BERN – İsviçre Savunma, Sivil Koruma ve Spor Bakanlığı (VBS), devlet savunma sanayi şirketi RUAG MRO’nun ABD’deki iştirakine yönelik 2025 yılında düzenlenen siber saldırıyı ve şirketin olay karşısındaki tutumunu mercek altına aldı. İnceleme sonucunda fidye ödenmesinin hukuka aykırı olmadığı belirtilirken, risk değerlendirmesi ve federal hükümete bilgi verilmesi süreçlerinde önemli eksiklikler tespit edildi.
VBS’nin açıkladığı rapora göre, RUAG MRO’nun ABD’deki iştiraki RUAG LLC, 9-10 Ekim 2025 tarihlerinde AKIRA adlı fidye yazılımı (ransomware) grubunun siber saldırısına uğradı. Şirket, saldırının ardından ABD hukukuna uygunluk incelemesi yaptıktan sonra fidye ödeme kararı aldı.
Yasa ihlali tespit edilmedi
Savunma Bakanlığı’nın incelemesine göre, RUAG MRO özel hukuk hükümlerine göre faaliyet gösteren bir anonim şirket olduğu için operasyonel kararlar şirket yönetiminin sorumluluğunda bulunuyor. Bu nedenle fidye ödenmesi için İsviçre hükümetinden önceden onay alınmasının hukuken gerekli olmadığı belirtildi.
Raporda, fidye ödenmesine ilişkin herhangi bir yasa ihlaline rastlanmadığı da vurgulandı.
Bilgilendirme sürecinde eksiklik
Buna karşın VBS, RUAG’ın federal hükümeti olay hakkında zamanında ve koordineli şekilde bilgilendirmediğine dikkat çekti. Federal Konsey’in RUAG için belirlediği stratejik hedefler doğrultusunda, kamuoyuna açıklama yapılmadan önce devletin bilgilendirilmesi gerektiği hatırlatıldı.
İncelemede ayrıca şirketin karar sürecinde hukuki ve ekonomik risklere ağırlık verdiği, siyasi sonuçlar, kamuoyu algısı ve ülkenin genel çıkarlarının ise yeterince değerlendirilmediği ifade edildi.
Siber güvenlik önlemleri güçlendirilecek
Savunma Bakanlığı, RUAG MRO’dan kriz yönetimi, bilgi teknolojileri yönetişimi, iştiraklerdeki acil durum süreçleri ve siber güvenlik standartlarını güçlendirmesini istedi.
Şirket ayrıca Federal Siber Güvenlik Dairesi (BACS) ile birlikte mevcut güvenlik sistemlerini yeniden gözden geçirecek, olası zafiyetleri giderecek ve gelecekte benzer saldırılara karşı dayanıklılığını artıracak.
Hükümet tavrını değiştirmedi
VBS, yapılan incelemenin ardından RUAG MRO hakkında ek mülkiyet veya idari yaptırım uygulanmasına gerek olmadığı sonucuna vardı.
Bununla birlikte İsviçre hükümeti, siber saldırılar karşısında fidye ödenmemesi yönündeki tavsiyesini değiştirmediğini ve bu ilkenin geçerliliğini koruduğunu açıkladı.