BSI-CS 154’e ek: Hacklenen kumanda sistemlerinde siber sigorta neyi karşılar – Stoïk örneği

BSI-CS 154 hakkındaki yazımızda, kumanda sistemleri hacklendiğinde siber sigortanın neden otomatik olarak her şeyi ödemediğini genel olarak açıkladık. Şimdi işin somut kısmına geçiyoruz: Stoïk’in siber sigorta koşullarını (Cyber Serenity'nin Standard, DE2609.2 sürümü ve Custom, DE2609.1 sürümü varyantlarını) tipik bir vaka – manipüle edilmiş bir soğutma sistemi – üzerinden madde madde inceledik.

Siber korumanı kontrol ettir

Kısaca en önemli noktalar

• Kumanda sistemleri de dahil: Koşullara göre sigortalı bilgisayar sistemine, internet veya intranet üzerinden erişilebilen ve işletmeye ait olan ya da işletmenin kontrolündeki teknik donanım da girer.
• Bozulma düzenlenmiştir: Bir bozulma klozu, sigortalı bir iş kesintisi sonucunda bozulan malları, hammaddeleri ve yarı mamulleri karşılar.
• Tesislerdeki maddi hasarlar, “maddi varlık hasarları” (Sachsubstanzschäden) modülü olarak mümkündür – kararlaştırılmışsa.
• Sıralamaya dikkat: Bozulma ve maddi varlık hasarlarında mevcut bir mal sigortası önce gelir.
• Senin yükümlülüğün: haftalık, korunaklı yedeklemeler – aksi halde tazminatta kesinti veya edim yükümlülüğünden kurtulma söz konusu olabilir.

Vaka: Cuma gecesi soğutma bölümünde

İlçedeki bir gıda marketi, soğutma kumanda sistemini bir soğutma teknisyenine uzaktan bakım yoluyla yaptırıyor. Erişim internet üzerinden mümkün, şifre yıllardır aynı. Cumartesiye bağlanan gece kimliği belirsiz kişiler oturum açıp hedef sıcaklıkları yükseltiyor. Sabah soğutma reyonlarındaki ve dondurucudaki mallar bozulmuş, bir kompresör aşırı ısınmış, market iki gün kapalı kalıyor. Ekim ayında birkaç Avrupa ülkesindeki süpermarketlerde olaylar buna benzer şekilde yaşandı – ayrıntılar Hackerlar soğutucuları ısıtıyor başlıklı yazımızda.

Stoïk koşulları bu vakada neyi öngörüyor

Önce temel soru: Soğutma kumanda sistemi gerçekten bir “bilgisayar sistemi” midir? Madde II.1.1’e göre buna, internet veya intranet üzerinden erişilebilen bir sistemin parçası olan ve işletmeye ait olan, işletme tarafından kontrol edilen, işletilen ya da kiralanan donanım, yazılım ve bunların bileşenleri dahildir. Uzaktan bakımı yapılabilen bir kumanda sistemi bu ifadeye göre kural olarak bu kapsama girer – bunu memnuniyetle önceden ya da somut durumda senin için netleştiririz. Yetkisiz erişim bir ağ güvenliği ihlalidir ve böylece aşağıdaki teminatları tetikler:

Gelir kaybı ve bozulma için poliçedeki iki değer belirleyicidir: bekleme süresi (bu süre içindeki hasar dikkate alınmaz) ve tazmin süresi (en fazla ne kadar süreyle ödeme yapılacağı). Her ikisi de sigortacıya yapılan bildirimle başlar. Ne kadar hızlı bildirirsen, saat o kadar erken işlemeye başlar. Senin durumunda bozulmanın ilk saatlerde de sayılıp sayılmadığı, kararlaştırılan bekleme süresine bağlıdır – bunu memnuniyetle önceden ya da somut durumda senin için netleştiririz.

Önce kim öder: Siber sigorta mı, mal sigortası mı?

Kural olarak Stoïk poliçesi diğer sözleşmelerden önce gelir (Madde VI.8). Hammadde hasarları (bozulma) ve maddi varlık hasarları açıkça bunun dışındadır. Bu durumda önce mevcut başka bir sigorta öder, örneğin muhteviyat, soğutulmuş ürün, makine veya elektronik sigortan. Siber poliçe, mal poliçesinin ödemediği ölçüde devreye girer – örneğin mal poliçesi siber saldırıları kapsam dışı bıraktığı için.

Bu senin için şu anlama geliyor: İki sözleşmeyi yan yana koy. Ancak o zaman bozulan mallar ile hasar gören tesislerin eksiksiz güvence altında olup olmadığını ya da iki kez ödeme yapıp yapmadığını görürsün.

