Bu yazı, “Siber Güvenlik ve Kurumsal Yönetim” serisinin üçüncü bölümü. Birinci bölümde ABD’nin siber güvenlik ajansı CISA’nın nasıl tasfiye edildiğini ve bunun Türkiye için “durdurulabilirlik riski” bağlamında ne anlama geldiğini incelerken, ikinci bölümde Trump-Big Tech ittifakı ile AB’nin DSA modeli arasındaki çatışmayı ele almış, Polonya siber saldırısının AB’nin “düzenleme artı kapasite” formülünün işlediğini kanıtladığını göstermeye çalışmıştık.

O yazı şu sorularla bitiyordu: SGB’nin yetkileri nasıl denetlenecek? Platform düzenlemesi vatandaş haklarını mı yoksa devlet kapasitesini mi önceleyecek? Siber güvenlik yatırımları kritik altyapı korumasına mı yoksa gözetim altyapısına mı yönelecek?

“2026 Siber Güvenlik Trendleri: Küresel Tehditler ve 7545 Sayılı Kanun” başlıklı bu bölümde ise, beş güncel küresel raporun ve Türkiye verilerinin ışığında bu soruları yanıtlamaya çalışacağız.

2026 Siber Güvenlik Trendleri

Siber güvenlik, uzun yıllar boyunca şirketlerin bilgi işlem departmanlarına havale ettiği teknik bir destek fonksiyonu olarak algılandı. Sunucu odalarında başlayan ve orada biten, yönetim kurullarının gündemine nadiren giren bir konu. Ancak 2026 yılına girerken karşılaştığımız tablo, bu algının artık sürdürülemez bir hukuki ve ticari risk yarattığını açıkça ortaya koyuyor.

Dünya Ekonomik Forumu’nun (WEF) verilerine göre küresel yöneticilerin %94’ü yapay zekanın siber güvenlikteki değişimin en önemli itici gücü olacağını öngörüyor. Ankete katılanların %87’si ise yapay zeka kaynaklı güvenlik açıklarını en hızlı büyüyen risk olarak tanımlıyor. Bu rakamlar, siber güvenliğin artık sadece bir BT sorunu olmadığını, şirket stratejisinin merkezine yerleşmesi gereken bir yönetişim meselesi haline geldiğini gösteriyor.

Türkiye özelinde ise 7545 sayılı Siber Güvenlik Kanunu ile başlayan süreçte, ikincil düzenlemelerin yayımlanacağı dönem kritik bir eşik olarak önümüzde duruyor.

Sektörde 19 Mart 2026 tarihi, kanuni takvimin doğal sonucu olarak bir referans eşik gibi okunmakta; ancak ikincil düzenlemelerin yayımlanması ve yürürlük takvimi idari süreçlere bağlı olarak gecikebilir. Bu belirsizlik, uyum yönetiminde “bekle-gör” refleksini değil, tersine erken hazırlık zorunluluğunu doğuruyor: çünkü gecikme, denetim riskini ortadan kaldırmaz, sadece öngörülebilirliği azaltır.

2026 Küresel Siber Tehdit Manzarası

Kaynak alınan beş raporun ortak mesajı: Yapay zeka oyunun kurallarını değiştiriyor, şifreli trafik saldırganların sığınağı oluyor, fidye yazılımları hacim olarak azalsa da yıkıcılığı artıyor.

Kaynaklar ve Metodoloji

Bu analizde kullanılan beş rapor, siber güvenlik alanının farklı boyutlarını temsil eden ve alanında saygın kuruluşlar tarafından hazırlanmış çalışmalar.

Dünya Ekonomik Forumu (WEF) ve Accenture’ın Küresel Siber Güvenlik Görünümü 2026 raporu, üst düzey yönetici perspektifini ve stratejik riskleri ele alıyor. Davos zirvesiyle tanınan WEF, küresel ekonomik ve sosyal konularda politika yapıcıları bir araya getiren uluslararası bir kuruluş. Accenture ise Fortune Global 500 listesinde yer alan, 700.000’den fazla çalışanıyla dünyanın en büyük danışmanlık şirketlerinden biri. İki kurumun ortaklaşa hazırladığı bu rapor, 57 ülkeden 350’den fazla üst düzey yöneticiyle yapılan görüşmelere dayanıyor.

