"网络安全法是什么，它适用于我们吗？"企业的法务和信息技术团队越来越频繁地提出这个问题。第7545号《网络安全法》（Siber Güvenlik Kanunu）在一部文本中规定了与网络安全有关的职责、权力和责任，并对通过信息系统提供服务的企业直接规定了责任。
本文依据一手资料，概述该法何时颁布、适用于谁、对企业规定了哪些义务、针对哪些行为规定了何种类型的处罚，以及2026年所作的修改。发生网络事件时应采取的步骤，见我们关于《网络安全法》下事件响应的文章；本文重点讨论适用范围和义务。
该法何时颁布？
该法于2025年3月12日由TBMM（土耳其议会）通过，并刊登于2025年3月19日第32846期Resmî Gazete（土耳其官方公报）。根据该法第20条，该法自公布之日起生效。负责实施的机构是隶属于总统府的Siber Güvenlik Başkanlığı（网络安全局，以下简称"该局"）。根据该局的法规页面，该局本身在该法之前即已根据2025年1月8日第177号总统令设立。
该法的目的与关键概念
该法第1条规定其目的为：发现和消除网络空间中的威胁，确定减轻网络事件影响的原则，保护机构和个人免受网络攻击，以及设立Siber Güvenlik Kurulu（网络安全委员会）。
第3条中的定义有三项对企业尤为重要：
- 网络事件： 信息系统或数据的保密性、完整性或可用性遭到破坏。
- 关键基础设施： 承载信息系统的基础设施，其数据的保密性、完整性或可用性一旦遭到破坏，可能造成人员伤亡、大规模经济损失或公共秩序瓦解。
- 关键公共服务： 以垄断方式或可替代性有限的方式提供的服务，其中断可能对国家安全、经济福祉或公共秩序产生重大影响。
第4条规定的原则之一是，除所有公共机构外，自然人和法人也有责任采取防范网络攻击所需的措施。
该法适用于谁？
根据现行文本，第2条将适用范围设定得较为宽泛，涵盖公共机构、具有公共机构地位的专业组织、自然人和法人以及无法人资格的实体，前提是它们在网络空间中存在、开展活动或提供服务。根据特定法律开展的情报和军事活动不在适用范围之内。
但并非每项规定都旨在以同样方式适用于所有人。第6条(g)项授权该局对适用范围内的主体进行分类，并在必要时制定仅适用于其中特定部分的规定。而有些义务则仅针对公共机构和关键基础设施。因此，哪些规定适用于某家公司，取决于其业务活动以及该局将要发布的条例。
企业义务：第7条
该法第7条在五项中列出了适用范围内通过信息系统提供服务或收集、处理数据的主体的责任：
- (a) 优先并按时提供该局所要求的数据、信息、文件、硬件、软件及其他协助。
- (b) 采取法规所要求的措施，并将在提供服务领域发现的漏洞和网络事件毫不迟延地通报该局。
- (c) 公共机构和关键基础设施中使用的网络安全产品、系统和服务，须从经该局授权和认证的专家、制造商或公司采购。
- (ç) 须经认证的网络安全公司，在开始运营前须取得该局的批准。
- (d) 满足该局旨在提高网络成熟度的政策、战略、行动计划及其他规范性文件的要求。
通报义务的实践层面，已在上文链接的事件响应文章中介绍。如果事件同时涉及个人数据，则必须另行评估第6698号法律（KVKK，土耳其数据保护法）规定的义务；相关内容见我们关于KVKK数据泄露通报和KVKK下的企业义务的文章。
审计与网络安全公司
根据第8条，该局可对该法适用范围内的各类行为和交易进行审计。审计可由该局人员或经授权的独立审计师和审计机构进行。受审计方有义务在规定期限内使相关设备、系统和软件可供审计并保持正常运行。
对于生产网络安全产品或服务的公司，也有单独的规定。根据第18条，此类产品向境外的销售须遵守该局将要确定的程序；这些公司的合并、分立和股份转让须通报该局，导致控制权变更的交易须经批准。根据临时第1条，在该领域运营的公司须在相关条例生效后一年内完成认证和授权程序。
处罚：哪一条款，哪种行为？
该法规定了两种处罚类型。金额和期限在该法文本中规定；本文仅列出行为和处罚类型。
规定监禁刑的部分行为（第16条）：
- 未提供主管机关要求的信息、文件、数据或硬件，或阻止其被获取（16/1；公共机构除外）。
- 未取得该法要求的批准、授权或许可而开展活动（16/2）。
