Cybersicherheitsrecht in der Türkei: Das Gesetz Nr. 7545

Mit dem Cybersicherheitsgesetz Nr. 7545, in Kraft seit dem 19. März 2025, hat die Türkei erstmals ein eigenständiges, sektorübergreifendes Cybersicherheitsregime geschaffen. Das Gesetz errichtet mit dem Cybersicherheitspräsidium eine zentrale Behörde, unterwirft Unternehmen Melde-, Mitwirkungs- und Sicherheitspflichten, verschärft die Anforderungen an Betreiber kritischer Infrastrukturen und führt empfindliche Geld- und Freiheitsstrafen ein. Es steht damit in einer Linie mit internationalen Entwicklungen wie der europäischen NIS-2-Richtlinie – geht in einzelnen Punkten aber eigene, teils strengere Wege. Unternehmen mit IT-Betrieb in der Türkei sollten ihre Sicherheits- und Compliance-Organisation auf das neue Regime einstellen.

Inhaltsübersicht

• Was regelt das Gesetz und für wen gilt es?
• Welche Aufgaben haben Cybersicherheitspräsidium und Cybersicherheitsrat?
• Welche Pflichten treffen alle betroffenen Unternehmen?
• Welche zusätzlichen Pflichten gelten für kritische Infrastrukturen?
• Was gilt für Prüfungen, Dienstleister und Produktzertifizierung?
• Welche Sanktionen drohen?
• Wie verhält sich das Gesetz zu KVKK, Gesetz Nr. 5651 und sektoralem Aufsichtsrecht?
• Wie steht das Gesetz Nr. 7545 im Vergleich zur NIS-2-Richtlinie?
• Was sollten Unternehmen jetzt tun?
• Wie werden mitarbeiterbedingte Datenschutzverstöße in der Praxis beurteilt?
• Fazit

Was regelt das Gesetz und für wen gilt es?

Das Gesetz Nr. 7545 ordnet die Cybersicherheit als gesamtstaatliche Aufgabe und erfasst in seinem Anwendungsbereich weit mehr als kritische Infrastrukturen: Es gilt für öffentliche Einrichtungen sowie – mit abgestuften Pflichten – für juristische und natürliche Personen, die im Cyberraum Dienstleistungen erbringen, Systeme betreiben oder Daten verarbeiten. Damit können grundsätzlich alle Unternehmen mit IT-gestütztem Geschäftsbetrieb in der Türkei adressiert sein; der Schwerpunkt der operativen Pflichten liegt bei Diensteanbietern und den vom Cybersicherheitsrat festgelegten kritischen Sektoren. Die Detailausgestaltung erfolgt schrittweise durch Sekundärregelwerke des neuen Präsidiums – die Rechtslage ist also dynamisch und sollte laufend beobachtet werden.

Welche Aufgaben haben Cybersicherheitspräsidium und Cybersicherheitsrat?

Zentrale Behörde ist das direkt dem Staatspräsidenten unterstellte Cybersicherheitspräsidium („Siber Güvenlik Başkanlığı"), das Strategien und Standards entwickelt, Vorfälle koordiniert, Prüfungen durchführt, Dienstleister und Produkte zertifiziert und die nationalen sowie sektoralen Incident-Response-Teams (SOME/USOM-Struktur) steuert. Daneben legt der Cybersicherheitsrat („Siber Güvenlik Kurulu") unter Vorsitz des Staatspräsidenten die politischen Leitlinien fest und entscheidet über die Einstufung kritischer Infrastruktursektoren. Für Unternehmen ist das Präsidium künftig zentraler Ansprechpartner – von der Vorfallmeldung bis zur Zertifizierung.

Welche Pflichten treffen alle betroffenen Unternehmen?

• Bereitstellung von Informationen: Dem Präsidium sind auf Verlangen die für seine Aufgaben erforderlichen Daten, Dokumente und Systeminformationen zu übermitteln – eine weitreichende Mitwirkungspflicht, deren Umsetzung interne Zuständigkeiten und Prüfprozesse erfordert.
• Unverzügliche Meldung von Cybervorfällen und erkannten Schwachstellen an die zuständigen Stellen sowie Ergreifung der notwendigen Gegenmaßnahmen.
• Umsetzung der vom Präsidium festgelegten Sicherheitsstandards, Richtlinien und Maßnahmen einschließlich der Grundsätze der sicheren Entwicklung und Beschaffung.
• Duldung und Unterstützung von Prüfungen; für bestimmte Anbieter: Aufnahme der Tätigkeit nur mit den vorgesehenen Zulassungen und Zertifikaten.

Hervorzuheben ist ferner ein reputationsrelevanter Straftatbestand: Wer wahrheitswidrig behauptet, es sei zu einem Datenleck gekommen, und entsprechende Inhalte verbreitet, macht sich strafbar – gedacht als Schutz vor Panikmache, in der Praxis aber auch bei der Kommunikation über echte oder vermeintliche Vorfälle sorgfältig zu beachten. Die Krisenkommunikation nach Sicherheitsvorfällen gehört damit zwingend in juristisch begleitete Bahnen.

