Siber Olay ve Fidye Yazılımı Sonrası Hukuki Süreç

1. Konunun Genel Çerçevesi

Fidye yazılımı saldırısında, şirket sistemlerindeki veriler saldırgan tarafından şifrelenmekte ve verilerin yeniden erişilebilir kılınması karşılığında ödeme talep edilmektedir. Son dönemde saldırganlar, verileri şifrelemenin yanında kopyalayıp yayımlamakla da tehdit etmektedir. Bu durum, olayı yalnızca teknik bir arıza olmaktan çıkarıp çok yönlü bir hukuki krize dönüştürmektedir.

Bir siber olay sonrasında şirket; kişisel veri ihlali bildirimini, siber güvenlik mevzuatı kapsamındaki bildirimleri, ceza şikâyetini, müşterilere ve tedarikçilere karşı sözleşmesel yükümlülüklerini ve sigorta sürecini eş zamanlı olarak yönetmek durumunda kalmaktadır.

2. Hukuki Dayanak

• KVKK m.12 (veri güvenliği ve ihlal bildirimi) ve Kurul'un 2019/10 sayılı Kararı (72 saatlik bildirim süresi)
• 7545 s. Kanun (Siber Güvenlik Kanunu; RG 19.03.2025)
• TCK m.243 (bilişim sistemine girme), TCK m.244 (sistemi engelleme, bozma, verileri yok etme veya değiştirme), TCK m.107 (şantaj), TCK m.136 (verileri hukuka aykırı olarak verme veya ele geçirme)
• TBK m.112 vd. (borca aykırılık ve sözleşmesel sorumluluk), TBK m.136 (ifa imkânsızlığı)
• TTK m.1401 vd. (sigorta sözleşmesi) ve TTK m.1446 (rizikonun gerçekleştiğinin ihbarı)
• Sektörel düzenlemeler (bankacılık, ödeme hizmetleri, sermaye piyasası, elektronik haberleşme, sağlık gibi alanlarda düzenleyici kurumların bilgi sistemleri yönetmelikleri)

3. Kanundaki Düzenleme

Kişisel Veri İhlali Bildirimi

Saldırı sonucunda kişisel verilere yetkisiz erişim sağlanmışsa, KVKK m.12 uyarınca veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurul'a bildirmektedir. Kurul kararına göre bu süre, ihlalin öğrenilmesinden itibaren en geç 72 saattir. Verilerin yalnızca şifrelenmiş olması ve dışarı çıkarılmadığının tespit edilememesi hâlinde de bildirim yükümlülüğü ayrıca değerlendirilmelidir.

Siber Güvenlik Kanunu Kapsamındaki Yükümlülükler

7545 sayılı Siber Güvenlik Kanunu, siber uzayda faaliyet gösteren kamu kurumları ile gerçek ve tüzel kişilere; Siber Güvenlik Başkanlığı'nın belirlediği tedbirleri alma, siber olayları ve tespit edilen zafiyetleri gecikmeksizin bildirme ve Başkanlığın talep ettiği bilgi ve belgeleri sunma gibi yükümlülükler getirmektedir. Kritik altyapı sektörlerinde faaliyet gösteren kuruluşlar için ek yükümlülükler öngörülmektedir. Kanun'un kapsamı ve bildirim usulleri ikincil düzenlemelerle somutlaştırılmaktadır; güncel düzenlemenin dikkate alınması gerekmektedir.

Cezai Boyut

Saldırganın sisteme izinsiz girmesi TCK m.243, sistemi kilitlemesi ve verileri şifrelemesi TCK m.244 kapsamında suç oluşturmaktadır. Verilerin yayımlanacağı tehdidiyle ödeme istenmesi ayrıca şantaj suçu bakımından değerlendirilebilmektedir. Ele geçirilen kişisel verilerin paylaşılması veya satılması da ayrı suç tiplerine konu olmaktadır.

