İnternet hukukunda 2026 yazında sessiz ama kapsamlı bir değişiklik oldu: 24/7/2026 tarihli ve 7590 sayılı Kanun, 5651 sayılı Kanundaki "Kurum" ibarelerini — yani Bilgi Teknolojileri ve İletişim Kurumunu — "Başkanlık", yani Siber Güvenlik Başkanlığı ile değiştirdi. Erişim engelleme kararlarının muhatabı, log teslim edilecek merci ve idari para cezasını verecek makam değişti.
Değişiklik, erişim engellemenin maddi rejimini değiştirmiyor; hâkim kararı, sulh ceza usulü ve süreler yerinde duruyor. Değişen, kurumsal adres. Aşağıda neyin değiştiğini ve neyin aynı kaldığını 8 Eylül 2026 itibarıyla yürürlükteki metin üzerinden ele alıyoruz. Erişim engellemenin esasa ilişkin tartışması için erişim engellemede madde 9 iptali ve kalan yollar yazısına bakılabilir.
Tanımlar değişti: "Başkan" artık Siber Güvenlik Başkanı
5651'in tanımlar maddesinde üç ayrı müdahale var:
| Değişiklik | Sonuç |
|---|---|
| (a) bendi mülga | Eski tanım metinden çıkarıldı |
| "Başkan" tanımındaki "Bilgi Teknolojileri ve İletişim Kurumu" ibaresi "Siber Güvenlik" oldu | Başkan = Siber Güvenlik Başkanı |
| (v) bendi eklendi | Başkanlık = Siber Güvenlik Başkanlığı |
| Trafik bilgisi tanımına "port bilgisi" ibaresinden önce "kaynak ve hedef" eklendi | Saklanacak log içeriği genişledi |
Son satır teknik görünse de doğrudan uyum maliyeti doğuruyor. Trafik bilgisi bugün şu şekilde tanımlı: "Taraflara ilişkin IP adresi, kaynak ve hedef port bilgisi, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı ve varsa abone kimlik bilgileri." Erişim sağlayıcılar bu bilgileri altı aydan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenecek süre kadar saklamak ve doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlü. Kaynak ve hedef portun tanıma girmesi, mevcut log şemalarının gözden geçirilmesini gerektirir.
Yükümlülüklerin muhatabı: artık Başkanlık
Erişim sağlayıcının m.6'daki yükümlülükleri içerik olarak aynı kaldı; muhatabı değişti. Bugünkü metne göre erişim sağlayıcı:
- Kullanıcısının yayınladığı hukuka aykırı içerikten bu Kanuna uygun olarak haberdar edilmesi hâlinde erişimi engellemekle,
- Trafik bilgilerini yönetmelikte belirlenen süre kadar saklamakla,
- Faaliyetine son vereceği tarihten en az üç ay önce durumu Başkanlığa, içerik sağlayıcılarına ve müşterilerine bildirmek ve trafik bilgilerine ilişkin kayıtları usulüne uygun olarak Başkanlığa teslim etmekle,
- Erişimi engelleme kararı verilen yayınlarla ilgili alternatif erişim yollarını engelleyici tedbirleri almakla yükümlüdür.
Buna karşılık m.6/2 yerinde duruyor: erişim sağlayıcı, kendisi aracılığıyla erişilen bilgilerin içeriklerinin hukuka aykırı olup olmadığını ve sorumluluğu gerektirip gerektirmediğini kontrol etmekle yükümlü değildir.
İdari para cezası tarafında da muhatap netleşti: (b), (c) ve (ç) bentlerindeki yükümlülüklerden birini yerine getirmeyen erişim sağlayıcısına ceza Başkan tarafından verilir. Yani ceza yazısının altındaki imza artık Siber Güvenlik Başkanınındır ve iptal davasında husumet buna göre yöneltilir.
Erişim Sağlayıcıları Birliği bakımından da denetim adresi değişti: Birliğin çalışma usul ve esaslarını belirleyen Tüzük Başkanlık tarafından onaylanır ve tüzük değişiklikleri de Başkanlığın onayına tabidir. Birlik ayrıca Tüzüğünün Başkanlıkça incelenip uygun bulunmasını müteakip faaliyete başlar.