Welche zusätzlichen Pflichten gelten für kritische Infrastrukturen?

Der Cybersicherheitsrat hat im Mai 2026 fünfzehn kritische Infrastruktursektoren offiziell festgelegt: digitale Infrastrukturen, digitale Dienste, elektronische Kommunikation, Energie, Finanzen, Lebensmittel und Landwirtschaft, verarbeitende Industrie, öffentliche Dienste, Medien und Krisenkommunikation, Post und Kargo, Gesundheit, Verteidigungsindustrie, Wassermanagement, Verkehr sowie Raumfahrt. Für die Betreiber in diesen Sektoren gelten verschärfte Anforderungen: die Einrichtung eigener oder der Anschluss an sektorale Incident-Response-Teams (SOME), regelmäßige Schwachstellenanalysen und Penetrationstests, die Priorisierung einheimischer und nationaler Produkte bei sicherheitsrelevanten Beschaffungen sowie besondere Melde- und Prüfregime. Auch Transaktionen können relevant werden: Für bestimmte Anteils- und Kontrollübergänge bei Cybersicherheitsunternehmen sieht das Gesetz Genehmigungserfordernisse des Präsidiums vor – ein Punkt, der bei M&A-Transaktionen im Technologiesektor früh geprüft werden sollte.

Was gilt für Prüfungen, Dienstleister und Produktzertifizierung?

Das Präsidium kann Prüfungen selbst oder durch beauftragte, zugelassene Stellen durchführen; die geprüften Unternehmen haben Zugang, Unterlagen und Unterstützung zu gewähren. Anbieter von Cybersicherheitsdienstleistungen und -produkten unterliegen Zulassungs-, Zertifizierungs- und Standardisierungsanforderungen nach Maßgabe der Sekundärregelwerke; Verstöße können neben Bußgeldern zum Entzug der Zulassung führen. Für ausländische Sicherheitsanbieter mit Türkei-Geschäft entsteht damit ein eigenes Marktzugangsregime, dessen Entwicklung – einschließlich möglicher Lokalisierungserwartungen – zu verfolgen ist.

Welche Sanktionen drohen?

Das Gesetz kombiniert Straf- und Ordnungswidrigkeitenrecht: Freiheitsstrafen sind unter anderem vorgesehen für das Erbringen zulassungspflichtiger Dienste ohne Zulassung, für Verstöße gegen Vertraulichkeits- und Datenpflichten, für Angriffe auf Elemente kritischer Infrastrukturen – hier reichen die Strafrahmen bis zu zwölf Jahren – sowie für die erwähnte Verbreitung unwahrer Datenleck-Behauptungen. Verwaltungsgeldbußen treffen insbesondere die Verletzung der Melde-, Informations- und Prüfmitwirkungspflichten; sie erreichen nach dem Gesetz Beträge in Millionenhöhe in Lira und können bei Unternehmen zusätzlich umsatzbezogen bemessen werden. Die konsequente Sanktionierung unterstreicht, dass es sich nicht um „weiches" Programmrecht, sondern um hartes Aufsichtsrecht handelt.

Wie verhält sich das Gesetz zu KVKK, Gesetz Nr. 5651 und sektoralem Aufsichtsrecht?

Das Cybersicherheitsgesetz tritt neben die bestehenden Regime und verdrängt sie nicht: Datenschutzverletzungen mit Personenbezug bleiben zusätzlich nach der KVKK meldepflichtig – ein Vorfall kann also parallele Meldungen an das Präsidium und die Datenschutzbehörde erfordern, deren Fristen und Inhalte abzustimmen sind. Internetrechtliche Pflichten nach dem Gesetz Nr. 5651, die sektoralen Sicherheitsregime – etwa der Bankenaufsicht mit ihren strengen Auslagerungs- und Lokalisierungsregeln oder der Telekommunikationsaufsicht – sowie die allgemeinen IT-Straftatbestände des Strafgesetzbuchs gelten fort. Compliance-Organisationen sollten die Meldewege deshalb in einem integrierten Incident-Response-Plan zusammenführen.

Wie steht das Gesetz Nr. 7545 im Vergleich zur NIS-2-Richtlinie?

Für europäische Konzerne, die ihre Sicherheitsorganisation bereits an der NIS-2-Richtlinie ausrichten, lohnt der strukturelle Vergleich: Beide Regime verbinden Vorfallmeldungen, Risikomanagementpflichten und empfindliche Sanktionen und erfassen weite Teile der Wirtschaft. Das türkische Gesetz geht jedoch eigene Wege – die Aufsicht ist bei einer einzigen, präsidial angebundenen Behörde zentralisiert statt sektoral verteilt; die Pflicht, einheimischen und nationalen Produkten in kritischen Infrastrukturen Vorrang zu geben, hat im EU-Rahmen keine Entsprechung und betrifft ausländische Anbieter unmittelbar; der Straftatbestand der unwahren Datenleck-Behauptung ist international ungewöhnlich; und Marktzugangs- wie Transaktionskontrollen für Cybersicherheitsunternehmen gehen über das europäische Modell hinaus. Praktisch bedeutet das: NIS-2-konforme Konzernprogramme liefern eine gute technische Basis, müssen für die Türkei aber um die spezifischen Melde-, Zulassungs- und Beschaffungsanforderungen ergänzt werden – eine bloße Ausdehnung der EU-Richtlinien-Compliance genügt nicht.

