Giriş

Şubat 2025’te yayımladığımız “Siber Dünyanın Yeni Mimarisi” başlıklı analizde, henüz TBMM gündeminde olan Siber Güvenlik Kanunu teklifini incelemiş, BTK’nın merkeziyetçi politikalarından dijital altyapı ihtiyaçlarına, kurumsal yapılanmadan yaptırım mekanizmalarına kadar geniş bir perspektif sunmaya çalışmıştık.

Aradan dokuz ay geçti. 7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025’te Resmi Gazete’de yayımlanarak yürürlüğe girdi, Siber Güvenlik Başkanlığı faaliyete geçti ve Türkiye’nin ilk Siber Güvenlik Başkanı atandı. Peki bu süreçte neler yaşandı ve sektör bu dönüşüme ne kadar hazır?

Bu devam yazısında, yaşanan gelişmeleri kronolojik olarak değerlendirerek, geçiş takviminin neresinde olduğumuzu ve özellikle kanun kapsamındaki şirketler için pratik bir yol haritası oluşturmak istedik.

Dikkat çekmek istediğimiz önemli bir nokta var: Şirketlerin karşı karşıya olduğu risk, idari para cezalarıyla sınırlı değil. Yargı kararları, siber güvenlik önlemlerini yeterince almayan işletmelerin özel hukuk sorumluluğuyla da karşılaşabileceğini açıkça ortaya koyuyor. Bir operatörün fraud/dolandırıcılık tespit sistemi kurmaması, bir kritik altyapı işletmecisinin log yönetimini ihmal etmesi—bunlar artık sadece idari yaptırım konusu değil, tazminat davası riski anlamına da geliyor.  

Siber Güvenlik Kanunu Sonrası Dokuz Aylık Süreçte Neler Yaşandı?

2025 yılı, Türkiye’nin siber güvenlik mimarisinde köklü bir dönüşüme sahne oldu. 8 Ocak 2025’te 177 sayılı Cumhurbaşkanlığı Kararnamesi ile Siber Güvenlik Başkanlığı (SGB) kuruldu. Cumhurbaşkanlığı’na bağlı, özel bütçeli bu yapıya 135 kadro tahsis edildi. Hizmet birimleri arasında Siber Savunma Genel Müdürlüğü, Siber Mukavemet Genel Müdürlüğü ve Ekosistem Geliştirme Genel Müdürlüğü yer aldı.

Kanun, 12 Mart 2025’te TBMM’de kabul edildi ve 19 Mart 2025’te 32846 sayılı Resmi Gazete‘de yayımlanarak yürürlüğe girdi. Bu tarih, Geçici Madde 1’deki tüm sürelerin başlangıç noktasını oluşturdu. Kanunun yürürlüğe girmesinden sadece dokuz gün sonra, 28 Mart 2025’te 183 sayılı Cumhurbaşkanlığı Kararnamesi ile Dijital Dönüşüm Ofisi (DDO) kapatıldı ve görevleri—e-Devlet hizmetleri, kamunun dijital dönüşümü, yapay zeka uygulamaları—SGB’ye devredildi. Bu gelişme, Başkanlığın görev alanını başlangıçta öngörülenin ötesine taşıdı.

3 Haziran 2025’te Anayasa Mahkemesi, 177 sayılı Kararname’ye karşı açılan iptal davasını reddetti. 24 Ekim 2025’te ise Ümit Önal, Türkiye’nin ilk Siber Güvenlik Başkanı olarak atandı. Önal, 2019’dan bu yana Türk Telekom CEO’su olarak görev yapıyordu. 

SGB’nin 18 Aralık 2025 tarihli basın açıklaması, kurumun genişleyen misyonunu ortaya koydu: 68 milyonu aşan kullanıcısı ve binden fazla kurumun 9 bine yakın hizmetiyle e-Devlet Kapısı artık SGB şemsiyesi altında. Türkiye, BM’nin “Çok Yüksek e-Devlet Gelişmişlik Endeksi” kategorisinde yer alıyor ve Haziran 2025’te bu alanda özel ödül aldı.

