Siber Güvenlik Kanunu Kapsamında Şirketlerin Yükümlülükleri

1. Giriş ve Kanun’un Genel Çerçevesi

Siber güvenlik, artık yalnızca teknik bir konu olmaktan çıkmış ve kamu düzeni, ekonomik istikrar ve temel hakların korunması bakımından kritik bir alan hâline gelmiştir. Dijital altyapıların yaygınlaşmasıyla birlikte, bilgi sistemlerine yönelik saldırılar; bireylerin, kurumların ve devletlerin güvenliğini doğrudan etkileyebilecek boyutlara ulaşmıştır. Ayrıca, bu gelişmelere ayak uydurulabilmek adına birçok ulusal ve uluslararası hukuki ve teknik düzenleme de yürürlüğe girmiş olup dinamik şekilde yeni mevzuat çalışmaları da yapılmaya devam edilmektedir.

Bu doğrultuda, 19 Mart 2025 Çarşamba tarihli ve 32846 sayılı Resmî Gazete ile yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu (“Kanun”), Türkiye’de siber güvenliğe ilişkin ilk kapsamlı ve bağlayıcı yasal düzenleme olarak kamu ve özel sektördeki tüm aktörler için çeşitli teknik ve yönetsel yükümlülükler getirmiştir.

Kanun, öncelikle temel kavramlara açıklık getirerek uygulamada ortak bir dil oluşturmayı hedeflemiştir. Kanun’da yer alan:

• “Siber güvenlik” bilgi sistemlerinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya yönelik tüm faaliyetleri,
• “Siber uzay” dijital sistemlerle kullanıcılarının oluşturduğu ortamı,
• “Siber olay” ise bilgi sistemlerini hedef alan her türlü tehdit veya müdahaleyi

ifade etmektedir.

Kanun kapsamı oldukça geniş olup kamu kurum ve kuruluşları, kamu niteliği taşıyan meslek örgütleri; ayrıca gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayanlar da dahil olmak üzere siber uzayda faaliyet gösteren ve hizmet sunan tüm ilgilileri kapsamaktadır.

Kanun doğrultusunda Cumhurbaşkanlığı’na bağlı Siber Güvenlik Başkanlığı (“Başkanlık”) kurulmuş; düzenleme, denetim, risk analizi ve koordinasyon yetkisi bu yapıya verilmiştir. Ayrıca, ulusal strateji ve sektör önceliklerini belirleyecek Siber Güvenlik Kurulu (“Kurul”) da yeniden faaliyete geçmiştir.

Uygulamaya yön verecek teknik kriterler, denetim usulleri ve bazı yükümlülüklerin ayrıntıları ise henüz belirlenmemiş olup bunlara ilişkin ikincil düzenlemelerin Kanun’un yürürlük tarihini takip eden bir yıl içinde çıkarılması öngörülmektedir. Bu geçiş süreci, şirketlerin teknik ve yönetsel yapılarını Kanun ile uyumlu hâle getirmeleri açısından dikkatle izlenmesi gereken bir dönemdir.

2. Şirketlere Yönelik Temel Yükümlülükler

Kanun, bilişim sistemleri kullanarak hizmet sunan veya veri işleyen tüzel kişiliklere Kanun’un 7. Maddesi kapsamında teknik altyapıdan idari süreçlere kadar geniş bir çerçevede sorumluluklar yüklemektedir.

• Bilgi ve Belge Sunma Zorunluluğu: Şirketler, Başkanlık’ın talep ettiği her türlü bilgi, belge, veri ve dijital materyali zamanında ve eksiksiz şekilde iletmekle yükümlüdür.


• Siber Güvenlik Tedbiri Alma ve Olay/Zafiyet Bildirimi: Kamu kuruluşlarının milli güvenlik, kamu düzeni veya kamu hizmetinin güvenliği açısından gerekli siber güvenlik tedbirlerini almaları ve hizmet sundukları alanda tespit ettikleri güvenlik zafiyetlerini veya olaylarını gecikmeksizin Başkanlık’a bildirmeleri gerekmektedir.


• Başkanlık’la İş Birliği Yapma: Şirketler, Başkanlık tarafından geliştirilen politika, strateji ve eylem planlarında öngörülen tedbirleri yerine getirmek ve gerektiğinde iş birliği içinde hareket etmekle yükümlüdür. Bu yükümlülük, ulusal siber güvenlik koordinasyonuna etkin katkı sunulmasını da kapsamaktadır.


