Bu yazı hukuki tavsiye değildir. NIS2 ve Bulgaristan Siber Güvenlik Kanunu (Cybersecurity Act) değişiklikleri sektörünüze, büyüklüğünüze ve faaliyetinize göre farklı uygulanır. Nihai kapsam ve yükümlülükler için avukatınıza veya yetkili danışmana başvurun. Aşağıdakiler Sofya’da AB hosting kullanan e-ticaret ve KOBİ ekipleri için pratik bir kontrol listesidir.
Bulgaristan’da NIS2’yi iç hukuka aktaran Siber Güvenlik Kanunu değişiklikleri 17 Şubat 2026 itibarıyla yürürlüğe girdi. “Henüz AB genelinde konuşuluyor, biz sonra bakarız” dönemi mağaza sahipleri için kapandı. Soru artık “direktif var mı?” değil: mağazanız veya tedarik zinciriniz kapsamda mı ve hosting sözleşmeniz denetimde ne söyleyecek.
Kapsam: mağaza mı, “önemli varlık” mı?
NIS2, yalnızca bankaları veya enerji şirketlerini hedeflemez. Dijital altyapı, bulut, yönetilen hizmetler ve belirli büyüklükteki işletmeler ile kritik tedarikçiler çerçeveye girer. Küçük bir Sofya veya İstanbul merkezli e-ticaret sitesi otomatik olarak “önemli varlık” olmayabilir; ama kart ödeme entegrasyonu, lojistik API’leri, B2B sipariş portalları veya kamu ihalelerine giden bir tedarikçiyseniz müşteriniz sizden kanıt isteyebilir.
Pratik tarama: çalışan sayısı ve ciro eşikleri, sektör listeleri, “yönetilen hizmet sağlayıcı” olup olmadığınız ve müşteri sözleşmelerindeki güvenlik ekleri. Emin değilseniz varsayımı “kapsamdayız” diye kilitlemeyin; varsayımı “kanıt isteyen müşteri gelecek” diye kurun.
Hosting sözleşmesinde aranacak maddeler
Denetimde veya müşteri anketinde sık sorulanlar teknik slogan değil, yazılı taahhüttür:
- Veri konumu: üretim ve yedeklerin hangi ülkede tutulduğu (EuroVDC için Sofya, AB).
- İşleyen rolü: GDPR Madde 28 / DİS (DPA) — kim sorumlu, kim işleyen.
- Olay bildirimi: güvenlik olayında ne kadar sürede bilgilendirileceğiniz, iletişim kanalı.
- Erişim ve alt işleyenler: destek erişimi, alt yükleniciler, üçüncü ülke transferi var mı.
- Yedekleme ve süreklilik: RPO/RTO iddiası değil, test edilebilir yedek ve geri dönüş prosedürü.
- Fesihte silme: hesap kapanınca veri silme veya iade onayı.
Bunlar NIS2’nin tamamı değildir; ama “hosting paketimiz güvenli” cümlesinden daha denetlenebilir. AB veri yerleşimi bağlamı için GDPR hosting — EU veri merkezi Sofya yazısına bakın.
Mağaza ekibinin yapabileceği somut adımlar
- Panelde hangi ürünlerin (web hosting, VPS, kurumsal e-posta) aynı hesap altında olduğunu listeleyin.
- DNS zone’unuzun nameserver’larını doğrulayın: EuroVDC’de tipik olarak
ns1.eurovdc.eu/ns2.eurovdc.eu. - MX’in
securemail.eurovdc.euolup olmadığını ve yönetim panosu erişim loglarını kimlerin gördüğünü yazın. - DİS’i indirin veya talep edin; müşteri anketine “istek üzerine” değil, dosya linki veya tarihli PDF koyun.
- Olay playbook’u: kim destek açar, kim müşteriye yazar, kim yedekten dönmeyi onaylar — üç isim yeterli.
Kapsamda değilseniz bile sözleşme dili işe yarar
Birçok mağaza resmi NIS2 listesinde olmayabilir. Yine de B2B müşteriler, sigorta anketleri ve pazar yeri satıcı doğrulamaları aynı soruları sorar. Net veri konumu, DİS ve olay süresi yazmak maliyet değil; satış engelini kaldırır. Sofya’da web hosting ve mail’i tek sağlayıcıda tutmak, “dört farklı bulutta dört farklı cevap” riskini azaltır.
Özet: 17 Şubat 2026 sonrası Bulgaristan’da NIS2 çerçevesi yürürlükte. Mağazanızın hukuki statüsünü avukatınız netleştirsin; sizin tarafınızda hosting sözleşmesi, DİS, olay bildirimi ve Sofya’daki gerçek altyapı kanıtı hazır olsun.
Sıkça sorulan sorular
Bu yazı hukuki tavsiye midir?
Hayır. Genel bilgilendirme ve operasyonel kontroldür. Kapsam, ceza ve sektör yükümlülükleri için yetkili danışman kullanın.
Küçük e-ticaret otomatik kapsamda mı?
Hayır, otomatik değil. Eşikler, sektör ve müşteri talepleri belirler. Yine de sözleşme ve DİS hazırlığı çoğu B2B satışta gerekir.
Yalnızca Sofya’da barındırmak NIS2 uyumu sayılır mı?
Hayır. Konum yardımcıdır; süreç, bildirim, erişim kontrolü ve yazılı işleyen sözleşmesi ayrıdır.
Hosting sözleşmesinde olay süresi yoksa ne yapmalı?
Sağlayıcıdan yazılı netleştirme isteyin. Destek SLA’sı ile güvenlik olayı bildirimi aynı şey olmayabilir.
Mail ve site ayrı firmalardaysa sorun mu?
Mümkün, ama denetimde iki DİS, iki olay kanalı ve iki konum beyanı gerekir. Tek AB sağlayıcıda birleştirmek anketleri sadeleştirir.
