I. Giriş
Devlet altyapısından özel sektör hizmetlerine kadar pek çok kritik işlev son zamanlarda dijitalleşmiş, bu dijitalleşme beraberinde kendine özgü güvenlik açıklarını da getirmiştir. Uluslararası Telekomünikasyon Birliği (“ITU”) verilerine göre 2024 itibarıyla küresel ölçekte kurum başına gerçekleşen haftalık ortalama siber saldırı sayısı 1.876’ya ulaşmış olup bu rakam bir önceki yıla göre ciddi bir artış göstermiştir.
Türkiye bu dijitalleşme sürecinde çatı bir siber güvenlik mevzuatından yoksun kalmıştır. Siber güvenlik alanında bu süreçte Ulaştırma ve Altyapı Bakanlığı, Bilgi Teknolojileri ve İletişim Kurumu (“BTK”) ile Cumhurbaşkanlığı Dijital Dönüşüm Ofisi gibi birden fazla kurum arasında düzenleyici yetkiler bulunmaktaydı. ITU’nun 2024 yılında yayımladığı Küresel Siber Güvenlik Endeksi’nde “Rol Model Ülke” kategorisinde konumlanan Türkiye’nin, kapsamlı bir çatı mevzuattan yoksun olması, egemen yapının iç tutarlılığını zedelemekteydi.
Bu boşluğu doldurmak amacıyla TBMM’ye 10 Ocak 2025 tarihinde sunulan Siber Güvenlik Kanunu Tasarısı, 12 Mart 2025’te kabul edilerek 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanmış ve aynı gün 7545 sayılı Siber Güvenlik Kanunu (“Kanun”) yürürlüğe girmiştir. Bu yazıda Kanun’un kritik altyapı işletmecilerine yüklediği hukuki sorumluluklar ele alınacaktır.
II. Kanun’un Mimarisi ve Temel Yapısı
7545 sayılı Kanun, Türk hukukunda siber güvenliği bağımsız ve ayrı bir kanunla düzenleyen ilk yasal metin olma özelliğini taşımaktadır. Kanun öncesinde bu alanın normatif omurgasını, 5809 sayılı Elektronik Haberleşme Kanunu ile 2013-2014 döneminden itibaren hazırlanan ve en son 2024-2028 dönemini kapsayan ve Kanun’un teorik temellerini oluşturan Ulusal Siber Güvenlik Stratejisi ve Eylem Planları oluşturmaktaydı.
21 maddeden oluşan ve çerçeve bir yasa niteliği taşıyan Kanun’un başlıca amaçları şu şekilde sıralanabilir: Türkiye Cumhuriyeti’nin siber uzaydaki milli gücüne yönelik mevcut ve muhtemel tehditleri tespit ederek bertaraf etmek; siber olayların etkilerini azaltmaya ilişkin esasları belirlemek; kamu ve özel sektör kuruluşlarını siber saldırılara karşı koruyacak düzenlemeleri hayata geçirmek ve ülkenin siber güvenlik stratejilerini güncel tutmak.
Kişi bakımından kapsam Kanun’un 2. maddesinde son derece geniş tutulmuştur: doğrudan ya da dolaylı olarak internete, elektronik haberleşme veya bilgisayar ağlarına bağlı bilişim sistemleri üzerinde varlık gösteren ya da hizmet sunan kamu kurumları ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan yapılar Kanun’un uygulama alanına girmektedir. Bununla birlikte 2559 sayılı Polis Vazife ve Salâhiyet Kanunu, 2692 sayılı Sahil Güvenlik Komutanlığı Kanunu, 2803 sayılı Jandarma Teşkilat Kanunu, 2937 sayılı MİT Kanunu ve 211 sayılı Türk Silahlı Kuvvetleri İç Hizmet Kanunu kapsamında yürütülen istihbari ve askeri faaliyetler açıkça kapsam dışında bırakılmıştır.
Kanun’un getirdiği en büyük yenilik Siber Güvenlik Başkanlığı’nın (“SGB”) oluşturulmasıdır. Başkanlık; politika belirleme, düzenleme yapma, standart koyma, yetkilendirme, kapasite geliştirme, denetim yürütme ve yaptırım uygulama gibi işlevleri tek elde toplamaktadır. Cumhurbaşkanlığı bünyesinde yer alan Siber Güvenlik Kurulu ise kritik altyapı sektörlerinin belirlenmesinden siber güvenlik teknoloji yol haritalarının onaylanmasına kadar üst politika kararlarını almakla görevlendirilmiştir. Daha önce USOM bünyesinde sürdürülen Siber Olaylara Müdahale Ekibi koordinasyonu da Başkanlığa devredilmiştir.
