"Siber güvenlik kanunu nedir, bizi de kapsıyor mu?" sorusu, şirketlerin hukuk ve bilgi teknolojileri birimleri için giderek daha sık sorulan bir soru. 7545 sayılı Siber Güvenlik Kanunu, siber güvenliğe ilişkin görev, yetki ve sorumlulukları bir arada düzenliyor ve bilişim sistemleriyle hizmet sunan şirketlere doğrudan sorumluluklar yüklüyor.
Bu yazıda Kanun'un ne zaman çıktığını, kimleri kapsadığını, şirketlere hangi yükümlülükleri getirdiğini, hangi fiillere hangi tür yaptırım öngördüğünü ve 2026'daki değişiklikleri birincil kaynaklardan özetliyoruz. Bir siber olay anında atılacak adımları ise Siber Güvenlik Kanunu döneminde olay müdahalesi yazısında ele aldık; burada odak kapsam ve yükümlülükler.
Kanun ne zaman çıktı?
Kanun, TBMM'de 12 Mart 2025'te kabul edildi ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete'de yayımlandı. Kanun'un 20. maddesine göre yayımı tarihinde yürürlüğe girdi. Uygulamadan sorumlu kurum, Cumhurbaşkanlığına bağlı Siber Güvenlik Başkanlığı. Başkanlığın mevzuat sayfasına göre Başkanlık, Kanun'dan önce 8 Ocak 2025 tarihli ve 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kuruldu.
Kanun'un amacı ve temel kavramlar
Kanun'un 1. maddesi amacı; siber uzaydaki tehditlerin tespit edilip bertaraf edilmesi, siber olayların etkilerini azaltacak esasların belirlenmesi, kurumların ve kişilerin siber saldırılara karşı korunması ve Siber Güvenlik Kurulunun kurulması olarak sayıyor.
- maddedeki tanımlardan üçü şirketler için özellikle önemli:
- Siber olay: Bilişim sistemlerinin ya da verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi.
- Kritik altyapı: İşlediği verinin gizliliği, bütünlüğü ya da erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara ya da kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar.
- Kritik kamu hizmeti: Kesintiye uğradığında ulusal güvenlik, ekonomik refah ya da kamu düzeni üzerinde önemli etki yaratabilecek, tekel ya da sınırlı ikame ile sunulan hizmetler.
- maddedeki ilkeler arasında, siber saldırıların önlenmesi için gerekli tedbirleri almaktan tüm kamu kurumlarının yanında gerçek ve tüzel kişilerin de sorumlu olduğu hükmü yer alıyor.
Kanun kimleri kapsar?
Güncel metne göre 2. madde kapsamı geniş tutuyor: siber uzayda varlık gösteren, faaliyet yürüten ya da hizmet sunan kamu kurumları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği olmayan kuruluşlar. Belirli kanunlar uyarınca yürütülen istihbari ve askerî faaliyetler kapsam dışında.
Ancak her hükmün herkese aynı biçimde uygulanması öngörülmüyor. 6. maddenin (g) bendi, Başkanlığa kapsamdakileri sınıflandırma ve gerektiğinde yalnız belirli bir kısmını kapsayan hükümler oluşturma yetkisi veriyor. Bazı yükümlülükler ise yalnız kamu kurumları ve kritik altyapılar için yazılmış. Bu nedenle bir şirketin hangi hükümlere tabi olduğu, faaliyetine ve Başkanlığın yapacağı düzenlemelere bağlı.
Şirketlerin yükümlülükleri: 7. madde
Kanun'un 7. maddesi, kapsamda yer alan ve bilişim sistemleriyle hizmet sunan, veri toplayan ya da işleyenlerin sorumluluklarını beş bentte sayıyor:
- (a) Başkanlığın talep ettiği veri, bilgi, belge, donanım, yazılım ve diğer katkıları öncelikle ve zamanında iletmek.
