CISA nedir? ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, KEV, JCDC ve Türkiye ile karşılaştırma

CISA nedir?

CISA; ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (Cybersecurity
and Infrastructure Security Agency) kısaltmasıdır. ABD İç Güvenlik
Bakanlığı (Department of Homeland Security, DHS) bünyesinde faaliyet
gösteren federal bir sivil ajanstır. Ajans; federal sivil kurumların
siber güvenliğinin sağlanması, kritik altyapıların dayanıklılığının
artırılması ve acil iletişim ağlarının koordinasyonu görevini
yürütmektedir.

CISA; kolluk kuvveti veya istihbarat teşkilatı değildir. Askerî
sistemler ABD Siber Komutanlığı (US Cyber Command, USCYBERCOM), suç
soruşturmaları FBI, milli güvenlik istihbaratı NSA sorumluluğundadır.
CISA’nın konumu sivil koordinasyon merkezidir; federal sivil kurumlar
için birleşik olay görünürlüğü, direktif yayınlama ve yardım sağlama
görevlerini üstlenir. Uluslararası kamuoyunda görünürlüğü;
sıfır-gün
zafiyetleri için yayımladığı Bilinen İstismar Edilen Zafiyetler kataloğu
ve büyük siber olaylarda çıkardığı ortak uyarılarla oluşmuştur.

Kuruluş ve yasal dayanak

• 2018: Cybersecurity and Infrastructure Security Agency Act
  (Public Law 115-278) 16 Kasım 2018 tarihinde yürürlüğe girmiştir. Yasa;
  Ulusal Koruma ve Programlar Müdürlüğü (NPPD) adıyla faaliyet gösteren
  DHS içi yapıyı bağımsız statüde bir ajansa dönüştürmüştür.
• 2020: COVID-19 salgını sırasında federal kurumlar arası uzaktan
  çalışma güvenliği ve seçim altyapısı dayanıklılığı gündemi CISA’nın
  başlıca çalışma alanlarına dahil olmuştur.
• 2021: Bağlayıcı Operasyon Direktifi 22-01 ile Bilinen
  İstismar Edilen Zafiyetler kataloğu (KEV) hayata geçirilmiştir. Aynı
  yıl Ortak Siber Savunma Ortaklığı (JCDC) kurulmuştur.
• 2023: CIRCIA (Cyber Incident Reporting for Critical
  Infrastructure Act of 2022) kapsamında kritik altyapı sektörleri için
  siber olay bildirim çerçevesinin uygulama yönetmelik süreci
  başlatılmıştır.
• 2024–2026: Kritik altyapı yazılım tedarik zinciri güvenliği,
  yapay zekâ ve siber güvenliğin kesişimi ve yapay zekâ destekli fidye
  yazılımı kampanyaları CISA’nın öne çıkan gündem başlıkları olmuştur.

Kurumsal yapı ve liderlik

CISA; Direktör tarafından yönetilir; Direktör, ABD Başkanı tarafından
atanır ve Senato onayına tabidir. Ajans başlıca beş bölüme ayrılır:

• Cybersecurity Division: Federal sivil kurum siber güvenliği,
  zafiyet yönetimi, KEV kataloğu, olay müdahale destek görevleri.
• Infrastructure Security Division: 16 kritik altyapı sektörünün
  fiziksel ve siber dayanıklılığı, tehdit değerlendirme, tatbikatlar.
• Emergency Communications Division: Acil iletişim ağları,
  kolluk ve ilk müdahale ekipleri arası birlikte çalışabilirlik.
• National Risk Management Center: Sektörler arası
  karşılıklı bağımlılık analizleri, milli kritik fonksiyonlar (National
  Critical Functions) çerçevesi.
• Integrated Operations Division: Bölgesel ofisler
  koordinasyonu, saha destek ekipleri (Cybersecurity Advisors,
  Protective Security Advisors).

