Siber güvenlik alanında faaliyet gösteren bir şirketin satın alınması artık yalnız Rekabet Kurumu ve ticaret hukuku meselesi değil. 7545 sayılı Siber Güvenlik Kanunu, bu şirketlerdeki birleşme, bölünme, pay devri ve satış işlemlerini bildirime, kontrol değişikliği doğuran işlemleri ise Siber Güvenlik Başkanlığının onayına bağladı — ve onaysız işleme çok net bir sonuç bağladı: hukuki geçerlilik kazanmaz.
Bu yazı m.18'deki işlem rejimini, m.16'daki adli ve idari cezaları ve m.17'deki usulü 8 Eylül 2026 itibarıyla yürürlükteki metin üzerinden ele alıyor. Yükümlülük ve denetim tarafı için Siber Güvenlik Kanununda yükümlülükler ve denetim yazısına bakılabilir.
🔴 m.18: ihracat izni ve kontrol değişikliği onayı
Madde iki farklı işlemi düzenliyor ve ikisinde de eşiği Başkanlık belirliyor.
Yurt dışına satış. Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerinin yurt dışına satışı, Başkanlıkça belirlenecek usul ve esaslara uygun olarak yapılır. Bu usul ve esaslarda yer alacak izne tabi ürünlerin yurt dışına satışında Başkanlık onayı alınır. Yani ihracat serbestisi korunmuş görünse de, hangi ürünün izne tabi olduğunu belirleyen merci Başkanlıktır.
Şirket işlemleri. Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetleri üreten şirketlerin birleşme, bölünme, pay devri veya satış işlemleri Başkanlığa bildirilir. Bunun üzerine bir ikinci kademe geliyor: bu işlemler kapsamında gerçek veya tüzel kişilere münferiden veya birlikte, şirket üzerinde doğrudan veya dolaylı kontrol hakkı veya karar alma yetkisi sağlayan işlemler Başkanlık onayına tabidir.
| İşlem | Rejim |
|---|---|
| Birleşme, bölünme, pay devri, satış | Bildirim |
| Doğrudan veya dolaylı kontrol hakkı veya karar alma yetkisi sağlayan işlemler | Onay |
| İzne tabi ürünlerin yurt dışına satışı | Onay |
| Onay alınmadan yapılan işlem | Hukuki geçerlilik kazanmaz |
Üçüncü fıkranın ifadesi tartışmaya yer bırakmıyor: "Başkanlık onayı alınmaksızın gerçekleştirilen işlemler hukuki bir geçerlilik kazanmaz." Başkanlık ayrıca bu madde kapsamındaki işlemlerle ilgili olarak kurum ve kuruluşlardan bilgi ve belge talep edebilir; uygulamaya ilişkin hususlar Başkanlıkça yayımlanacak usul ve esaslarla belirlenir.
Uygulamada üç sonuç doğar. Birincisi, hisse alım sözleşmesinde kapanış ön şartları arasına Başkanlık onayının yazılması zorunlu hâle gelir. İkincisi, "dolaylı kontrol" ifadesi nedeniyle yurt dışındaki bir ana şirketin el değiştirmesi de Türkiye'deki iştirak bakımından onay gerektirebilir. Üçüncüsü, oy sözleşmeleri, imtiyazlı pay düzenlemeleri ve yönetim kurulu atama hakları gibi pay devri olmadan karar alma yetkisi sağlayan düzenlemeler de kapsamdadır. Benzer bir izin mimarisi finans sektöründe de vardır; karşılaştırma için bankacılıkta kuruluş, şube ve pay devri izni yazısına bakılabilir.
Yaptırım: 100 milyon TL'ye kadar idari para cezası
m.16/10, m.18'deki yükümlülükleri ayrı ve en yüksek bantla cezalandırıyor.
| İhlal | İdari para cezası |
|---|---|
| m.7/1-(a), (b) ve (c) bentlerindeki görev ve sorumlulukları yerine getirmemek | 1.000.000 – 10.000.000 TL |
| m.18'deki görev ve sorumlulukları yerine getirmemek | 10.000.000 – 100.000.000 TL |
| m.8/4'teki denetim yükümlülüklerini yerine getirmemek | 100.000 – 1.000.000 TL; ticari şirketlerde 100.000 TL'den az olmamak üzere brüt satış hasılatının %5'ine kadar |
Üçüncü satır özellikle dikkat ister: denetime konu cihaz, sistem, yazılım ve donanımları denetlemeye açık ve çalışır tutmayan ticari şirketlerde ceza maktu değil, bağımsız denetimden geçmiş yıllık finansal tablolarda yer alan brüt satış hasılatı üzerinden hesaplanır. Ciroya endeksli ceza, Türk hukukunda rekabet ve veri koruma dışında sınırlı sayıda alanda görülür.
m.16/10'a 24/7/2026 tarihli ve 7590 sayılı Kanunla yapılan ekleme de kapsamı genişletti: fıkraya "(b)" ibaresinden önce gelmek üzere "(a)," ibaresi eklendi. Böylece Başkanlığın talep ettiği veri, bilgi, belge, donanım ve yazılımı öncelikle ve zamanında iletmeme fiili de doğrudan idari para cezasının konusu hâline geldi.