- (b) Mevzuatın öngördüğü tedbirleri almak; hizmet sunulan alanda tespit edilen zafiyet ve siber olayları gecikmeksizin Başkanlığa bildirmek.
- (c) Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerini Başkanlıkça yetkilendirilmiş ve belgelendirilmiş uzman, üretici ya da şirketlerden tedarik etmek.
- (ç) Sertifikasyona tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlık onayı alması.
- (d) Başkanlığın siber olgunluğu artırmaya yönelik politika, strateji, eylem planı ve diğer düzenleyici işlemlerindeki hususları yerine getirmek.
Bildirim yükümlülüğünün pratik yönünü yukarıda bağlantısı verilen olay müdahalesi yazısında işledik. Olay kişisel veri de içeriyorsa 6698 sayılı Kanun kapsamındaki yükümlülükler ayrıca değerlendirilmeli; bunlar için KVKK veri ihlali bildirimi ve KVKK şirket yükümlülükleri yazılarına bakılabilir.
Denetim ve siber güvenlik şirketleri
- maddeye göre Başkanlık, Kanun kapsamındaki her türlü fiil ve işlemi denetleyebiliyor. Denetimi Başkanlık personeli ya da yetkilendirilmiş bağımsız denetçiler ve denetim kuruluşları yapabiliyor. Denetime tabi olanlar ilgili cihaz, sistem ve yazılımları verilen sürelerde denetime açık ve çalışır durumda tutmakla yükümlü.
Siber güvenlik ürünü ya da hizmeti üreten şirketler için ayrıca hükümler var. 18. maddeye göre bu ürünlerin yurt dışına satışı Başkanlığın belirleyeceği usullere tabi; bu şirketlerin birleşme, bölünme ve pay devirleri Başkanlığa bildiriliyor, kontrol değişikliği doğuran işlemler onaya bağlı. Geçici 1. maddeye göre bu alanda faaliyet gösteren şirketler, ilgili düzenlemelerin yürürlüğünden itibaren bir yıl içinde sertifikasyon ve yetkilendirme işlemlerini tamamlamak zorunda.
Yaptırımlar: hangi madde, hangi fiil?
Kanun iki tür yaptırım öngörüyor. Tutarlar ve süreler Kanun metninde yer alıyor; bu yazıda yalnız fiil ve yaptırım türü veriliyor.
Hapis cezası öngörülen fiillerden bazıları (md. 16):
- Yetkili mercilerin istediği bilgi, belge, veri ya da donanımı vermemek veya alınmasını engellemek (16/1; kamu kurumları hariç).
- Kanun'un gerektirdiği onay, yetki ya da izin olmadan faaliyet yürütmek (16/2).
- Daha önce sızdırılmış kişisel ya da kritik kamu hizmeti verilerini izinsiz erişime açmak, paylaşmak veya satışa çıkarmak (16/4).
- Sızıntı olmadığı bilindiği hâlde panik yaratmak ya da hedef göstermek amacıyla gerçeğe aykırı sızıntı içeriği üretmek veya yaymak (16/5).
İdari para cezası öngörülen fiiller:
- maddenin (a), (b) ve (c) bentlerindeki sorumlulukları ve 18. maddedeki yükümlülükleri yerine getirmemek (16/10).
- maddenin 4. fıkrasındaki denetime ilişkin yükümlülükleri yerine getirmemek (16/11); ticari şirketler için bu bentte yıllık brüt satış hasılatına bağlı bir hesaplama da öngörülüyor.
- maddeye göre idari para cezasından önce savunma alınıyor ve kararlara karşı idari yargı yoluna gidilebiliyor.
