Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Patent — İstanbul
Veri Koruma/Yayınlar

7545 Sayılı Siber Güvenlik Kanunu: Merkezî Yönetişim, Denetim ve Yaptırım Rejimi

Yazarlar
Uğurcan Tekinİnci ÖzçilsalUğurcan Tekin · İnci Özçilsal
Yayım24 Mart 2026
Okuma süresi12 dk
← Tüm Yayınlar
KategoriVeri Koruma
Yayım24 Mart 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat
İçindekiler01Avrupa Birliği Düzenlemeleri: AB Siber Güvenlik Kanunu (2019/881) ve Siber Dayanıklılık Yasası –02CRA (2024/2847)031.1. 2019/881 – ENISA ve AB Siber Güvenlik Sertifikasyon Çerçevesi041.2. 2024/2847 (CRA) – Ürün Güvenliği Odaklı Yatay Rejim05Avrupa’daki Düzenlemelerin Ortak Amacı ve Yönelimi067545 Sayılı Kanun’un Amacı, Kapsamı, Tanımları ve Temel İlkeleri073.1. Amaç083.2. Kapsam093.3. Tanımlar10Siber Güvenlik Başkanlığı: Görevler ve Yetki Alanı11Siber Güvenlik Kurulu: Stratejik Seviye Koordinasyon Mekanizması12Siber Güvenlik Şirketlerine Yönelik Düzenlemeler: Yurt Dışı Satış, Birleşme/Devir ve Kontrol Rejimi13Bilişim Sistemleri Vasıtasıyla Hizmet Sunan Kişi ve Kuruluşlara Yönelik Yükümlülükler -Denetim14Kritik Altyapı Rejimi 7.1. Yükümlülükler157.2. Denetim167.3. Arama – Kopya – El Koyma Usulü177.4. Kritik Altyapı Rejimi18İhlaller ve Yaptırımlar: Cezai Hükümler ile İdari Para Cezaları19Sonuç ve Değerlendirme20Olarak Önerilerimiz
Devin Law & IP

Bu konu marka ve patent vekilliğinin dışında kalır. Bu alandaki hukuki hizmetler hukuk büromuz Devin Law & IP tarafından verilir.

devinlaw.com.tr adresine git →
ÖzetSummary

Son yıllarda artan siber tehditler, siber güvenliği ulusal güvenlik stratejilerinin merkezine taşımış; devletler bakımından “teknik uyum” başlığını aşarak kurumsal yönetişim, hizmet sürekliliği, kamu düzeni ve yaptırım riski boyutlarıyla ele alınan bir alana dönüşmüştür. Türkiye’de de bu doğrultuda hazırlanan 7545 sayılı Siber Güvenlik Kanunu (“Kanun”), 12 Mart 2025 tarihinde kabul edilmiş ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Aşağıda; Avrupa Birliği düzenlemeleriyle karşılaştırmalı çerçeve sunularak, Kanun’un amacı, kapsamı, kurumsal yapılanması, yükümlülükleri ve yaptırım rejimi uygulamaya dönük biçimde değerlendirilmiştir.

01
Avrupa Birliği Düzenlemeleri: AB Siber Güvenlik Kanunu (2019/881) ve Siber Dayanıklılık Yasası –
02
CRA (2024/2847)

Avrupa Birliği’nde siber güvenlik alanındaki temel çerçeve; (i) 2019/881 sayılı düzenleme ile kurumsal yapılanmanın güçlendirilmesi ve AB genelinde ortak bir siber güvenlik sertifikasyon çerçevesinin tesis edilmesi, (ii) 2024/2847 sayılı Siber Dayanıklılık Yasası (Cyber Resilience Act – CRA) ile dijital unsurlu ürünlerin (donanım/yazılım) güvenliğinin “tasarımdan itibaren” ve ürünün tüm yaşam döngüsü boyunca sağlanması hedefleri üzerine inşa edilmiştir.

