BSI-CS 154: Kumanda sistemleri internete bağlıysa – koruma, sigorta ve yükümlülüklerin
Soğutmalı reyon, ergitme fırını, sağım robotu, ısıtma sistemi: İşletmelerdeki teknolojinin giderek daha büyük bir kısmı internet üzerinden kumanda ediliyor ve bakımı yapılıyor. Avrupa genelinde süpermarketlerin soğutma sistemlerine yapılan saldırıların ardından BSI ayrı bir tavsiye yayımladı: BSI-CS 154. Burada içinde neler olduğunu, hangi işletmelerin etkilendiğini – ve yükümlülüklerini bilmiyorsan neden siber sigortanın tek başına yetmediğini öğreniyorsun.
Kısaca en önemli noktalar
- BSI-CS 154, „Gefährdung durch internet-verbundene OT-Systeme“ (İnternete bağlı OT sistemlerinden kaynaklanan tehlike) başlığını taşıyor ve 13 Ekim 2026'da, Fransa'daki süpermarketlere yapılan saldırıların hemen ardından yayımlandı.
- OT, Operational Technology (operasyonel teknoloji) anlamına gelir: tesis ve makinelerin kumanda sistemleri – ofis BT'si değil.
- Dört temel önlem: doğrudan internete bağlamamak, uzaktan erişim yalnızca çok faktörlü oturum açmalı VPN ile, güncellemeleri yüklemek, güvenliği rutin haline getirmek.
- Sigorta: Siber poliçe öncelikle mali zararları öder. Maddi hasarlar ve ürün bozulması çoğu zaman kapsam dışıdır veya sınırlıdır.
- Senin yükümlülüğün: Sigortalı olarak güvenlik yükümlülüklerini yerine getirmek zorundasın – tesisin bakımını bir hizmet sağlayıcı yapsa bile.
BSI-CS 154 nedir?
Bundesamt für Sicherheit in der Informationstechnik (BSI, Almanya Federal Bilgi Güvenliği Dairesi), „BSI-CS“ kısaltmasıyla siber güvenlik tavsiyeleri yayımlıyor. 154 numaralı tavsiye „Gefährdung durch internet-verbundene OT-Systeme“ başlığını taşıyor ve 13 Ekim 2026'dan beri Allianz für Cyber-Sicherheit üzerinden erişilebiliyor. Bunun nedeni, 12 Ekim'e bağlanan gece yüzlerce Fransız süpermarketinin soğutma sistemlerine yapılan saldırıydı. Kısa süre sonra Almanya dahil diğer Avrupa ülkelerinde de vakalar yaşandı – ayrıntılar Hackerlar soğutucuları ısıtıyor başlıklı yazımızda.
BSI'ye göre tavsiye, endüstriyel kumanda cihazları kullanan küçük endüstriyel veya benzeri tesislerin işletmecilerine yöneliktir – örneğin gıdaların soğutulması, elektrik üretimi veya su arıtımı için. Yani kastedilen yalnızca büyük sanayi şirketleri değil, tam da süpermarketler, zanaat işletmeleri, çiftçiler, belediye hizmet şirketleri veya güneş enerjisi tesisi işletmecileridir.
Açık kumanda sistemleri neden bu kadar tehlikeli
Birçok kumanda sistemi yerinde çalışmak üzere tasarlanmıştır ve hiçbir zaman doğrudan internete bağlanmak için düşünülmemiştir. Bakım firmaları uzaktan rahatça erişebilsin diye yine de çoğu zaman açıkça erişilebilir hale getirilirler – bazen eski bir yazılımla (firmware), varsayılan veya ortak şifrelerle ve ikinci bir oturum açma faktörü olmadan. Otomatik tarama programları bu tür cihazları hızla bulur. Basında çıkan haberlere göre süpermarketlere yapılan saldırılarda diğerlerinin yanı sıra Danfoss, Copeland ve Dixell üreticilerinin soğutma kumanda sistemleri etkilendi; güvenlik şirketi Forescout ekim ayında 99 ülkede internetten erişilebilen yaklaşık 13.000 soğutma yönetim sistemi saydı.
Sonuçlar veri kaybının çok ötesine geçer: Ürünler bozulur, makineler durur, yarı mamuller kullanılamaz hale gelir, en kötü durumda maddi hasar veya kişilerin zarar görmesi söz konusu olur.
Tavsiyenin dört temel önlemi
- Doğrudan internet erişimi yok: Kumanda sistemleri internetten açıkça erişilebilir olmamalıdır. Router'daki port yönlendirmelerini kapat, endüstriyel protokolleri (ör. Modbus-TCP, S7Comm, Profinet) dışarıya açma.
