Bulut Hizmeti Kesilirse Siber Sigorta İş Durmasını Karşılar mı? SaaS ve Tedarikçi Riski

Bulut sunucusu, e-ticaret altyapısı veya dışarıdan kullanılan bir yazılım servisi kesilirse siber sigorta gelir kaybını karşılar mı? Her kesinti otomatik olarak sigortalı değildir. Siber poliçelerde bağımlı iş durması (dependent veya contingent business interruption) güvencesi bulunması halinde, sigortalı işletmenin hizmet aldığı belirli üçüncü taraflarda yaşanan ve poliçede tanımlanan bir siber olayın neden olduğu iş kayıpları incelenebilir. Ancak olayın nedeni, sağlayıcının poliçedeki tanımı, bekleme süresi, alt limit ve istisnalar sonucunu belirler.

Doğrudan yanıt: Dış hizmet sağlayıcısındaki bir siber saldırı nedeniyle işletmenizin faaliyetleri durduysa, poliçede uygun bağımlı iş durması teminatının bulunup bulunmadığını kontrol edin. Sadece bulut hizmetinin çalışmaması, gelir kaybının tümünün kesin olarak ödeneceği anlamına gelmez.

Bağımlı iş durması (dependent business interruption) nedir?

Bağımlı iş durması, sigortalının kendi sisteminden ziyade sözleşmede tanımlanan üçüncü taraf hizmet sağlayıcısı veya tedarikçide gerçekleşen teminat kapsamındaki olay nedeniyle sigortalı işletmenin faaliyetlerinin sekteye uğraması halidir. Bu terim bazı uluslararası siber poliçelerde ayrıca düzenlenir; Türkiye’de her siber sigorta ürününün aynı isim veya kapsamla sunulduğu varsayılmamalıdır.

Örneğin bir e-ticaret sitesi bulut barındırma sağlayıcısının siber saldırı sonucu kesintiye uğraması nedeniyle sipariş alamayabilir. Poliçede bağımlı iş durması yer alıyorsa, kesintinin sigorta açısından uygun bir olay olup olmadığı, gelir kaybının nasıl ispatlanacağı ve ödeme limitleri incelenebilir.

ABD Federal Ticaret Komisyonunun (FTC) siber sigorta rehberi, işletmelerin üçüncü taraflarda tutulan verileri hedefleyen siber saldırıları ve iş durmasına bağlı gelir kayıplarını poliçe seçimi sırasında özellikle kontrol etmesini önerir. Birleşik Krallık Ulusal Siber Güvenlik Merkezinin (NCSC) rehberi de siber olayın iş durması etkisinin ve dış bağımlılıkların önceden değerlendirilmesini vurgular.

Hangi bulut ve SaaS kesintileri farklı değerlendirilir?

Bir poliçe hem kötü niyetli siber saldırıyı hem de belirli kötü niyet içermeyen sistem arızalarını kapsayabilir; başka bir ürün bunlardan yalnızca birini kapsayabilir. Piyasadan alınan tek bir örnek şartnameye dayanarak bütün sigortalar için aynı sonuç çıkarılamaz. Ürün koşullarını şirketten yazılı teyit edin.

Bulut kesintisi ile veri ihlali arasındaki fark nedir?

Hizmet kesintisi, uygulama veya sisteme erişilememesidir. Kişisel veri ihlali ise belirli koşullarda kişisel verinin hukuka aykırı biçimde başkaları tarafından elde edilmesi gibi veri güvenliği ihlallerini ifade edebilir. Her erişim sorunu, otomatik olarak bir veri sızıntısı değildir. Bir siber olay ise aynı anda hem hizmet kesintisine hem kişisel veri ihlaline yol açabilir.

Türkiye’de Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli 2019/10 sayılı kararına göre Kanunun 12/5 maddesindeki koşullarda, veri sorumlusunun kişisel verilerin hukuka aykırı biçimde elde edildiğini öğrenmesinden itibaren Kurula gecikmeksizin ve en geç 72 saat içinde bildirim yapılması gerekir. Yalnızca teknik kesinti yaşandığı için her durumda KVKK bildirimi yapılması gerektiği söylenemez. Olayın niteliği yetkin kişilerce incelenmelidir.

Bulut hizmeti kesintisi için hangi zararlara bakılır?

Siber poliçenin iş durması teminatı bulunuyorsa, sigortalı işletmenin belgelenebilir faaliyet kesintisi, gelir veya kâr kaybı, olayın giderilmesi için yapılan gerekli ek harcamalar ve benzeri kalemleri düzenlenmiş olabilir. Sigorta tutarı, ciro, brüt kâr, iş durması süresi ve belge kapsamı birbirine eşit kavramlar değildir.

Örnek: Bir çevrim içi mağaza altı saat sipariş alamadıysa bu altı saatte beklenen satış tutarının tamamı doğrudan sigorta tazminatı sayılamaz. Poliçenin hesaplama yöntemi, gerçekleşmeyen satışların maliyeti, sonradan telafi edilen siparişler, kesinti nedeni, bekleme süresi ve teminat limiti incelenir.