03
1.1. 2019/881 – ENISA ve AB Siber Güvenlik Sertifikasyon Çerçevesi

2019/881 sayılı düzenleme ile ENISA kalıcı bir yapıya kavuşturulmuş; Ajansın üye devletlere politika geliştirme ve uygulama süreçlerinde destek vermesi, sınır ötesi tehditlere ilişkin koordinasyonu güçlendirmesi ve yeni teknolojilerin siber güvenliğe etkilerini izleyerek değerlendirmesi öngörülmüştür. Aynı zamanda AB genelinde geçerli bir Avrupa Siber Güvenlik Sertifikasyon Çerçevesi oluşturulmuş; BİT ürün ve hizmetleri bakımından “temel–önemli–yüksek” şeklinde derecelendirilen güvence seviyeleri tanımlanmış ve bu sayede bazı ürün/hizmet kategorileri bakımından daha sıkı uygunluk değerlendirme süreçlerinin işletilebilmesinin yolu açılmıştır.

04
1.2. 2024/2847 (CRA) – Ürün Güvenliği Odaklı Yatay Rejim

CRA; ürün güvenliği eksenini merkezileştirerek, dijital unsurlu ürünlerin piyasaya arzı için teknoloji bağımsız ve hedef odaklı asgari siber güvenlik gereksinimleri getirmekte; üreticiler açısından güvenliğin tasarım, geliştirme ve üretim aşamalarından itibaren ele alınmasını ve yaşam döngüsü boyunca sürdürülmesini zorunlu kılmaktadır. Bu kapsamda, üreticilerin zafiyet yönetimi bakımından ürünün beklenen kullanım ömrünü yansıtan bir destek süresi belirlemeleri gerekmekte olup, destek süresi kural olarak en az beş yıl; ürünün beklenen kullanım süresi beş yıldan kısa ise bu süre ile sınırlı olacak şekilde kurgulanmaktadır. CRA kapsamında uygunluğun gösterilmesi bakımından CE işaretlemesi mekanizması da öngörülmektedir. Öte yandan CRA, zafiyetler ve güvenlik olayları bakımından kademeli bir bildirim yapısı benimsemektedir: aktif olarak istismar edilen zafiyetler ve “ciddi” olaylar bakımından kural olarak (i) 24 saat içinde erken uyarı (early warning), (ii) belirli süre içinde detaylı bildirim (incident notification) ve (iii) ayrıca nihai raporlama (final report) yükümlülükleri çerçevesinde bildirim akışı söz konusudur.

Bu süreçte ENISA tarafından işletilecek merkezi raporlama yapısı öne çıkmaktadır. Ürün bileşenlerinin izlenebilirliği bakımından SBOM (Yazılım Malzeme Listesi) yaklaşımı CRA’da önem kazanmaktadır. Ancak pratikte SBOM yükümlülüğü “her durumda koşulsuz” bir teslim zorunluluğu olarak değil; izlenebilirlik ve şeffaflık yükümlülükleriyle birlikte, SBOM’un sunulması halinde erişim/temin mekanizmasının açık şekilde kurgulanması şeklinde değerlendirilmelidir. Denetim ve yaptırımlar bakımından ise üye devletlerde piyasa gözetimi otoriteleri üzerinden etkin denetim öngörülmekte; uyumsuzluk halinde 15 milyon Avro’ya veya şirketin dünya çapındaki yıllık cirosunun %2,5’ine kadar idari para cezası dahil ağır yaptırımlar düzenlenmekte ve “etkili, orantılı ve caydırıcı” yaptırım ilkesi vurgulanmaktadır.

