Siber Güvenlik Kanunu: Kapsam ve Uygulama

I. GİRİŞ

7545 sayılı Siber Güvenlik Kanunu (“Kanun”), 19.03.2025 tarihinde Resmi Gazete’de yayınlanarak aynı tarihte yürürlüğe girmiştir. Kanun, genel olarak siber güvenliğin sağlanması, ulusal ve uluslararası siber saldırı tehditlerine karşı önlem alınması ile Siber Güvenlik Başkanlığının görev ve yetkileri konularını düzenlemektedir. Bununla birlikte Kanun kapsamında çeşitli suç ve kabahatler ihdas edilmiştir. Bu açıdan Kanun, Türk Ceza Kanunu ve Kişisel Verilerin Korunması Kanunu’nun ilgili hükümleri ile kesişmektedir. Bu bilgi notunda Siber Güvenlik Kanunu ve bu Kanun’un ilgili diğer mevzuatla ilişkisi incelenmektedir.

II. KANUNUN AMACI VE KAPSAMI

Kanun, Türkiye Cumhuriyeti’ne içten veya dıştan yönelen siber saldırı tehditlerinin tespiti ve önlenmesi, siber olayların etkilerinin azaltılmasına ilişkin esasların belirlenmesi, kişilerin siber saldırılara karşı korunması ve siber güvenliğin güçlenmesini amaçlamaktadır. Kanun’la birlikte bu amaçların gerçekleştirilmesine yönelik strateji ve politikaları belirleyecek Siber Güvenlik Başkanlığı (“Başkanlık”) kurulmuştur. Başkanlık’ın görev ve yetkileri Kanun’da düzenlenmiştir.

Kanun, siber uzayda varlık gösteren veya bilişim sistemlerini kullanarak hizmet sunan, veri toplayan, işleyen veya saklayan tüm gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsamaktadır. Bu doğrultuda kamu kurum ve kuruluşları, kritik altyapı (enerji, ulaştırma, sağlık, finans vb.) işletmecileri, özel sektör bilişim hizmet sağlayıcıları, internet üzerinden ürün ve hizmet sunan tüm şirketler Kanun hükümlerine tabidir.

Bu yönüyle Kanun, internetin günlük yaşamın her alanına nüfuz ettiği günümüzde, neredeyse tüm kişi ve kurumları kapsam alanına almaktadır.

III. SİBER GÜVENLİK BAŞKANLIĞI: GÖREV VE YETKİLER

Kanun ile Türkiye’nin siber güvenliğini sağlamak, koordine etmek ve denetlemekle görevli merkezi otorite olarak Siber Güvenlik Başkanlığı kurulmuştur. Başkanlık’ın görev ve yetkileri, temel olarak, siber tehditlerin önlenmesi, tespit edilmesi ve müdahalesine ilişkindir.

Görevleri arasında, kritik altyapıların ve bilişim sistemlerinin korunması, risk analizlerinin yapılması ve siber saldırıların önlenmesi yer alır. Ayrıca kurumlar arası koordinasyonu sağlamak amacıyla Siber Olaylara Müdahale Ekipleri’nin (SOME’lerin) kurulması ve denetlenmesi, yerli siber güvenlik çözümlerinin geliştirilmesinin teşvik edilmesi ve siber güvenlik standartları ile sertifikasyon süreçlerinin belirlenmesi Başkanlık’ın görevleri arasındadır. Bunun yanı sıra Başkanlık, gerektiğinde kurum ve kuruluşlardan bilgi ve belge talep etme, siber saldırılara karşı önlem alma ve müdahale etme, siber olay verilerini toplama ve adli mercilere iletme gibi yetkilere sahiptir. Aynı zamanda siber güvenlik ürün ve hizmetlerini yetkilendirme ve denetleme işlevini yürütür. Başkanlık, yapısı itibarıyla Avrupa Birliği Siber Güvenlik Ajansı (ENISA) ile benzer bir konumda faaliyet göstermektedir.