Was sollten Unternehmen jetzt tun?

• Betroffenheitsanalyse: Anwendbarkeit des Gesetzes auf die eigenen Dienste und mögliche Einstufung als kritische Infrastruktur bewerten; Sekundärregelwerke laufend verfolgen.
• Incident-Response-Plan aktualisieren: Meldewege an Präsidium, USOM und Datenschutzbehörde mit Fristen, Zuständigkeiten und Kommunikationsfreigaben integrieren.
• Sicherheitsstandards und Nachweise: Bestehende Zertifizierungen (etwa ISO 27001) mit den künftigen türkischen Standards abgleichen; Test- und Auditzyklen dokumentieren.
• Verträge anpassen: Melde- und Unterstützungspflichten, Standardkonformität und Prüfrechte in IT-, Cloud- und Sicherheitsdienstleisterverträge aufnehmen.
• Kommunikationsdisziplin: Interne Freigabeprozesse für jede öffentliche Äußerung zu Sicherheitsvorfällen etablieren – mit Blick auf den Straftatbestand der unwahren Leak-Behauptung.
• Bei M&A im Tech-Sektor: Genehmigungserfordernisse für Transaktionen mit Cybersicherheitsbezug in die Due Diligence aufnehmen.

Wie werden mitarbeiterbedingte Datenschutzverstöße in der Praxis beurteilt?

Das Urteil des Kassationshofs (9. Zivilkammer, Urteil vom 20.01.2025, E. 2024/13450, K. 2025/700) stellt klar, dass nicht jeder Mitarbeiterfehler, der zu einer Datenpanne führt, für sich genommen eine fristlose Kündigung trägt. Im konkreten Fall hatte ein Mitarbeiter eines Finanzunternehmens versehentlich den Kontoauszug eines anderen Kunden erstellt und weitergeleitet; das Arbeitsverhältnis wurde unter dem Sozialversicherungs-Austrittscode 49 beendet. Der Arbeitgeber konnte jedoch nicht beweisen, dass der Mitarbeiter die Datensicherheitsregeln wissentlich verletzt hatte, zuvor abgemahnt worden war oder sich beharrlich geweigert hatte, seine Pflichten zu erfüllen. Erstgericht, Berufungsgericht und Kassationshof entschieden deshalb, dass die Kündigung nicht unter Code 49 eingeordnet werden konnte und der Austrittscode zu berichtigen war.

Die Entscheidung zeigt, dass Sicherheits- und Datenverstöße häufig nicht aus der Unternehmensleitung, sondern aus Unachtsamkeit oder mangelndem Problembewusstsein der Mitarbeiter entstehen – während die rechtliche und verwaltungsrechtliche Verantwortung ganz überwiegend beim Unternehmen als Verantwortlichem verbleibt. Es genügt deshalb nicht, Richtlinien zu verabschieden: Unternehmen sollten Datenschutz- und Sicherheitsklauseln in die Arbeitsverträge aufnehmen, Vertraulichkeits- und Datenschutzverpflichtungen der Mitarbeiter einholen und insbesondere das mit personenbezogenen Daten befasste Personal regelmäßig schulen. In den Compliance-Projekten, die wir für unsere Mandanten durchführen, beobachten wir, dass dieser präventive Ansatz sowohl das Risiko von Datenpannen als auch das Potenzial arbeits- und kundenbezogener Rechtsstreitigkeiten erheblich senkt.

Fazit

Mit dem Gesetz Nr. 7545 hat die Türkei die Cybersicherheit von einer verstreuten sektoralen Materie zu einem zentral beaufsichtigten Rechtsgebiet mit eigener Behörde, harten Sanktionen und weitem Anwendungsbereich gemacht. Auch Unternehmen außerhalb der kritischen Infrastrukturen treffen Melde- und Mitwirkungspflichten; die Detailanforderungen entstehen fortlaufend durch Sekundärregelwerke.

Wer in der Türkei IT-gestützt tätig ist, sollte die Betroffenheit jetzt analysieren, Incident-Response und Meldewege integriert aufsetzen und die Regulierungsentwicklung institutionalisiert beobachten – das Gesetz ist jung, die Aufsichtspraxis formiert sich, und frühe Compliance ist deutlich günstiger als späte Nachrüstung unter Sanktionsdruck.

Das IP/IT-Team von GEMS Schindhelm berät Unternehmen bei der Umsetzung des Cybersicherheitsgesetzes Nr. 7545 – von der Betroffenheitsanalyse über Incident-Response- und Meldeprozesse bis zur Vertragsgestaltung und Vertretung gegenüber dem Cybersicherheitspräsidium.