GİB Özel Entegratör Bilgi Güvenliği TS ISO/IEC 27001
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Düzenleyici Çerçeve
GİB Özel Entegratör Bilgi Güvenliği Standardı; Gelir İdaresi Başkanlığı'ndan e-Fatura, e-Arşiv, e-Defter, e-İrsaliye ve diğer e-belge uygulamalarında Özel Entegratörlük izni alabilmek ve bu faaliyeti sürdürebilmek için entegratör kuruluşların sahip olması zorunlu olan uluslararası TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) sertifikasyon standardıdır.
VUK 509 Sıra No.lu Genel Tebliği uyarınca, entegratörlerin TÜRKAK veya Uluslararası Akreditasyon Forumu (IAF) üyesi akredite belgelendirme kuruluşlarından bu belgeyi temin ederek her yıl düzenli denetim raporlarıyla birlikte GİB Denetim Dairesi Başkanlığı'na ibraz etmeleri zorunludur.
Zorunlu Entegratör Güvenlik ve Altyapı Kriterleri
- Donanımsal Güvenlik Modülü (HSM): Mükelleflerin mali mühür ve elektronik sertifikalarının özel anahtarları, uluslararası FIPS 140-2 Level 3 veya Common Criteria EAL 4+ seviyesinde sertifikalandırılmış donanımsal HSM cihazlarında kriptografik olarak muhafaza edilmelidir.
- Felaket Kurtarma Merkezi (FKM): Birincil veri merkezinden coğrafi olarak en az 50 km mesafede bulunan, bağımsız enerji ve internet altyapısına sahip yedek felaket kurtarma merkezi (Disaster Recovery Center) kurulmalı ve periyodik tatbikatlarla çalışırlığı test edilmelidir.
- Sızma Testi (Penetrasyon) Zorunluluğu: TSE onaylı 'Yetkili Sızma Testi Uzmanları' tarafından yılda en az bir kez sistemler üzerinde A ve B tipi penetrasyon testleri yapılmalı ve tespit edilen tüm zafiyetler kapatılmalıdır.
- Eşlik Eden Standartlar: ISO 27001'e ek olarak ISO 22301 (İş Sürekliliği), ISO 20000-1 (Hizmet Yönetimi) ve ISO 27701 (Kişisel Veri Yönetimi) standartlarına da uyum sağlanması talep edilmektedir.
| Standart Adı | TS ISO/IEC 27001:2022 BGYS |
|---|---|
| Yetkili Akreditasyon | TÜRKAK / IAF Akredite Belgelendirme Kuruluşları |
| Kapsam | Özel Entegratör Bilgi İşlem Altyapısı, Veri Merkezleri ve SaaS Portalları |
| Denetim Periyodu | Yılda 1 Kez Gözetim Denetimi + 3 Yılda 1 Yeniden Belgelendirme |
| Uyumsuzluk Riski | GİB Tarafından Özel Entegratörlük Lisansının İptali ve Askıya Alınması |
TS ISO/IEC 27001 belgesi süresi dolan veya denetimlerde kritik uygunsuzluk tespit edilen özel entegratörlerin mükellefler adına fatura imzalama ve GİB web servislerine paket gönderme yetkileri derhal dondurulur.