- Uzaktan erişim yalnızca güvenli şekilde: Uzaktan bakım yalnızca çok faktörlü kimlik doğrulamalı şifreli bir VPN üzerinden.
- Güncelle ve kontrol et: Sistemleri ve yazılımı (firmware) zamanında güncelle ve cihazların dışarıdan erişilebilir olup olmadığını düzenli olarak kontrol et.
- Tek seferlik değil, rutin: Güvenlik önlemlerini ve kontrolleri iş akışına kalıcı olarak yerleştir.
Uygulama için eklemelerimiz: Varsayılan şifreleri değiştir ve her erişim için ayrı bir hesap oluştur, kumanda ağını ve ofis BT'sini birbirinden ayır, ayrı bir alarm (ör. SMS ile sıcaklık uyarısı) kur ve bir acil durum planı belirle: Gece kime haber verilecek, kim kapatma yetkisine sahip?
Tavsiyenin tamamını BSI'de bulabilirsin: Allianz für Cyber-Sicherheit'te BSI-CS 154.
Riski yüksek 30 sektör
Tesisleri internet üzerinden kumanda edilen veya bakımı yapılan her işletme etkilenebilir. Sonuçlar özellikle ürünlerin bozulduğu, üretimin durduğu veya insanlara hizmet verilen yerlerde ağırdır. Değerlendirmemiz – sıralama olmadan, alanlara göre düzenlenmiş:
Ticaret & gıda
- Süpermarketler ve gıda perakendeciliği
- Gıda üretimi
- Kasaplar ve et işleme
- Fırınlar ve pastaneler
- Süthaneler ve peynirhaneler
- Bira fabrikaları ve içecek üreticileri
Konaklama & lojistik
- Gastronomi, toplu mutfaklar ve kantinler
- Oteller
- Catering
- Soğuk hava depoları ve soğuk zincir lojistiği
- Soğutmalı araçlara sahip nakliye firmaları
Sağlık
- Eczaneler
- Aşı ve ilaç soğutması olan muayenehaneler
- Klinikler, rehabilitasyon ve bakım kurumları (bina teknolojisi)
- Laboratuvarlar ve biyoteknoloji
Üretim & sanayi
- İlaç ve kimya üretimi
- Plastik işleme (ör. enjeksiyon kalıplama)
- Metal işleme ve dökümhaneler (ör. ergitme fırınları)
- Ahşap işleme ve marangozhaneler (CNC, kurutma)
- Makine ve tesis imalatı
- Matbaalar
Tarım
- Süt hayvancılığı işletmeleri (sağım robotu, süt soğutma, ahır iklimi)
- Seralar ve bahçecilik (iklim kontrolü)
- Balık yetiştiriciliği ve su ürünleri
Enerji, su & binalar
- İçme suyu ve atık su işletmeleri
- Fotovoltaik tesis işletmecileri (invertörler)
- Rüzgâr enerjisi, biyogaz ve kojenerasyon santralleri
- Konut sektörü ve bina yönetimleri (ısıtma, bina otomasyonu)
- Yüzme havuzları, spor ve eğlence tesisleri
- Veri merkezleri ve sunucu odaları (klimatizasyon)
Uzmanların değerlendirmesine göre tüm imalat sektörü de risk altında: Bir ergitme fırınının ayarı bozulursa veya bir kurutma tesisi arızalanırsa parti kullanılamaz hale gelir.
Sigorta neyi öder – ve neyi ödemez
„Bir siber sigorta klasik olarak bir mali zarar sigortasıdır“, diyor siber sigortacı Stoïk'ten Jan Meurer AssCompact'a. Uygulamada bunun anlamı:
| Hasar | Genellikle şununla karşılanır | Dikkat etmen gerekenler |
|---|---|---|
| BT adli bilişim, acil yardım, verilerin kurtarılması | Siber sigorta | Koruma yalnızca ofis BT'si için değil, kumanda sistemleri için de geçerli mi? |
| Gelir kaybı / iş kesintisi | Siber sigorta (tarifeye göre isteğe bağlı) | Tazminat süresi, zamana bağlı muafiyet, tazminat limiti |
| Hasar gören donanım | Siber sigorta, çoğu zaman yalnızca BT donanımı | Bazı koşullar üretim araçlarını açıkça kapsam dışında tutar |
| Bozulan ürünler, işletme muhteviyatı, makineler | Muhteviyat, soğutulmuş ürün, makine veya elektronik cihaz sigortası | Maddi hasar poliçesinde siber istisna mı var? Siber poliçede bozulma klozu veya maddi hasar teminatı var mı? |
| Üçüncü kişilerin talepleri | Siber sorumluluk, işletme sorumluluk sigortası | Müşteriler veya iş ortakları zarar görürse kim sorumlu? |
Bunun somut bir koşul metninde nasıl göründüğünü – bozulma klozu, maddi varlık hasarları için ek teminat modülü ve önce siber sigortanın mı yoksa mal sigortasının mı ödeyeceği sorusuyla birlikte – Stoïk örneğiyle ek yazımızda gösteriyoruz. Koşullar sigortacıdan sigortacıya önemli ölçüde farklılık gösterir – sözleşmenin neyi kapsadığını somut durumda senin için netleştiriyoruz.
