MADDE 9- (1) Yetkinlik modeli uygulama yükümlülüğü, Kurum tarafından kritiklik dereceleri belirlenip yükümlü kuruluşlara tebliğ edildiğinde başlar.

(2) Yükümlü kuruluşlar, kritiklik dereceleri ve sektörleri özelinde hazırlanmış olan yetkinlik modeli asgari seviye kontrolleri kapsamında yükümlülüklerini gerçekleştirir.

(3) Yükümlü kuruluşlar, hedeflenen tamamlama süresinde uygulamakla yükümlü oldukları kontrolleri değerlendirirken aşağıda yer alan uyum sınıflandırmasını kullanır.

a) Tam uyum: Yetkinlik modeli kapsamında yer alan ana kontrol başlıklarında bulunan her bir kontrol maddesine ilişkin gereksinimin modelde yazıldığı şekilde karşılanması durumudur.

b) Kısmen uyum: Yetkinlik modeli kapsamında yer alan ana kontrol başlıklarında bulunan her bir kontrol maddesine ilişkin gereksinimin tam olarak karşılanamadığı, geçici ya da iyileştirici önlemlerin uygulandığı durumdur.

c) Uyumsuz: Yetkinlik modeli kapsamında yer alan ana kontrol başlıklarında bulunan her bir kontrol maddesine ilişkin gereksinimin hiçbir şekilde karşılanamadığı durumdur.

ç) Kapsam dışı: Yetkinlik modeli kapsamında yer alan alt kontrol başlıklarında birbirine alternatif olabilecek teknoloji veya yöntem bulunması durumunda yükümlü kuruluşta mevcut bulunan teknoloji ve yönteme uygun kontrollerin uygulanması, diğer alternatif teknoloji ve yöntemlere ilişkin kontrol maddelerinin kapsam dışı bırakılması durumudur.

(4) Yükümlü kuruluşlar, yükümlü oldukları kontrol maddelerine hedeflenen tamamlama süresi sonunda tam uyumlu olmak zorundadır.

(5) Kontrollerin uygulanmasında hedeflenen tamamlama süresi, aşağıda adları belirtilen sektörler özelinde hazırlanan ve (Değişik ibare:RG-8/9/2024-32656) Ek-1, Ek-1a, Ek-2, Ek-2a, Ek-3, Ek-3a Ek-4, Ek-5, Ek-6 ile Ek-7’de yer alan yetkinlik modeli dokümanlarında açıklanır:

a) Elektrik Dağıtım Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

b) Doğal Gaz Dağıtım Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

c) (Ek:RG-28/1/2024-32443) Elektrik Üretim Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

ç) (Ek:RG-28/1/2024-32443) Rafineri Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

d) (Ek:RG-8/9/2024-32656) Doğal Gaz Depolama Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

e) (Ek:RG-8/9/2024-32656) Doğal Gaz ve Ham Petrol İletim Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.

f) (Ek:RG-8/9/2024-32656) Elektrik İletim Sektörü Siber Güvenlik Yetkinlik Modeli Teknik Kontrol Maddeleri.