SİBER GÜVENLİK KANUNU: KAPSAM, KURUMSAL YAPILANMA VE GEÇİŞ SÜRECİ

Yazan: Özden Serinay Öz

I. Giriş

Teknolojinin gelişmesi ile küresel ölçekte siber tehditlerin, organize siber suç yapılarının ve veri tabanı sızıntılarının yaygınlaşması sebebiyle siber güvenlik; artık ulusal güvenliğin ve kurumsal sürdürülebilirliğin ayrılmaz bir parçası haline gelmiştir. Bu doğrultuda Avrupa Birliği (“AB”) genelinde siber güvenlik seviyesini yükseltmeyi ve eşitlemeyi amaçlayan NIS 2 Direktifi, enerji, sağlık, finans ve ulaşım gibi 18 kritik sektörde yer alan kurumların siber dayanıklılığını artırmayı, tedarik zinciri güvenliğini sıkılaştırmayı ve şirket yöneticilerine şahsi hesap verebilirlik getirmeyi hedefleyen kapsamlı bir uluslararası çerçeve çizmiştir.

Küresel ölçekteki bu regülasyonlara paralel olarak, ülkemizde de dağınık yapıda bulunan siber güvenlik mevzuatının tek bir çatı altında toplanması ihtiyacı doğmuştur. Bu kapsamda, 12 Mart 2025 tarihinde TBMM Genel Kurulu’nda kabul edilen ve 19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu (“Siber Güvenlik Kanunu” veya “Kanun”), Türkiye'de faaliyet gösteren şirketler için siber güvenliği teknik bir tercih olmaktan çıkarmıştır. 31 Temmuz 2026 tarihli ve 33326 sayılı Resmî Gazete’de yayımlanan 7590 sayılı Kanun ise bu yapının ikinci önemli aşamasını oluşturmuştur. Düzenleme, internet ve elektronik haberleşme alanındaki çeşitli görev ve yetkilerin SGB ekseninde yeniden dağıtılmasını sağlamış ve 7545 sayılı Kanun’a da doğrudan değişiklikler getirmiştir.

Yeni dönemde siber güvenlik yükümlülükleri; ihlali halinde ciro bazlı idari para cezalarından hapis cezalarına kadar uzanan ağır cezai ve idari yaptırımlara bağlanan yasal bir zorunluluktur.

Bu çalışmada, yeni Kanun’un kapsamını, şirketlere getirdiği somut yükümlülükleri, Kanun’un uygulanmasına ilişkin geçiş süreci analiz edilmektedir.

II. Kanun’un Kapsamı ve Siber Uzay Tanımı

Siber Güvenlik Kanunu, siber uzay kavramını merkeze alarak son derece geniş bir uygulama alanı çizmiştir. Kanun’da siber uzay; doğrudan ya da dolaylı olarak internete, elektronik haberleşme ağlarına veya bilgisayar ağlarına bağlı olan ve bilgi sistemlerini birbirine bağlayan her türlü dijital ortamı ifade etmektedir.

Kanun kapsamında; siber uzayda varlık gösteren, hizmet sunan veya veri işleyen kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, tüm özel hukuk tüzel kişileri (ticari şirketler, dernekler, vakıflar) ve gerçek kişiler bulunmaktadır.

Kanun’un 2.maddesinin 2. fıkrasında; Kanun kapsamındaki istisnalar belirtilmiş olup; Millî İstihbarat Teşkilâtı (“MİT”) tarafından yürütülen faaliyetler ile Türk Silahlı Kuvvetleri (“TSK”), Emniyet Genel Müdürlüğü, Jandarma Genel Komutanlığı ve Sahil Güvenlik Komutanlığı’nın istihbarat ve askeri nitelikteki siber faaliyetleri Kanun’un kapsamı dışında kalmaktadır.

III. Siber Güvenlik Başkanlığı ve Denetim Yetkisi

Kanun, Başkanlığa siber güvenlik politikalarının uygulanması, kapsamdaki aktörlerin sınıflandırılması, log kayıtlarının toplanması ve değerlendirilmesi, bağımsız siber güvenlik denetçilerinin yetkilendirilmesi, kamu kurumları ile kritik altyapılarda kullanılacak ürün ve hizmet kriterlerinin belirlenmesi ve sertifikasyon süreçlerinin yönetilmesi gibi geniş görev ve yetkiler vermektedir.

Başkanlığın geniş bir denetim yetkisi bulunmaktadır. Denetime tabi kişiler ve kuruluşlar, ilgili cihaz, sistem, yazılım ve donanımları verilen süre içinde denetime açık tutmak, denetim için gerekli altyapıyı sağlamak ve çalışır durumda bulundurmakla yükümlüdür. Konut, işyeri ve kamuya açık olmayan kapalı alanlarda arama, kopya çıkarma ve el koyma bakımından Kanun hâkim kararı veya gecikmesinde sakınca bulunan hâllerde savcının yazılı emri temelli güvenceler öngörmektedir. Yetkilendirilmiş veri merkezlerinde ise Kanun’da bu işlemlerin yalnızca hâkim kararıyla gerçekleştirilebileceği; ilgili taleplerde Ankara Sulh Ceza Hâkimliği’nin yetkili olacağı belirtilmiştir.

