EPDK SGYM, enerji sektöründe faaliyet gösteren lisanslı kuruluşların siber güvenlik olgunluğunu ölçmek ve denetlemek amacıyla Enerji Piyasası Düzenleme Kurumu (EPDK) tarafından yürürlüğe konan bir modeldir. Elektrik santrallerinden doğal gaz iletim hatlarına, rafinerilerden dağıtım şebekelerine kadar fiziksel süreçleri yöneten endüstriyel kontrol sistemleri (EKS/OT), kurumsal IT ağlarıyla giderek daha fazla iç içe çalışıyor; bu entegrasyon operasyonel verimliliği artırırken saldırı yüzeyini de genişletiyor. EPDK SGYM, tam olarak bu tabloyu ölçülebilir ve denetlenebilir bir çerçeveye oturtmayı amaçlıyor.
Peki kurumunuzun EPDK SGYM karşısındaki gerçek durumu nedir? Sahadaki hangi PLC ve RTU’lar varlık envanterinize hiç girmemiş durumda? IT ve OT ağlarınız arasındaki segmentasyon mimari şemada mı yoksa fiili trafikte mi mevcut? Geçen çeyrekte yapılan güvenlik gözden geçirmelerinin kanıtını bugün bir denetçiye sunabiliyor musunuz? Bu yazıda EPDK SGYM’nin kapsamını, 2026 itibarıyla değişen denetim beklentisini ve saha çalışmalarımızda en sık karşılaştığımız beş uyumsuzluğu; her biri için mevzuat karşılığı ve uygulanabilir düzeltici önerilerle birlikte ele alıyoruz.
EPDK SGYM Nedir? Yönetmeliğin Kapsamı
Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği, 6 Haziran 2023 tarihli ve 32213 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi. Yönetmeliğin amacı; enerji sektöründe kullanılan endüstriyel kontrol sistemlerinin siber güvenliğini gelişen tehditlere göre iyileştirmek, asgari kabul edilebilir güvenlik seviyesini tanımlamak ve bu sistemlerin siber dayanıklılığını olgunluk seviyeleriyle takip edilebilir hâle getirmektir.
EPDK SGYM’nin kapsamı zaman içinde genişledi. İlk yayımda elektrik dağıtım ve doğal gaz dağıtım sektörlerine yönelik teknik kontrol maddeleri yer alırken, takip eden değişikliklerle model; elektrik iletim ve elektrik dağıtım lisansı sahipleri, belirli kurulu gücün üzerindeki elektrik üretim tesisleri, boru hattıyla iletim yapan doğal gaz iletim lisansı sahipleri, sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahipleri, doğal gaz depolama (LNG ve yer altı) lisansı sahipleri ile ham petrol iletim ve rafinerici lisansı sahibi kuruluşları kapsayacak biçimde genişletildi. Organize sanayi bölgelerinin dağıtım ve/veya üretim lisansı sahipleri yönetmeliğin kapsamı dışında bırakılmıştır.
Yükümlü kuruluşlar EPDK tarafından kritiklik sınıflarına ayrılır; kritiklik seviyesi yükseldikçe uygulanması gereken kontrol maddesi sayısı, talep edilen kanıtın derinliği ve denetim sıklığı artar. Model; yönetişim, risk yönetimi, varlık ve konfigürasyon yönetimi, ağ güvenliği, olay yönetimi, tedarik zinciri güvenliği ve insan kaynakları güvenliği gibi başlıkları ilgili sektöre özgü teknik kontrol maddeleriyle (Ek-1, Ek-2 ve sonraki eklerle) bir arada ele alır; yalnızca teknik kontrollerden oluşan bir liste olmaktan çıkar.
2026’da EPDK SGYM Denetim Beklentisi: Ne Değişti?
EPDK SGYM uyum süreci üç aşamalı ilerler. Kuruluş öncelikle kendi mevcut durumunu öz denetim (fark analizi) ile değerlendirir, tespit edilen boşluklar için bir yol haritası hazırlar ve süreç, EPDK tarafından yetkilendirilmiş bağımsız denetim firmalarının gerçekleştirdiği denetim ile tamamlanır. Bildirimler Enerji Piyasası Bildirim Sistemi (EBİS) üzerinden yapılır; EPDK gerekli gördüğü durumlarda çapraz denetim veya doğrulama denetimlerini süreç içinde herhangi bir zamanda gerçekleştirebilir.