Birliğin işlevi teknik ama sonuçları doğrudan: Kanunun 8 ve 8/A maddeleri kapsamı dışındaki tüm içeriğin çıkarılması ve/veya erişimin engellenmesine yönelik kararların uygulanmasını sağlamak üzere kurulmuştur, özel hukuk tüzel kişiliğini haizdir ve merkezi Ankara'dadır. Birlik, 5809 sayılı Kanun kapsamında yetkilendirilen tüm internet servis sağlayıcıları ile internet erişim hizmeti veren diğer işletmecilerin katılmasıyla oluşur.
Uygulama tarafında iki kural pratikte belirleyicidir. Birincisi, erişimin engellenmesi kararları erişim sağlayıcılar tarafından yerine getirilir ve kararların uygulanması için gerekli her türlü donanım ve yazılım erişim sağlayıcıların kendileri tarafından sağlanır; bu, altyapı maliyetinin işletmecide olduğu anlamına gelir. İkincisi, kararlar gereği için Birliğe gönderilir ve Birliğe yapılan tebligat erişim sağlayıcılara yapılmış sayılır; erişim sağlayıcılar da kararların bildirimi için gerekli teknik altyapıyı kurmakla yükümlüdür. Tebligatın bu şekilde toplu yapılması, sürelerin başlangıcını Birliğe ulaşma anına bağlar.
Yer sağlayıcı tarafında ceza kimden geliyor
Yer sağlayıcının yükümlülükleri m.5'te düzenlenmiş ve iki koruma kuralıyla başlıyor: yer sağlayıcı, yer sağladığı içeriği kontrol etmek veya hukuka aykırı bir faaliyetin söz konusu olup olmadığını araştırmakla yükümlü değildir; buna karşılık yer sağladığı hukuka aykırı içeriği, Kanunun 8 inci ve 9 uncu maddelerine göre haberdar edilmesi hâlinde yayından çıkarmakla yükümlüdür.
Saklama süresi erişim sağlayıcıdan farklıdır: yer sağlayıcı, hizmetlerine ilişkin trafik bilgilerini bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenecek süre kadar saklamak ve bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlüdür. Erişim sağlayıcıda bu alt sınır altı aydır; iki taraf için farklı asgari süreler öngörülmüş olması, tek bir grup şirketinde her iki sıfatın birden taşındığı hâllerde ayrı log politikaları gerektirir.
Yaptırım tarafında da muhatap Başkandır: yer sağlayıcılık bildiriminde bulunmayan veya Kanundaki yükümlülüklerini yerine getirmeyen yer sağlayıcı hakkında Başkan tarafından yüz bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası verilir. Yer sağlayıcılar ayrıca, yönetmelikle belirlenecek usul ve esaslar çerçevesinde yaptıkları işin niteliğine göre sınıflandırılabilir ve hak ve yükümlülükleri itibarıyla farklılaştırılabilir.
Aynı devir elektronik haberleşme mevzuatında da yapıldı
7590, devri tek kanunla sınırlı tutmadı. 5809 sayılı Elektronik Haberleşme Kanununun tanımlar maddesine de "Başkanlık: Siber Güvenlik Başkanlığını" bendi eklendi ve Kurumun görevleri arasındaki bazı bentler ile bir kısım fıkralar yürürlükten kaldırıldı — bunlar arasında Kurumun görev listesindeki bir bent, işletmecilerin uymakla yükümlü olduğu hususları sayan listedeki bir bent ve 2016'da eklenmiş bir fıkra yer alıyor. Aynı Kanunun bir kısım ve bölüm başlıklarındaki ibareler de değiştirildi.
Sonuç olarak elektronik haberleşme mevzuatında ikili bir yapı doğmuş durumda: piyasa düzenlemesi, yetkilendirme, ücret ve hizmet kalitesi tarafı Bilgi Teknolojileri ve İletişim Kurumunda; siber güvenlik, izleme ve internet içeriğine ilişkin tedbir tarafı ise Siber Güvenlik Başkanlığında. Bir işletmecinin aynı olayda iki ayrı kuruma karşı yükümlülüğü doğabilir ve her biri kendi ceza rejimini uygular.