05
Avrupa’daki Düzenlemelerin Ortak Amacı ve Yönelimi

Avrupa Birliği’nde özellikle CRA, dijital unsurlu ürünler için AB genelinde siber dayanıklılığı artırmayı ve tüm üye ülkelerde geçerli tek tip bir yasal çerçeve kurmayı amaçlamaktadır. Bu kapsamda, farklı ulusal düzenlemelerin yarattığı parçalı yapının giderilmesiyle iç pazarda serbest dolaşımın kolaylaştırılması ve üretici ile kullanıcılar bakımından siber güvenlik gerekliliklerine ilişkin hukuki belirliliğin artırılması hedeflenmektedir. CRA ayrıca ürün güvenliğini “yaşam döngüsü” yaklaşımıyla ele alarak; ürünlerin piyasaya daha az zafiyetle sürülmesini, üreticilerin güncelleme ve zafiyet yönetimini ürün ömrü boyunca sürdürmesini ve kullanıcıların ürünlerin güvenlik özellikleri ile destek süreleri hakkında şeffaf biçimde bilgilendirilmesini öngörür. Düzenlemelerin genel yönelimi; tedarik zinciri boyunca güvenliği güçlendirerek AB’nin bu alanda stratejik özerkliğini ve uluslararası standart koyucu rolünü pekiştirmektir.

06
7545 Sayılı Kanun’un Amacı, Kapsamı, Tanımları ve Temel İlkeleri
Siber güvenlik, teknik uyum konusu olmaktan çıkıp ulusal güvenlikle bağlantılı bir yönetişim alanına dönüştü.
07
3.1. Amaç

Kanun’un temel hedefi; siber tehditlerin önlenmesi, siber olaylara etkin müdahale edilmesi, kamu ve özel sektöre ait kritik dijital altyapıların korunması ve ulusal düzeyde bütüncül bir siber güvenlik stratejisinin tesis edilmesidir. Kanun, siber güvenliği yalnızca teknik önlem seti olarak değil; milli güvenlik, kamu düzeni ve hizmet sürekliliği ile doğrudan ilişkili bir yönetişim alanı olarak ele almaktadır. Bu çerçevede Kanun; mevcut ve muhtemel tehditlerin tespit ve bertaraf edilmesi, siber olayların muhtemel etkilerinin azaltılmasına ilişkin esasların belirlenmesi, siber saldırılara karşı korunmaya yönelik düzenlemelerin yapılması, ülkenin siber güvenliğini güçlendirecek strateji ve politikaların belirlenmesi ve Siber Güvenlik Kurulunun kuruluş esaslarının ortaya konulması yaklaşımı üzerine kurgulanmıştır.

08
3.2. Kapsam

Kapsam bakımından Kanun; siber uzayda varlık gösteren veya faaliyet yürüten kamu kurum ve kuruluşları ile kamu kurumu niteliğinde meslek kuruluşlarını kapsadığı gibi, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşları da kapsayacak şekilde geniş bir uygulama alanı öngörmektedir. Böylelikle barındırma, veri işleme, hizmet sunumu, tedarik zinciri ve altyapı işletimi gibi alanlarda özel aktörlerin de ülke siber güvenliğinin parçası olduğu açıkça kabul edilmiştir. Öte yandan Kanun; belirli kanunlar uyarınca yürütülen istihbarat faaliyetleri ve Türk Silahlı Kuvvetleri iç hizmet rejimi kapsamındaki faaliyetleri kapsam dışında bırakarak sivil/idarî siber güvenlik düzeni ile istihbarat ve askerî faaliyet alanı arasında normatif bir ayrım oluşturmuştur.

09
3.3. Tanımlar

Kanun’daki tanımlar, uygulama alanının sınırlarını ve yükümlülüklerin kapsamını belirginleştirmektedir. Bu kapsamda;