31 Temmuz 2026 tarihli 7590 sayılı Kanun, SGB’nin kurumsal konumunu özellikle internet ve elektronik haberleşme alanında daha da belirgin hâle getirmiştir. 5651 sayılı Kanun’daki çok sayıda BTK/Kurum atfı SGB’ye çevrilmiş; 5809 sayılı Kanun’da da SGB tanımlanarak çeşitli yetkiler Başkanlık ekseninde yeniden düzenlenmiştir. Ayrıca 7545 sayılı Kanun 6.maddesinde kanunlarla yetkili kılınmış kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlanması ve bu konuda gerekli düzenlemelerin yapılmasına ilişkin yeni bir görev eklenmiştir. Bu düzenleme kamu kurumlarının yanı sıra; ISS'leri, veri merkezlerini ve bulut sağlayıcılarını teknik altyapı hazırlığı açısından bağlamaktadır.

SGB bünyesinde görev yapan tüm personelin 7315 sayılı Güvenlik Soruşturması ve Arşiv Araştırması Kanunu uyarınca en üst düzeyde arşiv taramasından geçmesi zorunlu olup, bu personelin görev süresince edindiği ticari sırları ve kişisel verileri saklama yükümlülüğü ömür boyu devam etmektedir. Bu personeller görev ve faaliyetleri kapsamında edindiği bilgi ve belgeleri mevzuat gereği yetkili kılınan mercilerden başkasına açıklayamamakta ve gerçek ve tüzel kişilerin menfaatine kullanamamaktadır.

IV. Şirketler İçin Getirilen Temel Yükümlülükler

Kanun, tüm siber uzay aktörlerine genel sorumluluklar yüklerken, kritik altyapı sektörlerinde faaliyet gösteren şirketler için kademeli ve daha sıkı yükümlülük öngörmektedir.

5 Mayıs 2026 tarihinde Siber Güvenlik Kurulu toplantısı yapılmış bu toplantıda Kritik Altyapı Sektörleri açıklanmıştır.

Açıklamaya göre; Dijital Altyapılar, Dijital Hizmetler, Elektronik Haberleşme, Enerji, Finans, Gıda ve Tarım, İmalat Sanayi, Kamu Hizmetleri, Medya ve Kriz İletişimi, Posta ve Kargo, Sağlık, Savunma Sanayii, Su Yönetimi, Ulaştırma ve Uzay alanlarının “Kritik Altyapı Sektörleri” olarak belirlenmiştir.

Bu sektörlerde faaliyet gösteren şirketlere önemli yükümlülükler getirilmiş olup aşağıda yükümlülükler açıklanacaktır.

  • Kritik Altyapı Sağlayıcılarının Ek Yükümlülükleri

Kritik altyapı sektörlerinde faaliyet gösteren şirketlere yukarıda belirtmiş olduğumuz yükümlülüklerin yanı sıra ek kurallar getirilmiştir:

Kritik altyapılarda yalnızca SGB tarafından yetkilendirilmiş ve sertifikalandırılmış siber güvenlik ürünleri ve hizmetleri kullanılabileceği belirtilmiş; tedarik süreçlerinde yerli ve milli çözümlere öncelik verilmesi önem arz etmektedir.

Kritik altyapı sahiplerinin bünyelerinde Siber Olaylara Müdahale Ekibi; Kurumsal SOME kurması veya sektörel bir SOME’ye dahil olması zorunludur. Ancak bu noktada siber güvenlik operasyonlarında zafiyet yaşanmaması adına Kurumsal SOME’lerde hukuk müşavirleri, üst yönetimden yetkili kişiler, IT ekibi, basın PR ekibi bir arada çalışmalı; bir zafiyet yaşandığında sürecin her aşamada doğru şekilde yürütülmesi sağlanmaya çalışılmalıdır. Kurumsal SOME'nin görevi siber güvenlik politikalarını yürütmek, logları analiz etmek ve olay müdahalesini koordine etmektir.

Kritik altyapı şirketlerinin düzenli olarak bağımsız zafiyet ve sızma testleri yaptırması ve bu sistemlere ait log verilerini SGB ile paylaşması zorunludur.

  • KVKK ile Entegrasyon ve Teknik Tedbirler

Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile tam bir uyum içerisinde düzenlenmiştir. Kanun’un Şirketlerin siber güvenlik uyum kapsamında alması gereken ek teknik ve idari tedbirler şunlardır:

Erişim gerekçesi ortadan kalkan kişisel veriler ve ticari sırlar, ilgili mevzuat kapsamında saklama süreleri sona erdiğinde bilgi sistemlerinden otomatik olarak silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Kritik alt yapı kapsamında olan Şirket çalışanlarına yılda en az bir kez siber güvenlik farkındalık eğitimi verilmesi ve bu eğitimlerin belgelendirilerek denetim süreçlerinde ispat aracı olarak sunulması zorunludur.

