12/3/2025 tarihli ve 7545 sayılı Siber Güvenlik Kanunu (RG: 19/3/2025, 32846), Türkiye'de bilişim sistemi kullanan hemen her işletmeyi doğrudan muhatap alan bir uyum rejimi kurdu. Kanunun kapsam maddesi olabildiğince geniş yazılmış: siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar.
Bu yazı yükümlülükleri, denetim yetkisini ve kurumsal yapıyı 8 Eylül 2026 itibarıyla yürürlükteki metin üzerinden ele alıyor. Ceza rejimi ve şirket işlemlerine ilişkin onay şartı ayrı bir dosyadır.
Kimler kapsam dışında
Kanun yalnız iki alanı dışarıda bırakıyor: 2559 sayılı Polis Vazife ve Salâhiyet Kanunu, 2692 sayılı Sahil Güvenlik Komutanlığı Kanunu ve 2803 sayılı Jandarma Teşkilat, Görev ve Yetkileri Kanunu uyarınca yürütülen istihbari faaliyetler ile 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu ve 211 sayılı Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler.
Bunun dışında bir sektör istisnası yok. Bir e-ticaret şirketi de, bir hastane de, bir muhasebe bürosu da "bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan, işleyen" kategorisine girdiği ölçüde m.7'nin muhatabıdır.
Anahtar tanımlar
| Kavram | Kanundaki tanım |
|---|---|
| Kritik altyapı | İşlediği bilginin/verinin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara ve güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar |
| Kritik kamu hizmeti | Kesintiye uğraması hâlinde ulusal güvenlik, sosyal veya ekonomik refah, kamu düzeni veya sağlığı üzerinde önemli etki oluşturabilecek, ülke genelinde tekel veya sınırlı ikame ile sunulan hizmet |
| Siber olay | Bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi |
| Zafiyet | Varlıkların herhangi bir siber tehdit tarafından istismar edilebilecek zayıflık ve güvenlik açıkları |
| Barındırma | Bilişim sistemlerinin harici bir veri merkezinde bulundurulması |
| Varlık | Veriyi içeren tüm bilgi ve bilgi işleme olanakları, veriyi kullanan veya taşıyan personel ve veriyi barındıran fiziksel mekânlar |
"Varlık" tanımının personeli ve fiziksel mekânı da kapsaması, uyum çalışmasının yalnız yazılım envanteriyle sınırlı kalamayacağını gösteriyor.
🔴 Beş yükümlülük: m.7
Kanunun uyum omurgası m.7'dedir ve beş bentten oluşur.
(a) Bilgi ve katkı verme. Başkanlığın görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım, yazılım ve diğer her türlü katkıyı öncelikle ve zamanında Başkanlığa iletmek. "Donanım" ve "yazılım" ibarelerinin listede yer alması, talebin belge ibrazından ibaret olmadığını gösteriyor.
(b) Tedbir alma ve gecikmeksizin bildirim. Mevzuatın öngördüğü tedbirleri almak ve hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek. Bildirim yükümlülüğü yalnız gerçekleşmiş olaya değil, tespit edilen zafiyete de bağlanmış durumda.
(c) Tedarik zinciri kısıtı. Kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerini Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik etmek.
(ç) Faaliyet öncesi onay. Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlığın onayını alması.
(d) Politika uyumu. Siber olgunluğun artırılmasına yönelik Başkanlıkça geliştirilen politika, strateji, eylem planı ile yayımlanan diğer düzenleyici işlemlerdeki hususları yerine getirmek ve gerekli tedbirleri almak.
Bu beş bentten (a), (b) ve (c) doğrudan idari para cezasına bağlanmıştır; ayrıntı ceza dosyasının konusudur.
🔴 Başkanlığın yetkileri: "kendi mevzuatım engel" savunması kapalı
m.6, Başkanlığa denetimden bağımsız, sürekli işleyen yetkiler tanıyor ve bunların bir kısmı doğrudan şirketlerin sistemlerine dokunuyor.