  • “Siber uzay”, internete veya elektronik haberleşme/bilgisayar ağlarına bağlı bilişim sistemleri ile bunları birbirine bağlayan ağlardan oluşan ortamı,
  • “Bilişim sistemleri”, donanım, yazılım, sistem ve tüm bileşenleri kapsayacak şekilde geniş yorumlanmış olup,
  • Siber güvenlik, verinin gizlilik–bütünlük–erişilebilirliğinin güvence altına alınması, saldırı ve olayların tespiti, tepki ve alarm mekanizmalarının işletilmesi ve olay öncesi duruma geri dönüşü de içine alan bütüncül bir faaliyet alanı,
  • “Siber olay”, gizlilik–bütünlük–erişilebilirlik ihlallerini,
  • “Siber saldırı”, bu ihlali hedefleyen kasıtlı işlemleri,
  • “Zafiyet”, istismar edilebilir güvenlik açığı/zayıflığı,
  • “Siber tehdit”, ihlale yol açabilecek potansiyel tehlikeyi, “Kritik altyapı” ve “kritik kamu hizmeti” ise ihlal halinde can kaybı, büyük ölçekli ekonomik zarar, kamu düzeninin bozulması veya ulusal güvenlik açısından ağır sonuçlar doğurabilecek alanları ifade etmektedir. 3.4. Temel İlkeler Kanun; siber güvenliğin milli güvenliğin ayrılmaz bir parçası olduğunu vurgulamakta; kritik altyapıların ve bilişim sistemlerinin korunmasıyla güvenli bir siber uzay oluşturulmasını temel hedef olarak belirlemektedir. Siber güvenlik çalışmalarının kurumsallık, süreklilik ve sürdürülebilirlik temelinde yürütülmesi; tedbirlerin ürün ve hizmetlerin yaşam döngüsü boyunca uygulanması ve yerli ve milli ürünlerin öncelenmesi ilkeleri uygulamayı yönlendiren esaslar olarak öne çıkmaktadır.

Bu yaklaşım; yükümlülüklerin yalnız kamu otoritelerine değil, gerçek ve tüzel kişilere de uzanması suretiyle, önleme ve etki azaltma süreçlerinde bütüncül bir yükümlülük düzeni kurmakta; hesap verebilirliği esas almakta ve strateji/politika geliştirme faaliyetlerinin sürekli gelişim yaklaşımıyla güncel tutulmasını hedeflemektedir.

10
Siber Güvenlik Başkanlığı: Görevler ve Yetki Alanı

Kanun ile kurulan Siber Güvenlik Başkanlığı (“Başkanlık”), Türkiye’nin siber güvenlik politikalarının belirlenmesi ve uygulanmasında merkezî otorite olarak konumlandırılmıştır. Başkanlık; kritik altyapılar ve bilişim sistemlerinin siber dayanıklılığını artırmaya, saldırıları tespit etmeye, muhtemel saldırıları önlemeye ve etkilerini azaltmaya yönelik faaliyetleri yürütmekte; bu kapsamda zafiyet ve sızma testleri ile varlıklara ilişkin risk analizlerini yapmak veya yaptırmak suretiyle risk yönetimini kurumsallaştırmaktadır. Başkanlık ayrıca tehdit istihbaratı elde etme/oluşturma/paylaşma, zararlı yazılım inceleme faaliyetleri yürütme ve siber tehditlerle mücadele fonksiyonlarıyla operasyonel kapasiteyi güçlendirmektedir. Başkanlık; kritik altyapıları ve bunlara ilişkin kurum/konum belirlemelerini yapabilmekte; kamu kurumları ve kritik altyapıların varlık envanterinin tutulması ile varlıkların kritikliğine göre güvenlik tedbirlerinin alınmasını sağlamakta ve SOME (Siber Olaylara Müdahale Ekipleri) kurulması/kurdurulması/denetlenmesi süreçlerini yönetebilmektedir.