25 Aralık 2025 tarihli Resmi Gazete’de yayımlanan 192 sayılı Cumhurbaşkanlığı Kararnamesi ile Başkanlığın teşkilat yapısında kapsamlı değişiklikler yapıldı. Başkanlığın görev tanımı “siber güvenlik” ifadesinden “siber güvenlik ve dijital devlet” olarak genişletildi. Yeni görevler arasında dijital devlet kurumsal mimarisinin oluşturulması, kamu kurum ve kuruluşlarının bilişim projelerinde uygulanacak standartların belirlenmesi, e-Devlet Kapısı ile dijital devlet ortak sistemlerinin geliştirilmesi ve işletilmesi, kamuda yapay zeka uygulamalarına yönelik mevzuat çalışmalarının yürütülmesi ve veri yönetişimine ilişkin ilke ve standartların belirlenmesi yer aldı.

Teşkilat yapısına Kamu Yapay Zeka Genel Müdürlüğü, Dijital Devlet Genel Müdürlüğü, Yönetim Hizmetleri Genel Müdürlüğü ve Strateji Geliştirme Dairesi Başkanlığı eklendi. Kadro sayısı 135’ten 204’e yükseltildi—yüzde 51’lik bir artış. Ayrıca Başkanlığa yurtiçinde yediye kadar temsilcilik açma, yurtdışı teşkilatı kurma ve Cumhurbaşkanı kararıyla görev alanıyla ilgili şirket kurma yetkileri tanındı.

Bu değişiklikler, Mart ayında DDO’nun kapatılmasıyla başlayan sürecin kurumsal çerçevesini tamamlıyor ve SGB’yi yalnızca siber güvenlik değil, Türkiye’nin tüm dijital dönüşüm gündeminin merkezi kurumu haline getiriyor.

Geçiş Takvimi: Kritik Eşikler ve Mevcut Durum

Kanunun Geçici Madde 1’i üç kritik eşik belirliyordu ve bu eşiklerin takibi, sektörün hazırlık sürecini planlayabilmesi açısından önem taşıyor.

Birinci eşik, BTK ve DDO’dan SGB’ye varlık devri için altı aylık süreydi—yani 18 Eylül 2025. Bu süre doldu. DDO zaten Mart sonunda kapatıldığından, o taraftaki devir fiilen gerçekleşmiş sayılabilir. Ancak BTK’dan devredilen varlıkların—özellikle USOM altyapısının, siber olaylara müdahale ekiplerinin ve mevcut veritabanlarının—durumu hakkında kamuoyuyla paylaşılmış resmi bir açıklama bulunmuyor. USOM’un yeni yapılanmadaki konumu, operatörlerin siber olay bildirimlerini hangi kanala yapacağı gibi pratik sorular yanıtsız kalıyor.

İkinci eşik, personel atamaları için dokuz aylık süreydi—18 Aralık 2025. Bu yazının yayımlandığı tarihte bu süre de dolmuş durumda. Başkan Ekim sonunda atandı; ancak 204 kişilik kadronun doldurulma oranı henüz bilinmiyor. Siber güvenlik alanında nitelikli personel bulmak zaten zorlu bir süreç—kamu sektörünün bu konuda özel sektörle rekabet etmesi kolay değil. Kadro doldurma sürecinin tamamlanıp tamamlanmadığı, kurumun operasyonel kapasitesi açısından belirleyici olacaktır.

Üçüncü ve belki de en kritik eşik, tüm alt düzenlemelerin yürürlüğe girmesi için öngörülen bir yıllık süre: 19 Mart 2026. Bu hedefe üç ay kaldı ve henüz hiçbir yönetmelik veya tebliğ yayımlanmadı. Taslak dahi kamuoyuyla paylaşılmadı.

Kanun, yedi kritik alanda alt düzenleme gerektiriyor: siber olay bildirimi ve log yönetimi usulleri; güvenlik politikası ve belge standartları; sertifikasyon, yetkilendirme ve belgelendirme usulleri; siber güvenlik ürün ve hizmetlerine ilişkin teknik kriterler; bağımsız denetim mekanizması; SOME kurulumu ve işleyiş esasları; Siber Güvenlik Kurulu çalışma usulleri. Bu düzenlemelerin hem hazırlanması hem de sektörün uyum sağlaması için üç aylık süre oldukça sınırlı görünüyor.

Taslakların ivedilikle kamuoyu görüşüne açılması, birden fazla açıdan faydalı olacaktır. Birincisi, sektör paydaşlarının görüşlerinin alınması düzenlemelerin uygulanabilirliğini artıracaktır—sahadan gelen geri bildirimler, potansiyel uygulama sorunlarını önceden tespit etmeyi sağlar. İkincisi, şirketler uyum sürecine erken başlayabilecektir—son dakika hazırlığı yerine planlı bir geçiş mümkün olacaktır. Üçüncüsü, katılımcı bir düzenleme süreci kurumsal meşruiyeti güçlendirecektir.