- 未经授权使先前泄露的个人数据或关键公共服务数据可被访问、共享或出售（16/4）。
- 明知未发生泄露，仍以制造恐慌或针对特定目标为目的制作或传播虚假泄露内容（16/5）。
规定行政罚款的行为：
- 未履行第7条(a)、(b)和(c)项规定的责任以及第18条规定的义务（16/10）。
- 未履行第8条第4款规定的与审计相关的义务（16/11）；对于商业公司，该规定还设定了与年度销售总收入挂钩的计算方式。
根据第17条，处以行政罚款前须听取申辩，相关决定可向行政法院提出异议。
2026年修正：第7590号法律
根据Mevzuat Bilgi Sistemi（土耳其法规信息系统）中的表格，2026年7月24日第7590号法律自2026年7月31日起修正了第7545号法律第6条和第16条，并增加了临时第2条和一份不动产清单。直接涉及企业的变化在16/10：第7条(a)项，即按时回应该局信息和文件要求的义务，也被纳入行政罚款的适用范围。第6条中新增了一项关于为合法监听提供技术便利的规定。
实施条例是否已发布？
临时第1条第6款规定，有关该法实施的条例将在一年内生效，在此之前，现行条例中与该法不相抵触的规定继续适用。该局在关于该法公布的公告中也指出，实施流程"将根据次级立法工作付诸实施"。
截至2026年10月26日，除该法及其设立令外，该局法规页面仅列出了该局关于纪律上级的条例，以及两套关于其自身商品和服务采购的程序和原则。在该列表中，似乎尚未发布任何面向企业的实施条例，无论是关于通报程序、适用范围内主体的分类，还是关键基础设施的认定。为及时掌握动态，应关注该局法规页面以及Mevzuat Bilgi Sistemi中的现行文本。
从哪里开始？
以下步骤是根据该法条款归纳的一般框架：
- 确定您的地位： 以书面形式评估公司是否通过信息系统提供服务，以及是否向公共机构或可能被认定为关键基础设施的组织提供产品或服务。
- 建立请求渠道： 第7/1-(a)条现已纳入行政罚款范围；确定由谁在多长时间内回应该局的任何信息和文件要求。
- 书面规定通报流程： 在程序中明确漏洞和网络事件在内部向谁报告，以及由谁通报该局。
- 审查您的供应商： 检查公共部门或关键基础设施项目中所用网络安全产品和服务的授权状态。
- 关注条例： 定期跟踪该局将要发布的次级条例。
常见问题
《网络安全法》何时颁布？ 该法于2025年3月19日在Resmî Gazete上公布并同时生效。
小公司是否也在适用范围内？ 第2条并未按规模加以区分。但该局可以对适用范围内的主体进行分类，并仅对特定群体适用某些规定。
结论
第7545号法律的适用范围较为宽泛，但其义务如何具体适用于各家公司，很大程度上取决于该局尚未列出的次级条例。从Orient Global的角度看，在等待条例出台期间，现在就将信息请求和事件通报流程形成书面文件，是无论出台何种条例都能加快合规进程的最具体一步。
为什么物流经验在此很重要。 对任何管理过分销网络的人来说，上述步骤都不会陌生。请求渠道就是一个有指定负责人、有截止期限并有请求已获回复证明的受理点，与处理承运商查询或海关函件非常相似；通报流程就是异常报告，说明货物出问题时通知谁、由谁通知以及多快通知；而检查网络安全供应商是否获得授权，与物流领域对承运商和仓储合作伙伴进行的资质审核是同一个步骤。由于仓储、运输和订单系统是保持货物流动的关键，它们自然是开始将这些流程形成书面文件的起点。我们的一位顾问在运营、物流和供应链领域拥有30多年经验：他曾在一家大型科技分销企业端到端负责物流、仓储、技术服务和行政运营，组建并领导100多人的团队，并通过KPI驱动的项目实现了持续的提升。他还曾在多家领先的零售、物流和分销机构负责全国性的仓储和运输业务、大规模分销网络以及网络和产能规划。作为一名工业工程师，他如今借助人工智能和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。
本文仅供一般参考，不构成法律或财务建议。请就您自己的情况咨询您的顾问。
#interimmanagement #forwarddeployedengineering