Kanun’un 3. maddesinde on iki temel ilke sayılmıştır. Bu ilkelerin belki de en belirleyici olanı “güvenliğin bütünlüğü” ilkesidir: siber güvenlik, milli güvenliğin ayrılmaz bir parçası olarak konumlandırılmıştır. Bunu tamamlayan diğer ilkeler arasında yerlilik ve millilik, hesap verebilirlik, yaşam döngüsünü gözetme, mahremiyetin korunması ve sürekli gelişim ilkeleri öne çıkmaktadır. Söz konusu ilkeler, hem düzenleyici yoruma hem de uyuşmazlık çözümüne yol gösterecek niteliktedir.
III. Kritik Altyapı Kavramı ve Sınıflandırması
Kritik altyapı denildiğinde akla devlet, ekonomi ve toplumun kesintisiz işleyişi için elzem olan fiziksel ve bilişim sistemleri gelmektedir. Kanun’un 2. maddesinde ise kritik altyapı “işlediği bilginin ya da verinin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara, güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilen bilişim sistemlerini barındıran altyapılar” olarak tanımlanmıştır. Bu tanım, bilgi güvenliğinin temel parametreleri olan gizlilik (confidentiality), bütünlük (integrity) ve erişilebilirlik (availability) üçlüsünü –CIA üçgeni olarak anılmaktadır– normatif bir çerçeveye oturtmaktadır.
Kanun kritik altyapı sektörlerini belirleme ve bu sektörler içinde somut altyapıları nitelendirme yetkisini doğrudan Cumhurbaşkanlığına bağlı olan Siber Güvenlik Başkanlığı’na tanımıştır. Bu esnek yaklaşım, teknolojik gelişmelere ve değişen tehdit ortamına uyum sağlanmasına imkân vermekte olsa da birtakın hukuki soruları akıllara getirmektedir. Kritik altyapı sektörlerinin yasama organınca değil yürütmeye bağlı bir idari kurum tarafından belirleniyor olması aslilik ilkesi ve belirlilik ilkesini zedelemekte midir? Yargısal denetim işlevi ne derecede kullanılabilecektir?
IV. Kritik Altyapı İşletmecilerinin Temel Yükümlülükleri
Kanun’un 7. ve 8. maddeleri, kritik altyapı işletmecilerinin yerine getirmekle yükümlü olduğu sorumlulukların çerçevesini çizmektedir. Bu yükümlülükler yapıları itibarıyla dört ana grupta ele alınabilir:
A. Bilgi, Belge ve İş Birliği Yükümlülüğü
Kanun’un 7. maddesinin (a) bendi uyarınca ilgili kişi ve kuruluşlar, Başkanlığın görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım ve yazılımı gecikmeksizin, eksiksiz ve öncelikli olarak Başkanlığa iletmekle yükümlüdür.
B. Tedbir Alma ve Siber Olay Bildirimi
7. maddenin (b) bendi, belki de pratikte en doğrudan sonuç doğuracak yükümlülüğü içermektedir: İlgili kurum ve kuruluşlar, milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü siber güvenlik tedbirlerini almak ve hizmet sundukları alanda tespit ettikleri zafiyet ya da siber olayları gecikmeksizin Başkanlığa bildirmekle yükümlüdür.
Söz konusu bildirim yükümlülüğü, birçok Avrupa Birliği üyesi devletin uygulamasında da önemli bir yer tutan 2022/2555 no.lu NIS 2 Direktifi ile yapısal benzerlik taşımakta ve ulusal siber güvenlik stratejisinin hayata geçirilmesinde merkezi bir işlev üstlenmektedir. NIS 2’de olay tespitinden itibaren 24 saat içinde ilk uyarı, 72 saat içinde ayrıntılı rapor, 30 gün içinde nihai değerlendirme raporu sunulması düzenlenmişken Kanun’da “gecikmeksizin” ifadesi kullanılmıştır.
Kıyasen bakıldığında 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 12/5’te “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.” ifadesi daha sonradan Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı ile “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine karar verilmişti.
Bu yapısal benzerlik ve kıyas akıllara Başkanlık’ın ikincil mevzuatla VERBİS benzeri bir kayıt mekanizması kurması ihtimalini getirmektedir. Henüz böyle bir sisteme ilişkin duyuru yayınlanmasa da Kritik Altyapı İşletmecilerinin VERBİS benzeri bir siber güvenlik bildirim platformuna üye olma yükümlülüğü bir ihtimal olarak değerlendirilmelidir.