2026 yılını önceki dönemlerden ayıran iki gelişme var. Birincisi, aynı yıl yayımlanan Denetim Rehberi ile denetim metodolojisi ayrıntılı biçimde tanımlandı; öne çıkan yaklaşım sıfırdan değerlendirme ilkesidir. Bir kontrolün geçmiş dönemde karşılanmış olması, mevcut dönemde otomatik olarak karşılanmış sayılmasını sağlamaz; tüm kontroller güncel durum ve güncel kanıt üzerinden yeniden incelenir.
İkincisi, 25 Kasım 2025 tarihli ve 33088 sayılı Resmî Gazete’de yayımlanan değişiklikle denetçi firma ve denetim personeli için nitelik şartları sıkılaştırıldı: baş denetçi ve denetçilerin en az dört yıllık lisans mezunu olması, ISO/IEC 27001 Baş Denetçi Sertifikası veya CISA (Sertifikalı Bilgi Sistemleri Denetçisi) sertifikasına sahip olması ve sırasıyla en az yedi ve beş yıllık mesleki deneyime sahip olması şartı getirildi; denetçi firmalar için son beş yılda en az beş bilgi güvenliği denetimi yapmış olma şartı eklendi. Kritik Altyapılar Ulusal Test Yatağı Merkezi tarafından verilen EKS eğitimi sonrası başarı sertifikası (EKS Sertifikası) şartı da yürürlükte kalmaya devam ediyor. Aynı değişiklikle rafineri sektörüne özgü teknik kontrol maddeleri de yönetmelik ekine eklendi.
Pratikteki karşılığı net: denetim ekipleri artık daha nitelikli, daha standart bir yetkinlik setiyle sahaya çıkıyor ve bir kontrolün varlığını beyan etmek yeterli olmuyor; o kontrolün düzenli işletildiğini, gözden geçirildiğini ve güncellendiğini gösteren izlenebilir kayıtlar aranıyor. EPDK SGYM uyumu, bir kez tamamlanıp raflanan bir proje değil, sürekli işletilen ve kanıtı biriken bir olgunluk programı.
EPDK SGYM Denetiminde Sahada En Sık Karşılaşılan 5 Uyumsuzluk
Aşağıdaki beş başlık, EPDK SGYM uyum ve denetime hazırlık çalışmalarında tekrar tekrar karşılaşılan bulguları oluşturuyor. Dikkat çekici ortak nokta, bu uyumsuzlukların çoğunlukla bütçe yetersizliğinden değil, süreç ve kanıt disiplinindeki boşluklardan kaynaklanması.
1. Varlık Envanteri Eksikliği
Mevzuat karşılığı: Modelin varlık ve konfigürasyon yönetimi başlığı ile ilgili sektörün teknik kontrol maddeleri (Ek-1/Ek-2 ve sonrasında eklenen ekler), kuruluşun IT ve OT varlıklarını eksiksiz envanterlemesini ve bu varlıkların güvenli konfigürasyonla çalıştığını kanıtlamasını gerektirir.
Sahadaki durum: Yıllardır sorunsuz çalışan bir PLC, geçici çözüm olarak kurulup kalıcılaşan bir protokol dönüştürücü ya da devreye alma sırasında eklenen bir mühendislik istasyonu, çoğu kurumda envanter kaydı dışında kalıyor. Envanter dışı her varlık, risk değerlendirmesini ve zafiyet yönetimini temelsiz bırakıyor; denetçi açısından kontrol edilemeyen bir saldırı yüzeyi anlamına geliyor.
Düzeltici öneri: IT ve OT varlıkları tek bir envanterde birleştirilmeli; donanım, yazılım, firmware versiyonu, ağ konumu ve varlık sahibi bilgileri kayıt altına alınmalı. OT tarafında aktif tarama araçlarının proses kesintisine yol açabileceği dikkate alınarak varlık keşfi pasif izleme yöntemleriyle yürütülmeli. Envanter statik bir tablo değil, değişiklik yönetimi süreciyle beslenen canlı bir kayıt olarak kurgulanmalı. IEC 62443 ve NIST SP 800-82, bu yapının tasarımında referans çerçeve olarak kullanılabilir.