Kurumsal Görünürlük: Henüz Tamamlanmamış Bir Yapboz

Bu yazının hazırlandığı tarih itibarıyla, Siber Güvenlik Başkanlığı’nın resmi web sitesi henüz yayında değil. Kapatılan Dijital Dönüşüm Ofisi’nin sayfası (cbddo.gov.tr) erişilebilir durumda olsa da içerik güncelliğini yitirmiş. Bu durum, dokuz aylık bir kurumsal yapılanma sürecinin ardından dikkat çekici bir eksiklik olarak öne çıkıyor.

Web sitesi eksikliği, birden fazla açıdan sorun yaratıyor. Öncelikle, siber dolandırıcılık, veri ihlali veya siber saldırı mağdurları, şikayette bulunmak veya bilgi almak için hangi kanala başvuracaklarını bilemiyor. 10 Aralık 2025 tarihli “Siber Dolandırıcılık Mağdurları” başlıklı yazımızda detaylı olarak ele aldığımız gibi, Türkiye’de siber dolandırıcılık vakaları hızla artıyor ve mağdurların büyük çoğunluğu paralarını geri alamıyor. Oysa kanunun etkinliği, vatandaşların sisteme güvenip başvurabilmesiyle doğrudan bağlantılı. Erişilebilir bir başvuru kanalı olmadan, mağdurlar ya yerel emniyet birimlerine yöneliyor ya da hiç başvurmuyor.

İkinci olarak, uyum sürecinde olan şirketler sertifikasyon kriterleri, bildirim formatları ve yetkili tedarikçi listelerine erişemiyor. Hangi ürün ve hizmetlerin SGB sertifikası gerektireceği, sertifikasyon sürecinin nasıl işleyeceği, başvuru koşullarının neler olacağı—bu sorular yanıtsız kalıyor. Şirketler, rehberlik dokümanları olmadan hazırlık yapmak zorunda kalıyor.

Üçüncü olarak, SGB’nin politika öncelikleri, stratejik yönelimleri ve güncel duyuruları için merkezi bir platform bulunmuyor. Kurumsal iletişim açısından bu, hem iç paydaşlar (kamu kurumları) hem de dış paydaşlar (özel sektör, akademi, uluslararası muhataplar) için belirsizlik yaratıyor.

Bu noktada bir hususa daha değinmek gerekiyor: Siber suçlarla mücadelenin etkinliği, yalnızca merkezi düzenleyici kurumlarla değil, sahada görev yapan kolluk kuvvetlerinin kapasitesiyle de doğrudan ilişkili. Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı ve il müdürlüklerinin teknik donanım ve personel kapasitesi, vakaların etkin takibi için belirleyici önemde.

Siber dolandırıcılık mağdurlarının ilk başvuru noktası genellikle yerel emniyet birimleri oluyor. Dijital delil toplama, uluslararası koordinasyon ve teknik analiz kapasitesi—bunlar vakaların çözüme kavuşturulması için kritik. SGB’nin bu alanda koordinasyon ve kapasite geliştirme inisiyatifi alması, kanunun sahada uygulanabilirliğini önemli ölçüde artıracaktır.

Şirketler İçin Ne Anlama Geliyor?

7545 sayılı Kanun, bilişim sistemleri üzerinden hizmet sunan tüm gerçek ve tüzel kişileri kapsıyor. Ancak yükümlülükler, şirketin faaliyet alanına ve “kritik altyapı” statüsüne göre farklılaşıyor. Şirketlerin bu tabloda kendilerini nereye konumlandıracağını anlaması, uyum stratejisi açısından kritik önem taşıyor.

Yükümlülükler Ne Zaman Başladı?

Kanunun 7. maddesindeki temel yükümlülükler—SGB’ye bilgi ve belge sunma, zafiyet bildirimi, siber olay bildirimi—19 Mart 2025 itibarıyla yürürlükte. Ancak bu yükümlülüklerin uygulanma detayları (bildirim formatı, süreleri, muhatap birim) alt düzenlemelere bırakıldığından, pratikte bir geçiş dönemi yaşanıyor.