Başkanlığın 5651 kapsamındaki görevleri
m.10, Kanunla verilen görevlerin Başkanlık tarafından yerine getirileceğini söyleyerek başlıyor. Maddenin üçüncü ve beşinci fıkraları 7590 ile mülga edildi; dördüncü fıkradaki görev listesi ise Başkanlığa aktarıldı:
- Bakanlıklar, kolluk kuvvetleri, ilgili kamu kurum ve kuruluşları ile içerik, yer ve erişim sağlayıcılar ve sivil toplum kuruluşları arasında koordinasyon oluşturmak, internetin güvenli kullanımı ve bilişim şuurunu geliştirmeye yönelik çalışmalar yapmak, gerektiğinde çalışma kurulları oluşturmak.
- İnternet ortamındaki yayınların içeriklerini izleyerek, Kanun kapsamına giren suçların işlendiğinin tespiti hâlinde erişimin engellenmesine yönelik tedbirleri almak.
- İzlemenin hangi seviye, zaman ve şekilde yapılacağını belirlemek.
- Filtreleme ve bloke etmede kullanılacak sistemlere yönelik esas ve usulleri belirlemek.
- m.8 ve m.8/A'daki suçların işlenmesini önlemek için izleme ve bilgi ihbar merkezi dâhil her türlü teknik altyapıyı kurmak veya kurdurmak, işletmek veya işletilmesini sağlamak.
- Filtreleme, perdeleme ve izleme esaslarına göre donanım üretilmesi veya yazılım yapılmasına ilişkin asgari kriterleri belirlemek.
- Bilişim ve internet alanındaki uluslararası kurum ve kuruluşlarla iş birliği ve koordinasyonu sağlamak.
- Kanunun 8 inci maddesinin birinci fıkrasında sayılan suçların internet ortamında işlenmesini konu alan her türlü temsili görüntü, yazı veya sesleri içeren ürünlerin tanıtımı, ülkeye sokulması, bulundurulması, kiraya verilmesi veya satışının önlenmesini teminen, yetkili kolluk kuvvetleri ile soruşturma mercilerine teknik imkânlar dâhilinde her türlü yardımda bulunmak ve koordinasyonu sağlamak.
Son bent, Başkanlığın rolünün yalnız çevrimiçi içerikle sınırlı olmadığını gösteriyor: fiziki ürünlerin ithali ve satışının önlenmesinde kolluğa teknik destek de görev alanına giriyor. Aynı fıkranın (a) bendinde 7590 ile yapılan iki küçük ama anlamlı değişiklik de var: "Bakanlık" ibaresi "Bakanlıklar", "Kurumca" ibaresi ise "Başkanlık tarafından" şeklinde değiştirildi; yani koordinasyonun muhatabı tek bir bakanlıktan çoğul yapıya çevrildi ve çalışma kurullarının giderleri Başkanlık bütçesinden karşılanır hâle geldi.
🔴 Burada gözden kaçan bir ayrım var: aynı fıkranın (ç) bendinde "Kurum tarafından işletmecilerin yetkilendirilmeleri" ibaresi korunmuştur. Yani işletmeci yetkilendirmesi Bilgi Teknolojileri ve İletişim Kurumunda kalmış; Başkanlığa geçen, bu yetkilendirme belgelerinde yer alacak filtreleme ve bloke etme esaslarını belirleme yetkisidir. Elektronik haberleşme yetkilendirmesinin kendi rejimi için elektronik haberleşmede yetkilendirme, ücret ve tedbir yazısına bakılabilir.