IV. YÜKÜMLÜLÜKLER

Kanun, siber uzayda faaliyet gösteren tüm kişi ve kuruluşlara bir dizi yükümlülük getirmektedir. Bu yükümlülükler kapsamında kişilerin, Başkanlık’ın talep ettiği her türlü bilgi, belge, donanım ve yazılımı zamanında Başkanlık’a iletmesi gerekmektedir. Başkanlık’ın bu yetkisi, Kanun’da herhangi bir konu ve veri türü ile sınırlandırılmamıştır. Bu husus kanaatimizce anayasal olarak tartışmalı olup Kanun’un görüşüldüğü TBMM oturumlarında da komisyon üyelerince tartışılmıştır.

Diğer yükümlülükler kapsamında ise hizmet sunulan alanda tespit edilen zafiyet veya siber olaylarının gecikmeksizin Başkanlık’a bildirilmesi ve kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerinin yalnızca Başkanlık tarafından yetkilendirilmiş kişi ve kuruluşlardan temin edilmesi yer almaktadır. Ayrıca yetkilendirme ve sertifikasyon süreçlerine tabi şirketlerin, faaliyete başlamadan önce Başkanlık’tan onay alması zorunlu olup, tüm kurum ve kuruluşların Başkanlık tarafından yayımlanan politika, strateji ve eylem planlarına uygun hareket etmesi beklenmektedir.

Ayrıca siber güvenlik ürün, sistem, yazılım, donanım ve hizmetleri üreten siber güvenlik şirketlerinin yurt dışına ürün veya hizmet satışının, Başkanlık tarafından belirlenecek usul ve esaslara uygun olarak Başkanlık onayı ile yapılması gerekmektedir. Bu şirketlerin birleşme, devralma, pay devri veya bölünme gibi işlemleri Başkanlık’a bildirmesi gerekmektedir. Bu işlemlerin geçerliliği Başkanlık onayına tabidir.

V. YAPTIRIMLAR

Kanun’un 16. maddesinde, siber güvenlik yükümlülüklerine aykırı davranan kişi ve kurumlar için hem cezai hem de idari yaptırımlar öngörülmektedir.

Buna göre, Kanun’la yetkilendirilen merci ve denetim görevlilerine, talep ettikleri bilgi, belge, yazılım veya verileri vermeyenler bir yıldan üç yıla kadar hapis ve adli para cezası ile cezalandırılır. Gerekli izin veya onayları almadan faaliyet yürütenler hakkında iki yıldan dört yıla kadar hapis cezası öngörülmektedir.

Başkanlık tarafından yürütülen görev ve faaliyetler kapsamında edinilen; kamuya, ilgililere ve üçüncü kişilere ait gizlilik taşıyan bilgilere erişen Başkanlık personelleri sır saklama yükümlülüğü altındadır. Bu personellerin gizli bilgileri, yetkili kılınan mercilerden başkasına açıklayarak veya gerçek ve tüzel kişilerin menfaatine kullanarak sır saklama yükümlülüğünü ihlal etmesi halinde dört yıldan sekiz yıla kadar; kişisel veya kritik verileri izinsiz paylaşması halinde üç yıldan beş yıla kadar hapis cezası öngörülmektedir.

Gerçeğe aykırı biçimde siber veri sızıntısı iddiası yayanlar da iki yıldan beş yıla kadar hapisle cezalandırılacaktır. Türkiye’nin siber altyapısına yönelik saldırılarda bulunanlar sekiz yıldan on iki yıla kadar, saldırı sonucu elde ettiği verileri yayanlar ise on yıldan on beş yıla kadar hapis cezası ile cezalandırılacaktır.