Siber güvenlik alanında faaliyet gösteren şirketler için ise daha somut bir takvim var: Alt düzenlemelerin yürürlüğe girmesinden itibaren bir yıl içinde sertifikasyon işlemlerini tamamlamak zorundalar. Düzenlemeler 19 Mart 2026’da yürürlüğe girerse, sertifikasyon için son tarih 19 Mart 2027 olacak. Sertifikasyonu tamamlamayan şirketler, siber güvenlik alanında faaliyette bulunamayacak—bu, piyasadan çekilmek anlamına geliyor.

Kritik Altyapı Sahipleri İçin Tablo

Kritik altyapı sektörleri henüz Siber Güvenlik Kurulu tarafından resmi olarak belirlenmedi. Ancak kanun, telekomünikasyon, enerji, finans, sağlık ve ulaştırma gibi sektörlerin bu kapsamda değerlendirileceğine işaret ediyor. Kritik altyapı sahiplerinin ek yükümlülükleri arasında;

1. SGB tarafından yetkilendirilmiş ve sertifikalandırılmış ürün ve hizmet kullanma zorunluluğu,
2. yerli ve milli çözümlere öncelik verme yükümlülüğü,
3. SOME kurma veya sektörel SOME’ye dahil olma,
4. düzenli zafiyet ve sızma testleri yaptırma ve
5. log kayıtlarını SGB ile paylaşma,

yer alıyor.

Yaptırımlar kademeli olarak düzenlenmiş: Bildirim ve tedarik yükümlülüklerine aykırılık 1-10 milyon TL idari para cezası, denetim yükümlülüklerine aykırılık 100.000 TL ile 1 milyon TL arasında (ticari şirketlerde yıllık brüt satış hasılatının yüzde beşine kadar çıkabiliyor), kritik altyapılara yönelik siber saldırılar ise 8-12 yıl hapis cezası gerektiriyor.

Gözden Kaçan Risk: Özel Hukuk Sorumluluğu

Şirketlerin siber güvenlik konusundaki riskleri, idari para cezaları ve SGB denetimleriyle sınırlı değil. Yargı kararları, güvenlik önlemlerini yeterince almayan işletmelerin tazminat davalarıyla da karşılaşabileceğini ortaya koyuyor. Bu boyut, sektörde yeterince konuşulmuyor. Oysa bir şirketin karşı karşıya kalabileceği mali risk, idari yaptırımların çok ötesine geçebilir.

Yargıtay 3. Hukuk Dairesi’nin 2024/2278 Esas, 2025/3088 Karar sayılı kararı bu açıdan emsal niteliğinde. Bir kurumsal müşteriden kaynaklanan fraud/sahte trafik nedeniyle operatörün açtığı alacak davasında—Ecuador’a 90.246 dakika fraud trafik, 33.658 TL zarar—mahkeme ilginç bir sonuca ulaştı. “Taraflar arasındaki sözleşmede her iki taraf eşit olarak güvenlik önlemlerini almak konusunda sorumlu tutulmuştur” değerlendirmesiyle yüzde elli-yüzde elli müterafik kusur kararı verildi. Fraud/dolandırıcılık tespit sistemi kurmayan operatör, zararın yarısından sorumlu tutuldu. “Bilmiyordum” veya “müşterimden kaynaklandı” savunması geçerli kabul edilmedi.

İzmir 4. Asliye Ticaret Mahkemesi’nin 2016/1344 Esas sayılı dosyasındaki bilirkişi tespiti de dikkat çekici. 64 kurumsal hattan 31’inin Estonya’ya fraud/sahte trafiğe karıştığı bir davada, bilirkişiler “….. firmasının kendisinden beklenen teknik güvenlik önlemlerini eksik/yetersiz alması sebebiyle teknik sorumluluğu vardır” sonucuna ulaştı. Dava, karşı tarafın zararını ispat edememesi nedeniyle reddedildi—ancak iyi belgelenmiş bir davada sonucun farklı olabileceği açık.

Yargıtay 4. Hukuk Dairesi’nin 2014/12458 Esas, 2015/10199 Karar sayılı kararı ise bayi ve müşteri ilişkilerinde operatör sorumluluğunu netleştiriyor: “Operatör, bayilerini özenle seçmek ve denetlemekle yükümlüdür. Benzer olayların sık yaşandığı biliniyorsa, önlem almak zorunludur.” Bu içtihat, M2M veya IoT hat sağlayan operatörler için özellikle önemli.