Sisteme müdahale. Başkanlık, kapsamdakilerin korunması için gerekli tedbiri alır veya aldırır; bu kapsamda bilişim sistemlerine uygun bulunan yazılım ve donanım ürünlerinin kurulum ve entegrasyonunu sağlayabilir ve bu ürünlerin ürettiği veya topladığı veri ve log kayıtlarını Başkanlık yönetimindeki sistemlere aktarabilir. Ayrıca bilişim sistemlerindeki log kayıtlarını bünyesinde toplayabilir, saklayabilir ve değerlendirebilir.
Veri talebinde mevzuat engeli yok. m.6/(ç) uyarınca Başkanlık, yürüttüğü faaliyetlerle sınırlı olmak üzere bilgi, belge, veri ve kayıtları alabilir; arşivlerden, elektronik bilgi işlem merkezlerinden ve iletişim altyapısından yararlanabilir. Fıkranın son cümlesi kritik: "Bu kapsamda talepte bulunulanlar, kendi mevzuatındaki hükümleri gerekçe göstermek suretiyle talebin yerine getirilmesinden kaçınamazlar." Yani sır saklama veya sektörel gizlilik hükümleri, talebi reddetmenin dayanağı yapılamıyor.
Buna karşılık aynı bent bir saklama sınırı da içeriyor: elde edilen bilgi, belge, veri ve kayıtlar en fazla iki yıl süreyle çalışmaya konu edilir ve çalışma süresi sonrasında imha edilir. Uyum tarafında bu, veri talebine cevap verirken kapsam ve sürenin tutanağa geçirilmesini anlamlı kılar.
Dengeleyici hüküm m.13'tedir: Başkanlıkça yürütülen görev ve faaliyetler kapsamında edinilen gizlilik taşıyan bilgiler, kişisel veriler ve ticari sırlar, mevzuat gereği yetkili kılınan mercilerden başkasına açıklanamaz ve gerçek veya tüzel kişilerin menfaatine kullanılamaz. Bu yükümlülüğün ihlali, ceza rejiminde en ağır yaptırımlardan birine bağlanmıştır.
Piyasaya dönük yetkiler. Başkanlık; kapsamdakileri sınıflandırabilir ve yalnız belirli bir kısmını kapsayan hükümler oluşturabilir; siber güvenlik denetimi yapan bağımsız denetçi ve denetim kuruluşlarını yetkilendirebilir, yetkisini süreli veya süresiz iptal edebilir; kamu ve kritik altyapılarda kullanılacak yazılım, donanım, ürün ve hizmetlere dair kriterleri ve bildirim usullerini belirler; siber güvenlik ürün ve hizmetlerinin asgari güvenlik kriterlerini saptar, sertifikasyon ve belgelendirme süreçlerini yönetir ve standartlara uyum sağlamayan ürünlerin kullanılmasını önleyici tedbirler alabilir. 24/7/2026 tarihli ve 7590 sayılı Kanunla eklenen bent ise Başkanlığa, kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlama görevini vermiştir.
Temel ilkeler maddesi de bu yetkilerin okunma biçimini belirliyor: m.4 uyarınca tedbirlerin ürün ve hizmetlerin tüm yaşam döngüsü boyunca uygulanması esastır, çalışmalarda öncelikle yerli ve millî ürünler tercih edilir ve hukukun üstünlüğü, temel hak ve hürriyetler ile mahremiyetin korunması temel esas kabul edilir.
Denetim: kim, neyi, nasıl
m.8, Başkanlığa geniş bir denetim yetkisi veriyor: gerekli gördüğü hâllerde Kanun kapsamına giren her türlü fiil ve işlemi denetleyebilir, mahallinde inceleme yapabilir veya yaptırabilir.