Geçiş: atıflar, üç aylık devir ve taşınmazlar
Devrin nasıl işleyeceği 7545 sayılı Siber Güvenlik Kanununa yine 7590 ile eklenen geçici m.2'de düzenlenmiş durumda.
| Konu | Kural |
|---|---|
| İkincil mevzuat | Başkanlık ikincil düzenlemeleri çıkarana kadar mevcut düzenlemelerin uygulanmasına devam olunur |
| Kurum atıfları | BTK'ya ve Telekomünikasyon İletişim Başkanlığına yapılan atıflar Siber Güvenlik Başkanlığına yapılmış sayılır |
| Kişi atıfları | BTK Kuruluna, Telekomünikasyon Kuruluna, BTK Başkanına ve TİB Başkanına yapılan atıflar Siber Güvenlik Başkanına yapılmış sayılır |
| Varlık devri | Devredilen görev ve yetkiler kapsamında kullanılan taşınır, bilgi işlem altyapısı, veri merkezi, araç, kayıt ve dokümanlar ile borç ve alacaklar, hak ve yükümlülükler, maddenin yürürlüğünden itibaren üç ay içinde devredilir |
| Taşınmazlar | Ekli listedeki taşınmazlar tapuda re'sen, bedelsiz, harçlardan ve döner sermaye ücretlerinden muaf olarak Başkanlık adına tescil edilir |
| Dava ve icra | Devir tarihini müteakiben Siber Güvenlik Başkanlığı taraf sıfatını kazanır |
Sözleşme, dava ve icra dosyalarında taraf sıfatının kanunen geçmesi, devam eden uyuşmazlıklarda ayrıca bir devir işlemi yapılmasını gerektirmiyor. Buna karşılık yeni açılacak davalarda husumetin doğru kuruma yöneltilmesi tarafların sorumluluğundadır.
Kurumsal tarafta bir de personel akışı var: BTK kadrolarında devredilen görevlerde çalışan personel, talepleri ve uygun görülmesi hâlinde Başkanlıkta bir yıl süreyle görevlendirilebiliyor ve bu süre içinde durumlarına uygun kadrolara atama sayı sınırlamalarına tabi olmaksızın atanabiliyor. Ayrıca hâkim ve savcılar, muvafakatleri alınmak ve mali hakları kurumlarınca ödenmek kaydıyla geçici olarak Başkanlık emrinde görevlendirilebiliyor; bu şekilde görevlendirilecek hâkim ve savcı sayısı beşi geçemiyor.
Ne değişmedi
Uygulamada en sık sorulan soru, mevcut kararların ve usullerin geçerliliğidir. Değişiklik ibare düzeyinde yapıldığı için:
- Erişim engelleme ve içeriğin çıkarılması kararlarının hukuki dayanakları ve süreleri aynıdır.
- Sulh ceza hâkimliği ve mahkeme kararlarına ilişkin usul değişmemiştir.
- Erişim sağlayıcının sorumsuzluk kuralı (m.6/2) yerindedir.
- Erişim Sağlayıcıları Birliğinin özel hukuk tüzel kişiliği ve merkezinin Ankara olması korunmuştur.
Tek yapısal ekleme m.8'in on birinci fıkrasındadır: kararın yerine getirilmemesi hâlinde uygulanacak sürece "Başkanlığın talebi üzerine" ibaresi eklenmiştir; yani bu aşamanın harekete geçirilmesi Başkanlığın talebine bağlanmıştır.
Aynı Kanunla Siber Güvenlik Başkanlığına bir görev daha verildi: 7545 m.6'ya eklenen bent uyarınca Başkanlık, kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlamak ve bu konuda gerekli düzenlemeleri yapmakla görevlidir. Başkanlığın kendi yükümlülük ve denetim rejimi için Siber Güvenlik Kanununda yükümlülükler ve denetim yazısına bakılabilir.
Şirketler için yapılacaklar
- Bildirim ve teslim adreslerini güncelleyin. Faaliyete son verme bildirimi ve trafik kaydı teslimi artık Başkanlığa yapılır.
- Log şemasını "kaynak ve hedef port" için gözden geçirin. Tanım genişlediği için mevcut kayıt yapısı eksik kalabilir.
- Dava dilekçelerinde husumeti kontrol edin. Yeni işlemlerde muhatap Siber Güvenlik Başkanlığıdır; devam eden dosyalarda taraf sıfatı kanunen geçmiştir.
- İkincil mevzuatı takip edin. Başkanlık kendi düzenlemelerini çıkarana kadar mevcut yönetmelikler uygulanmaya devam ediyor.
- Yetkilendirme ile içerik denetimini karıştırmayın. İşletmeci yetkilendirmesi Bilgi Teknolojileri ve İletişim Kurumunda kalmıştır.