Görev alanları

1. Federal sivil kurumların siber güvenliği (Federal Civilian Executive
   Branch, FCEB).
2. Bilinen İstismar Edilen Zafiyetler kataloğunun yürütülmesi.
3. Bağlayıcı Operasyon Direktifi ve Acil Direktif yayımlanması.
4. Ulusal Siber Güvenlik ve İletişim Entegrasyon Merkezi (National
   Cybersecurity and Communications Integration Center, NCCIC) üzerinden
   7/24 olay koordinasyonu.
5. Ortak Siber Savunma Ortaklığı (JCDC) çatısı altında sektör
   işbirliği.
6. StopRansomware, Shields Up ve ortak siber güvenlik uyarıları (Joint
   Cybersecurity Advisories).
7. Sürekli Tanıma ve Azaltma (Continuous Diagnostics and Mitigation,
   CDM) programı ile federal kurumlarda uç nokta ve varlık envanteri.
8. Seçim güvenliği koordinasyonu ve seçim altyapısı dayanıklılığı.
9. Kritik altyapı 16 sektörü için sektör risk yönetimi ajanslarının
   (Sector Risk Management Agencies, SRMA) çalışmalarının koordinasyonu.
10. Uluslararası siber güvenlik işbirliği (ENISA, NATO CCDCOE, NCSC ve
    benzer ulusal siber güvenlik ajanslarıyla).

Bilinen İstismar Edilen Zafiyetler kataloğu (KEV)

KEV kataloğu; CISA’nın 3 Kasım 2021 tarihli Bağlayıcı Operasyon
Direktifi 22-01 ile hayata geçirdiği ve federal sivil kurumlarına belirli
sürelerde yama uygulamayı zorunlu kılan resmî bir listedir. Katalog;
yalnızca vahşi doğada aktif istismarı belgelenen zafiyetleri içermekte
ve her giriş için son yama tarihi belirlemektedir.

KEV kataloğunun küresel etkisi; ABD sınırlarını aşmıştır. Türkiye
dahil pek çok kurum kataloğu yama önceliği için referans olarak
kullanmaktadır. Örnek olarak yakın dönemde
Fortinet
FortiOS cw_acd zafiyeti CVE-2025-25249,
Chrome
V8 sıfır-gün CVE-2026-85046,
SonicWall
SMA1000 CVE-2026-83548/83549 ve
PaperCut
NG/MF CVE-2026-81578/82078 ilanları yayımlanmıştır.

Bağlayıcı Operasyon ve Acil Direktifler

Ortak Siber Savunma Ortaklığı (JCDC)

JCDC (Joint Cyber Defense Collaborative); CISA’nın Ağustos 2021’de
kurduğu, federal kurumlar ile büyük teknoloji, telekom, siber güvenlik
ve kritik altyapı şirketlerini planlama düzeyinde bir araya getiren
işbirliği yapısıdır. Amaç; siber savunma planlarının kurumlar arası
önceden koordineli hazırlanması, büyük siber olaylarda hızlı bilgi
paylaşımı ve müşterek müdahale çerçevesi kurulmasıdır.

JCDC katılımcıları arasında; büyük bulut sağlayıcıları, uç nokta
tespit ve müdahale (EDR) üreticileri, telekom operatörleri, banka
konsorsiyumları ve kritik altyapı işletmecileri yer almaktadır. JCDC;
siber saldırı senaryolarında ortak savunma planlarının önceden
tasarlanması için düzenli çalışma grupları yürütmektedir.

StopRansomware ve ortak siber güvenlik uyarıları

CISA; FBI, NSA ve müttefik ulusal siber güvenlik ajanslarıyla
(İngiltere NCSC, Avustralya ACSC, Kanada CCCS gibi) birlikte fidye
yazılımı ve tehdit grupları hakkında ortak yayınlar hazırlamaktadır. Bu
yayınlar; StopRansomware.gov merkezi altyapısı üzerinden erişime
açılmaktadır. Ortak yayınlar; belirli bir tehdit grubunun taktik, teknik
ve prosedürlerini (Tactics, Techniques and Procedures, TTP), uzlaşma
göstergelerini (Indicators of Compromise, IoC) ve azaltma önerilerini
içermektedir. Yayınlar kılavuz niteliğindedir; bağlayıcı değildir.

Continuous Diagnostics and Mitigation (CDM)

Continuous Diagnostics and Mitigation (CDM); CISA’nın federal sivil
kurumlarda uç nokta envanteri, varlık yönetimi, konfigürasyon denetimi,
zafiyet yönetimi ve kimlik yönetimi süreçlerini merkezileştiren
programıdır. Program; kurum düzeyi kontrol panellerini ve federal
düzey görünürlüğü birlikte üretmektedir. CDM; ABD federal kurumları
için hazırlanmıştır; ancak yaklaşımı, kurumsal
zafiyet
yönetimi ve varlık envanteri modellemesi için uluslararası pratikte
referans alınmaktadır.