Sigortalı olarak yükümlülüklerin
Bir siber sigorta, kararlaştırılmış bir güvenlik standardına uymanı şart koşar. Bu yükümlülükler (Obliegenheiten) poliçe koşullarında yer alır ve sigortacıya göre farklılık gösterir. Tipik olanlar şunlardır:
- Güvenlik güncellemelerini zamanında yüklemek – bazı koşullar bunun için sabit süreler belirtir.
- Eski sistemleri güncelleme almıyorsa yalnızca izole şekilde, yani doğrudan internet erişimi olmadan çalıştırmak.
- Güvenli şifrelerle kişiye özel erişimler, uzaktan erişimler için ek koruma (ör. iki faktörlü oturum açma).
- Düzenli ve korunaklı veri yedeklemesi – Stoïk’te örneğin en az haftalık, iki hafta saklanan, çevrimdışı veya değiştirilemez.
- Yasal, resmi ve sözleşmeden doğan güvenlik kurallarına uymak.
Bir yükümlülüğü ağır ihmalle ihlal eden kişi, tazminatın azaltılması riskiyle, kasıt durumunda ise tamamen kaybedilmesi riskiyle karşı karşıya kalır. En az bunun kadar önemli olan başvuru formundaki beyanlardır: Orada örneğin kontrol etmeden tüm sistemlerin güncel olduğunu onaylayan kişi, sözleşmenin iptal edilmesi riskini alır. Nitekim OLG Schleswig (16 U 63/24), güvenlik durumuna ilişkin sorular „gelişigüzel“ (ins Blaue hinein) yanıtlandığı için bir siber poliçenin iptalini onayladı. Tersine, LG Tübingen'in (Mayıs 2023) bir kararına göre bir sigortacı, eski sunuculara rağmen ödeme yapmak zorunda kaldı, çünkü açıklar hasarın nedeni değildi. Örnekler şunu gösteriyor: Her şey somut duruma ve tam ifadeye bağlı.
Çok önemli: Yükümlülükler sigortalı olarak seni bağlar – soğutma, ısıtma veya makinenin bakımını harici bir hizmet sağlayıcı yapsa bile. Görevleri devredebilirsin, ancak sigortacıya karşı sorumluluğu devredemezsin.
Hizmet sağlayıcıyı sorumlu tut
Sigortacıya karşı sorumlu olmaya devam ettiğin için güvenlik gereklilikleri bakım ve hizmet sözleşmesinde yer almalıdır. Açık bir düzenleme yoksa bir hizmet sağlayıcı şüphe halinde yalnızca kararlaştırılanı borçludur. Sözleşmede şu noktalar bulunmalı:
- Uzaktan erişim: yalnızca çok faktörlü oturum açmalı VPN üzerinden, açık port yok, sürekli aktif erişim yok.
- Erişim bilgileri: varsayılan veya ortak şifre yok, her teknisyen için kişisel hesap, personel değişikliğinde erişimin kapatılması.
- Güncellemeler: güvenlik güncellemelerini ve yazılımı (firmware) belirli süreler içinde yükleme yükümlülüğü ve bir cihaz artık güncelleme almıyorsa bildirme yükümlülüğü.
- Teknolojinin güncel durumu: BSI-CS 154 gibi kabul görmüş tavsiyelere uyum.
- Bildirim yükümlülüğü: güvenlik olayları veya bilinen güvenlik açıkları durumunda gecikmeksizin bilgilendirme.
- Kayıt tutma: kimin ne zaman uzaktan eriştiğinin izlenebilirliği.
- Acil durum irtibatı: arıza durumunda, gece ve hafta sonu da dahil olmak üzere ulaşılabilirlik ve müdahale süreleri.