Adli cezalar: hapis bantları
m.16'nın ilk dokuz fıkrası adli suçları düzenliyor ve bantlar yüksek tutulmuş.
| Fiil | Ceza |
|---|---|
| Yetkilendirilen mercilerin ve denetim görevlilerinin istediği bilgi, belge, yazılım, veri ve donanımı vermemek veya alınmasına engel olmak (kamu kurumları hariç) | 1–3 yıl hapis ve 500–1.500 gün adli para cezası |
| Gerekli onay, yetki veya izinleri almaksızın faaliyet yürütmek | 2–4 yıl hapis ve 1.000–2.000 gün adli para cezası |
| Sır saklama yükümlülüğünü yerine getirmemek | 4–8 yıl hapis |
| Veri sızıntısı nedeniyle siber uzayda yer alan kişisel veya kritik kamu hizmeti kapsamındaki kurumsal verileri izinsiz erişime açmak, paylaşmak veya satışa çıkarmak | 3–5 yıl hapis |
| Veri sızıntısı olmadığını bildiği hâlde panik yaratmak ya da hedef göstermek amacıyla gerçeğe aykırı içerik oluşturmak veya yaymak | 2–5 yıl hapis |
| Millî güce yönelik siber saldırıda bulunmak veya saldırıyla elde edilen veriyi siber uzayda bulundurmak | 8–12 yıl hapis |
| Bu veriyi yaymak, başka yere göndermek veya satışa çıkarmak | 10–15 yıl hapis |
| m.12'deki yasaklara aykırı davranmak | 3–5 yıl hapis |
| Görev ve yetkiyi kötüye kullanmak ya da kritik altyapıların korunmasında görevin gereklerine aykırı hareketle veri ihlaline sebebiyet vermek | 1–3 yıl hapis |
İkinci satır sektör oyuncuları için kritiktir. "Gerekli onay, yetki veya izinleri almaksızın faaliyet yürütmek" fiili, geçici m.1/4'teki belgelendirme yükümlülüğüyle birlikte okunmalıdır: siber güvenlik alanında faaliyet gösteren dernek, federasyon, vakıf ve ticaret şirketleri, ilgili düzenlemelerin yürürlüğünden itibaren bir yıl içinde sertifikasyon, yetkilendirme ve belgelendirme işlemlerini tamamlamakla yükümlüdür ve bu yapılmazsa siber güvenlik alanında faaliyette bulunulamaz. Belgesini tamamlamadan faaliyete devam eden bir şirketin yöneticileri bakımından risk, idari para cezasıyla sınırlı kalmayıp iki yıldan dört yıla kadar hapis bandına girer.
Artırım sebepleri (m.16/7). Yukarıdaki cezalar; suçun kamu görevlisi tarafından işlenmesi hâlinde üçte bir, birden fazla kişi tarafından işlenmesi hâlinde yarı oranında ve bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde yarısından iki katına kadar artırılır.
m.12'ye yapılan atıf da şirketler için önemlidir: Başkanlıkta kadrolu veya sözleşmeli görev yapıp ilişiği kesilenler, Başkanlıktan muvafakat almadan iki yıl süreyle yurt içinde veya yurt dışında siber güvenlik alanında görev alamaz, bu alanda ticaretle uğraşamaz, serbest meslek faaliyetinde bulunamaz ve bu sektörde faaliyet gösteren bir şirkette hissedar veya yönetici olamaz. Eski kamu personelini istihdam etmeyi veya ortak almayı planlayan şirketler için bu, doğrudan bir işe alım kısıtıdır.
"Kamu kurum ve kuruluşları hariç" ibaresinin anlamı
m.16/1, bilgi ve belge vermeme suçunu düzenlerken cümleye "Kamu kurum ve kuruluşları hariç olmak üzere" ibaresiyle başlıyor. İbare, kamu tüzel kişilerinin bu suçun faili olamayacağını gösteriyor; buna karşılık kamu görevlisi gerçek kişiler bakımından koruma sağlamıyor — tersine m.16/7, suçun kamu görevlisi tarafından işlenmesi hâlinde cezanın üçte bir oranında artırılacağını düzenliyor. Aynı ayrım denetim tarafında da görülür: m.8/5 uyarınca arama ve el koyma işlemlerinde kamu kurum ve kuruluşları bakımından hâkim kararı aranmaz.
Özel sektör açısından pratik sonuç şudur: kamu ile aynı projede çalışan bir yüklenici, kamu kurumunun muaf olduğu bir talep karşısında kendisi muaf değildir. Talebin muhatabı olarak şirketin kendisi gösterildiğinde, "veri kamu kurumuna aittir" savunması m.16/1'in koruma alanına girmez.
Şirket yönetimi bakımından ikinci bir katman daha vardır: bu Kanundaki suçlar bir ceza soruşturmasına dönüştüğünde, şirketin yönetimine ve malvarlığına yönelik tedbirler ayrı bir rejime tabidir; ayrıntı için şirkete kayyım ve malvarlığına el koyma yazısına bakılabilir.