Sınırlar: Neler sigortalı değil

• Mali zarar sigortası: Kişilere ve mallara gelen hasarlar kural olarak kapsam dışıdır (Madde IV.6). İstisnalar: III.2.3’e göre donanım hasarları, III.2.13’e göre maddi varlık hasarları ve veri koruma ihlallerinden doğan manevi zararlar.
• Maddi varlık hasarı yalnızca kararlaştırılmışsa: Modül poliçede yer almıyorsa, aşırı ısınan kompresör mal sigortasının konusu olarak kalır. Orada diğerlerinin yanı sıra araçlar, hayvanlar ve taşıma sırasındaki eşyalar sigortalı değildir.
• Üçüncü taraf altyapısının çökmesi: Kamu elektrik veya internet şebekesi çökerse koruma yoktur (Madde IV.21). Teknik sorunlar yalnızca kendi elektrik beslemende sigortalıdır.
• Savaş ve devlet kaynaklı siber operasyonlar Madde IV.16’ya göre kapsam dışıdır.
• Kendi ürünlerin ve hizmetlerin: Sigortalı işletmenin kusurlu ürünleri veya hizmetleri nedeniyle doğan sorumluluk talepleri sigortalı değildir (Madde IV.4). Bu nedenle bakım firmaları için mesleki veya işletme sorumluluk sigortası belirleyicidir.
• Teminat tutarları ve muafiyet: Her sigorta olayı için sigorta bedeli, her yıl için yıllık azami tazminat geçerlidir; ayrıca poliçeye göre tazminat limitleri ve muafiyet (Madde VI.4, VI.5).
• Seri hasar: Aynı saldırgan aynı açık üzerinden birden fazla şubeyi vurursa, bu tek bir sigorta olayı sayılır (Madde VI.7). Bedel tüm lokasyonlara yetmelidir.

Yükümlülüklerin: Yedeklemeler ön koşuldur

Madde V.1.1 yedeklemeleri sigorta korumasının ön koşulu yapar. Bilgisayar sisteminin tüm verileri ve “kritik unsurları” – yani geri yüklenmesi beş adam-günden fazla sürecek yazılım ve veriler – yedeklenmelidir:

• en az haftalık, en az iki hafta saklama süresiyle,
• çevrimdışı yedek (örneğin teyp veya harici sabit disk, ağdan ayrı), değiştirilemez yedek (bir yönetici bile silemez) veya güvenli yedek (izole, güvenlik duvarıyla ayrılmış, erişim yalnızca çok faktörlü oturum açmayla) olarak.
• Custom varyantı: Burada yedekler ayrıca belgelenmeli ve en az yılda bir kez kanıtlanabilir şekilde test edilmelidir. Bunun dışında iki koşul metni burada ele alınan noktalarda aynıdır.
• Dikkat: Korumasını bir yöneticinin aşabildiği bazı NAS çözümleri, koşullara göre değiştirilemez sayılmaz.

Pratik ipucumuz: Bu konuda sadece ofis BT’sini düşünme. Soğutma, ısıtma veya makine kumanda sisteminin parametreleri, programları ve yapılandırması da yedeğe dahildir – yedeği bakım hizmet sağlayıcından iste.

Bir sözleşmesel yükümlülüğü kasten ihlal edersen sigortacı edim yükümlülüğünden kurtulur; ağır ihmal durumunda kusurun ağırlığıyla orantılı olarak kesinti yapabilir (Madde V.1.2). İhlalin hasara neden olmadığını kanıtlarsan korumayı korursun. Dikkat çekici olan: Partner CERT-Stoïk’in BT adli bilişim masrafları bu durumda da kesilmez.

Başvurudaki beyanlar da aynı derecede önemlidir (Madde VI.10): Güvenlik durumuna ilişkin beyanların doğru olmalıdır. Hasar durumunda ise şu geçerlidir: poliçedeki yardım hattı üzerinden gecikmeksizin bildir (Madde V.2.1) – bu, bekleme süresini ve tazmin süresini de başlatır.

Uzaktan bakım: Bakım sözleşmesi neden önemli

Uzaktan bakım Stoïk koşullarında da geçiyor: Siber dolandırıcılık modülünde (kararlaştırılmışsa), senin bizzat onay verdiğin bir uzaktan erişime dayanan hasarlar kapsam dışıdır. Bu, sözleşmeyle kararlaştırılmış bir hizmet veya bakım ilişkisi çerçevesinde hareket eden BT hizmet sağlayıcıları veya harici servis sağlayıcıları için açıkça geçerli değildir (Madde III.4.2). Yani yazılı bir bakım sözleşmesi yalnızca güvenlik için değil, sigorta koruması için de önemlidir. İçine hangi noktaların girmesi gerektiğini BSI-CS 154 yazımızda derledik.

Hasara hizmet sağlayıcı neden olduysa, ROLAND ile hukuki koruma modülü yardımcı olur: aralarında veri ve siber, sözleşme ve tazminat hukuki korumasının da bulunduğu sekiz alan, hukuki koruma olayı başına 250.000 €’ya kadar. Sağlayıcıya göre yıllık cirosu 150 Mio. €’ya kadar olan şirketlerin yeni sözleşmelerinde ek prim olmadan dahildir – bunu memnuniyetle önceden ya da somut durumda senin için netleştiririz.