Hornetsecurity’nin Siber Güvenlik Raporu 2026, Microsoft 365 ekosistemi ve e-posta güvenliği üzerine teknik veriler sunuyor. Almanya merkezli Hornetsecurity, bulut güvenliği ve e-posta koruma hizmetleri sağlayan, özellikle KOBİ segmentinde güçlü bir siber güvenlik şirketi. Rapor, şirketin küresel müşteri tabanından elde edilen yılda 72 milyarı aşkın e-posta analizine dayanıyor.

Google Cloud’un Siber Güvenlik Tahmini 2026, tehdit istihbaratı ve devlet destekli saldırgan profilleri konusunda derinlemesine analiz sunuyor. Google’ın bulut bilişim kolu olan Google Cloud, 2012’de satın aldığı Mandiant (eski adıyla FireEye) üzerinden dünyanın en kapsamlı tehdit istihbaratı ağlarından birine sahip. Rapor, Mandiant’ın olay müdahale ve tehdit araştırma verilerini Google’ın küresel altyapısından elde edilen telemetri ile birleştiriyor.

Truesec’in Tehdit İstihbarat Raporu 2026, İskandinav bölgesindeki olay müdahale verilerine dayanarak insan faktörü ve jeopolitik hibrit savaş konularına değiniyor. İsveç merkezli Truesec, Kuzey Avrupa’nın önde gelen siber güvenlik danışmanlık şirketlerinden biri olup özellikle kritik altyapı koruması ve olay müdahale hizmetlerinde uzmanlaşmış durumda. Rapor, şirketin 2025 yılında gerçekleştirdiği yüzlerce olay müdahale operasyonunun analizine dayanıyor.

WatchGuard Technologies’in Q2 2025 İnternet Güvenliği Raporu, ağ ve uç nokta güvenliğine ilişkin güncel teknik istatistikler sunuyor. 1996’da kurulan ABD merkezli WatchGuard, özellikle KOBİ’lere yönelik güvenlik duvarı ve bütünleşik tehdit yönetimi (UTM) çözümleriyle tanınıyor. Rapor, dünya genelinde konuşlandırılmış yüz binlerce Firebox cihazından anonim olarak toplanan tehdit verilerine dayanıyor ve üçer aylık dönemler halinde yayımlanıyor.

Yapay Zeka Kaynaklı Siber Tehditler ve Gölge Ajan Riski

Beş raporun tamamı, yapay zekanın siber güvenlik dengesini kökten değiştirdiği konusunda hemfikir. Google Cloud’un Siber Güvenlik Tahmini 2026 raporuna göre, 2026’da tehdit aktörleri saldırı yaşam döngüsünü otomatize etmek için “ajan sistemleri” (agentic systems) kullanmaya başlayacak.

Ajan sistemleri (agentic systems), insan müdahalesi olmadan kendi başına karar alabilen, hedef belirleyebilen ve çok adımlı görevleri özerk biçimde yürütebilen yapay zeka yazılımlarıdır. Bir saldırgan bu tür bir sisteme ‘şu şirketin ağına sız‘ komutu verdiğinde, sistem kendi başına keşif yapabilir, güvenlik açıklarını tarayabilir, uygun saldırı vektörünü seçebilir ve sızma girişimini gerçekleştirebilir. Bu durum, saldırganların teknik uzmanlığa ihtiyaç duymadan karmaşık saldırı senaryolarını ölçeklendirebilmesine olanak tanıyor.

Daha da endişe verici olanı, şirket çalışanlarının kurumsal onay olmadan iş süreçlerine entegre ettiği bağımsız yapay zeka araçlarının yarattığı “Gölge Ajan” (Shadow Agent) riskidir. Bir çalışanın müşteri listesini ChatGPT’ye yapıştırarak analiz istemesi, sözleşme taslağını yapay zeka aracına yükleyerek düzeltme talep etmesi veya finansal tabloları “özetletmesi” – bunların her biri, hassas verilerin şirket kontrolü dışına çıkması anlamına geliyor.

Bu kontrolsüz araçlar, veri sızıntısı için görünmez kanallar oluşturuyor ve saldırganlara hedef belirleme için değerli bilgiler sunabiliyor. Hornetsecurity verilerine göre, CISO’ların %61’i yapay zekanın fidye yazılımı riskini doğrudan artırdığına inanıyor; çünkü sızan veriler, hedefli saldırılar için mükemmel bir istihbarat kaynağı oluşturuyor.

