Lordlar Kamarası Büyük Komitesi, 7 Eylül 2026’da Londra’da Siber Güvenlik ve Dayanıklılık (Ağ ve Bilgi Sistemleri) Tasarısı’nda üst yöneticilere kişisel hukuki sorumluluk getirilmesini tartıştı. Üyeler, kuruluşun kural ihlalinde rıza, göz yumma ya da kasti veya dikkatsiz ihmal varsa düzenleyicilerin kıdemli yöneticileri cezalandırmasına tasarıda yer verilmediğini sordu.
Barones Kidron ve Barones Ludford, üst yöneticiler için kişisel hukuki sorumluluk ve yönetim kurulu düzeyinde siber sorumluluk öngören soruşturma amaçlı değişiklikleri destekledi. Kidron, değişikliğin amacının kurum kültürünü dönüştürmek, önleyici adımı teşvik etmek ve cezalardan kaçınmak olduğunu söyledi. Kültür değişiminin tepeden başladığını ekledi.
Lord Clement-Jones, kritik ulusal hizmet sağlayan bir kuruluşu yöneten ve milyonlarca sterlinlik ücret alan bir yöneticinin o kuruluşu güvence altına almak için kişisel sorumluluk taşıması gerektiğini savundu. Destekçiler, finans sektöründe son on yılda üst yönetime getirilen düzenleyici yükümlülüklere işaret etti. Tasarıyı AB ağ ve bilgi güvenliği yönergesine (NIS2) yaklaştırmak istediklerini belirttiler. Kişisel sorumluluk NIS2 altında zorunlu tutulmuyor; üye devletler farklı uygulama seçiyor.
Hükümet tarafında siber güvenlik bakanı Barones Lloyd of Effra kişisel sorumluluk değişikliğini desteklemedi. Lloyd, özellikle temel hizmet sunan kuruluşların hesap vermesi gerektiğini söyledi. Azami cezanın 17 milyon sterlin ya da yıllık cironun yüzde 4’ü, hangisi yüksekse o tutar olduğunu hatırlattı ve bunu anlamlı bir yaptırım rejimi diye niteledi. Yüzde 4 ayağının düşürülmemesini savundu.
İkincil mevzuatla gelecek güvenlik ve dayanıklılık kuralları, NCSC Siber Değerlendirme Çerçevesi doğrultusunda yönetim kurulu düzeyinde yönetişimi zorunlu kılacak. Hükümet bu ayrıntılar için henüz istişare başlatmadı. Kapsam kurumsal yetkinlik, üst düzey sorumluluk, hesap verebilirlik ve risk yükseltmeyi içeriyor. İngiltere hükümetinin Siber Dayanıklılık Taahhüdü’ne 60 kuruluş katıldı; taahhüt, kurulların siber güvenliği üstlenmesini istiyor.
Kapsama giren kuruluşlar olay bildiriminde 24 saat içinde ilk bildirim, 72 saat içinde daha ayrıntılı rapor verecek. Olay, bir işletmeye olumsuz etkisi olan ya da bu etkiyi doğurma kapasitesi bulunan durum diye tanımlanıyor. Eski güvenlik bakanı Barones Neville-Jones, kapasitesi bulunan ifadesinin etkisi muhtemel diye değiştirilmesini önerdi. Clement-Jones, mevcut ifadenin savunmacı bildirimi idari bakımdan aşırı şişireceğini, veri ihlali tanımının da müşteriye sıfır kesinti yaratan teknik anomalileri kapsayacak kadar geniş olduğunu savundu.
Eski TalkTalk genel müdürü Barones Harding, 14 günlük ara rapor ve saldırıdan bir ay sonra nihai rapor önerdi. 72 saatten sonra gerçek veri gelmeye başladığını, birkaç haftada tablonun netleştiğini, bir ayda sisin dağıldığını söyledi. Lloyd iki kademeli yapıyı savundu. 24 saatlik uyarı NCSC’nin başka kuruluşların etkilenip etkilenmediğini görmesini sağlar; 72 saatlik rapor daha eyleme dönük ayrıntı taşır. Madde 15’teki bilgi toplama yetkisi düzenleyicilerin ek bilgi istemesine imkân verir. Hükümet bu kademeleri sektörle birlikte geliştirdiğini belirtti.
Tasarı, 2018 Ağ ve Bilgi Sistemleri Yönetmeliği’ni güncelliyor. Büyük Komite’nin ikinci gününde veri merkezi yükümlülükleri ve alt müşterilere 24 saat yerine 72 saat içinde bildirim tartışıldı. Hükümet, yurt dışı yargılamalara ilişkin riski çok düşük görerek itirazı reddetti. Kişisel hukuki sorumluluk hükmü hükümetin karşı çıkmasıyla tasarı metninde yer almadı.