AB'de yaşıyorsanız, bir şirketin hacklendiğini ne kadar hızlı kabul etmesi gerektiğini üç yasa şekillendiriyor. NIS2, DORA ve GDPR'nin 2026 karşılaştırması; kapsamı, 24 saatlik ve 72 saatlik olay sürelerini, 10 milyon € ile 20 milyon € aralığındaki para cezalarını ve Kasım 2026 itibarıyla hangi üye devletlerin harekete geçtiğini inceliyor. Bu yazı bunu sade bir dile çeviriyor. NIS2 DORA GDPR ihlal bildiriminin kısa özeti: süreler sıkı, cezalar büyük ve kurallar her ülkede aynı şekilde uygulanmıyor.

NIS2, DORA ve GDPR ihlal bildirim süreleri gerçekte ne anlama geliyor

Karşılaştırmada öne çıkan iki sayı 24 saat ve 72 saat. Bunlar, bir kuruluş ciddi bir olayın farkına vardığı anda işlemeye başlayan son tarihlerdir. Bir ya da üç gün içinde size haber verileceğine dair vaatler değildir.

Uygulamada bu süreler esas olarak şirketin bir düzenleyiciye veya denetim makamına bildirimde bulunmasıyla ilgilidir. Bu erken bildirim, yetkililerin bir saldırının aynı anda birden fazla kuruluşu vurup vurmadığını görmesini sağlar. Daha kısa bir ilk son tarih (24 saat) genellikle erken bir ön uyarı anlamına gelirken, daha uzun olan (72 saat) neler olduğuna dair daha tam bir resim için zaman bırakır. Kaynak karşılaştırma, her yasanın sürelerini nasıl atadığının tüm ayrıntılarını açıklamıyor; bu nedenle kesin ifade için her düzenlemenin resmi metnine veya ulusal makamınıza bakın.

Üç yasa aynı zamanda farklı alanları kapsıyor:

  • GDPR kişisel verilerle ilgilidir ve AB'deki kişilerin verilerini işleyen kuruluşlar için geçerlidir.
  • NIS2 toplum için önemli sayılan sektörlerdeki ağ ve bilgi sistemlerinin güvenliğiyle ilgilidir.
  • DORA finans sektöründe dijital operasyonel dayanıklılıkla ilgilidir.

Bu örtüşme nedeniyle, tek bir olay aynı anda birden fazla yasayı tetikleyebilir. Müşteri verilerini açığa çıkaran bir finans kuruluşuna yönelik siber saldırı, üçü kapsamında da sorular doğurabilir.

Bir şirketin ihlali size ne zaman bildirmesi gerektiği: bunun sizin için anlamı

Beklentilerin burada ayarlanması gerekiyor. 24 saatlik veya 72 saatlik bir süre, gelen kutunuzun ertesi gün aydınlanacağı anlamına gelmez. İlk bildirim genellikle yetkililere gider ve etkilenen bireylerin bilgilendirilmesi, kendi koşullarına sahip ayrı bir adımdır. Bu koşullar, ilgili yasaya ve size yönelik riskin ne kadar ciddi olduğuna bağlıdır.

Çerçeveden makul olarak çıkarabilecekleriniz:

  • Önce düzenleyiciler duyar. Resmi sürenin, kamuya yapılan bir duyuruya değil, makama yapılan bildirime uygulanmasını bekleyin.
  • Erken bildirimler eksik olabilir. Kısa bir ilk rapor, nedeni, ölçeği veya verilerinizin dahil olup olmadığını atlayabilir.
  • Haklarınız esas olarak GDPR'den gelir. Kişisel verilere odaklanan yasa budur, dolayısıyla ne duymaya hakkınız olduğunu bilmek istediğinizde bakmanız gereken yasa odur.
  • Sektör önemlidir. Bankanız, bir ödeme sağlayıcısı veya temel bir hizmet etkilenirse, GDPR'ye ek olarak NIS2 veya DORA yükümlülükleri de geçerli olabilir.

Bunların hiçbiri kendi dikkatinizin yerini tutmaz. İyi işleyen bir bildirim sistemi bile bir olay ile size yapılan bildirim arasında bir boşluk bırakır; bu nedenle şifreleri değiştirmek, çok faktörlü kimlik doğrulamayı etkinleştirmek ve bir ihlali duyar duymaz hesaplarınızı olağandışı etkinlik açısından izlemek faydalıdır.