- Sorumluluk ve sigorta: net bir sorumluluk düzenlemesi ve hizmet sağlayıcının yeterli bir mesleki veya BT sorumluluk sigortasına sahip olduğunun belgelenmesi.
- Veri koruma: hizmet sağlayıcının kişisel verilere erişimi varsa veri işleme sözleşmesi (Auftragsverarbeitung).
Hizmet sağlayıcı hasara kusuruyla neden olursa tazminat yükümlüsü olabilir – ve hasarı karşılayan bir sigortacı ona rücu edebilir. Sözleşme ne kadar netse, elin o kadar güçlü olur. Sözleşmenin hukuki düzenlenmesi için bir avukata başvur.
Beş adımda yol haritan
- Ağa bağlı tüm tesislerin listesini çıkar ve hangilerinin dışarıdan erişilebilir olduğunu kontrol et.
- BSI-CS 154'teki dört önlemi BT ekibinle veya bakım hizmeti sağlayıcınla uygula.
- Bakım ve hizmet sözleşmelerine güvenlik yükümlülüklerini ekle.
- Siber ve maddi hasar sigortanı yan yana koy: maddi hasarlar, ürün bozulması, iş kesintisi, yükümlülükler.
- Sigorta başvurusundaki beyanları BT ekibinle karşılaştır – ve değişiklik olduğunda güncelle.
Teklifimiz: Siber, muhteviyat ve soğutulmuş ürün sigortanı birlikte inceliyor ve sana nerede açıklar oluştuğunu gösteriyoruz – örneğin Stoïk’in siber sigortasıyla. Bu sigortanın koşullarının somut olarak neleri karşıladığını Stoïk örneğiyle ek yazımızda okuyabilirsin. Daha fazlası: Şirketler için siber güvenlik.
Sık sorulan sorular
BSI-CS 154 nedir?
BSI-CS 154, Bundesamt für Sicherheit in der Informationstechnik'in (Almanya Federal Bilgi Güvenliği Dairesi) 13 Ekim 2026'da yayımladığı „Gefährdung durch internet-verbundene OT-Systeme“ başlıklı bir siber güvenlik tavsiyesidir. Örneğin gıdaların soğutulması, elektrik üretimi veya su arıtımı için kumanda cihazları kullanan küçük endüstriyel veya benzeri tesislerin işletmecilerine yöneliktir.
Bir makine veya ürün hasar görürse siber sigortam öder mi?
Çoğu zaman tamamen ödemez. Bir siber sigorta öncelikle bir mali zarar sigortasıdır. Bozulan ürünler veya hasar gören üretim araçları gibi maddi hasarlar sıklıkla kapsam dışıdır veya yalnızca sınırlı olarak sigortalıdır. Aynı zamanda birçok maddi hasar sigortası siber saldırıları kapsam dışında tutar. Sözleşmelerinin birbiriyle uyumunu inceliyoruz.
BT güvenliğini hizmet sağlayıcıma devredebilir miyim?
Görevleri evet, sigortacıya karşı sorumluluğu hayır. Poliçenden doğan yükümlülükler sigortalı olarak seni bağlar. Bu yüzden hizmet sağlayıcınla yaptığın bakım ve hizmet sözleşmesinde net güvenlik yükümlülükleri yer almalıdır.
Sigorta başvurusundaki beyanlarım doğru değilse ne olur?
Bu durumda sigortacı, duruma göre sözleşmeden dönebilir, sözleşmeyi iptal edebilir veya tazminatı azaltabilir. Mahkemeler, BT güvenlik durumuna ilişkin „gelişigüzel“ verilen yanıtları kasten aldatma olarak değerlendirdi. Bu yüzden beyanları sözleşmeyi yapmadan önce BT ekibine kontrol ettir.
KiS'ten içten selamlar
Not: Genel bilgilendirmedir, durum 05.11.2026, hukuki danışmanlık ve bireysel danışmanlık değildir. Sektör listesi bizim değerlendirmemizdir, resmi bir sınıflandırma değildir. İlgili sigortacının koşulları esastır. Kaynaklar: BSI-CS 154 (13.10.2026); dpa, ad-hoc-news, VWheute ve AssCompact haberleri (Ekim/Kasım 2026); Stoïk, Cyber Serenity – Standard koşulları (DE2609.2); OLG Schleswig 16 U 63/24 ve LG Tübingen 26.05.2023 tarihli kararlar. KiS – Kontor im Schwarzwald GmbH, § 34d Abs. 1 GewO uyarınca izinli sigorta brokeri, Sicil No. D-PS74-61V96-00.