4. Uygulamada Süreç

1. Olay müdahale planının devreye alınması: Teknik ekip, hukuk birimi, üst yönetim ve iletişim sorumlusundan oluşan kriz ekibi toplanmaktadır. İlk tespit anı ve yapılan her işlem saat bilgisiyle kayda geçirilmektedir.
2. Sınırlama ve delil koruma: Etkilenen sistemler ağdan ayrılmaktadır. Sistem kayıtları, bellek görüntüleri ve fidye notları adli bilişim yöntemlerine uygun biçimde, bütünlüğü korunarak alınmaktadır.
3. Kapsam tespiti: Hangi sistemlerin etkilendiği, verilerin dışarı çıkarılıp çıkarılmadığı ve kişisel veri, ticari sır veya müşteri verisinin etkilenip etkilenmediği belirlenmektedir.
4. Bildirimler: Kişisel Verileri Koruma Kurulu, Siber Güvenlik Kanunu kapsamındaki merciler, sektörel düzenleyici kurumlar ve sigorta şirketi için bildirim takvimi oluşturulmaktadır.
5. Ceza şikâyeti: Cumhuriyet başsavcılığına şikâyette bulunulmakta; teknik bulgular ve deliller şikâyete eklenmektedir.
6. Sözleşmesel bildirimler: Müşteri, tedarikçi ve iş ortaklarıyla yapılan sözleşmelerdeki bildirim, gizlilik ve hizmet seviyesi hükümleri incelenmekte; gerekli bildirimler yapılmaktadır.
7. Fidye talebinin değerlendirilmesi: Ödeme yapılmasının hukuki riskleri; ödemenin gönderileceği kişilerin yaptırım listelerinde bulunma ihtimali, suç gelirlerinin aklanmasının önlenmesi mevzuatı ve ödemenin verilerin geri alınmasını sağlayacağına dair hiçbir güvence bulunmaması dikkate alınarak değerlendirilmektedir.
8. İyileştirme ve raporlama: Olay sonrası rapor hazırlanmakta, güvenlik açıkları giderilmekte ve politikalar güncellenmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Kişisel veri ihlali bildirimi Kişisel Verileri Koruma Kurulu'na, siber olay bildirimleri ise 7545 sayılı Kanun ve ikincil düzenlemelerde belirtilen mercilere yapılmaktadır. Kurul'un idari para cezalarına karşı idare mahkemesinde dava açılabilmektedir.

Ceza şikâyeti Cumhuriyet başsavcılığına yapılmaktadır. Arama, el koyma ve dijital inceleme gibi koruma tedbirlerine sulh ceza hâkimliği karar vermektedir. Kovuşturma aşamasında bilişim suçlarında kural olarak asliye ceza mahkemesi görevlidir. Müşteri veya tedarikçi ile doğan tazminat uyuşmazlıkları, taraflar tacir ise asliye ticaret mahkemesinde görülmekte; bu uyuşmazlıklarda konusu para olan alacak ve tazminat talepleri için TTK m.5/A uyarınca dava şartı arabuluculuk uygulanmaktadır. Sözleşmedeki yetki ve tahkim şartları ayrıca dikkate alınmaktadır.

6. Süreler ve Dikkat Edilecek Hususlar

• Kurul'a bildirim: İhlalin öğrenilmesinden itibaren gecikmeksizin, en geç 72 saat.
• Siber Güvenlik Kanunu kapsamındaki bildirimler: Gecikmeksizin; ayrıntılı usul için ikincil düzenlemelerin kontrol edilmesi gerekmektedir.
• Sigorta poliçelerinde rizikonun sigortacıya bildirimi için öngörülen süreler ve sigortacının onayı olmadan yapılacak harcamalara ilişkin sınırlamalar önceden incelenmelidir.
• Sistemlerin yeniden kurulması amacıyla delillerin silinmesi, hem ceza soruşturmasını hem de sigorta tazminatını olumsuz etkileyebilmektedir.
• Kamuya ve müşterilere yapılacak açıklamalar, hukuki sorumluluğu artırabilecek kesin ifadelerden kaçınılarak ve doğrulanmış bilgilere dayanılarak hazırlanmalıdır.
• Halka açık şirketlerde, olayın sermaye piyasası mevzuatı kapsamında kamuya açıklama yükümlülüğü doğurup doğurmadığı ayrıca değerlendirilmelidir.

7. Sonuç

Fidye yazılımı ve benzeri siber olaylar, teknik müdahale ile hukuki yükümlülüklerin aynı anda ve kısa sürelerle yönetilmesini gerektirmektedir. Önceden hazırlanmış bir müdahale planı, bildirim takvimi ve sözleşme envanteri, olay anında yapılacak hataları önemli ölçüde azaltmaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Siber Güvenlik ve Bilişim Hukuku