Somut bir senaryo düşünelim: Bir şirket, operatörden M2M hatları “test amaçlı” temin ediyor. Bu hatlar WhatsApp hesabı doğrulamak için kullanılıyor, yurt dışındaki bir call center’a bağlanıyor ve Türk vatandaşlarına yatırım teklifi yapılarak milyonlarca lira dolandırılıyor. Bu senaryoda operatörün denetim yükümlülüğünü yerine getirip getirmediği kritik bir soru haline geliyor.

Türk Borçlar Kanunu’nun 61. maddesi kapsamında müteselsil sorumluluk, mağdurun zincirdeki herhangi bir halkadan—dolandırıcı, aracı şirket veya operatör—tahsilat yapabilmesine olanak tanıyor. Dolandırıcılar bulunamasa veya mal varlığı olmasa bile, kurumsal yapılar tahsilat hedefi haline gelebiliyor.  

Bu tablo, siber güvenlik yatırımlarının yalnızca düzenleyici uyum için değil, iş sürekliliği ve kurumsal risk yönetimi perspektifinden de değerlendirilmesi gerektiğini gösteriyor. Yetersiz önlem, beklenmedik bir tazminat davasıyla karşılaşma riski anlamına geliyor. Fraud/dolandırıcılık tespit sistemleri, anomali takibi, müşteri doğrulama prosedürleri—bunlar artık “olsa iyi olur” kategorisinden çıkıp “olmazsa olmaz” kategorisine geçti.

Şimdi Ne Yapmalı?

Alt düzenlemeler henüz yayımlanmamış olsa da, beklemeye gerek yok. Aksine, bu belirsizlik dönemi hazırlık için fırsat olarak değerlendirilebilir. Düzenlemeler yayımlandığında uyum için tanınacak süre sınırlı olacak; şimdiden hazırlanan şirketler avantajlı konumda olacaktır.

İlk adım, mevcut durumu dürüstçe değerlendirmek. Siber güvenlik politikalarınız güncel mi? SOME yapınız var mı, varsa etkin çalışıyor mu? Log yönetimi altyapınız ve olay müdahale prosedürleriniz bir denetimi geçirir mi? Fraud tespit mekanizmalarınız mevcut mu? Anomali takibi yapabiliyor musunuz? Bu soruların yanıtları, uyum yol haritanızın başlangıç noktasını oluşturacak.

Telekomünikasyon sektöründe BTK’nın Şebeke ve Bilgi Güvenliği Yönetmeliği hâlâ yürürlükte. SGB düzenlemelerinin muhtemelen bu yapıyı temel alacağı öngörülebilir; dolayısıyla mevcut uyumu korumak, geçiş sürecini kolaylaştıracaktır. BTK yönetmeliğine tam uyum sağlamış şirketler, yeni düzenlemelere adaptasyonda bir adım önde olacaktır.

Tedarik zinciri de gözden geçirilmeli. Siber güvenlik ürün ve hizmet tedarikçilerinizin sertifikasyon durumunu takip etmek, olası aksaklıkları önceden tespit etmenizi sağlar. Kanun, kritik altyapılarda yalnızca SGB sertifikalı ürün ve hizmet kullanımını zorunlu kılıyor. Mevcut tedarikçileriniz bu sertifikasyonu alabilecek mi? Alternatif tedarikçi araştırması şimdiden başlatılmalı mı? Bu sorular, tedarik sürekliliği açısından kritik.

Personel kapasitesi de ihmal edilmemeli. Piyasada nitelikli siber güvenlik uzmanı açığı bulunuyor ve bu açık kısa vadede kapanacak gibi görünmüyor. İstihdam veya dış kaynak kullanımı için erken planlama avantaj sağlayacaktır. Mevcut personelin eğitimi de gündeme alınmalı—siber güvenlik farkındalığı artık yalnızca IT departmanının konusu değil.

Son olarak, dokümantasyon. Güvenlik politikaları, olay müdahale planları, risk değerlendirme raporları ve denetim kayıtlarını güncel tutmak, hem SGB denetimlerine hem de olası hukuki süreçlere hazırlık anlamına geliyor. Yargıtay kararlarının gösterdiği gibi, “önlem aldığınızı ispat edememek” ile “önlem almamak” arasında hukuki sonuç açısından fark yok. Dokümantasyon, hem kurumsal hafıza hem de hukuki koruma işlevi görüyor.

