İspanya Elektrik Kesintilerine Karşı Siber Güvenlik Kalkanı Kuruyor

İspanya, siber saldırıların elektrik kesintilerine yol açmasını önlemek için yeni adımlar attı. Düzenlemeler, kritik kuruluşlara risk değerlendirmesi ve saldırı bildirimi yükümlülükleri getiriyor.

İspanya, elektrik sistemlerini siber saldırılara karşı korumak amacıyla Avrupa Birliği tarafından geliştirilen iki yeni metodolojiyi onayladı. Düzenlemeler, siber güvenlik risklerinin değerlendirilmesi, saldırıların sınıflandırılması ve sınır ötesi elektrik güvenliğinin güçlendirilmesini hedefliyor.

İspanya Ulusal Piyasalar ve Rekabet Komisyonu (CNMC), Avrupa Birliği'nin sınır ötesi elektrik akışlarına yönelik siber güvenlik ağ kodu kapsamında hazırlanan iki metodolojiyi kabul etti. 11 Mart 2024 tarihli ve 2024/1366 sayılı Avrupa Komisyonu Delegasyon Tüzüğü doğrultusunda geliştirilen metodolojiler, elektrik sistemlerini etkileyebilecek siber tehditlerin belirlenmesi ve değerlendirilmesi için ortak kriterler oluşturuyor.

Risk değerlendirme metodolojisi ulusal, bölgesel ve Avrupa Birliği düzeyinde gerçekleştirilecek siber güvenlik incelemelerine temel oluşturacak. Bu kapsamda mevcut tehditler belirlenecek ve olası saldırıların elektrik sisteminin operasyonel güvenliği ile sınır ötesi elektrik alışverişine etkileri incelenecek.

Ayrıca siber saldırı durumunda elektrik sistemi üzerinde yüksek veya kritik etki yaratabilecek kuruluşları belirlemek için göstergeler ve eşik değerler kullanılacak. Sistem ve piyasa işletmecileri, iletim ve dağıtım şirketleri, elektrik üreticileri, tedarikçiler ve enerji toplayıcıları bu değerlendirmeye dahil edilebilecek.

Yetkili kurumlar, yüksek veya kritik etkiye sahip kuruluşları belirleyerek bunları özel siber güvenlik yükümlülüklerine tabi tutacak.

İkinci metodoloji ise siber saldırıların ciddiyetine ve etkisine göre sınıflandırılmasını ve hangi olayların bildirilmesi gerektiğinin belirlenmesini sağlayacak. Böylece elektrik sistemi işletmecileri ile ulusal otoriteler arasında bilgi paylaşımı ve koordinasyon kolaylaşacak.

Özellikle birden fazla ülkenin elektrik sistemini etkileyebilecek saldırıların tespiti, raporlanması ve yönetiminde ortak kriterler uygulanacak. Yüksek veya kritik etkiye sahip kuruluşlar, ağ kodunda belirlenen süreler içinde siber güvenlik gerekliliklerini yerine getirmek zorunda olacak. Bu yükümlülükler arasında risk değerlendirmesi yapmak, siber güvenlik kontrollerini uygulamak, yönetim sistemleri kurmak, bilgi paylaşımını sağlamak ve siber güvenlik krizlerine hazırlanmak bulunuyor.