• Sertifikalı Ürün Kullanma ve Uzman Bulundurma: Kamu kurumları ve kritik altyapı alanlarında faaliyet gösteren kuruluşlar, yalnızca Başkanlık tarafından yetkilendirilmiş kişi veya şirketlerden siber güvenlik ürün ve hizmeti temin etmekle yükümlüdür. Siber güvenlik ürünleri, sistemleri, yazılımları, donanımları ve hizmetlerinin yurt dışına satışı ise Başkanlık onayına tabidir. Bu ürün ve hizmetleri geliştiren şirketlerin birleşme, bölünme, pay devri veya satış gibi işlemleri Başkanlık’a bildirilmeli, ilgili şirket üzerinde tek başına veya ortak kontrol ya da karar yetkisi sağlanıyorsa bu işlemler için Başkanlık onayı alınmalıdır.


• Yetkisiz Faaliyet Yasağı: Sertifikasyon veya yetkilendirmeye tabi alanlarda siber güvenlik faaliyeti yürütmek isteyen şirketlerin faaliyete başlamadan önce Başkanlık onayı alması gerekmektedir. Aksi halde yetkisiz faaliyet yasağı kapsamında yaptırımlarla karşılaşmaları söz konusu olacaktır.


• Uyum Yükümlülüğü: Şirketler, Başkanlık tarafından yayımlanacak ilke kararları, güvenlik standartları ve düzenleyici belgelere uygun hareket etmek ve uyumlu olmakla yükümlüdür.


• Denetime Açıklık: Başkanlık, gerekli gördüğü durumlarda, Kanun’un 8. Maddesi kapsamına giren her türlü fiil ve işlem ile ilgili olarak şirketlerin bilgi sistemleri ve güvenlik önlemleri üzerinde denetim gerçekleştirebilir. Ayrıca milli güvenlik, kamu düzeni veya siber suçların önlenmesi amacıyla, özel durumlarda (hâkim kararıyla veya gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısının yazılı emri ile) konut, işyeri ve kamuya açık olmayan alanlarda arama, kopya çıkarma ve el koyma yapılabileceği öngörülmüştür. Kamu kurum ve kuruluşları bakımından hâkim kararı aranmayacak, ancak yetkilendirilmiş veri merkezi işletmecilerinin tesislerinde bu işlemler yalnızca hâkim kararıyla gerçekleştirilebilecektir. Ayrıca, denetim sonucunda eksik görülen hususların giderilmesi ve ilave önlemler alınması da talep edilebilecektir.

3. Sorumluluklar ve Yaptırımlar

Kanun, yalnızca teknik ya da uyum yükümlülükleri getirmekle kalmayıp kurumlar ile şirket yöneticileri ve diğer gerçek kişiler açısından da önemli yaptırımlar düzenlemektedir. Hem cezai hem de idari nitelikte olan bu yaptırımlar ilgili fiilin niteliğine göre değişiklik göstermektedir.

Cezai hükümler ve idari para cezaları, Kanun’un 16. Maddesinde düzenlenmiş olup, Başkanlık tarafından talep edilen bilgi, belge, donanım veya yazılımı sunmayanlar ya da denetime engel olanlar hakkında bir yıldan üç yıla kadar, gerekli izin ve yetkileri almadan faaliyet gösterenler için ise iki yıldan dört yıla kadar hapis cezası öngörülmektedir. İdari para cezası olarak ise; Kanun hükümlerini ihlal eden şirketler her bir ihlal için bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası ile karşılaşabilecektir.

Kanun’un 17. Maddesinde idari para cezalarının uygulanmasına ilişkin hükümlere yer verilmiştir. İlgili kişi veya kuruluşun savunması alınmadan idari para cezası verilemez; ancak savunma otuz gün içinde sunulmazsa bu haktan feragat edilmiş sayılacaktır. Aynı kabahatin birden fazla kez işlenmesi hâlinde ceza artırılarak uygulanabilir ve zarara yol açılması veya menfaat sağlanması durumunda ceza miktarı bu zararın ya da menfaatin üç ila beş katı arasında belirlenebilir. Ceza kararlarına karşı idari yargı yoluna başvuru mümkündür.

Görüleceği üzere bu düzenlemeler, yalnızca şirketlerin teknik altyapılarını değil, aynı zamanda yönetimsel süreçlerini de kapsayan bir sorumluluk rejimi ortaya koymaktadır. Yöneticilerin, şirketlerin siber güvenlik sorumlulukları karşısındaki özen yükümlülüklerini yerine getirmeleri, yaptırımlarla karşı karşıya kalmamaları açısından kritik önem arz etmektedir.