2026 değişiklikleri: 7590 sayılı Kanun
Mevzuat Bilgi Sistemi'ndeki tabloya göre 24 Temmuz 2026 tarihli ve 7590 sayılı Kanun, 31 Temmuz 2026'dan geçerli olarak 7545'in 6. ve 16. maddelerini değiştirdi, Geçici 2. maddeyi ve bir taşınmaz listesini ekledi. Şirketleri doğrudan ilgilendiren değişiklik 16/10'da: idari para cezası kapsamına 7. maddenin (a) bendi, yani Başkanlığın bilgi ve belge taleplerine zamanında yanıt verme yükümlülüğü de eklendi. 6. maddeye ise yasal dinlemeye teknik olanak sağlamaya ilişkin yeni bir bent geldi.
Uygulama düzenlemeleri çıktı mı?
Geçici 1. maddenin 6. fıkrası, Kanun'un uygulanmasına ilişkin düzenlemelerin bir yıl içinde yürürlüğe konulacağını ve o zamana kadar mevcut düzenlemelerin Kanun'a aykırı olmayan hükümlerinin uygulanacağını söylüyor. Başkanlık da Kanun'un yayımına ilişkin duyurusunda "ikincil mevzuat çalışmaları doğrultusunda uygulama süreçleri hayata geçirilecektir" ifadesine yer veriyor.
26 Ekim 2026 itibarıyla Başkanlığın mevzuat sayfasında Kanun ve kuruluş kararnamesinin yanında yalnız Başkanlığın disiplin amirleri yönetmeliği ile kendi mal ve hizmet alımlarına ilişkin iki usul ve esas listeleniyor. Bildirim usulü, kapsamdakilerin sınıflandırılması ya da kritik altyapıların belirlenmesine ilişkin, şirketlere yönelik bir uygulama düzenlemesi bu listede henüz yayımlanmış görünmüyor. Takip için Başkanlığın mevzuat sayfası ve Mevzuat Bilgi Sistemi'ndeki güncel metin izlenmeli.
Nereden başlamalı?
Aşağıdaki adımlar Kanun maddelerinden türetilmiş genel bir çerçevedir:
- Konumu belirleyin: Şirketin bilişim sistemleriyle hizmet sunup sunmadığını; kamu kurumlarına ya da kritik altyapı niteliği taşıyabilecek kuruluşlara ürün veya hizmet verip vermediğini yazılı olarak değerlendirin.
- Talep kanalı kurun: 7/1-(a) artık idari para cezası kapsamında; Başkanlıktan gelebilecek bilgi ve belge taleplerini kimin, hangi sürede yanıtlayacağını belirleyin.
- Bildirim akışını yazın: Zafiyet ve siber olayların içeride kime, Başkanlığa kim tarafından bildirileceğini prosedüre bağlayın.
- Tedarikçileri gözden geçirin: Kamu ya da kritik altyapı projelerinde kullanılan siber güvenlik ürün ve hizmetlerinin yetkilendirme durumunu sorgulayın.
- Düzenlemeleri izleyin: Başkanlığın yayımlayacağı ikincil düzenlemeleri düzenli olarak takip edin.
Sık sorulan sorular
Siber Güvenlik Kanunu ne zaman çıktı? 19 Mart 2025'te Resmî Gazete'de yayımlanarak yürürlüğe girdi.
Küçük şirketler de kapsamda mı? 2. madde ölçek ayrımı yapmıyor. Ancak Başkanlık kapsamdakileri sınıflandırıp bazı hükümleri yalnız belirli gruplara uygulayabiliyor.
Sonuç
7545 sayılı Kanun kapsamı geniş tutuyor, ancak yükümlülüklerin şirket bazında nasıl uygulanacağı büyük ölçüde Başkanlığın henüz listelenmeyen ikincil düzenlemelerine bağlı. Orient Global'in bakışıyla, düzenlemeleri beklerken bilgi talebi ve olay bildirimi akışını şimdiden yazılı hâle getirmek, hangi düzenleme gelirse gelsin uyumu hızlandıracak en somut adım.
Bu yazı genel bilgilendirme amaçlıdır; hukuki ya da mali tavsiye niteliği taşımaz. Kendi durumunuz için uzmanınıza danışın.
#interimmanagement #forwarddeployedengineering