2. IT/OT Segmentasyon Yetersizliği
Mevzuat karşılığı: Ağ güvenliği başlığı, IT ve OT ağları arasındaki segmentasyonun fiilen uygulanıp uygulanmadığını, güvenlik duvarı kural setlerinin yönetilip yönetilmediğini ve ağ mimarisinin belgelenmiş olup olmadığını değerlendirir. EPDK’nın yayımladığı sektörel referans topolojiler (yönetmelik ekleri), beklenen mimari yapının çerçevesini çizer.
Sahadaki durum: Mimari şemada ayrı görünen iki katman, trafik incelendiğinde çoğu zaman birbirine temas ediyor. Yıllar içinde “geçici” gerekçelerle açılmış ve kapatılması unutulmuş kurallar, kurumsal ağdan saha ağına doğrudan erişim yolları oluşturuyor. Segmentasyon genellikle hiç kurulmamış değil; zaman içinde aşınmış.
Düzeltici öneri: IT ve OT katmanları arasında tanımlı bir endüstriyel DMZ oluşturulmalı, geçiş trafiği yalnızca gerekli protokol ve yönlerle sınırlandırılmalı. Güvenlik duvarı kuralları periyodik olarak gözden geçirilmeli, kullanım dışı kurallar temizlenmeli ve bu gözden geçirmeler kayıt altına alınmalı. Yüksek kritiklik seviyelerinde tek yönlü ağ geçidi çözümleri değerlendirilmeli. IEC 62443’ün bölge (zone) ve iletişim kanalı (conduit) yaklaşımı, segmentasyon tasarımında olgun bir referans sunar.
3. Eksik ve Kanıtlanamayan Dokümantasyon
Mevzuat karşılığı: EPDK SGYM bir belge toplama egzersizi değil; ancak kontrolün işletildiğini gösteren kanıt bulunmadığı sürece hiçbir kontrol karşılanmış kabul edilmiyor. 2026 Denetim Rehberi’nin getirdiği sıfırdan değerlendirme yaklaşımı, bu noktayı daha da belirleyici hâle getiriyor.
Sahadaki durum: Güvenlik duvarının mevcut olması tek başına yeterli olmuyor; kural setinin yönetildiğini, güncellendiğini ve gözden geçirildiğini gösteren kayıtlar da talep ediliyor. Uygulamada ekipler çoğunlukla doğru işi yapıyor, ancak yapılan işin izini bırakmıyor.
Düzeltici öneri: Her kontrol alanı için politika, prosedür ve uygulama kaydı üç katmanlı biçimde eşleştirilmeli. Kanıtlar merkezî ve versiyonlanmış bir depoda toplanmalı; gözden geçirme toplantıları, log incelemeleri, değişiklik onayları ve eğitim kayıtları gibi rutin çıktılar düzenli olarak arşivlenmeli. Dokümantasyonun denetim öncesi yoğun bir hazırlık faaliyeti olmaktan çıkarılıp operasyonun doğal bir parçası hâline getirilmesi, bulgu sayısını en hızlı düşüren müdahalelerden biri.
4. Test Edilmemiş Olay Müdahale Planı
Mevzuat karşılığı: Olay yönetimi başlığı, kuruluşun siber olayları tespit etme, sınıflandırma, müdahale etme ve raporlama yetkinliğini değerlendirir.
Sahadaki durum: Olay müdahale planı çoğu kurumda mevcut ve onaylı; ancak hiç tatbik edilmemiş. OT ortamında verilecek kararlar IT reflekslerinden farklıdır: bir hattın izole edilmesi doğrudan üretim kaybına yol açabilir. Bu kararı kimin, hangi eşikte vereceği önceden prova edilmemişse plan kriz anında işlevini yitirir. Denetimlerde bu durum genellikle “belgelenmiş ancak işlerliği kanıtlanmamış” olarak değerlendiriliyor.
Düzeltici öneri: Plan, OT senaryolarını kapsayacak biçimde genişletilmeli; kritik sistemin izolasyonu, operasyonel süreklilik ile güvenlik arasındaki denge ve ilgili birimler ile otoritelere bildirim akışı açıkça tanımlanmalı. Plan yılda en az bir kez masabaşı tatbikatı (tabletop exercise) ile sınanmalı; roller, iletişim adımları ve karar eşikleri bu tatbikatlarda test edilmeli. Tatbikat çıktısı, planın işlerliğine dair en güçlü kanıt niteliği taşır.