Sadece ödemek yerine önlemek

BSI-CS 154, cihazlara dışarıdan erişilip erişilemediğinin düzenli olarak kontrol edilmesini istiyor. Stoïk’te tam da bu, önleme hizmetlerine dahildir (Madde III.1.1): dışarıdan görülebilen zafiyetleri izleyip bildiren harici bir tarama, ayrıca oltalama (phishing) simülasyonları, bir Active Directory taraması (kullanıcı hakları, şifre politikaları, güncellik) ve bir bulut taraması. Ayrıntılar Önleme odaklı siber sigorta: Stoïk neler sunuyor başlıklı yazımızda. Önemli: Bir tarama, bakım hizmet sağlayıcının kumanda sisteminin kendisi üzerindeki çalışmasının yerini tutmaz.

Sözleşme öncesi kontrol listesi

1. Hangi kumanda sistemleri ve tesisler ağa bağlı – ve başvuruda yer alıyorlar mı?
2. Maddi varlık hasarları modülü kararlaştırıldı mı?
3. Bekleme süresi, tazmin süresi ve iş kesintisi ile bozulma için tazminat limitleri ne kadar?
4. Muhteviyat, soğutulmuş ürün veya makine sigortan neyi öder – ve siber saldırıları kapsam dışı bırakıyor mu?
5. Tüm lokasyonlar aynı anda etkilenirse sigorta bedeli yeterli mi?
6. Yedekleme konseptin gereklilikleri karşılıyor mu – kumanda sistemleri için de?
7. Uzaktan erişim için güvenlik yükümlülükleri içeren yazılı bir bakım sözleşmesi var mı?

Teklifimiz: Stoïk’in siber sigortasına aracılık ediyor ve onu senin için mevcut mal sigortalarınla yan yana koyuyoruz – böylece bozulan mallar, duruş ve hasar gören tesisler iki sözleşme arasında açıkta kalmaz. Daha fazlası: Şirketler için siber güvenlik.

Sık sorulan sorular

Bir siber sigorta, hacker saldırısından sonra bozulan malları öder mi?

Bu, koşul metnine bağlıdır. Stoïk’in siber sigortası (Cyber Serenity, DE2609.2 Standard ve DE2609.1 Custom koşulları) bir bozulma klozu içerir: Sigortalı bir iş kesintisi sonucunda malların, hammaddelerin veya yarı mamullerin bozulmasından doğan değişken masraflar, bertaraf ve yerine yenisini temin dahil karşılanır. Ayrıca hasarı kapsayan bir mal sigortası varsa, o önce gelir.

Bir soğutma veya makine kumanda sistemi siber sigortada birlikte sigortalı mıdır?

Stoïk koşullarına göre bilgisayar sistemine, internet veya intranet üzerinden erişilebilen bir sistemin parçası olan ve işletmeye ait olan ya da işletmenin kontrolündeki donanım ve yazılım dahildir. Uzaktan bakımla erişilebilen bir kumanda sistemi bu ifadeye göre kural olarak bu kapsama girer. Bunu memnuniyetle önceden ya da somut durumda senin için netleştiririz.

Stoïk hangi yedeklemeleri şart koşuyor?

Sigorta korumasının ön koşulu, bilgisayar sisteminin tüm verilerinin ve kritik unsurlarının en az haftalık olarak, en az iki hafta saklama süresiyle yedeklenmesidir – çevrimdışı, değiştirilemez veya güvenli yedek olarak. Custom varyantında yedekler ayrıca belgelenmeli ve en az yılda bir kez belgelenerek test edilmelidir. Değiştirilemezliğini bir yöneticinin aşabildiği bazı NAS çözümlerini Stoïk değiştirilemez olarak kabul etmez.

Birden fazla şube aynı açık üzerinden saldırıya uğrarsa ne olur?

Bu durumda seri hasar klozu devreye girer: Aynı veya benzer nedene dayanan birden fazla sigorta olayı tek bir sigorta olayı sayılır. Yani olay başına sigorta bedeli, etkilenen tüm lokasyonlar için toplamda yetmelidir.

KiS'ten içten selamlar

Not: Genel bilgilendirmedir, durum 05.11.2026, hukuki danışmanlık ve bireysel danışmanlık değildir. Stoïk burada örnek olarak kullanılmıştır; işletmene hangi tarifenin uygun olduğu somut duruma bağlıdır. Yalnızca sözleşmenin koşulları ve poliçesi esastır; “kararlaştırılmışsa” ibareli modüller yalnızca orada listelenmişlerse geçerlidir. Kaynaklar: Stoïk, Cyber Serenity – Standard (DE2609.2) ve – Custom (DE2609.1) koşulları; Stoïk, sigorta modülleri sözlüğü; Stoïk, ROLAND Rechtsschutz ile hukuki koruma modülü; BSI-CS 154 (13.10.2026). KiS – Kontor im Schwarzwald GmbH, § 34d Abs. 1 GewO uyarınca izinli sigorta brokeri, Sicil No. D-PS74-61V96-00.

👉 Siber korumanı kontrol ettir

← Tüm yazılar