Siber Güvenlik Kanunu Kapsamında Şirketlerin Yükümlülükleri
İçindekiler
- 7545 sayılı Siber Güvenlik Kanunu, siber uzayda faaliyet gösteren kamu kurumları ile gerçek ve tüzel kişileri geniş bir kapsamda düzenlemektedir.
- Siber Güvenlik Başkanlığı'na bilgi ve belge isteme, denetim ve düzenleme yapma konusunda geniş yetkiler tanınmıştır.
- Kanun kapsamındaki kişilerin güvenlik açıklarını ve siber olayları gecikmeksizin bildirmesi gerekmektedir.
- Bilgi ve belge taleplerine uyulmaması, izinsiz faaliyet ve sızdırılan verilerin paylaşılması gibi fiiller için cezai ve idari yaptırımlar öngörülmüştür.
1. Konunun Genel Çerçevesi
Siber saldırılar, fidye yazılımları ve veri sızıntıları, artık yalnızca teknoloji şirketlerinin değil, her ölçekteki işletmenin karşılaştığı riskler arasında yer almaktadır. Türkiye'de bu alandaki ilk kapsamlı yasal çerçeve, 19 Mart 2025 tarihli Resmî Gazete'de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ile oluşturulmuştur.
Kanun; siber güvenliğin sağlanmasına ilişkin ilkeleri, Siber Güvenlik Başkanlığı'nın görev ve yetkilerini, kamu kurumları, kritik altyapı işletmecileri ve diğer gerçek ve tüzel kişilerin yükümlülüklerini ve bu yükümlülüklere aykırılığın yaptırımlarını düzenlemektedir. Kanun'un kapsamının geniş tutulması, işletmelerin kendi durumlarını değerlendirmesini zorunlu hâle getirmektedir.
2. Hukuki Dayanak
- 7545 sayılı Siber Güvenlik Kanunu: 7545 s. K. m.2 (kapsam), 7545 s. K. m.7 (kurum, kuruluş ve kişilerin yükümlülükleri) ve Kanun'daki yetki, denetim ve yaptırım hükümleri
- Siber Güvenlik Kurulu kararları ve Siber Güvenlik Başkanlığı'nın düzenlemeleri
- 6698 sayılı Kişisel Verilerin Korunması Kanunu: KVKK m.12 (veri güvenliği ve ihlal bildirimi)
- Sektörel düzenlemeler (bankacılık, ödeme hizmetleri, elektronik haberleşme ve enerji mevzuatındaki bilgi güvenliği hükümleri)
3. Kanundaki Düzenleme
Kapsam
7545 s. K. m.2 uyarınca Kanun; siber uzayda bulunan, faaliyet gösteren veya hizmet veren kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları ile gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsamaktadır. Bu ifadenin geniş olması nedeniyle, Kanun'un hangi işletmeler bakımından hangi somut yükümlülükleri doğuracağı ikincil düzenlemelerle netleşmektedir.
Kritik Altyapılar
Kanun, kritik altyapı kavramına özel önem vermektedir. Kritik altyapı sektörleri Siber Güvenlik Kurulu kararıyla belirlenmekte olup enerji, finans, sağlık, ulaştırma ve haberleşme gibi sektörler bu kapsamda değerlendirilmektedir. Kritik altyapı işletmecileri, diğer işletmelere göre daha ağır güvenlik, tedarik ve bildirim yükümlülüklerine tabidir.
Siber Güvenlik Başkanlığı'nın Yetkileri
Siber Güvenlik Başkanlığı; siber güvenliğe ilişkin politika ve düzenlemeleri hazırlamak, Kanun kapsamındaki kişilerden bilgi, belge, veri, yazılım ve donanım talep etmek ve denetim yapmak gibi geniş yetkilerle donatılmıştır. Kanun, Başkanlığın taleplerinin gecikmeksizin karşılanmasını öngörmekte ve bu taleplerin başka mevzuattaki gizlilik hükümleri gerekçe gösterilerek reddedilmesini sınırlandırmaktadır.
Temel Yükümlülükler
7545 s. K. m.7 uyarınca Kanun kapsamındaki kişiler; Başkanlıkça istenen bilgi ve belgeleri sağlamak, gerekli güvenlik tedbirlerini almak, tespit ettikleri güvenlik açıklarını ve siber olayları gecikmeksizin bildirmek ve Başkanlığın düzenlemelerine uymakla yükümlüdür. Kamu kurumları ve kritik altyapı işletmecilerinin belirli siber güvenlik ürün ve hizmetlerini yetkilendirilmiş veya belgelendirilmiş sağlayıcılardan temin etmesi de öngörülmüştür.