Truesec’in analizleri ise saldırganların yapay zekayı karmaşık kodlar yazmak yerine, “AI Slop” olarak adlandırılan ucuz ve hızlı içerik üretimi için kullandığını ortaya koyuyor. AI Slop, yapay zekayla saniyeler içinde üretilen, dilbilgisi hatası içermeyen, profesyonel görünümlü ama özünde kalitesiz içerikleri tanımlıyor.

Saldırganlar bu yöntemle, eskiden dakikalarını alacak ikna edici oltalama e-postalarını artık saniyeler içinde, onlarca dilde ve binlerce varyasyonla üretebiliyor. Başka bir deyişle, makineyi değil insanı hacklemeye odaklanıyorlar. Bu tespit, siber güvenliğin sadece teknik önlemlerle değil, çalışan farkındalığı ve eğitimiyle de desteklenmesi gerektiğini bir kez daha doğruluyor.

Şifreli Trafik ve Kaçamak Malware Tehdidi

WatchGuard’ın Q2 2025 Internet Security Report’u, saldırganların “şifreli trafik” üzerinden tespit yüzeyini daraltma stratejisinin artık istisna değil norm olduğunu belgeliyor. Şifreli trafik (TLS/HTTPS), internet üzerindeki iletişimin gizliliğini korumak için tasarlanmış bir güvenlik protokolü; tarayıcınızdaki kilit simgesi bu şifrelemenin aktif olduğunu gösterir.

Ancak aynı şifreleme, kötü amaçlı yazılımların da “güvenli paket” içinde gizlenmesine olanak tanıyor. Güvenlik sistemleri bu paketlerin içine bakmadığında, zararlı içeriği tespit edemiyor.

Rapora göre ağ tabanlı kötü amaçlı yazılım hacmi çeyreklik bazda %15 artarken, TLS üzerinden tespit edilen göstergeler tüm ölçütlerde yükseliyor: TLS üzerinde imza ile yakalanan kötü amaçlı yazılımlar %22, “kaçamak” kategorisindekiler ise %30 artış gösteriyor.

Kaçamak (evasive) kötü amaçlı yazılımlar, geleneksel antivirüs programlarının kullandığı “imza tarama” yöntemini atlatmak için özel olarak tasarlanmış tehditlerdir; sürekli şekil değiştiren, kendini gizleyen veya yalnızca belirli koşullarda aktifleşen bu yazılımlar, bilinen tehdit veritabanlarıyla eşleşmediği için tespit edilemiyor.

Dahası, rapor TLS üzerinden dağıtılan kötü amaçlı yazılım payını %70 olarak veriyor. Bu tablo, şifreli trafiği incelemeyen güvenlik mimarilerinin, tehdidin en yoğun aktığı kanalı fiilen “kör nokta”ya dönüştürdüğünü gösteriyor.

Aynı rapor, imza tabanlı savunmanın sınırını nicel olarak da çiziyor: APT Blocker ve IntelligentAV etkin olan cihazlarda tespitlerin %76’sı “sıfırıncı gün” (zero-day) niteliğinde; TLS trafiği incelendiğinde bu oran %89’a çıkıyor. Başka bir deyişle, “sadece imza tabanlı” güvenlik yatırımı, kurumsal özen yükümlülüğü açısından giderek daha zor savunulabilir hale geliyor; çünkü tehdidin baskın kısmı tasarım gereği bu katmanı aşıyor.

Fidye Yazılımı 3.0: Hacim Düşüyor, Yıkıcılık Artıyor

Raporlar arasında en dikkat çekici farklılık fidye yazılımı (ransomware) trendlerinde ortaya çıkıyor. WatchGuard, Q2 2025’te fidye yazılımı tespitlerinde %46,8, kripto madenci (cryptominer) tespitlerinde %59,4 düşüş bildiriyor. Öte yandan Hornetsecurity, 2025’te organizasyonların %24’ünün kurban olduğunu raporluyor (önceki yıl %18,6). Bu nasıl açıklanabilir?

Bu farklılık, iki raporun farklı metrikleri ölçmesinden kaynaklanıyor. WatchGuard tespit hacmini, Hornetsecurity ise kurban oranını ölçüyor.