C. Yetkilendirilmiş Ürün ve Hizmet Kullanımı
7. maddenin (c) bendi, kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş uzmanlardan, üreticilerden ya da şirketlerden tedarik edilmesini zorunlu kılmaktadır. Bu düzenleme tedarik zinciri güvenliği açısından çok önemlidir ve şirketlerin Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş uzman istihdamı noktasında planlama yapması gerekliliğini gündeme getirmektedir. Öte yandan Kanun’un temel ilkeleri arasında yer alan “yerlilik ve millilik” ilkesi, kritik altyapılarda yerli ve milli ürünlere öncelik tanınması yönünde açık bir politika tercihi ortaya koymaktadır. Bu yerli ve milli ilke özellikle siber güvenlik amaçlı kullanılan yabancı menşeli ürünlerin ne gibi ulusal güvenlik tehditleri oluşturabileceğine bir çekincenin sonucudur. Henüz Kanun’da bu yönde bir düzenleme olmasa da ikincil mevzuatla birlikte Türkiye’de ticaret siciline kayıtlı ve yerli görünümlü olmakla birlikte hisse yapısı, kaynak kodu mülkiyeti veya teknik destek anlaşmaları aracılığıyla fiilen yabancı kontrol altında bulunan şirketlerin yetkilendirme sürecinde birtakım engellerle karşılaşabileceği değerlendirilmektedir.
D. Siber Güvenlik Şirketlerine Yönelik Sertifikasyon Zorunluluğu
7. maddenin (ç) bendi, sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlığın onayını almalarını şart koşmaktadır. “Siber güvenlik” ibaresini ticaret unvanında taşıyan ancak gerekli yasal yetki belgesine sahip olmayan şirketlerin faaliyetlerinin durdurulabileceği de açıkça düzenlenmiştir. Kanun’un uygulanmasına ilişkin ikincil düzenlemelerin bir yıl içinde hazırlanması öngörülmüş olsa da sektörde faaliyet gösteren şirketlerin bu yükümlülüğe uyum sürecini ivedilikle başlatması büyük önem taşımaktadır.
E. Siber Olgunluk Yükümlülüğü
7. maddenin (d) bendi, ilgili tarafların Başkanlık tarafından oluşturulan politika, strateji ve eylem planlarını hayata geçirme ile gerekli tedbirleri alma yükümlülüğünü içermektedir. Bu hüküm, uyumun statik bir anlık görüntü değil; sürekli güncellenen ve iyileştirilen dinamik bir süreç olarak kurgulandığını ortaya koymaktadır. Düzenli sızma testleri, zafiyet taramaları ve 7/24 izleme kapasitesi bu yükümlülüğün pratik yansımalarını oluşturmaktadır.
V. Denetim ve Yaptırımlar
Siber Güvenlik Başkanlığı, ilgili kuruluşlarda denetim yapmaya yetkisine; bağımsız denetçi ve denetim kuruluşlarını yetkilendirme, gerektiğinde bu yetkileri süreli veya süresiz iptal etme yetkisine sahiptir. Milli güvenliği doğrudan ilgilendiren durumlarda ise hâkim kararıyla veya savcının yazılı emriyle arama ve el koyma işlemleri yapılabileceği düzenlenmiştir.
Başkanlığın görev yelpazesi; siber tehdit istihbaratı toplama ve paylaşma, zafiyet ile sızma testleri yürütme, kamu kurumlarına güvenli barındırma hizmeti sunma ve ulusal siber dayanıklılık kapasitesini arttırma gibi proaktif işlevleri de kapsamaktadır. Bu yetki genişliği Kanun’un siber güvenliği milli güvenlik meselesi olarak konumlandırdığının en büyük göstergesidir.
A. İdari Para Cezaları
Kanun’un 17. maddesi katmanlı bir yaptırım yapısı öngörmektedir. 7. maddenin b ve c bentlerindeki bildirme ve yetkilendirilmiş ürün kullanma yükümlülüklerini yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası uygulanabilir. 18. maddedeki yükümlülüklerin ihlali halinde ise bu rakam on milyon Türk lirasından yüz milyon Türk lirasına kadar çıkabilmektedir.
8. maddenin 4. fıkrasındaki, yani denetimde işbirliği yükümlülüğünü yerine getirmeyenlere yüz bin Türk lirasından bir milyon Türk lirasına kadar para cezası öngörülmekte; bu yükümlülüğün ticari şirketlerce ihlal edilmesi durumunda ise bağımsız denetimden geçmiş yıllık brüt satış hasılatının yüzde beşine kadar idari para cezası uygulanabilmektedir. Hasılat bazlı bu üst sınır, özellikle büyük ölçekli kritik altyapı işletmecileri açısından son derece caydırıcı bir yaptırım mekanizması oluşturmaktadır.