Başkanlığın tedarikinde vergi ve izin muafiyeti
m.15, kamu tarafında bir maliyet ve usul kolaylığı kuruyor ve tedarikçiler bakımından da sonuç doğuruyor. Başkanlığın ihtiyaçları kapsamında yurt dışından ithalat veya hibe yoluyla sağlanacak her türlü malzeme, araç, gereç, makine, cihaz ve sistemler ile bunların araştırma, geliştirme, eğitim, üretim, modernizasyon ve yazılımında kullanılacak yedek parça ve hammadde nedeniyle yapılacak işlemler gümrük vergisinden, fon ve resimlerden, harçlardan; bu işlemler nedeniyle düzenlenen kâğıtlar ise damga vergisinden istisnadır. İstisna, Başkanlık adına yurt dışına onarım, modernizasyon, bakım, mahrece iade ve değişim maksadıyla yapılan kati çıkış, geçici çıkış, bedelsiz ithalat ve giriş işlemlerinde de uygulanır.
Usul tarafında ise daha güçlü bir hüküm var: Başkanlığın görevlerinin yürütülmesi sırasında ihtiyaç duyduğu malzeme, araç, gereç, makine, cihaz ve sistemlerin ithalatında ve yurt dışına çıkış aşamalarında, kamu kurum ve kuruluşlarından, gerçek ve tüzel kişilerden alınması gereken izin ve uygunluk belgesi aranmaz. Ayrıca kamu kurum ve kuruluşları ile diğer kurum ve kuruluşlar, kullanımlarındaki ve müsadere edilen her türlü malzeme, ekipman, teçhizat ve cihazı, diğer kanunların düzenlemelerine bakılmaksızın Başkanlığa geçici olarak tahsis edebilir veya bedelsiz devredebilir.
Bu üç fıkra birlikte okunduğunda, Başkanlığa yapılan tedarikin fiyatlanmasında vergi ve belge maliyetlerinin farklı hesaplanacağı, ihracat izni gerektiren bir ürünün Başkanlık adına çıkışında ise ayrı bir uygunluk belgesi aranmayacağı sonucu çıkar.
İdari para cezalarının usulü
m.17, cezanın verilme ve tahsil sürecini adım adım düzenliyor.
- Savunma zorunlu. İdari para cezalarının uygulanmasından önce ilgilinin savunması alınır. Savunma istendiğine ilişkin yazının tebliğinden itibaren otuz gün içinde savunma verilmezse ilgilinin savunma hakkından feragat ettiği kabul edilir.
- Birden çok kabahatte tek ceza. Kanunda tanımlanan kabahatlerden birinin idari yaptırım kararı verilinceye kadar birden çok işlendiğinin tespiti hâlinde tek idari para cezası verilir ve ceza iki katını aşmayacak şekilde artırılarak uygulanır.
- Menfaat veya zarar varsa taban ve tavan değişir. Kabahatin işlenmesi nedeniyle bir menfaat temin edilmesi veya zarara sebebiyet verilmesi hâlinde, verilecek idari para cezasının miktarı bu menfaat veya zararın üç katından az, beş katından fazla olamaz.
- Ödeme ve tahsil. Cezalar tebliğden itibaren bir ay içinde ödenir; ödenmeyen ve kesinleşen cezalar 6183 sayılı Kanun hükümlerine göre vergi dairelerince tahsil edilir.
- Gelir paylaşımı. Tahsil edilen idari para cezalarının yüzde ellisi Başkanlık bütçesine, yüzde ellisi genel bütçeye gelir kaydedilir.
- Kanun yolu. Verilen idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir.
Menfaat veya zarara endeksli üç–beş kat bandı, uygulamada tavanı da aşabilecek bir mekanizmadır: ceza artık kanundaki bantla değil, fiilin ekonomik sonucuyla ölçülür. Bu nedenle savunma dilekçesinde menfaat ve zarar hesabının tartışılması, tutarın kendisinden daha belirleyici olabilir.
İşlem tarafında kontrol listesi
- Hisse alım sözleşmesine onay şartı yazın. Kontrol değişikliği doğuran işlemde Başkanlık onayı, kapanışın ön şartıdır; onaysız işlem geçerlilik kazanmaz.
- Dolaylı kontrolü haritalayın. Yurt dışındaki ana ortakta yaşanan değişiklik de Türkiye'deki şirket bakımından onay gerektirebilir.
- Pay devri olmayan kontrol araçlarını unutmayın. Oy sözleşmesi, veto hakkı ve yönetim kurulu atama hakkı gibi düzenlemeler "karar alma yetkisi sağlayan işlem" kapsamına girebilir.
- İhracat listesini takip edin. İzne tabi ürünlerin kapsamı Başkanlığın usul ve esaslarıyla belirlenir; liste değiştiğinde mevcut sözleşmeler de etkilenir.
- Eski kamu personeli istihdamında iki yıllık kısıtı kontrol edin.