Bekleme süresi ve alt limit nasıl çalışır?

Bazı siber iş durması poliçelerinde hasar ancak belirli bir bekleme süresi aşıldığında devreye girebilir. Örneğin poliçede yazan bekleme süresinden daha kısa bir kesinti yaşanması ödeme değerlendirmesini etkileyebilir. Ancak her üründe aynı saat sınırı bulunduğu söylenemez. Bağımlı iş durması teminatının ana poliçe limitinden ayrı bir alt limiti, özel muafiyeti veya sadece adı geçen tedarikçilere ilişkin kısıtı bulunabilir.

Kesinti yaşandığında ilk 7 adım

1. Olayı kayıt altına alın: Başlama saati, etkilenen sistem, hata ekranları ve sistem günlükleri korunmalıdır.
2. Bulut sağlayıcısından bilgi alın: Kesintinin siber saldırı, teknik arıza, bakım veya başka bir nedenle oluştuğunu belgelemeye çalışın.
3. İş sürekliliği planını çalıştırın: Güvenli alternatif ödeme, sipariş alma ve müşteri bilgilendirme yöntemlerini değerlendirin.
4. Sigortacıya gecikmeden haber verin: Siber olay asistansı, uzman yönlendirmesi, ön onay ve ihbar şartlarını sorun.
5. Gelir kaybını belgelendirin: Önceki dönem siparişleri, kesilen işlemler ve geri kazanılan satışları ayrı kaydedin.
6. Olası veri ihlalini ayrıca araştırın: Veri sorumlusu yükümlülükleri ve KVKK bildirim koşullarını değerlendirin.
7. Teknik ve mali delilleri saklayın: Sağlayıcı olay raporu, hizmet seviyesi anlaşması (SLA), faturalar ve ek iş sürekliliği maliyetleri dosyada bulunmalıdır.

Daha geniş teminat karşılaştırması için KOBİ’ler için siber sigorta rehberimizi, e-ticaret riski için e-ticaret siteleri ve siber sigorta yazımızı okuyabilirsiniz. Sosyal mühendislikten kaynaklanan kayıplar ise farklı değerlendirilir: BEC ve sosyal mühendislik teminatı.

Poliçe alırken sorulacak 8 soru

• Bulut, hosting, SaaS, DNS, CDN veya ödeme altyapısı sağlayıcıları poliçede bağımlı hizmet sağlayıcısı olarak yer alıyor mu?
• Yalnızca saldırı mı, belirli sistem arızaları da mı kapsanıyor?
• Sağlayıcının kendi alt tedarikçilerinde yaşanan olaylara güvence var mı?
• İş durması için asgari kesinti veya bekleme süresi kaç saat?
• Hangi gelir/kâr kaybı hesaplama yöntemi kullanılıyor?
• Ek gider, muafiyet ve alt limitler neler?
• Olay yanıtı için önceden onaylı hizmet sağlayıcı kullanmak gerekiyor mu?
• Veri ihlali, kesinti ve üçüncü kişi talepleri için farklı teminat bölümleri bulunuyor mu?

Sık sorulan sorular

Cloudflare, AWS veya başka bulut sağlayıcısı kesilirse kesin ödeme yapılır mı?

Hayır. Sağlayıcının adı değil; olayın poliçede tanımlanan neden, dış hizmet bağımlılığı, kapsam ve istisna şartlarıyla uyumu belirleyicidir.

Siber saldırı olmadan yaşanan sunucu kesintisi sigortalı olabilir mi?

Bazı poliçeler belirli sistem arızalarını da kapsayabilir. Saldırı dışı arıza ve planlı bakım istisnaları ilgili sözleşmeden okunmalıdır.

Bulut sağlayıcısından SLA kredisi aldıysam yine de sigorta talep edebilir miyim?

SLA kapsamında alınan geri ödeme veya hizmet kredisi, sigorta hasarının mali hesabını etkileyebilir. Aynı zarar için iki kez ödeme varsayılmamalıdır. Tüm belgeleri sigortacıya sunun.

Her hizmet kesintisini KVKK’ya 72 saat içinde bildirmem gerekir mi?

Hayır. 72 saat kuralını otomatik olarak her kesintiye uygulamayın. Kişisel verinin hukuka aykırı biçimde başkaları tarafından elde edilmesi gibi ilgili hukuki koşulların gerçekleşip gerçekleşmediği değerlendirilmelidir.

Resmî kaynaklar: FTC – Cyber Insurance; Birleşik Krallık NCSC – Cyber Insurance Guidance; KVKK – Veri İhlali Bildirim Usulü, 2019/10. Son kaynak kontrolü: 23 Ekim 2026. Bunlar siber sigorta konusunda genel resmî rehberlerdir; Türkiye’deki somut poliçe kapsamını ilgili sigortacının sözleşmesi belirler.