B. Hapis Cezaları
Kanun yalnızca idari para cezasıyla sınırlı kalmayıp çeşitli fiiller için hapis cezası da öngörmektedir. Başkanlığın taleplerini yerine getirmeyenler ile kritik altyapılara yönelik siber saldırı gerçekleştirenler bir yıldan on beş yıla kadar çeşitli hapis cezalarıyla karşılaşabilmektedir. Bunun yanı sıra görevini kötüye kullananlar ya da veri ihlaline sebebiyet verenler için ayrıca bir yıldan üç yıla kadar hapis cezası öngörülmüştür.
VI. Geçiş Süresi ve Uyum Stratejileri
Kanun; ikincil düzenlemelerin hazırlanması için bir yıllık bir süre tanımıştır. Sektörde faaliyet gösterenlerin Başkanlık onaylı sertifikasyon süreçlerini tamamlaması beklenen bu süreç, işletmeciler açısından zorlu bir takvim baskısı yaratmaktadır. Geçiş döneminde kritik altyapı şirketlerinin dikkat etmesi gereken hususlar bulunmaktadır:
Her şeyden önce, kritik altyapı niteliği taşıyabilecek faaliyetlerin tespit edilerek diğer ticari faaliyetlerden mümkün olduğunca ayrıştırılması gerekmektedir. Ardından mevcut siber güvenlik kapasitesinin ayrıntılı biçimde haritalandırılması ve Başkanlık’a yönlendirilmiş bir iletişim kanalını da kapsayacak şekilde kurumsal siber güvenlik organizasyonunun güçlendirilmesi ilk atılacak adımlar olmalıdır. Son olarak, bu çalışmada bahsedilen birtakım soyut kalan hususların somutlaştırılacağı ikincil mevzuatın takip edilmesi, bu konuda hukuki danışmanlık alınması kritik önem taşımaktadır.
Uyum süreci, yukarıda bahsedilen idari ve cezai yaptırımlar da dikkate alındığında yalnızca bir IT departmanı meselesi olmanın ötesine geçtiği görülmektedir. Şirketlerin üst yönetim düzeyinde siber güvenlik komitelerinin kurulmasını, yazılım ve donanım tedarikçi sözleşmelerinin gözden geçirilmesini, personele yönelik düzenli farkındalık eğitimlerinin planlanmasını ve yıllık testler ile denetim raporlarının arşivlenmesini gerektirmektedir.
VII. Sonuç
7545 sayılı Siber Güvenlik Kanunu, Türk hukukunun dijital çağa adaptasyonu yolundaki şüphesiz en önemli adımlardan biridir. Kanun; siber güvenliği sektörel bir teknik mesele olarak değil, milli güvenlik olarak ele almakta ve bu doğrultuda kritik altyapı şirketlerine kapsamlı yükümlülükler yüklemektedir. Siber olay bildirimi, yetkilendirilmiş ürün ve hizmet kullanımı, sertifikasyon zorunluluğu ve Başkanlıkla sürekli işbirliği; şirketlerin bu önemli yükümlülükleri olarak sayılabilir.
Pek çok ayrıntının ikincil düzenlemelere bırakılmış olması, uyum sürecinin statik değil sürekli ve dinamik bir nitelik taşıdığına işaret etmektedir. Bu nedenle kritik altyapı şirketlerinin uyum programlarını başlatmada önce değil geç kalması, hem hukuki hem de kurumsal itibar açısından telafisi güç riskler doğurabilecektir. Dijital güvenliğin uzun vadeli bir kurumsal strateji olarak benimsenmesi ise bu yeni hukuki çerçevenin yalnızca bir zorunluluk değil, aynı zamanda rekabetçi bir avantaj olarak konumlanabileceğini göstermektedir.
Sonuç olarak Kanun, hem işletmeciler hem de hukuk danışmanları için önce mevcut hükümlerin yükümlülük haritasının çıkarılması, ardından ikincil mevzuatın yayımlanma sürecinin yakından izlenmesini gerekli kılmıştır. Kanun’un pek çok temel soruyu bildirim süreleri, yabancı ortaklı şirketlere uygulanacak olası kriterler, KVKK ile örtüşen bildirimlerin yönetimi henüz ikincil düzenlemeye bırakmış olması, uyum sürecini statik değil dinamik bir zemine oturtmaktadır. Bu zemin üzerinde geç kalmak, hem hukuki hem de kurumsal itibar açısından telafisi güç riskler doğurabilecektir.
Av. Ayça Buse Kendir
