
• Bulguların ilgili düzenleme maddeleriyle eşleştirilmesi
• Regülatöre sunulabilecek yapıda yönetici özeti ve teknik rapor
• İyileştirme takibi ve doğrulama testi

Bazı düzenlemeler, testi yapacak ekip veya firma için bağımsızlık, belge ya da deneyim şartları koyar. İlgili düzenlemenin firma ve ekip yetkinliği şartlarını teklif aşamasında sizinle birlikte değerlendiriyor, çalışmanın denetimde kabul görecek şekilde kurgulanmasına özen gösteriyoruz.

Bankalar, aracı kurumlar, portföy yönetim şirketleri ve diğer SPK düzenlemesine tabi kurumlar ile elektrik, doğal gaz ve petrol alanındaki lisans sahipleri için uygundur. Bu kurumlara bilişim hizmeti sunan ve müşterilerinden aynı standartta test talep edilen teknoloji şirketleri de hizmetten yararlanabilir.

1. Ön görüşme ve yükümlülük analizi
2. Kapsam, takvim ve kurallar üzerinde mutabakat
3. Testlerin yürütülmesi
4. Raporlama ve bulgu sunumu
5. Doğrulama testi ve kapanış raporu

Her düzenlemenin test gereklilikleri için BDDK Sızma Testi, SPK Sızma Testi ve EPDK Sızma Testi sayfalarımızı inceleyebilirsiniz.