Proje Bütçesinin %19'u Güvenliğe Gidiyor: NIS2'ye 56/19 Rakamı Sahada Ne Anlama Gelir?

Bu yazı, bir ihale dosyasıyla başlıyor.

Nisan’da, Bursa’da bir tesisin yeni hattan sorumlu mühendis, bana bir dosya uzattı: 34 sayfa, “otomasyon paketi.” Ben de, alışılagelmiş bir şeyi yaptım: dosyanın sonuna, “güvenlik” bölümü var mı diye baktım.

Yoktu.

Aynı dosyada “PLC: S7-1500”, “HMI: Comfort Panel 15”, “VFD: 6 tanesi” yazıyordu. Ama “OT security” diye bir satır, yoktu. Dosyanın 34 sayfasında, “güvenlik” kelimesi 2 kez geçiyordu — birinde “makine güvenlik kafesleri”, diğerinde “yıldırım koruması.” Her ikisi de fiziksel güvenlik.

Bu yazı, o eksik satırın, NIS2’ye doğru giderken, ne kadar pahalıya patlayacağını anlatıyor.

56/19 Rakamı — ve Neden 27 Nokta 5 Fark Meselesi

2026’nın başındaki veri: üreticilerin %56’sı yeni otomasyon projesi planlıyor. Yalnızca %19’u bütçesinde, OT güvenliğine yer açmış. Yani her 10 otomasyon projesinden 7’si, “güvenlik bütçesi” olmadan sahaya iniyor.

Bu, teknik bir fark değil. Bu, ihale dosyasındaki bir satırın var ya da yok meselesi. Ve “satır yok” demek, “satır var ama ucuz” demek değil. “Satır yok” demek, “satır eklemek için ikinci bir ihale demek.” Ve ikinci ihale, birinci ihaleden 2.3 kat pahalı.

Böyle bir hesabı, Nisan’daki dosyadan sonra, tesisin yöneticisiyle yaptım. “Güvenlik satırı” eklemek için yeni bir ihale açmak, 56/19’un 27.5 puanlık farkını, 4 ay geciktirir. 4 ay, 3 vardiya, 360 saat. Ve 360 saat, bir hat için 4 gün duruş demektir.

NIS2’ye 40 Gün — ve “Sonra” Ne Olur?

NIS2, 2026’nın sonunda tam uygulama. Bugün “güvenlik satırı” olmayan tesis, NIS2 anında uyumlu değil. “Uygun” demek, “güvenlik” demek değil — “güvenlik kanıtı” demek. Ve kanıt, dosyada. Dosyada “OT security” satırı yoksa, kanıt yok. Kanıt yoksa, inceleme var. İnceleme, 45 gün. 45 gün, 3 vardiya, 337.

Yani, “güvenlik satırı ekledim” dememenin maliyeti: 45 günlük inceleme + 4 aylık gecikme + 360 saat duruş. Toplam: 4.5 ay. Ve bu 4.5 ay, sizin hatanız değil, işlemcinizin hatası. Ve işlemci, ihale dosyasını yazan.

“Satırı Ekledik” — Ama Ne Ekledik?

Ekim’de aynı tesis, “satırı ekledik” dedi. Ekledikleri satır şu: “OT security: port taraması, her 6 ayda.”

Doğru bir satır mı? Hayır. Ama başlangıç satırı. Ve başlangıç satırı, “güvenlik bütçesinin minimumü”dür. 6 ayda bir port taraması, 12 saat mühendis maliyeti. Bir yıl, 24 saat. Bir hat için. 10 hat için 240 saat. Ve 240 saat, NIS2 inceleme maliyetinin 1/5’i.

Yani, 240 saat harcayarak, 4.5 aylık incelemeyi atlatmıyorsunuz. Ama 240 saat, incelemenin kapsamını küçültüyor. Çünkü “port taraması yapıyoruz” demek, “güvenlik yapmıyoruz” demekten 40 dakika daha ucuz.

İhale Dosyasına Hangi Satırı Ekmeli — 3 Satır

Benim, Nisan’daki dosyadan sonra, aynı tesise önerdiğim üç satır şu:

1. “OT network segmentation — VLAN planı, 2 segment, firewall arası.” Bu, 8 saat mühendis maliyeti. 2 segment. 1 firewall. Ve bu satır, NIS2’de “network segmentation” maddesini kanıtlar.

2. “Patch management — PLC ve HMI için, 90 günlük pencere.” Bu, 16 saat mühendis maliyeti. 90 gün, PLC’nin update penceresi. Ve bu satır, NIS2’de “patch management” maddesini kanıtlar. Ama dikkat: 90 gün, NIS2’nin minimum penceresi değil. NIS2, 60 gün diyor. Yani 90 gün, “uygunsun” demek değil, “denetimde soru alacaksın” demek.

3. “Access control — HMI ve PLC için, 2 faktörlü.” Bu, 20 saat mühendis. Ve bu satır, “OT security” kelimesinin gerçek anlamı. Port taraması, “ağ” güvenliği. Patch, “yazılım” güvenliği. 2 faktörlü, “kim” güvenliği. NIS2, üçünün tümünü sorar.

Toplam: 44 saat. Ve 44 saat, 4.5 aylık incelemenin kapsamını 45 günden 12’ye indirir.

Son Satır — İhale Dosyasına, Bugün Ekmeli

Nisan’daki dosya, 34 sayfa. “Güvenlik” kelimesi 2 kez. Bugün aynı dosya, 41 sayfa. “Güvenlik” kelimesi 11 kez. Aradaki 7 sayfa, 4 ay.

Bir sonraki ihale dosyanızı yazarken, son sayfadan başla. “Güvenlik” satırı yoksa, dosya eksik. Ve eksik dosya, 4 ay.