Bu çerçevede tatbikatlar yaparak SOME’lerin müdahale kabiliyetlerini ölçmek, diğer ülkelerin müdahale ekipleriyle koordinasyon kurmak ve milli siber müdahale araçlarının geliştirilmesini teşvik etmek de Başkanlığın görev alanına dâhildir. Bunlara ek olarak Başkanlık; siber güvenlik alanında uyulması gereken usul ve esasları düzenleyebilmekte, standart hazırlama ve uygulanmasını takip etme fonksiyonunu üstlenebilmekte, yazılım/donanım/ürün/sistem ve hizmetlere yönelik test ve sertifikasyon altyapılarını kurup işletmek suretiyle sertifikasyon ve yetkilendirme süreçlerini ilgili kurumlarla koordineli biçimde yürütebilmektedir. Bu süreçlerin sahadaki uygulaması bakımından ise ikincil düzenlemeler belirleyici olacaktır.

11
Siber Güvenlik Kurulu: Stratejik Seviye Koordinasyon Mekanizması

Kanun ile birlikte siber güvenliğe ilişkin politikaların belirlenmesi ve koordinasyonun sağlanması amacıyla en üst düzey karar alma mekanizması olarak Siber Güvenlik Kurulu tesis edilmiştir. Kanun’un 9. maddesi uyarınca Kurul; Cumhurbaşkanı, Cumhurbaşkanı Yardımcısı, Adalet Bakanı, Dışişleri Bakanı, İçişleri Bakanı, Millî Savunma Bakanı, Sanayi ve Teknoloji Bakanı, Ulaştırma ve Altyapı Bakanı, Millî Güvenlik Kurulu Genel Sekreteri, Millî İstihbarat Teşkilat Başkanı, Savunma Sanayii Başkanı ve Siber Güvenlik Başkanı’ndan oluşmaktadır. Cumhurbaşkanının katılamadığı hallerde Kurula Cumhurbaşkanı Yardımcısı başkanlık eder. Kurul toplantılarına gündemin özelliğine göre ilgili bakan ve kişiler çağrılabilecek; Kurul gerekli gördüğü hallerde komisyonlar ve çalışma grupları oluşturabilecek ve bu gruplara alanında uzman kişiler davet edilebilecektir. Kurulun görev alanı; politika ve strateji belirleme, Başkanlık tarafından hazırlanan teknoloji yol haritasının ülke çapında uygulanmasına karar verme, teşvik verilecek öncelikli alanlar ile insan kaynağının geliştirilmesine yönelik karar alma, kritik altyapı sektörlerini belirleme ve Başkanlık ile kamu kurumları arasında doğabilecek ihtilaflarda karar mercii olma işlevlerini kapsamaktadır.

Standart belirleme, sertifikasyon, denetim ve olaya müdahale tek bir koordinasyon merkezinde toplanıyor.
12
Siber Güvenlik Şirketlerine Yönelik Düzenlemeler: Yurt Dışı Satış, Birleşme/Devir ve Kontrol Rejimi

Kanun; siber güvenlik alanında faaliyet gösteren şirketlerin birleşme, bölünme, pay devri veya kontrol değişikliği doğuran işlemlerini Başkanlık denetiminde bir onay/bildirim rejimine tabi kılmaktadır. Başkanlık onayı alınmaksızın gerçekleştirilen işlemler hukuki geçerlilik kazanmaz. Ayrıca siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerinin yurt dışına satışı Başkanlıkça belirlenecek usul ve esaslara bağlanmakta; izne tabi ürünlerde Başkanlık onayı aranmaktadır. Bu düzenlemeler; siber güvenlik ekosistemindeki şirket hareketlerinin ulusal güvenlik perspektifiyle izlenmesi, kritik teknolojilerin kontrol değişimlerinin idari gözetim altında tutulması ve tedarik zinciri güvenliğinin sağlanması amacına hizmet etmektedir.