NIS2, DORA ve GDPR para cezaları nasıl karşılaştırılır

Karşılaştırma, cezaları 10 milyon € ile 20 milyon € arasında uzanan bir bant olarak çerçeveliyor. Bu aralık, yasa koyucuların kaçırılan son tarihlere ve zayıf güvenliğe ne kadar ciddi yaklaştığını gösteriyor. Zamanında bildirimde bulunmamak, ihlalin kendisinden ayrı olarak başlı başına bir uyum başarısızlığıdır.

Kesinlik konusunda bir uyarı. Kaynak özeti genel bandı veriyor ancak hangi yasanın hangi rakamı belirlediğini gösteren satır satır bir ayrım sunmuyor. Yasa başına tutarları tahmin etmeyeceğiz, çünkü ceza yapıları farklı üst sınırlar, ciro yüzdeleri ve ulusal uygulama tercihleri içerebilir. Özellikle DORA için ayrıntılar, her üye devletin cezalarını nasıl belirlediğine bağlı olabilir. Belirli bir yasa için kesin rakamlara ihtiyacınız varsa, düzenlemenin kendisini veya ulusal makamınızın rehberliğini okuyun.

Bandın size söylediği şey, düzenleyicilerin gerçek bir kaldıraca sahip olduğudur. Birbiriyle örtüşen birden fazla yükümlülüğü yerine getirmek zorunda olan şirketler için kötü yönetilen bir olay, aynı anda birden fazla uyum sorunu yaratabilir.

AB ülkenizin NIS2 ve DORA'yı uygulayıp uygulamadığını nasıl kontrol edersiniz

Karşılaştırma aynı zamanda hangi AB devletlerinin Kasım 2026 itibarıyla harekete geçtiğini izliyor; bu da AB kurallarının her yerde her zaman aynı anda yürürlüğe girmediğini hatırlatıyor. NIS2 bir direktiftir, dolayısıyla her üye devlet onu ulusal hukuka dönüştürmek zorundadır ve ilerleme ülkeden ülkeye farklılık gösterebilir. Ülkenizin nerede durduğunu kontrol etmenin pratik yolları:

  1. Ulusal hükümetinizin siber güvenlik makamını arayın. Genellikle ulusal NIS2 mevzuatının durumunu yayımlar ve kimlerin kaydolması veya bildirimde bulunması gerektiğini listeler.
  2. Finansal düzenleyicinize bakın. DORA için, kuralların bankalara, sigortacılara ve ödeme şirketlerine nasıl uygulandığı konusunda en iyi kaynak ulusal finans denetçisidir.
  3. Veri koruma makamınızı kontrol edin. GDPR için, nasıl şikâyette bulunacağınızı ve hangi bildirim haklarına sahip olduğunuzu açıklar.
  4. Resmi AB metinlerini okuyun. Son tarihler ve kapsam konusunda son söz düzenlemelerin ve direktiflerin kendisindedir.

Ülkeniz yavaş kaldıysa, bu GDPR'yi ortadan kaldırmaz. GDPR yıllardır AB genelinde uygulanıyor ve kişisel veriler açığa çıktığında en doğrudan aracınız olmaya devam ediyor.

Önemli çıkarımlar

NIS2 DORA GDPR ihlal bildirimini anlamak birkaç noktaya indirgeniyor: 24 saatlik ve 72 saatlik süreler çoğunlukla düzenleyicilere yapılan bildirimleri yönetir, para cezaları önemlidir ve ulusal uygulama farklılık gösterir. Bu hafta birkaç dakikanızı ayırıp kendi ülkenizin NIS2 ve DORA durumunu araştırın ve bilgilendirilme ile veri koruma makamınıza şikâyette bulunma GDPR haklarınızı gözden geçirin.

AB dışı bir rejimin benzer soruları nasıl ele aldığını görmek istiyorsanız, kritik altyapıyı resmi bir ulusal çerçeveye dahil eden ve kendi olay bildirim yükümlülüklerini ele alan UK Cyber Security Resilience Bill hakkındaki haberimizi okuyun. Bunu AB yaklaşımıyla karşılaştırmak, farklı hükümetlerin daha hızlı ve daha yapılandırılmış ihlal açıklaması konusunda nasıl birbirine yaklaştığını gösteriyor.