Bulut Hizmetlerinde Bilgi Güvenliği Yönetim Sistemi (BBYS) Belgelendirmesi

BBYS başvurusunu yalnız standart numarası seçerek başlatmayın. İhtiyaç bulut hizmeti sağlayıcıları ve kullanıcıları için bilgi güvenliği ile ilgili olmalıdır. Önce mevcut bilgi güvenliği belgenizin durumunu ve başvurunun hangi hizmet veya tesisleri kapsayacağını kontrol edin.

Programın odağını doğru belirleyin

TSE, TS EN ISO/IEC 27017 hizmetini bulut hizmeti sağlayıcıları ve kullanıcıları için bilgi güvenliği kapsamında tanımlar. TSE BBYS, Bilgi

Hizmeti sağlayan, alt hizmeti yürüten ve hizmeti kullanan tarafların sorumluluklarını ayrı ayrı açıklayın. Bulut hizmetinin adı aynı olsa bile hesabın yönetimi, uygulamanın işletimi ve fiziksel altyapı farklı taraflarda olabilir. Kapsam notunu, mevcut belgenizin faaliyet açıklamasıyla karşılaştırın. İki metindeki kuruluş, tesis ve hizmet adları farklıysa bunun nedenini başvuru öncesinde açıklığa kavuşturun.

Önce uygun ISO/IEC 27001 belgesini kontrol edin

Güncel bilişim başvuru prosedürü 27017, 27018 ve 27019 başvurularında ISO/IEC 27001 belgesini esas alır. Belge, IAF üyesi akreditasyon kuruluşunca akredite edilmiş ve akreditasyon kapsamında ISO/IEC 27001 bulunan bir belgelendirme kuruluşundan alınmalıdır. BGYS belgesi bulunmayan kuruluş önce BGYS için başvurur. Mevcut belge başvuru formuna eklenir. SB-BTYS-PR-001, 06.02.2026/7, Başvurunun Kabulü

Sadece bir danışmanlık sözleşmesi veya eğitim sertifikası bulunması bu ön koşulu karşılamaz. Belgenizin kuruluş adı, kapsamı ve geçerlilik durumunu okunabilir şekilde hazırlayın; kabulü birimin değerlendirmesine bırakın.

Akreditasyon bilgisini başka programa taşımayın

TSE hizmet sayfası, TS EN ISO/IEC 27017 belgelendirmesi için akreditasyonunun bulunmadığını açıkça belirtir. TSE BBYS, Bilgi — akreditasyon açıklaması

Bu bilgiyle ön koşul olan BGYS belgesinin akreditasyon şartını karıştırmayın. Müşteri veya ihale şartınız özellikle akredite belge istiyorsa hangi standardı ve hangi kapsamı kastettiğini belgeyi sipariş etmeden netleştirin. Başka bir TSE programının akreditasyonu burada otomatik kanıt değildir.

Form ve sistem kayıtlarını birlikte hazırlayın

Bilişim başvuru formunda 27017 için uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisi sayılır. Kapsam Türkçe ve İngilizce yazılır; merkez dışı tesisler ayrıca bildirilir. C-1 notunda tetkik öncesi en az bir iç tetkik ve yönetimin gözden geçirmesi ile muhtemel belgelendirmeye kadar en az iki aylık sistem uygulaması yer alır. Bilişim başvuru formu, A4, B ve C-1

Mevcut BGYS dosyanızdan yararlanırken bu programa özgü kapsamı görünür kılın. Kopyalanmış fakat yeni faaliyeti açıklamayan bir politika yerine kullanılan süreç ve sorumlulukları doğru anlatın. Bu hazırlık, başvurunun kabul edileceği veya tetkikin tek seferde biteceği vaadi değildir.

Bir bulut hizmeti için kapsamı nasıl yazabilirsiniz?

Örnek olarak müşterilerine çevrimiçi stok uygulaması sunan bir işletmeyi düşünün. Uygulamanın hesaplarını kendi ekibi yönetiyor, sunucuyu başka bir bulut sağlayıcısı işletiyor, destek hizmetini ise ayrı bir şirket veriyor. Hazırlık notunda bu üç tarafı tek bir “bulut hizmeti” satırında eritmek yerine uygulama işletimi, altyapı ve destek olarak ayırmak işleri kolaylaştırır.

Her faaliyet için şu sorulara kısa cevap yazabilirsiniz:

• Kullanıcı hesabını açan, yetkisini değiştiren ve kapatan kim?
• Hizmetin hangi bölümü başvuran tüzel kişinin sorumluluğunda?
• Dış hizmet sağlayıcının işi ve sınırları hangi kayıt veya anlaşmada açıklanıyor?
• Olay veya hizmet kesintisi durumunda hangi ekip diğer tarafa bilgi veriyor?
• Başvurulan tesisler ile bu işi fiilen yapan ekiplerin yerleri aynı mı?

Bu sorular bir standart maddeleri listesi veya resmî tetkik formu değildir. Amaç, formda yazılan kapsamın gerçek hizmeti anlatmasını sağlamaktır. Bilişim başvuru formunun kapsam, dış hizmet, çalışan, varlık ve tesis alanları böyle bir hazırlığın hangi bilgilere dönüşeceğini gösterir. SB-BTYS-FR-001, A4–A7 ve B

İki aylık uygulama ile dosya inceleme süresini karıştırmayın

Formdaki en az iki aylık sistem uygulaması, hizmetin bu sürede kesin belgelendirileceği anlamına gelmez. İç tetkikte hangi kapsamın incelendiğini, yönetimin gözden geçirmesinde hangi konuların ele alındığını ve açık kalan çalışmaların durumunu birlikte izleyin. Sonradan kapsama aldığınız bulut hizmetinin hiç değerlendirilmeyen bir faaliyet olarak dosyada kalmamasına dikkat edin. Başvuru formu, C-1 notları

Dosyada eksik bulunması ayrı bir aşamadır. 6 Şubat 2026 tarihli prosedür, eksiklerin yazılı bildiriminden itibaren altı ay içinde tamamlanmamasında başvurunun iptalini ve yeniden başvuruda dosya ücretini düzenler. Bu süre de tetkik veya belge teslim taahhüdü değildir. Eksik yazısındaki her kalemi, cevap belgesini ve gönderim tarihini aynı takip listesinde tutabilirsiniz. SB-BTYS-PR-001, sayfalar 3 ve 6

Hizmet veya şirket yapısı değişirse

Yeni hizmet eklemek, mevcut kapsamı daraltmak ve ayrı bir şirket adına başvurmak aynı işlem değildir. Prosedür ayrı tüzel kişilikler için ayrı başvuru formu ve dosya bedeli öngörür; kapsam genişletmede revize doküman ve inceleme planı değerlendirilir. Yeni bir grup şirketini yalnız ortak marka kullandığı için eski belge kapsamına dahil etmeyin. SB-BTYS-PR-001, sayfalar 2 ve 5

İmzalı başvuruyu ve ilgili program ayrımını izleyin

Hizmet sayfasında ıslak imzalı posta başvurusu belirtilir. Prosedür elden, posta veya kargoyla form ve eklerin alınmasını; mücbir sebeple e-imza kullanımında geçerlilik kontrolünü açıklar. TSE BBYS, Başvuru SB-BTYS-PR-001, Başvurunun Kabulü

Başvuru kapsamınızı karşılaştırmak için Bulut Hizmetlerinde Kişisel Verilerin Korunması Yönetim Sistemi (BKYS) yazısını da okuyun. Standartların yakın numaralara sahip olması, birinin diğerinin yerini tuttuğu anlamına gelmez.