13
Bilişim Sistemleri Vasıtasıyla Hizmet Sunan Kişi ve Kuruluşlara Yönelik Yükümlülükler -Denetim
14
Kritik Altyapı Rejimi 7.1. Yükümlülükler

Kanun, bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan ve işleyen kişi ve kuruluşlara siber güvenlik bakımından bir dizi yükümlülük getirmektedir. Buna göre Kanun kapsamındaki aktörler; Başkanlığın talep ettiği veri, bilgi, belge, donanım ve yazılım gibi unsurları zamanında iletmekle,

  • Mevzuatın öngördüğü tedbirleri almakla,
  • Tespit ettikleri zafiyetleri veya siber olayları gecikmeksizin bildirmekle,
  • Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerini yetkilendirilmiş ve belgelendirilmiş kişi/kuruluşlardan temin etmekle,
  • Başkanlığın yayımladığı politika/strateji/eylem planları doğrultusunda gerekli tedbirleri uygulamakla sorumludur.

Sertifikasyona/yetkilendirmeye tabi faaliyet yürüten şirketler bakımından faaliyete başlamadan önce Başkanlık onayı mekanizması da ayrıca öngörülmektedir.

15
7.2. Denetim

Denetim yönünden Başkanlık, Kanun kapsamına giren fiil ve işlemleri gerekli gördüğü hallerde denetleyebilmekte; mahallinde inceleme yapabilmekte veya yaptırabilmektedir. Denetim yetkisi Başkanlık personeli yanında, yetkilendirilmiş ve belgelendirilmiş bağımsız denetçiler ve bağımsız denetim kuruluşları eliyle de kullanılabilmektedir. Denetime tabi tutulanlar; cihaz, sistem, yazılım ve donanımlarını denetime açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almakla yükümlüdür.

16
7.3. Arama – Kopya – El Koyma Usulü

Millî güvenlik, kamu düzeni, suç işlenmesinin veya siber saldırıların önlenmesi amacıyla hâkim kararıyla; gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısının yazılı emriyle kapalı alanlarda arama, kopya çıkarma ve el koyma işlemlerinin yapılabilmesine ilişkin usul Kanun’da düzenlenmiştir. Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde ise bu işlemler bakımından hâkim kararı şartı öngörülmüştür.

17
7.4. Kritik Altyapı Rejimi

Kanun; bilgi/veri güvenliği ihlali halinde can kaybı, büyük ölçekli ekonomik zarar, güvenlik açıkları veya kamu düzeninin bozulması gibi ağır sonuçlara yol açabilecek bilişim sistemlerini barındıran altyapıları kritik altyapı olarak tanımlamakta; kritik altyapı sektörlerini belirleme görevini Kurul’a; kritik altyapıların kurumlarını ve konumlarını tespit etme, varlık envanterini tutma ve kritikliğe göre güvenlik tedbirlerini belirleme/aldırma görevini ise Başkanlığa vermektedir. Mevcut uygulamalarda elektronik haberleşme, enerji, su yönetimi, finans, ulaştırma ve çeşitli kamu hizmetleri kritik altyapı alanları içinde değerlendirilmekte olup Kurul’un belirleme yetkisi kapsamında bu alanların genişlemesi mümkündür.

Kritik altyapı sektörleri Kurul tarafından belirlenir, Başkanlık tarafından haritalanır.
18
İhlaller ve Yaptırımlar: Cezai Hükümler ile İdari Para Cezaları

Kanun kapsamında öngörülen yaptırımlar; yükümlülüklerin fiilen yerine getirilmesini sağlama amacı taşımakta ve hem cezai yaptırımlar hem de idari para cezaları yönünden ayrıntılı bir çerçeve kurmaktadır. Kanun’da; yetkili mercilerin veya denetim görevlilerinin talep ettiği bilgi, belge, yazılım, veri veya donanımı vermeyenler ya da bu erişimi engelleyenler; gerekli onay, yetki veya izinleri almaksızın faaliyet yürütenler; sır saklama yükümlülüğünü ihlal edenler; kişisel veya kritik kamu hizmeti kapsamındaki verileri izinsiz şekilde erişime açan, yayan veya satışa çıkaranlar; gerçeğe aykırı veri sızıntısı içerikleriyle kamuoyunda korku/panik yaratmayı hedefleyenler ve Türkiye’nin siber uzaydaki milli gücünü oluşturan unsurlara yönelik siber saldırı fiillerini işleyenler bakımından hapis ve/veya adli para cezaları öngörülmüştür. Bu kapsamda öne çıkan cezalar:

  • Yetkili mercilere/denetim görevlilerine istenen bilgi, belge, yazılım, veri ya da donanımı vermeyenler veya engel olanlar: 1–3 yıl hapis ve 500–1.500 gün adli para cezası,
  • Gerekli onay/yetki/izinler olmaksızın faaliyet gösterenler: 2–4 yıl hapis ve 1.000–2.000 gün adli para cezası,
  • Sır saklama yükümlülüğünü ihlal edenler: 4–8 yıl hapis,
  • Kişisel veya kritik kamu hizmeti kapsamındaki verileri izinsiz erişime açan/yayan/satanlar: 3–5 yıl hapis,
  • Gerçek dışı veri sızıntısı içerikleri ile korku/panik yaratmayı hedefleyenler: 2–5 yıl hapis,
  • Türkiye’nin siber uzaydaki millî gücüne yönelik saldırıda bulunanlar veya elde ettikleri verileri siber uzayda bulunduranlar: 8–12 yıl hapis; verileri yayan/gönderen/satanlar: 10–15 yıl hapis,
  • 12. maddeye aykırılık: 3–5 yıl hapis,
  • Görev kötüye kullanımı veya gerekli önlemleri almama suretiyle veri ihlali meydana gelmesine sebebiyet: 1–3 yıl hapis.

İdari para cezaları bakımından Kanun; özellikle bildirim yükümlülüklerinin ihlali, sertifikalı/yetkilendirilmiş ürün-hizmet teminine uyulmaması, Başkanlık onayı/uygunluğu aranan işlemlerde usule uyulmaması, bilgi temini yazılarına cevap verilmemesi ve denetimlerde iş birliği yükümlülüğünün yerine getirilmemesi gibi durumlarda yüksek tutarlı idari yaptırımlar öngörmektedir. Ayrıca savunma alınması usulü, mükerrer kabahat halinde artırım imkânı, menfaat/zarar esaslı artırım, tahsil usulü ve idari yargı yolu düzenlenerek yaptırım rejimi prosedürel güvenceyle tamamlanmaktadır.

19
Sonuç ve Değerlendirme

Kanun ile siber güvenlik yönetişiminde kurumsal parçalanmışlığın giderilmesi ve yetkinin merkezî bir otorite altında toplanması yönünde belirgin bir dönüşüm hedeflenmiştir. Daha önce farklı kurumlar arasında dağınık biçimde yürütülen siber güvenlik faaliyetlerinin, Başkanlık etrafında toplanması ve ilgili varlık/altyapıların devrine ilişkin geçiş mekanizmasının işletilmesi suretiyle koordinasyon eksikliğinin azaltılması öngörülmektedir. Bu kapsamda siber güvenlik; artık yalnızca bilişim birimlerinin teknik sorumluluğu olarak değil, yönetim kurulu gözetiminde ele alınması gereken, kurumsal risk yönetimi, uyum ve sürdürülebilirlik süreçleriyle doğrudan bağlantılı stratejik bir yönetişim alanı olarak değerlendirilmelidir. Bununla birlikte Kanun; siber güvenliği stratejik seviyede ele almak üzere Kurul mekanizmasıyla en üst düzey siyasi-idari koordinasyonu kurumsallaştırmakta; standart, sertifikasyon, denetim ve olay müdahalesi fonksiyonlarının tek bir koordinasyon odağında toplanması suretiyle kamu-özel ekosisteminde yeknesak uygulama ve hızlı karar alma kapasitesini güçlendirmeyi amaçlamaktadır.