4. Sonuç ve Uyum Önerileri

Kanun, şirketlerin siber güvenliğe yaklaşımında köklü bir değişimi zorunlu kılmaktadır. Siber Güvenlik, sadece teknik ekiplerin sorumluluğunda değerlendirilemeyecek kadar genişlemiş; yönetim kurulunun stratejik gözetimi altında yürütülmesi gereken kritik bir uyum konusu hâlini almıştır. Kanun’un getirdiği düzenlemeler, şirketlerin yalnızca siber saldırılara karşı değil, aynı zamanda kamu otoriteleri tarafından yapılacak denetimlere karşı da hazırlıklı olmalarını gerektirmektedir. Bu nedenle, ikincil mevzuat düzenlemeleri yürürlüğe girene kadar proaktif adımlar atılması ve risk temelli bir güvenlik stratejisi geliştirilmesi kritik öneme sahiptir.

Uygulamada karşılaşılabilecek risklerin ortadan kaldırılabilmesi veya azaltılabilmesi için şirketlerin öncelikle:

• Kendi iç işleyiş denetim süreçlerini gözden geçirmeleri ve mevzuata uygunluk bakımından açıklarını tespit etmeleri gerekmektedir. Bu kapsamda, mevzuata uygunluğu düzenli şekilde değerlendiren kapsamlı kontrol listeleri oluşturulması ve tüm kurumsal ve yönetsel süreçlerin bu çerçevede izlenmesi önerilmektedir.


• Olası bir güvenlik zafiyeti ya da saldırı hâlinde hızlı ve doğru reaksiyon gösterebilmek için ise şirket içi sorumluluk dağılımının ve acil durum aksiyon planlarının net biçimde belirlendiği, teknik ve iletişim protokollerini içeren detaylı siber olay müdahale planı hazırlanmalı ve güncel olarak tutulmalıdır.


• Donanım, yazılım ve bilgi sistemlerini kapsayan bilgi teknolojileri varlıklarının güncel envanteri çıkarılmalı; kritik sistemler özel olarak takip edilmelidir.


• Bilgi sistemlerine yönelik düzenli sızma testleri yapılması ve kayıt/log yönetimi altyapısının kurulması hem iç güvenliğin sağlanması hem de Başkanlık tarafından yapılacak olası denetimlerde teknik yeterliliğin gösterilebilmesi açısından önemlidir.


• Tüm çalışanlara belirli aralıklarla siber güvenlik farkındalığı eğitimi verilmeli, katılım ve etkinlik ölçülerek olası denetimlerde şirketlerin tüm birimlerinin hazırlıklı olması sağlanmalıdır.


• Tedarikçiler ve üçüncü taraf hizmet sağlayıcılar da siber güvenlik yükümlülükleri açısından değerlendirilmeli ve sözleşmelerde bu yükümlülükler açıkça tanımlanmalıdır.


• Gerekli süreçlerin kurum içinde etkin şekilde yürütülebilmesi için siber güvenlik düzenlemelerine uyumu takip edecek, Başkanlık ile iletişim halinde olacak özel bir görevli atanmalıdır.


• Şirketlerin, siber güvenlik uyum durumunu periyodik olarak raporlayarak yönetim kuruluna sunması da risklerin erken tespiti ve önleyici aksiyonlar açısından kritik önem arz edecektir. Tüm bu önlemlerin alınması da şirketlerin hem operasyonel hem de hukuki risklerini azaltacaktır.

Önemle belirtmek isteriz ki, uygulamanın nasıl şekilleneceği henüz tam olarak netleşmediğinden Başkanlık tarafından çıkarılacak ikincil düzenlemeler ve denetim uygulamaları, sistemin sınırlarını ve ilgili hükümlerin nasıl yorumlanacağını belirleyecektir. Dolayısıyla, belirsizliklerin olduğu bu dönemde şirketlerin hazırlıklarını mevzuatla öngörülen yükümlülükler doğrultusunda zamanında ve olabildiğince etkin biçimde gözden geçirmeleri kritik önem taşımaktadır.

Kanun ile gelen sorumlulukların yalnızca birer yükümlülük değil; aynı zamanda kurumsal güvenliğin güçlendirilmesi ve itibâri risklerin azaltılması dışında şirketlerin mali güvenliği ve değerleri açısından fırsat olarak da değerlendirilmesi mümkündür. Bu nedenle, daha önce kişisel verilerin korunması mevzuatında olduğu gibi siber güvenlik sürecini de ötelemeden sistematik şekilde yöneten şirketler hem yasal yükümlülüklerini yerine getirmiş olacak, hem de uzun vadede rekabet gücünü koruyarak değerlerini arttırabileceklerdir. Aksi hâlde, hazırlıksız yakalanan şirketler için bunun maliyeti sadece idari para cezalarıyla sınırlı kalmayabilecek, denetim bulguları, itibar kaybı ve operasyonel aksamalarla birlikte daha yıkıcı sonuçlara yol açabilecektir.


Eylül Bengisu Gümüş, Kıdemli Avukat
Nejan Yılmaz, Avukat