«Что такое закон о кибербезопасности и распространяется ли он и на нас?» — этот вопрос всё чаще задают юридические и ИТ-подразделения компаний. Закон № 7545 о кибербезопасности (Siber Güvenlik Kanunu) в едином акте регулирует задачи, полномочия и ответственность в сфере кибербезопасности и возлагает прямые обязанности на компании, оказывающие услуги с помощью информационных систем.
В этой статье мы по первичным источникам кратко излагаем, когда вышел Закон, на кого он распространяется, какие обязанности возлагает на компании, какие виды санкций предусмотрены за те или иные деяния и какие изменения произошли в 2026 году. Шаги, которые нужно предпринять в момент киберинцидента, мы разобрали в статье о реагировании на инциденты в эпоху Закона о кибербезопасности; здесь же в центре внимания — сфера действия и обязанности.
Когда вышел Закон?
Закон был принят в TBMM (парламент Турции) 12 марта 2025 года и опубликован в Resmî Gazete (Официальная газета Турции) № 32846 от 19 марта 2025 года. Согласно статье 20 Закона, он вступил в силу в день опубликования. За применение Закона отвечает Siber Güvenlik Başkanlığı (Управление по кибербезопасности Турции), подведомственное Президенту Турции. Согласно странице законодательства Управления, оно было создано ещё до принятия Закона — указом Президента № 177 (Cumhurbaşkanlığı Kararnamesi) от 8 января 2025 года.
Цель Закона и основные понятия
Статья 1 Закона называет его целями выявление и нейтрализацию угроз в киберпространстве, определение принципов, которые снизят последствия киберинцидентов, защиту организаций и лиц от кибератак и учреждение Siber Güvenlik Kurulu (Совет по кибербезопасности).
Три определения из статьи 3 особенно важны для компаний:
- Киберинцидент: нарушение конфиденциальности, целостности или доступности информационных систем или данных.
- Критическая инфраструктура: объекты инфраструктуры, в которых размещены информационные системы, способные при нарушении конфиденциальности, целостности или доступности обрабатываемых ими данных привести к гибели людей, крупномасштабному экономическому ущербу или нарушению общественного порядка.
- Критически важная общественная услуга: услуги, предоставляемые на монопольной основе либо при ограниченной возможности замены, перебои в оказании которых могут существенно повлиять на национальную безопасность, экономическое благосостояние или общественный порядок.
Среди принципов, закреплённых в статье 4, есть положение о том, что за принятие необходимых мер по предотвращению кибератак отвечают не только все государственные учреждения, но и физические и юридические лица.
На кого распространяется Закон?
Согласно актуальному тексту, статья 2 определяет сферу действия широко: государственные учреждения, профессиональные организации со статусом публичных учреждений, физические и юридические лица, а также организации без статуса юридического лица, которые присутствуют в киберпространстве, осуществляют там деятельность или оказывают услуги. Из сферы действия исключена разведывательная и военная деятельность, осуществляемая в соответствии с отдельными законами.
Однако не предполагается, что каждое положение применяется ко всем одинаково. Подпункт (g) статьи 6 наделяет Управление полномочием классифицировать тех, на кого распространяется Закон, и при необходимости устанавливать положения, охватывающие лишь определённую их часть. Часть обязанностей, в свою очередь, сформулирована только для государственных учреждений и критической инфраструктуры. Поэтому то, каким положениям подчиняется конкретная компания, зависит от её деятельности и от актов, которые примет Управление.
Обязанности компаний: статья 7
Статья 7 Закона в пяти подпунктах перечисляет обязанности тех, кто подпадает под действие Закона и с помощью информационных систем оказывает услуги, собирает или обрабатывает данные:
- (a) В первоочередном порядке и своевременно предоставлять запрошенные Управлением данные, информацию, документы, оборудование, программное обеспечение и иное содействие.
- (b) Принимать меры, предусмотренные законодательством; незамедлительно уведомлять Управление об уязвимостях и киберинцидентах, выявленных в сфере оказания услуг.
- (c) Приобретать продукты, системы и услуги в сфере кибербезопасности, предназначенные для использования в государственных учреждениях и объектах критической инфраструктуры, у специалистов, производителей или компаний, авторизованных и сертифицированных Управлением.
- (ç) Получение одобрения Управления компаниями в сфере кибербезопасности, подлежащими сертификации, до начала их деятельности.
- (d) Выполнять положения политик, стратегий, планов действий и иных регулирующих актов Управления, направленных на повышение киберзрелости.
Практическую сторону обязанности по уведомлению мы разобрали в статье о реагировании на инциденты, ссылка на которую приведена выше. Если инцидент затрагивает и персональные данные, отдельно нужно оценить обязанности по Закону № 6698 — KVKK (турецкий закон о защите персональных данных); об этом см. статьи об уведомлении об утечке данных по KVKK и об обязанностях компаний по KVKK.
Проверки и компании в сфере кибербезопасности
Согласно статье 8, Управление вправе проверять любые действия и операции, подпадающие под Закон. Проверку могут проводить сотрудники Управления либо авторизованные независимые аудиторы и аудиторские организации. Лица, подлежащие проверке, обязаны в отведённые сроки поддерживать соответствующие устройства, системы и программное обеспечение в рабочем состоянии и открытыми для проверки.