Kanun’un en dikkat çeken yönlerinden biri; tavsiye ağırlıklı yaklaşımı terk ederek yüksek caydırıcılık içeren bir yaptırım rejimi tesis etmesidir. Bu çerçevede; bildirim ve iş birliği yükümlülüklerinin açık yükümlülük haline getirilmesi, SOME yapılarının kurulması/denetlenmesi ve idari- cezai yaptırımların birlikte düzenlenmesi, siber risk yönetimini şirketler bakımından üst yönetim gündeminin merkezine taşımaktadır. Buna karşın; düzenlemenin tüm unsurlarıyla etkin biçimde uygulanabilmesi için yönetmelik ve ikincil mevzuatın öngörülen süreler içinde yürürlüğe konulması, standardizasyon/sertifikasyon/denetim süreçlerinin saha uygulamalarının netleşmesi bakımından belirleyici olacaktır.

20
Olarak Önerilerimiz

Kanun, yalnızca kamu kurum ve kuruluşlarını değil, özel sektör aktörlerini de doğrudan muhatap alan çok sayıda yükümlülük ihdas etmektedir. Bu çerçevede şirketlerin idari ve/veya cezai yaptırımlara maruz kalmaması ve siber güvenlik mevzuatına uygun bir uyum seviyesini tesis edebilmesi bakımından; bilgi ve belgelerin usulüne uygun şekilde muhafazası, sınıflandırılması ve talep halinde ivedilikle ibrazına imkân verecek kurumsal bir arşivleme/raporlama altyapısının oluşturulması, düzenli aralıklarla zafiyet taraması ve sızma testleri gerçekleştirilmek suretiyle teknik güvenlik seviyesinin ölçülmesi ve personelin siber güvenlik farkındalığını artırmaya yönelik periyodik eğitimlerle insan kaynağı kaynaklı risklerin asgariye indirilmesi önem arz etmektedir. Keza; varlık envanterinin güncel tutulması ve risk analizinin süreklilik arz eden bir süreç olarak kurgulanması, zafiyet ve siber olay bildirim mekanizmalarının işler hale getirilmesi ile tedarik edilen siber güvenlik ürün ve hizmetlerinde sertifikasyon ve yetkilendirme şartlarına uyumun sağlanması, Kanun’un öngördüğü yükümlülük standartlarının karşılanmasına doğrudan katkı sağlayacaktır.

Özellikle kritik altyapı veya kritik kamu hizmeti kapsamında faaliyet gösteren şirketler bakımından; tedarik zinciri güvenliği ile yerli ve millî ürün önceliğini gözeten yazılı bir satın alma/tedarik politikası ve sözleşmesel çerçevenin oluşturulması, bildirim ve denetim süreçlerine hazırlıklı olacak şekilde dokümantasyon, kayıt ve izlenebilirlik düzeninin tesis edilmesi, sertifikasyon ve yetkilendirme gerekliliklerinin tedarikçi sözleşmelerine açık ve bağlayıcı hükümlerle eklenmesi ve nihayetinde tüm bu unsurların üst yönetim gözetiminde sürdürülebilir bir siber uyum programına dönüştürülmesi, uyumsuzluk kaynaklı yaptırım riskinin azaltılması bakımından belirleyici niteliktedir. Bilgilerinize sunarız. Saygılarımızla,

Ortak Avukat / Marka Vekili Ortak / Marka Vekili

Stajyer Avukat Stajyer Avukat Sınai Mülkiyet Uzmanı

Uğurcan TekinOrtakİnci ÖzçilsalAvukat

İlgili yazılar

Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ağustos 2026: İlke Kararları, Pazarlama Amaçlı Veri İşleme ve İşyeri Gözetimi5 Eylül 2026Veri Korumaİş Yerlerinde Güvenlik Kamerası Sistemleri: Kurum'un 8 Haziran 2026 Tarihli Kamuoyu Duyurusu18 Haziran 2026Veri KorumaAnayasa Mahkemesi'nin Viennalife Kararı: Alenileştirilmiş Kişisel Veriler ve Amaçla Bağlılık16 Haziran 2026