Denetimi kimin yapacağı da yazılı: Başkanlık personeli, yetkilendirilmiş ve belgelendirilmiş bağımsız denetçiler ve bağımsız denetim kuruluşları. Yetki, Başkan tarafından görevlendirilenlerce kullanılır. Kritik ayrım şudur: kamu kurum ve kuruluşları ile kritik altyapılarda denetimler, Başkanlık personelince veya refakatinde yapılır — yani bu alanlarda bağımsız denetçi tek başına denetim yapamaz.
Denetim rastgele değil, risk bazlıdır: Başkanlık önemlilik ve öncelik ilkeleri ile risk değerlendirmelerinde dikkate alınacak ölçütleri belirler ve denetim bu program uyarınca yürütülür. Ancak Başkan, program dışı denetim de yaptırabilir.
Denetim yetkisinin içeriği m.8/4'te sayılmış: elektronik ortamdaki verinin, belgelerin, elektronik altyapının, cihaz, sistem, yazılım ve donanımların incelenmesi, bunlardan kopya, dijital suret veya örnek alınması, yazılı veya sözlü açıklama istenmesi, tutanak düzenlenmesi, tesislerin ve işletiminin incelenmesi.
Karşı tarafa da aktif bir yükümlülük yükleniyor: denetime tabi tutulanlar, ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almak zorundadır. Bu fıkranın ihlali, aşağıda görüleceği gibi cirodan hesaplanan bir cezaya bağlanmıştır.
🔴 Arama, kopya çıkarma ve el koyma usulü
m.8/5, ceza muhakemesi benzeri bir usul kuruyor ve süreleri kanuna yazıyor.
| Aşama | Kural |
|---|---|
| Yetki sebebi | Millî güvenlik, kamu düzeni, suç işlenmesinin veya siber saldırıların önlenmesi |
| Karar | Hâkim kararı; gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının yazılı emri |
| Yer | Konut, işyeri ve kamuya açık olmayan kapalı alanlar |
| İşlem | Uzun süreli hizmet aksamasına yol açmayacak ve kesintisiz şekilde kopya çıkarma ve el koyma |
| İlgiliye teslim | Çıkarılan kopyanın bir nüshası ilgilisine teslim edilir ve tutanağa geçirilir |
| Hâkim onayı | Hâkim kararı olmaksızın yapılan işlemler 24 saat içinde görevli hâkimin onayına sunulur |
| Karar süresi | Hâkim 48 saat içinde kararını açıklar; aksi hâlde kopyalar ve çözümü yapılan metinler derhâl imha edilir ve el koyma kendiliğinden kalkar |
| Veri merkezi | Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde sadece hâkim kararıyla işlem yapılabilir |
| Yetkili merci | Ankara sulh ceza hâkimliği |
| İstisna | Kamu kurum ve kuruluşları bakımından hâkim kararı aranmaz |
Üç nokta pratikte belirleyicidir. Birincisi, işlemin "uzun süreli hizmet aksamasına yol açmayacak" biçimde yapılması kanuni bir sınırdır; ölçüsüzlük iddiasının dayanağıdır. İkincisi, veri merkezinde savcı emriyle işlem yapılamaz — barındırma hizmeti alan şirketler için bu ek bir koruma katmanıdır. Üçüncüsü, yetki tek bir hâkimlikte toplanmıştır; bu, itiraz stratejisini de tek bir merci etrafında kurgulamayı gerektirir.
Denetime yardım yükümlülüğü kamu tarafına da yayılmış: mülki amirler, kolluk kuvvetleri ve diğer kamu kurumlarının amir ve memurları inceleme veya denetimle görevlendirilenlere her türlü kolaylığı göstermek ve yardımda bulunmakla yükümlüdür.
Siber Güvenlik Kurulu: kritik altyapıyı kim belirliyor
m.9 uyarınca Kurul; Cumhurbaşkanı, Cumhurbaşkanı Yardımcısı, Adalet, Dışişleri, İçişleri, Millî Savunma, Sanayi ve Teknoloji ile Ulaştırma ve Altyapı Bakanları, MGK Genel Sekreteri, MİT Başkanı, Savunma Sanayii Başkanı ve Siber Güvenlik Başkanından oluşuyor. Cumhurbaşkanının katılmadığı hâllerde Kurula Cumhurbaşkanı Yardımcısı başkanlık ediyor.