Для компаний, производящих продукты или услуги в сфере кибербезопасности, предусмотрены отдельные положения. Согласно статье 18, продажа таких продуктов за рубеж подчиняется порядку, который определит Управление; Управление уведомляется о слияниях, разделениях и передаче долей (акций) таких компаний, а сделки, влекущие смену контроля, требуют одобрения. Согласно временной статье 1, компании, работающие в этой сфере, обязаны завершить процедуры сертификации и авторизации в течение одного года со дня вступления в силу соответствующих регулирующих актов.
Санкции: какая статья, какое деяние?
Закон предусматривает два вида санкций. Суммы и сроки указаны в тексте Закона; в этой статье приводятся только деяния и вид санкции.
Некоторые деяния, за которые предусмотрено лишение свободы (ст. 16):
- Не предоставлять информацию, документы, данные или оборудование, запрошенные уполномоченными органами, либо препятствовать их получению (16/1; за исключением государственных учреждений).
- Осуществлять деятельность без предусмотренных Законом одобрения, авторизации или разрешения (16/2).
- Открывать несанкционированный доступ к ранее утёкшим персональным данным или данным критически важных общественных услуг, распространять их или выставлять на продажу (16/4).
- Создавать или распространять ложные материалы об утечке с целью вызвать панику или сделать кого-либо мишенью, заведомо зная, что утечки не было (16/5).
Деяния, за которые предусмотрен административный штраф:
- Не исполнять обязанности, предусмотренные подпунктами (a), (b) и (c) статьи 7, и обязательства по статье 18 (16/10).
- Не исполнять связанные с проверкой обязанности, предусмотренные частью 4 статьи 8 (16/11); для коммерческих компаний этот подпункт предусматривает также расчёт, привязанный к годовой валовой выручке от продаж.
Согласно статье 17, перед наложением административного штрафа у лица истребуются объяснения в свою защиту, а решения можно оспорить в порядке административного судопроизводства.
Изменения 2026 года: Закон № 7590
Согласно таблице в Mevzuat Bilgi Sistemi (Информационная система законодательства Турции), Закон № 7590 от 24 июля 2026 года с 31 июля 2026 года изменил статьи 6 и 16 Закона № 7545, добавил временную статью 2 и перечень объектов недвижимости. Напрямую касается компаний изменение в 16/10: под действие административного штрафа теперь подпадает и подпункт (a) статьи 7, то есть обязанность своевременно отвечать на запросы Управления о предоставлении информации и документов. В статью 6, в свою очередь, добавлен новый подпункт об обеспечении технической возможности для законного прослушивания.
Вышли ли подзаконные акты по применению Закона?
Часть 6 временной статьи 1 гласит, что акты по применению Закона будут введены в действие в течение одного года, а до этого момента будут применяться положения действующих актов, не противоречащие Закону. Управление, в свою очередь, в объявлении о публикации Закона использует формулировку «процессы применения будут реализованы в соответствии с работой над подзаконными актами».
По состоянию на 26 октября 2026 года на странице законодательства Управления, помимо Закона и указа об учреждении, перечислены лишь положение о дисциплинарных начальниках Управления и два документа о порядке и принципах его собственных закупок товаров и услуг. Акт по применению Закона, адресованный компаниям и касающийся порядка уведомления, классификации подпадающих под Закон лиц или определения критической инфраструктуры, в этом перечне пока, по-видимому, не опубликован. Чтобы быть в курсе, следует отслеживать страницу законодательства Управления и актуальный текст в Mevzuat Bilgi Sistemi.
С чего начать?
Приведённые ниже шаги — общая схема, выведенная из статей Закона:
- Определите свой статус: письменно оцените, оказывает ли компания услуги с помощью информационных систем и поставляет ли продукты или услуги государственным учреждениям либо организациям, которые могут иметь признаки критической инфраструктуры.
- Создайте канал для запросов: подпункт 7/1-(a) теперь подпадает под действие административного штрафа; определите, кто и в какой срок будет отвечать на запросы информации и документов, которые могут поступить от Управления.
- Пропишите порядок уведомления: закрепите в процедуре, кому внутри компании сообщается об уязвимостях и киберинцидентах и кто уведомляет об этом Управление.
- Проверьте поставщиков: выясните статус авторизации продуктов и услуг в сфере кибербезопасности, которые используются в государственных проектах или проектах критической инфраструктуры.
- Следите за регулированием: регулярно отслеживайте подзаконные акты, которые опубликует Управление.
Часто задаваемые вопросы
Когда вышел Закон о кибербезопасности? Вступил в силу 19 марта 2025 года с публикацией в Resmî Gazete.
Распространяется ли Закон и на малые компании? Статья 2 не делает различий по масштабу. Однако Управление может классифицировать тех, на кого распространяется Закон, и применять отдельные положения только к определённым группам.
Заключение
Закон № 7545 определяет сферу действия широко, но то, как обязанности будут применяться к конкретной компании, в значительной мере зависит от подзаконных актов Управления, которых в его перечне пока нет. С точки зрения Orient Global, в ожидании этих актов самый конкретный шаг, который ускорит достижение соответствия требованиям при любом будущем регулировании, — уже сейчас закрепить в письменном виде процесс обработки запросов информации и уведомления об инцидентах.
Эта статья носит общий информационный характер и не является юридической или финансовой консультацией. По вашей конкретной ситуации обратитесь к специалисту.
#interimmanagement #forwarddeployedengineering