BTK’nın Yeni Yönelimi: Altyapıya Odaklanma Fırsatı

Siber güvenlik yetkilerinin SGB’ye devredilmesi, BTK’nın görev alanını yeniden şekillendirdi. Kanunun 19. maddesi, 5809 sayılı Elektronik Haberleşme Kanunu’nda önemli değişiklikler yaptı: BTK’nın siber güvenlik görevi yürürlükten kaldırıldı, internet alan adları dışındaki siber güvenlik yetkileri daraltıldı, USOM ile ilgili düzenlemeler ilga edildi. Bu değişiklikler, BTK’yı telekomünikasyon altyapısı düzenlemesi ve sektörel rekabet politikasına odaklanma fırsatı sunuyor.

Aralık 2025’te yaşanan bir gelişme bu yönelimin somut göstergesi olabilir. BTK Yetkilendirme Dairesi, Türkiye’de İnternet Değişim Noktası (IXP) kurulmasına yönelik sektör temsilcileriyle kapsamlı bir toplantı gerçekleştirdi. Bulgaristan’da kurulan TurkIX girişiminin Türkiye’de de hizmet verebilir hale getirilmesi talebi değerlendirildi. Toplantıda farklı modeller tartışıldı. En dikkat çekici husus, üç büyük operatörün IXP’lere katılımının zorunlu hale getirilmesinin değerlendirilmesiydi.

IXP’lerin yaygınlaşması, Türkiye’de internet trafiğinin daha stabil ve verimli hale gelmesini sağlayacaktır. Yurt içi trafik yurt içinde kalacak, gecikme süreleri azalacak, maliyetler düşecektir. Özellikle DDoS saldırılarına karşı dayanıklılık artacak—trafiğin tek noktadan geçmesi yerine dağıtık yapıda yönetilmesi, saldırı yüzeyini daraltacaktır. Milli güvenlik senaryolarında ise internet altyapısındaki olası kesintilere karşı alternatif bağlantı katmanları oluşacaktır. Bu gelişmeler, BTK’nın siber güvenlik yükünden kurtularak asıl misyonuna—rekabetçi bir telekomünikasyon piyasası oluşturmaya—odaklanabileceğini gösteriyor.

Sonuç Yerine

Dokuz aylık süreçte kurumsal yapılanma önemli ölçüde ilerledi. Başkanlık kuruldu, Başkan atandı, DDO’nun kapatılmasıyla dijital kamu hizmetleri tek çatı altında toplandı ve görev tanımı, kadro yapısı genişletildi Bu gelişmeler, siber güvenlik alanında kurumsal altyapının oluşturulduğunu gösteriyor.

Öte yandan, alt düzenlemelerin henüz yayımlanmaması belirsizlik yaratıyor. Şirketler, uyum için gereken kriterleri bekliyor. SGB’nin web sitesinin bulunmaması, hem vatandaş erişimi hem de kurumsal iletişim açısından tamamlanması gereken bir eksiklik. Siber dolandırıcılık mağdurlarının başvuru kanallarına ulaşabilmesi, sistemin güvenilirliği açısından kritik önem taşıyor.

Önümüzdeki üç ay, geçiş sürecinin en kritik dilimi. 19 Mart 2026 hedefine ulaşılabilmesi için alt düzenlemelerin taslak olarak yayımlanması ve paydaş görüşüne açılması bekleniyor. Katılımcı bir düzenleme süreci, hem kuralların uygulanabilirliğini artıracak hem de sektörün hazırlık sürecini başlatmasına olanak tanıyacaktır. Telekomünikasyon sektörü açısından, BTK yönetmeliği ile SGB düzenlemeleri arasındaki ilişkinin netleştirilmesi, olası çift uyum yükünü önleyecektir.

Şirketler için mesaj açık: Siber güvenlik artık yalnızca teknik bir konu değil, hukuki ve yönetsel bir sorumluluk. İdari yaptırımların ötesinde, yetersiz önlem mağdur davalarıyla da sonuçlanabiliyor. Yargıtay içtihadı, “bilmiyordum” savunmasının geçerli olmadığını, fraud tespit sistemlerinin ve denetim mekanizmalarının zorunluluk haline geldiğini ortaya koyuyor. Hazırlıklı olmak, hem düzenleyici uyum hem de kurumsal risk yönetimi açısından artık bir tercih değil, zorunluluk.