Kurulun görevleri arasında işletmeler bakımından en kritik olanı şudur: kritik altyapı sektörlerini belirlemek. Bir sektörün kritik altyapı sayılması, m.7/1-(c)'deki tedarik kısıtının ve m.8'deki daha sıkı denetim usulünün o sektöre uygulanması sonucunu doğurur. Kurul ayrıca politika ve strateji kararlarını alır, alınan kararların tamamından veya bir kısmından istisna tutulacak kurum ve kuruluşları belirler, teknoloji yol haritasının uygulanmasına karar verir, teşvik verilecek öncelikli alanları saptar ve Başkanlık ile kamu kurumları arasındaki ihtilafları karara bağlar.
Kurulun sekretaryası Başkanlıktadır; çalışma usul ve esasları Cumhurbaşkanı tarafından çıkarılacak yönetmelikle belirlenir.
🔴 Sektöre bir yıllık belgelendirme penceresi
Geçici m.1/4, siber güvenlik sektöründe faaliyet gösterenler için doğrudan bir varlık şartı getiriyor: siber güvenlik alanında faaliyet icra eden dernekler, derneklerden oluşan federasyonlar, vakıflar ile ticaret şirketleri, ilgili düzenlemelerin yürürlüğe girmesinden itibaren bir yıl içinde Başkanlığın belirlediği ilke ve esaslar çerçevesinde sertifikasyon, yetkilendirme ve belgelendirme işlemlerini tamamlamakla yükümlüdür. Hükmün yaptırımı doğrudan metinde yazılı: "Bu yükümlülüğün yerine getirilmemesi halinde siber güvenlik alanında faaliyette bulunulamaz."
Sürenin başlangıcı Kanunun yayımı değil, ilgili düzenlemelerin yürürlüğe girmesidir; bu yüzden sektör oyuncuları için takip edilecek tarih ikincil mevzuatın yayım tarihidir. Kurumsal tarafta ise geçici m.1/1 uyarınca BTK ve Dijital Dönüşüm Ofisinin münhasıran ulusal siber güvenlik faaliyetlerinde kullanılan varlıkları ile bu faaliyetlerden doğan borç ve alacaklar, hak ve yükümlülükler Kanunun yayımından itibaren altı ay içinde Siber Güvenlik Başkanlığına devredilmiştir; devam eden sözleşmeler, davalar ve icra takiplerinde de Başkanlık taraf sıfatını kazanmıştır.
Uyum tarafında yapılacaklar
- Envanteri "varlık" tanımına göre çıkarın: yazılım ve donanımın yanında veriyi kullanan personel ve veriyi barındıran fiziksel mekânlar da kapsamdadır.
- Zafiyet bildirimi için iç akış kurun. Bildirim yükümlülüğü siber olaya değil, tespit edilen zafiyete de bağlıdır ve "gecikmeksizin" ölçütü kullanılmıştır.
- Tedarikçi listesini yetkilendirme durumuna göre gözden geçirin. Kritik altyapı sayılan bir alanda çalışıyorsanız yalnız yetkilendirilmiş ve belgelendirilmiş sağlayıcılardan tedarik yapılabilir.
- Denetime hazırlık teknik bir yükümlülüktür. Sistemlerin denetime açık ve çalışır tutulması kanuni borçtur; ihlali cirodan hesaplanan cezaya bağlanmıştır.
- Sektörel düzenlemelerle birlikte okuyun. Ödeme, kripto ve elektronik haberleşme alanlarında kendi izin ve bilgi güvenliği rejimleri paraleldir; örneğin kripto varlık hizmet sağlayıcılarında izin rejimi, ödeme kuruluşu ve elektronik para izinleri ve elektronik haberleşmede yetkilendirme ayrı yükümlülük setleri içerir.
