Siber Olay

Diğer adları: Siber Saldırı, Cyber Incident

Kısaca

7545 sayılı Siber Güvenlik Kanunu'na göre bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi; Siber Güvenlik Başkanlığı'na gecikmeksizin bildirilmesi gerekir.

Siber olay, 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu’nda bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi olarak tanımlanır. Tanım geniştir: verilerin çalınması kadar, sistemlerin fidye yazılımıyla kilitlenmesi veya bir hizmetin erişilemez hâle getirilmesi de siber olaydır.

Kimler Bildirmekle Yükümlü?

Siber Güvenlik Kanunu, siber uzayda faaliyet gösteren, bilişim sistemleri üzerinden hizmet sunan, veri toplayan, işleyen veya saklayan kişi ve kuruluşları geniş bir şekilde kapsar. Kanun, kapsamındaki kişi ve kuruluşların hizmet sundukları alanda tespit ettikleri zafiyetleri ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı’na bildirmesini öngörür.

Bildirim yapılmaması veya mevzuatta öngörülen tedbirlerin alınmaması, 2025 yılı için 1 milyon TL’den 10 milyon TL’ye kadar idari para cezasına tabidir. Kanun’un kapsamı ve diğer yaptırımları için Siber Güvenlik Kanunu: Kapsam ve Uygulama başlıklı yazımıza bakabilirsiniz.

Kişisel Veri İhlali ile İlişkisi

Her kişisel veri ihlali, verinin gizliliğini ihlal ettiği için aynı zamanda bir siber olaydır; ancak her siber olay kişisel veri ihlali değildir. Örneğin yalnızca şirketin üretim sistemlerini durduran ve kişisel verilere erişim sağlamayan bir saldırı siber olaydır, kişisel veri ihlali değildir.

Kişisel verileri etkileyen bir olayda şirketin iki ayrı bildirim yükümlülüğü doğabilir: KVKK uyarınca ihlali öğrendiği andan itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu’na, Siber Güvenlik Kanunu uyarınca gecikmeksizin Siber Güvenlik Başkanlığı’na. İki bildirimin içeriğinin birbiriyle tutarlı olması gerekir. Adım adım süreç için Kişisel Veri İhlalinde İlk 72 Saat rehberimize bakabilirsiniz.

Hazırlık

Siber olaylara müdahale sorumlularını ve bildirime kimin karar vereceğini önceden belirleyin,
Olayın tespiti için erişim ve işlem kayıtlarını tutun ve belirli bir süre saklayın,
Olay anında bilgi teknolojileri, hukuk ve iletişim ekiplerinin birlikte çalışacağı bir müdahale planı hazırlayın ve tatbikatla deneyin,
Kritik hizmetlerin yedeklerini ve geri dönüş planlarını düzenli olarak test edin.

Sık Sorulan Sorular

Her siber olay KVKK'ya göre de bildirilmeli mi?

Hayır. Yalnızca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiği olaylar KVKK kapsamında Kurul'a bildirilir. Kişisel verilere erişim sağlamayan bir saldırı yalnızca Siber Güvenlik Kanunu kapsamında değerlendirilir.

Siber olay ne kadar sürede bildirilmeli?

Siber Güvenlik Kanunu, siber olayların gecikmeksizin bildirilmesini öngörür. Aynı olay kişisel veri ihlali de ise KVKK'daki 72 saatlik süre ayrıca işler.

← Tüm Kavramlar