Kritik altyapı 16 sektör modeli

CISA; ABD’de kritik altyapıyı 16 sektöre ayıran çerçeveyi
yürütmektedir. Sektörler; ABD Başkanlık Politika Direktifi 21 (PPD-21)
ile tanımlanmıştır. Sektörler şunlardır: Kimya, Ticari Tesisler,
İletişim, Kritik Üretim, Barajlar, Savunma Sanayii Üssü, Acil
Hizmetler, Enerji, Finans, Gıda ve Tarım, Devlet Tesisleri, Sağlık ve
Halk Sağlığı, Bilgi Teknolojileri, Nükleer Reaktörler ve Malzemeler,
Ulaştırma Sistemleri ve Su ve Atıksu.

Her sektör için Sektör Risk Yönetimi Ajansı (Sector Risk Management
Agency, SRMA) atanmıştır. Örneğin savunma sanayii üssü için DoD, finans
için Hazine, enerji için Enerji Bakanlığı SRMA rolündedir. CISA; sektörler
arası koordinasyonu ve genel dayanıklılık çerçevesini yürütmektedir.
Türkiye
kritik
altyapı sektörleri tanımı; ABD modelinden farklı ancak benzer
mantıkla oluşturulmuş bir çerçevededir.

Türkiye ile karşılaştırma

Bu karşılaştırma bire bir eşleme değildir. ABD modelinde tek bir
sivil ajans altında toplanan görevlerin bir kısmı Türkiye’de birden
fazla kurum arasında paylaştırılmıştır. Türkiye’nin ulusal siber güvenlik
mimarisinin ayrıntılı analizi
Siber
Güvenlik Başkanlığı ve
7545
sayılı Siber Güvenlik Kanunu başlıklarında ele alınmaktadır.

Uluslararası işbirliği: ENISA, NCSC ve NATO

CISA; Avrupa Birliği Siber Güvenlik Ajansı ENISA, İngiltere Ulusal
Siber Güvenlik Merkezi NCSC, Almanya BSI, Fransa ANSSI, Avustralya
ACSC, Kanada CCCS ve benzer ulusal siber güvenlik ajanslarıyla düzenli
teknik işbirliği yürütmektedir. Ortak yayınlar; belirli bir tehdit
grubu veya kampanya kapsamında birden fazla ajansın imzasıyla
yayımlanmaktadır. Ayrıca CISA;
NATO siber
savunma yapısı içinde ABD’nin sivil siber güvenlik koordinasyonunu
temsil etmektedir.

Sıkça sorulan sorular

Kaynaklar ve doğrulama notu

• Cybersecurity and Infrastructure Security Agency — Kurumsal görev, yapı ve tarihçe belgeleri (cisa.gov).
• Public Law 115-278 — Cybersecurity and Infrastructure Security Agency Act of 2018.
• CISA — Binding Operational Directive 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities (3 Kasım 2021).
• CISA — Known Exploited Vulnerabilities Catalog; katalog metodolojisi ve giriş kriterleri.
• CISA — Joint Cyber Defense Collaborative (JCDC) kuruluş açıklaması ve katılımcı yapısı (Ağustos 2021).
• CISA — StopRansomware.gov: ortak siber güvenlik uyarıları ve kaynak arşivi.
• CISA — Continuous Diagnostics and Mitigation (CDM) programı sayfası.
• Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA); uygulama yönetmelik süreci.
• Presidential Policy Directive 21 (PPD-21) — Critical Infrastructure Security and Resilience.
• T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı — Kurumsal görev tanımları.
• T.C. USOM — Ulusal Siber Olaylara Müdahale Merkezi görev tanımları.

Bu içerikteki kurumsal veriler CISA’nın kendi kamuya açık yayınları, ABD federal mevzuatı (Public Law 115-278, CIRCIA) ve resmî direktif duyurularından derlenmiştir. Türkiye karşılaştırması; Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, USOM ve Envanter Medya arşivindeki 7545 sayılı Kanun kaydına dayanmaktadır. Envanter Medya bu içerikte hedef sisteme yönelik istismar kodu, payload veya sistem aşma adımı paylaşmamıştır.

Son güncelleme: 14 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.