Türkiye'de Siber Güvenlik Hukuku: 7545 sayılı Kanun

19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ile Türkiye ilk kez bağımsız, sektörler üstü bir siber güvenlik rejimi kurmuştur. Kanun; Siber Güvenlik Başkanlığı ile merkezî bir otorite oluşturmakta, işletmelere bildirim, iş birliği ve güvenlik yükümlülükleri getirmekte, kritik altyapı işletmecilerine ağırlaştırılmış şartlar öngörmekte ve ağır idari para cezaları ile hapis cezaları düzenlemektedir. Böylece AB'nin NIS-2 Direktifi gibi uluslararası gelişmelerle aynı çizgide yer almakta – bazı noktalarda ise kendine özgü, kısmen daha sert yollar izlemektedir. Türkiye'de BT operasyonu bulunan işletmeler güvenlik ve uyum organizasyonlarını yeni rejime uyarlamalıdır.

İçindekiler

• Kanun neyi düzenler ve kimlere uygulanır?
• Siber Güvenlik Başkanlığı ve Siber Güvenlik Kurulu'nun görevleri nelerdir?
• Kapsamdaki tüm işletmeleri hangi yükümlülükler bağlar?
• Kritik altyapılar için hangi ek yükümlülükler geçerlidir?
• Denetimler, yetkili hizmet sağlayıcılar ve ürün sertifikasyonu için ne geçerlidir?
• Hangi yaptırımlar öngörülmüştür?
• Kanun; KVKK, 5651 sayılı Kanun ve sektörel mevzuatla nasıl ilişkilenir?
• 7545 sayılı Kanun NIS-2 Direktifi karşısında nasıl konumlanır?
• İşletmeler şimdi ne yapmalıdır?
• Uygulamada çalışan hatası kaynaklı veri ihlalleri nasıl değerlendiriliyor?
• Sonuç

Kanun neyi düzenler ve kimlere uygulanır?

7545 sayılı Kanun siber güvenliği devlet çapında bir görev olarak düzenler ve uygulama alanı kritik altyapıların çok ötesine geçer: Kamu kurumlarının yanı sıra – kademeli yükümlülüklerle – siber uzayda hizmet sunan, sistem işleten veya veri işleyen gerçek ve tüzel kişileri kapsar. Böylece Türkiye'de BT destekli faaliyet yürüten hemen her işletme kural olarak muhatap olabilir; operasyonel yükümlülüklerin ağırlığı hizmet sağlayıcılar ile yönetmelikle Kurulca belirlenen kritik sektörlerdedir. Ayrıntılar, yeni Başkanlığın ikincil düzenlemeleriyle aşamalı olarak şekillenmektedir – hukuki durum dinamiktir ve sürekli izlenmelidir.

Siber Güvenlik Başkanlığı ve Siber Güvenlik Kurulu'nun görevleri nelerdir?

Merkezî otorite, doğrudan Cumhurbaşkanlığı'na bağlı Siber Güvenlik Başkanlığı'dır (SGB): stratejiler ve standartlar geliştirir, olayları koordine eder, denetim yürütür, hizmet sağlayıcıları ve ürünleri sertifikalandırır ve ulusal ve sektörel olay müdahale ekipleri (SOME/USOM) yapısını yönetir. Cumhurbaşkanı başkanlığındaki Siber Güvenlik Kurulu ise politika çerçevesini belirler ve kritik altyapı sektörlerinin tespitine karar verir. İşletmeler için Başkanlık – olay bildiriminden sertifikasyona kadar – bundan böyle merkezî muhataptır.

Kapsamdaki tüm işletmeleri hangi yükümlülükler bağlar?

• Bilgi ve belge sunma: Başkanlığın görevleri için gerekli veri, belge ve sistem bilgileri talep hâlinde iletilmelidir – iç yetki ve kontrol süreçleri gerektiren geniş kapsamlı bir iş birliği yükümlülüğü.
• Siber olayların ve tespit edilen zafiyetlerin yetkili mercilere gecikmeksizin bildirilmesi ve gerekli önlemlerin alınması.
• Başkanlıkça belirlenen güvenlik standartlarının, rehberlerin ve tedbirlerin – güvenli geliştirme ve tedarik ilkeleri dâhil – uygulanması.
• Denetimlere katlanma ve destek olma; belirli sağlayıcılar için faaliyete ancak öngörülen yetki ve sertifikalarla başlama.

Ayrıca itibar açısından önemli bir suç tipi vurgulanmalıdır: Gerçeğe aykırı biçimde veri sızıntısı olduğu iddiasında bulunmak ve bu içerikleri yaymak cezalandırılır – panik yaratmaya karşı düşünülmüş olsa da, gerçek veya iddia edilen olaylara ilişkin kurumsal iletişimde büyük özen gerektirir. Güvenlik olayları sonrası kriz iletişimi bu nedenle mutlaka hukuki süzgeçten geçirilmelidir.