V. Siber Güvenlik Ürünleri ve Şirketlere Ait Özel Tedbirler

7545 sayılı Kanun’un 18.maddesi uyarınca, siber güvenlik ürün, sistem, yazılım, donanım ve hizmetleri üreten şirketlerin birleşme, bölünme, pay devri veya satış işlemlerinin Başkanlığa bildirilmesini öngörmektedir. İşlemin bir kişiye veya birden fazla kişiye şirket üzerinde doğrudan veya dolaylı kontrol hakkı ya da karar alma yetkisi sağlaması hâlinde Başkanlık onayı aranır; gerekli onay alınmadan yapılan işlemler hukuki geçerlilik kazanmaz.

Yurt dışına satış bakımından ise izin rejimi bütün siber güvenlik ürünlerine otomatik olarak uygulanmaz. Satışların Başkanlık tarafından belirlenecek usul ve esaslara uygun yapılması, bu

usul ve esaslarda izne tabi olarak belirlenen ürünlerin yurt dışı satışında Başkanlık onayının alınması öngörülmüştür.

VI. Kanun’un Uygulanmasına İlişkin Geçiş Süreci

Kanunun ilk geçiş hükmündeki altı ve dokuz aylık süreler artık tarihsel niteliktedir. Altı aylık hüküm, BTK ve Dijital Dönüşüm Ofisinin ulusal siber güvenlik faaliyetleri kapsamında kullanılan belirli varlık, altyapı, kayıt ve yükümlülüklerinin Başkanlığa devriyle; dokuz aylık hüküm ise belirli personelin talep ve uygunluk şartıyla Başkanlık kadro veya pozisyonlarına atanabilmesiyle ilgilidir. Bu sürelerin geçmiş olması, her türlü ikincil mevzuatın veya kurumsal yapılanmanın otomatik olarak aynı tarihlerde tamamlandığı anlamına gelmez.

Kanun, uygulama düzenlemelerinin bir yıl içinde yürürlüğe konulmasını öngörmüş ve mevcut düzenlemelerin Kanuna aykırı olmayan hükümlerinin yeni düzenlemeler çıkana kadar uygulanmaya devam edeceğini belirtmiştir. Siber güvenlik alanında faaliyet gösteren ilgili dernek, federasyon, vakıf ve ticaret şirketleri bakımından sertifikasyon, yetkilendirme ve belgelendirme için öngörülen bir yıllık süre ise doğrudan 19 Mart 2025’ten veya 19 Mart 2026’dan değil, Geçici m.1/6 kapsamındaki ilgili düzenlemelerin yürürlüğünden itibaren hesaplanmaktadır. Bu nedenle uygulamada sabit bir 19 Mart 2027 son tarihi yerine ilgili düzenlemenin yürürlük tarihinin esas alınması gerekir.

31 Temmuz 2026’da 7545 sayılı Kanun’a eklenen yeni Geçici m.2 de ikinci bir geçiş mekanizması oluşturmuştur. 7590 ile SGB’ye devredilen görev ve yetkiler bakımından Başkanlığın ikincil düzenlemeleri çıkana kadar mevcut düzenlemeler uygulanmaya devam edecek; bu düzenlemelerdeki ilgili BTK/TİB atıfları SGB’ye yapılmış sayılacaktır. Yeni devredilen görevlerle bağlantılı belirli varlık, bilgi işlem altyapısı, veri merkezi, kayıt ve yükümlülükler için ayrıca üç aylık devir süresi öngörülmüştür.

Kanun uyarınca siber güvenlik alanında faaliyet gösteren teknoloji ve yazılım şirketleri için öngörülen sertifikasyon yükümlülüğünün tam kapsamı, istisnaları ve hangi spesifik ürün ve hizmet gruplarını bağlayacağı Siber Güvenlik Başkanlığı’nın yayımlayacağı ikincil mevzuat ve listeler ile netleşecektir. Henüz bu kapsama dair resmi bir alt liste yayımlanmamış olsa da Kanun'un getirdiği genel felsefe ve takvim dikkate alındığında, siber güvenlik dikeyinde çalışan şirketlerin ticari faaliyetlerinde herhangi bir kesinti veya yaptırım riskiyle karşılaşmamak adına taslak yönetmelikleri ve Kurum açıklamalarını yakından takip etmesi kritik önem arz etmektedir.

Av. Cansu Aksoy

Av. Özden Serinay Öz

KAYNAKÇA

Özden Serinay Öz
Önceki

İŞ YERİNDE YAPAY ZEKÂ KULLANIMI: HUKUKİ SINIRLAR VE RİSKLER
Sonraki

ROYALTY AGREEMENTS UNDER TURKISH LAW