Gıda zinciri de kritik altyapıdır

Hukukta bazı kavramlar, ancak bozuldukları gün fark edilir. Soğuk zincir de onlardan biri. Bir dondurucunun sıcaklığını kimse mevzuat konusu olarak düşünmez; ta ki yüzlerce süpermarketin soğutucuları uzaktan ısıtılana ve bozulan gıdanın değeri milyonlarca avroyu bulana kadar. Bu hafta ABD'de CISA, FBI ve ortak kurumlar kritik altyapı işletmecilerine soğutma sistemlerini korumaları çağrısı yaptı. Danışma metnine göre sağlık, ulaşım, gıda ve kimya sektörleri uzaktan izlemeli soğutmayı yaygın kullanıyor.

Bu uyarının hukuki anlamı, 'kritik' kelimesinin kime ait olduğuyla ilgili. Avrupa Birliği'nin NIS2 yönergesi, gıda üretimi, işlenmesi ve dağıtımını 'diğer kritik sektörler' arasında sayıyor; yani gıda zinciri artık yalnızca tüketici hukukunun değil, siber dayanıklılık yükümlülüklerinin de alanında. Yönergenin mantığı basit: kesintisi toplumsal etki doğuran hizmetin sahibi, risk yönetimini ve olay bildirimini üstlenir. Soğutma denetleyicisini internete açık bırakan bir işletmenin 'bu sadece bir termostat' savunması, bu mantıkla bağdaşmaz.

Türkiye açısından soru daha ilginç. Siber Güvenlik Başkanlığı kurulmuş durumda ve ülkede kritik altyapı kavramı, ayrı ayrı sektör düzenlemeleriyle işliyor. Gıda soğutma gibi 'sıradan' operasyonel teknolojilerin bu düzenlemelerde nasıl karşılık bulduğu ise, bildiğim kadarıyla açık bir tartışma konusu değil. Bunu kesin bir hükümle yazmak istemem; ama bir işletme için pratik sonuç şu: kritik altyapı statüsünüz olmasa bile, kişisel veri ve sağlık ürünü saklıyorsanız 'uygun güvenlik düzeyi' yükümlülüğü ve sözleşmesel sorumluluk sizi yine bulur.

Uyarının ikinci cümlesi de hukukçu için okunmaya değer. Metin, saldırıların bağlantılı olup olmadığını söylemiyor. Fransız Kan Kurumu üç ulusal kan bankasında soğutma kontrollerinin kurcalandığını açıkladı; kimse sorumluluk üstlenmedi. Yetkililer Rusya ile gerilimin gölgesinde hibrit tehditler konusunda teyakkuzda, Kremlin ise bunları defalarca reddetti. Hukuk, atıf konusunda ihtiyatlıdır: kanıt olmadan fail adı vermek, uluslararası hukukta sorumluluk iddiasının en zayıf halkasıdır. Bu yüzden 'devlet saldırısı' ile 'bilinmeyen aktör' arasındaki farkı, haberi okurken de korumak gerekir.

Osmanlı'da hisbe teşkilatı pazarın ölçü ve tartısını denetlerdi; çünkü ekmeğin ve etin güvenilirliği düzenin güvenilirliğiydi. Bugün aynı işlevi, denetleyicinin ürün yazılımı, uzaktan erişim kuralı ve alarm zinciri görüyor. Tartıyı hile yapan esnaf nasıl mesuliyetten kaçamazsa, soğutma panelini parolasız bırakan işletme de kaçamayacak.

Burada bir de sorumluluğun zinciri meselesi var. Bir soğutma denetleyicisini kuran, bakımını yapan, uzaktan erişimi yöneten ve verisini bulutta tutan tarafların her biri sözleşmede ayrı satırdır; saldırı anında ise hepsi tek bir hasarın içinde buluşur. Zararı kim karşılayacak sorusunun cevabı, çoğu zaman olaydan önce yazılmış bir paragrafta saklıdır. O paragraf yoksa, tartışma saldırıdan sonra mahkeme koridorunda başlar ve gıda çürümüş olur.

Pratik çıkarım yönetim kurulu için: soğutma, iklimlendirme ve bina yönetim sistemlerini yalnızca tesis konusu değil, risk kaydının bir kalemi olarak yazın. İnternetten erişilebilen denetleyicilerin envanterini çıkarın, tedarikçiyle uzaktan erişimin kapsamını sözleşmeye bağlayın ve bir alarm bağımsız kanaldan ulaşmıyorsa onu alarm saymayın. Hukuk teknolojinin arkasından koşar, ama bozulmuş bir soğuk zincirin hesabını sormaktan hiç vazgeçmez.