Kritik altyapılar için hangi ek yükümlülükler geçerlidir?

Siber Güvenlik Kurulu, Mayıs 2026'daki toplantısının ardından on beş kritik altyapı sektörünü resmen belirlemiştir: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayi, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma ve uzay. Bu sektörlerdeki işletmeciler için ağırlaştırılmış şartlar geçerlidir: kendi SOME'sini kurma veya sektörel SOME'ye bağlanma, düzenli zafiyet analizleri ve sızma testleri, güvenlik kritik tedariklerde yerli ve millî ürünlere öncelik verilmesi ile özel bildirim ve denetim rejimleri. İşlemler de kapsama girebilir: Siber güvenlik şirketlerindeki belirli pay ve kontrol devirleri için kanun Başkanlık onayı öngörmektedir – teknoloji sektöründeki birleşme ve devralmalarda erken aşamada incelenmesi gereken bir husus.

Denetimler, yetkili hizmet sağlayıcılar ve ürün sertifikasyonu için ne geçerlidir?

Başkanlık denetimleri kendisi veya görevlendirdiği yetkili kuruluşlar eliyle yürütebilir; denetlenen işletmeler erişim, belge ve destek sağlamak zorundadır. Siber güvenlik ürün ve hizmeti sunanlar, ikincil düzenlemelere göre yetkilendirme, sertifikasyon ve standart şartlarına tabidir; ihlaller para cezasının yanında yetkinin iptaline yol açabilir. Türkiye işi olan yabancı güvenlik sağlayıcıları için böylece kendine özgü bir pazara giriş rejimi doğmaktadır; olası yerlileştirme beklentileri dâhil gelişimi izlenmelidir.

Hangi yaptırımlar öngörülmüştür?

Kanun ceza ve kabahat hukukunu birleştirir: Yetki olmadan yetkiye tabi hizmet sunmak, gizlilik ve veri yükümlülüklerini ihlal etmek, kritik altyapı unsurlarına saldırmak – burada ceza aralıkları on iki yıla kadar çıkar – ve gerçeğe aykırı veri sızıntısı iddialarını yaymak hapis cezasına bağlanmıştır. İdari para cezaları özellikle bildirim, bilgi verme ve denetim yükümlülüklerinin ihlalinde uygulanır; kanuna göre milyonlarca liraya ulaşmakta ve işletmelerde ayrıca ciroya oranlı belirlenebilmektedir. Yaptırım kararlılığı, bunun "yumuşak" bir program hukuku değil, sert bir idari denetim hukuku olduğunu göstermektedir.

Kanun; KVKK, 5651 sayılı Kanun ve sektörel mevzuatla nasıl ilişkilenir?

Siber Güvenlik Kanunu mevcut rejimlerin yanına gelir, onların yerine geçmez: Kişisel veri içeren ihlaller ayrıca KVKK uyarınca bildirime tabidir – tek bir olay hem Başkanlığa hem Kişisel Verileri Koruma Kurumu'na, süreleri ve içerikleri koordine edilmesi gereken paralel bildirimler gerektirebilir. 5651 sayılı Kanun'dan doğan internet yükümlülükleri, sektörel güvenlik rejimleri – örneğin bankacılık denetiminin katı dış kaynak ve yerelleştirme kuralları veya elektronik haberleşme denetimi – ve Türk Ceza Kanunu'nun bilişim suçları yürürlükte kalır. Uyum organizasyonları bu nedenle bildirim yollarını bütünleşik bir olay müdahale planında birleştirmelidir.

7545 sayılı Kanun NIS-2 Direktifi karşısında nasıl konumlanır?

Güvenlik organizasyonlarını hâlihazırda NIS-2'ye göre hizalayan Avrupalı gruplar için yapısal karşılaştırma yararlıdır: Her iki rejim de olay bildirimlerini, risk yönetimi yükümlülüklerini ve ağır yaptırımları birleştirir ve ekonominin geniş kesimlerini kapsar. Türk kanunu ise kendi yolunu izler – denetim sektörel dağılım yerine tek, Cumhurbaşkanlığı'na bağlı bir otoritede toplanmıştır; kritik altyapılarda yerli ve millî ürünlere öncelik yükümlülüğünün AB çerçevesinde karşılığı yoktur ve yabancı sağlayıcıları doğrudan etkiler; gerçeğe aykırı sızıntı iddiası suçu uluslararası planda alışılmadıktır; siber güvenlik şirketlerine ilişkin pazara giriş ve işlem kontrolleri Avrupa modelinin ötesine geçer. Pratik sonuç: NIS-2 uyumlu grup programları iyi bir teknik temel sağlar; ancak Türkiye için özgül bildirim, yetkilendirme ve tedarik şartlarıyla tamamlanmalıdır – AB direktif uyumunun basitçe genişletilmesi yeterli değildir.