Yaptırımlar
Kanun; Başkanlığın bilgi ve belge taleplerinin yerine getirilmemesi, gerekli izin alınmadan siber güvenlik faaliyetinde bulunulması, siber olaylar sonucunda sızdırılan verilerin izinsiz paylaşılması veya satılması ve gerçekte olmayan bir veri sızıntısına ilişkin içerik üretilerek panik oluşturulması gibi fiiller için hapis ve adli para cezası öngörmektedir. Bazı yükümlülük ihlalleri için ayrıca idari para cezaları düzenlenmiştir.
4. Uygulamada Süreç
- Kapsam değerlendirmesi: İşletmenin faaliyet alanı, kritik altyapı sektörlerinde yer alıp almadığı ve tedarik zincirindeki konumu değerlendirilmektedir.
- Mevcut durum analizi: Bilgi sistemleri envanteri, güvenlik politikaları ve olay müdahale süreçleri incelenmektedir.
- Olay müdahale planı: Siber olay hâlinde kimin, hangi süre içinde ve hangi makama bildirim yapacağı yazılı olarak belirlenmektedir.
- Bildirim süreçlerinin uyumlaştırılması: Siber Güvenlik Kanunu kapsamındaki bildirim ile kişisel veri ihlallerinde Kişisel Verileri Koruma Kurulu'na yapılacak bildirim ve sektörel bildirimler birlikte planlanmaktadır.
- Tedarikçi sözleşmeleri: Bilgi teknolojileri hizmet sağlayıcılarıyla yapılan sözleşmelerde güvenlik, bildirim ve iş birliği yükümlülükleri düzenlenmektedir.
- Çalışan eğitimi: Çalışanlara siber güvenlik ve olay bildirimi konusunda eğitim verilmektedir.
5. Görevli ve Yetkili Mahkeme veya Merci
Kanun'un uygulanmasında yetkili idari merci Siber Güvenlik Başkanlığı'dır. Başkanlığın idari para cezaları ve diğer idari işlemlerine karşı idari yargı yolu açıktır.
Kanun'da düzenlenen suçlar bakımından soruşturma Cumhuriyet başsavcılığı tarafından yürütülmekte, kovuşturma ise suçun niteliğine göre görevli ceza mahkemesinde yapılmaktadır. Siber olay nedeniyle zarar gören üçüncü kişilerin tazminat talepleri genel hükümlere göre görevli hukuk mahkemesinde ileri sürülmektedir.
6. Süreler ve Dikkat Edilecek Hususlar
- Kanun, siber olayların bildirimi için "gecikmeksizin" ifadesini kullanmaktadır; bu nedenle iç süreçlerin önceden belirlenmesi önem taşımaktadır.
- Kişisel veri ihlallerinde Kişisel Verileri Koruma Kurulu'na yapılacak bildirim ayrıca değerlendirilmelidir.
- Başkanlığın bilgi ve belge talepleri karşısında ticari sır ve kişisel veri yükümlülükleri birlikte gözetilmelidir.
- İkincil düzenlemelerin yayımlanmasıyla yükümlülüklerin kapsamı değişebileceğinden mevzuat düzenli olarak takip edilmelidir.
- Sızıntı verilerinin incelenmesi veya paylaşılması, iyi niyetle yapılsa dahi Kanun kapsamında risk doğurabilmektedir.
7. Sonuç
Siber Güvenlik Kanunu, işletmeler için siber güvenliği teknik bir konu olmaktan çıkararak hukuki bir uyum yükümlülüğü hâline getirmiştir. Kapsam değerlendirmesinin yapılması, olay müdahale ve bildirim süreçlerinin yazılı hâle getirilmesi ve tedarikçi sözleşmelerinin güncellenmesi, Kanun'dan doğabilecek yaptırım risklerini önemli ölçüde azaltmaktadır.
Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.
8. Akademik Kaynaklar
Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.
Aramada kullanılabilecek terim: Siber Güvenlik Kanunu kapsamında şirketlerin yükümlülükleri
DergiPark'ta yayımlanan hakemli makalelere ücretsiz olarak erişilebilmektedir.
Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır. Yeni yazılar LinkedIn sayfasında da paylaşılmaktadır.