5. Kontrolsüz Üçüncü Taraf ve Uzaktan Erişimler
Mevzuat karşılığı: Tedarikçi ve tedarik zinciri risk yönetimi başlığı, sistemlere erişen entegratör, bakım firması ve çözüm sağlayıcıların erişimlerinin denetim altında tutulmasını gerektirir.
Sahadaki durum: Devreye alma sırasında üreticiye veya entegratöre açılan uzaktan erişim, proje tamamlandığında çoğu zaman kapatılmıyor. Yıllar sonra hâlâ ayakta olan bu bağlantılar genellikle süre sınırı taşımıyor, onay mekanizmasına bağlı olmuyor ve yeterli düzeyde loglanmıyor. Doğrudan OT katmanına ulaşabilen bu erişim yolları, uygulamada en az sorgulanan ancak en yüksek etkiye sahip zafiyetler arasında yer alıyor.
Düzeltici öneri: Bir tedarikçi risk yönetimi süreci kurulmalı; hangi üçüncü tarafın hangi sisteme, hangi koşullarda ve ne süreyle eriştiği kayıt altına alınmalı. Uzaktan erişimler sürekli açık tutulmak yerine talep bazlı, süreli ve onaya bağlı hâle getirilmeli; bağlantılar atlama sunucusu (jump server) üzerinden ve tam kayıt ile yönlendirilmeli. Tedarikçi sözleşmelerine güvenlik yükümlülükleri ve denetlenebilirlik maddeleri eklenmeli.
EPDK SGYM Denetimine Hazırlık: Öz Değerlendirme ile Başlayın
Yukarıdaki beş başlığın ortak özelliği, hiçbirinin denetim tarihinden kısa süre önce kapatılabilir nitelikte olmaması. Varlık envanteri, ağ segmentasyonu, kanıt disiplini, olay müdahale yetkinliği ve tedarikçi erişim kontrolü; zaman içinde olgunlaşan ve kanıtı biriken süreçler. 2026 EPDK SGYM denetim yaklaşımının sıfırdan değerlendirme ilkesi de tam olarak bu sürekliliği ölçüyor.
Bu nedenle hazırlığın en sağlıklı başlangıç noktası, mevcut durumun dürüstçe değerlendirildiği bir öz denetimdir. Ekibinizle birlikte aşağıdaki soruları yanıtlamanız, çoğu fark analizinin ilk gününde ulaşılan tabloyu size önceden verir:
- Envanterimizde yer almayan OT varlığı bulunuyor mu ve bunu hangi yöntemle doğruluyoruz?
- IT/OT segmentasyonu mimari dokümanda mı, fiili ağ trafiğinde mi mevcut?
- Son çeyrekte yapılan güvenlik gözden geçirmelerinin tarihli kaydına ulaşabiliyor muyuz?
- Olay müdahale planımız en son ne zaman ve hangi senaryo ile test edildi?
- Sistemlerimize erişimi bulunan üçüncü taraf sayısını ve erişim sürelerini net olarak biliyor muyuz?
EPDK SGYM Danışmanlığı ile Denetime Hazırlığı Son Zamana Bırakmayın
EPDK SGYM, enerji sektöründe siber güvenliği iyi niyetli teknik çabalar bütünü olmaktan çıkarıp ölçülebilir ve denetlenebilir bir olgunluk modeline dönüştürüyor. Bu dönüşümde belirleyici olan, kontrollerin varlığı kadar bu kontrollerin sürdürülebilir biçimde işletildiğinin kanıtlanabilmesi.
CBERNET olarak; IEC 62443 ve NIST SP 800-82 çerçevelerini temel alan saha deneyimli OT güvenlik uzmanlarımızla, lisans sahibi enerji kuruluşlarına EPDK SGYM fark analizi, uyum yol haritası ve denetime hazırlık hizmetleri sunuyoruz. Kurumunuzun mevcut olgunluk seviyesini somut verilerle ortaya koyuyor; kritiklik seviyenize uygun, önceliklendirilmiş ve operasyonel gerçeklikle uyumlu bir iyileştirme planı hazırlıyoruz.
Kurumunuzun EPDK SGYM kapsamındaki mevcut durumunu değerlendirmek için info@cbernet.com adresinden ekibimizle iletişime geçebilirsiniz.