İşletmeler şimdi ne yapmalıdır?

• Etkilenme analizi: Kanunun kendi hizmetlerine uygulanabilirliğini ve olası kritik altyapı sınıflandırmasını değerlendirin; ikincil düzenlemeleri sürekli izleyin.
• Olay müdahale planını güncelleyin: Başkanlık, USOM ve Kişisel Verileri Koruma Kurumu'na bildirim yollarını süreler, yetkiler ve iletişim onaylarıyla bütünleştirin.
• Güvenlik standartları ve kanıtlar: Mevcut sertifikaları (örneğin ISO 27001) gelecekteki Türk standartlarıyla karşılaştırın; test ve denetim döngülerini belgeleyin.
• Sözleşmeleri uyarlayın: BT, bulut ve güvenlik sağlayıcı sözleşmelerine bildirim ve destek yükümlülükleri, standart uyumu ve denetim hakları ekleyin.
• İletişim disiplini: Güvenlik olaylarına ilişkin her kamuya açık beyan için iç onay süreçleri kurun – gerçeğe aykırı sızıntı iddiası suçunu gözeterek.
• Teknoloji sektöründe birleşme ve devralmalarda: Siber güvenlik bağlantılı işlemler için onay şartlarını durum tespitine dâhil edin.

Uygulamada çalışan hatası kaynaklı veri ihlalleri nasıl değerlendiriliyor?

Yargıtay 9. Hukuk Dairesinin 20.01.2025 tarihli ve 2024/13450 E., 2025/700 K. sayılı kararı, kişisel veri ihlaline neden olan her çalışan hatasının tek başına haklı fesih sebebi oluşturmayacağını ortaya koymaktadır. Somut olayda, bir finans şirketi çalışanının yanlışlıkla başka bir müşteriye ait hesap ekstresini hazırlayarak ilgili birime göndermesi üzerine iş sözleşmesi SGK çıkış Kod 49 kapsamında feshedilmiş; ancak işveren, çalışanın kişisel veri güvenliği kurallarını bilerek ihlal ettiğini, daha önce uyarıldığını veya görevlerini yerine getirmemekte ısrar ettiğini ispatlayamamıştır. Bu nedenle ilk derece mahkemesi, Bölge Adliye Mahkemesi ve son olarak Yargıtay, fesih gerekçesinin Kod 49 kapsamında değerlendirilemeyeceğine ve işten çıkış kodunun düzeltilmesi gerektiğine karar vermiştir.

Karar, KVKK ihlallerinin çoğu zaman şirket yönetiminden değil, çalışanların dikkatsizliği veya yetersiz farkındalığından kaynaklanabileceğini; buna rağmen hukuki ve idari sorumluluğun büyük ölçüde veri sorumlusu şirkete ait olmaya devam ettiğini göstermektedir. Bu nedenle şirketlerin yalnızca KVKK politikaları hazırlaması yeterli olmayıp, iş sözleşmelerine veri koruma hükümleri eklemesi, çalışanlardan gizlilik ve KVKK taahhütnameleri alması ve özellikle kişisel veri işleyen personele düzenli KVKK eğitimleri vermesi büyük önem taşımaktadır. Uygulamada da müvekkillerimiz için yürüttüğümüz KVKK uyum projelerinde bu önleyici yaklaşım sayesinde hem veri ihlali riskinin hem de çalışanlarla veya müşterilerle yaşanabilecek hukuki uyuşmazlıkların önemli ölçüde azaltıldığını gözlemlemekteyiz.

Sonuç

7545 sayılı Kanun ile Türkiye siber güvenliği, dağınık sektörel bir alandan; kendi otoritesi, sert yaptırımları ve geniş uygulama alanı olan merkezî denetimli bir hukuk dalına dönüştürmüştür. Kritik altyapıların dışındaki işletmeler de bildirim ve iş birliği yükümlülükleriyle karşı karşıyadır; ayrıntılı şartlar ikincil düzenlemelerle sürekli oluşmaktadır.

Türkiye'de BT destekli faaliyet yürütenler etkilenme durumunu şimdi analiz etmeli, olay müdahalesini ve bildirim yollarını bütünleşik kurmalı ve düzenleme gelişimini kurumsallaşmış biçimde izlemelidir – kanun gençtir, denetim pratiği şekillenmektedir ve erken uyum, yaptırım baskısı altındaki geç uyarlamadan belirgin biçimde ucuzdur.

GEMS Schindhelm etkilenme analizinden olay müdahale ve bildirim süreçlerine, sözleşme uyarlamalarından Siber Güvenlik Başkanlığı nezdinde temsile kadar 7545 sayılı Kanun uyumunun tüm aşamalarında işletmelere danışmanlık vermektedir.