Kanun kapsamında, siber güvenlik yükümlülüklerini yerine getirmeyen kişi ve kuruluşlar için yüksek tutarlarda idari para cezaları öngörülmektedir. 2025 yılı için geçerli olmak üzere: Mevzuatta öngörülen tedbirlerin alınmaması veya zafiyet ve siber olayların Başkanlık’a bildirilmemesi 1 milyon TL’den 10 milyon TL’ye kadar idari para cezasına tabidir. Kamu kurumları ile kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerinin yetkilendirilmiş kişi veya şirketlerden temin edilmemesi de aynı aralıkta idari para cezasına tabidir. Siber güvenlik ürün ve sistemlerinin izinsiz yurt dışına satılması, bu şirketlerin birleşme, bölünme veya devri gibi yeniden yapılandırma işlemlerinin Başkanlık’a bildirilmemesi halinde idari para cezası 10 milyon TL ile 100 milyon TL arasında öngörülmüştür. Denetim sırasında veri, belge veya sistem incelemesine izin vermemek ya da gerekli teknik koşulları sağlamamak ise gerçek kişiler için 100 bin TL ile 1 milyon TL, ticari şirketler içinse en az 100 bin TL olmak üzere brüt satış hasılatının %1’i veya vergi öncesi kârın %20’sine kadar idari para cezası ile sonuçlanacaktır.

Yaptırımların ağırlığı, Kanun’un caydırıcılık hedefiyle paralel olarak yüksek tutulmuştur.

VI. KANUNUNUN TCK VE KVKK İLE İLİŞKİSİ

Siber Güvenlik Kanunu, amaç ve kapsamı itibarıyla bazı konularda Türk Ceza Kanunu (“TCK”) ve Kişisel Verilerin Korunması Kanunu (“KVKK”) ile kesişmektedir.

Kanun’da düzenlenen suçların bir kısmı TCK’da düzenlenen kişisel verilere yönelik suç tipleriyle (kişisel verilerin hukuka aykırı olarak ele geçirilmesi, ifşası veya yok edilmemesi) örtüşmektedir. TCK’nın 44. maddesi gereğince bir fiil birden fazla suçu oluşturduğunda en ağır cezayı gerektiren hüküm uygulanacağından, Kanun’daki düzenlemeler TCK’ya göre öncelikli uygulanacaktır.

Kanun’un 3. maddesindeki tanıma göre siber olay, bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi anlamına gelmektedir. KVKK’nın 12. maddesi 5. fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi ise kişisel veri ihlalidir. Bu halde, her bir kişisel veri ihlalinin, bir siber olay niteliği taşıdığını söylemek mümkündür. KVKK uyarınca kişisel veri ihlallerinin, Kişisel Verileri Koruma Kurumu’na bildirilmesi gerekmektedir. Bu doğrultuda, bir kişisel veri ihlalinin gerçekleşmesi halinde veri sorumlusunun, KVKK kapsamında Kişisel Verileri Koruma Kurumu’na, Kanun kapsamında ise Başkanlık’a bildirimde bulunması gerekecektir.

İki farklı idari otorite tarafından yürütülen iki farklı mevzuatın kapsam ve kesişme noktalarının uygulama ile şekilleneceği değerlendirilmektedir. Bu konuda iki otoritenin de gerçek ve tüzel kişileri açıklayıcı ve şeffaf rehberler ile bilgilendirmesi oldukça faydalı olacaktır.

VII. SONUÇ

• Kanun, Türkiye’nin siber güvenlik alanındaki kurumsal ve hukuki çerçevesini oluşturmaktadır.
• Kamu kurumları ve özel sektör için kapsamlı yükümlülükler öngörülmüştür.
• Siber Güvenlik Başkanlığı’na denetim yapma ve yaptırım uygulama yetkisi verilmiştir.
• Kritik altyapıların korunması, siber saldırıların tespiti ve önlenmesi Kanun’un temel hedefleri arasındadır.
• Yükümlülüklere aykırı davranışlar için yüksek tutarlarda cezai yaptırımlar ve idari para cezaları düzenlenmiştir.
• Siber Güvenlik Kanunu, TCK’nın siber suçlara ilişkin hükümlerine göre öncelikli olarak uygulanacaktır.
• Gerçek ve tüzel kişilerin hem Siber Güvenlik Kanunu hem de Kişisel Verilerin Korunması Kanunu’na uyumlu hareket etmeleri gerekmektedir.

Av. Buse Yüceer