WatchGuard’ın kendi yorumu da saldırganların spam hacminden uzaklaşıp daha seçici ve hedefli modele kaydığını; yani “daha az olay, daha yüksek etki“ dengesine geçildiğini ima ediyor. Truesec’in İskandinav verileri bu tespiti destekliyor: başarılı şifreleme ile sonuçlanan fidye yazılımı olayları azalıyor çünkü saldırılar daha erken aşamada tespit edilip engelleniyor. Ancak aktif gasp gruplarının sayısı artıyor; Akira ve Qilin en agresif gruplar arasında öne çıkıyor.

Akira, 2023’te ortaya çıkan ve özellikle sağlık, eğitim ve üretim sektörlerini hedef alan bir fidye yazılımı grubu; kurbanlarından hem şifre çözme hem de çalınan verileri yayımlamama karşılığı çifte fidye talep ediyor. Qilin ise Rusya bağlantılı olduğu değerlendirilen, “hizmet olarak fidye yazılımı” (Ransomware-as-a-Service) modeli ile çalışan bir grup.

Qilin’in Haziran 2024’te İngiltere’nin Ulusal Sağlık Servisi’ne (NHS) patoloji hizmeti veren Synnovis şirketine yaptığı saldırı, 1.134 ameliyatın iptaline, kan testlerinin normal seviyenin %10’una düşmesine ve en trajik şekilde bir hastanın ölümüne katkıda bulundu.

Saldırganlar artık sadece veriyi şifrelemekle yetinmiyor; veri bütünlüğünü bozarak kuruma duyulan güveni hedef alan “Fidye Yazılımı 3.0“ dönemini başlatıyorlar.

E-posta Tehditleri ve Tedarik Zinciri Saldırıları

Hornetsecurity’nin Microsoft 365 odaklı raporu, e-posta güvenliğindeki dramatik bozulmayı rakamlarla ortaya koyuyor. Kötü amaçlı yazılım içeren e-postaların oranı bir önceki yıla göre %131 artış göstermiş. Oltalama (phishing) saldırılarında %21, dolandırıcılıkta (scam) ise %34,7 artış kaydedilmiş. Saldırganların dosya türü tercihlerindeki değişim de dikkat çekici: genellikle “düşük riskli” görülen TXT dosyalarının kötü amaçlı kullanımı %181, eski tip DOC dosyalarının kullanımı ise %118 artmış.

Truesec raporunun en endişe verici bulgularından biri, yazılım geliştiricilerin tehdit aktörlerinin ana hedefi haline gelmesi. Özellikle açık kaynaklı kod paylaşım platformları (npm paketleri gibi) üzerinden kötü amaçlı kodların yayılması, tek bir noktadan binlerce kuruma sızma imkanı sunuyor. WEF’in dikkat çektiği “siber eşitsizlik” (cyber inequity) kavramı bu bağlamda kritik önem kazanıyor: küçük tedarikçiler, büyük organizasyonlara sızmak isteyen saldırganlar için en zayıf halka haline geliyor.

Türkiye’de Siber Güvenlik: 7545 Sayılı Kanun ve SGB

WatchGuard’ın birincil telemetri verileri, Türkiye’deki güncel oltalama örnekleri ve ikincil düzenleme takviminin kritik önemi.

WatchGuard Türkiye Telemetri Verileri

WatchGuard’ın Q2 2025 raporundaki uç nokta (endpoint) telemetrisi – yani dünya genelindeki Firebox cihazlarından anonim olarak toplanan tehdit algılama verileri – Türkiye’yi “En Çok Etkilenen 30 Ülke” listesinde Alert Coefficient (Uyarı Katsayısı) = 0,03 ile konumlandırıyor. Bu katsayı, bir ülkedeki aktif cihaz sayısı ile tespit edilen tehdit sayısını karşılaştırıyor; 0,03 değeri, Türkiye’deki her 100 aktif cihazdan yaklaşık 3’ünün izleme döneminde en az bir kötü amaçlı yazılım uyarısı aldığı anlamına geliyor. Bu oran, Türkiye’nin küresel tehdit haritasında “düşük riskli” değil, sürekli baskı altında bir ülke olduğunu gösteriyor..

Türkiye’ye özgü diğer hacim göstergeleri kamuya daha çok ikincil derlemelerle yansıdığı için, birincil metrik olarak bu Alert Coefficient verisini temel almak daha sağlıklı. Ancak WatchGuard Türkiye’nin kamuoyuyla paylaştığı değerlendirmeler de dikkate değer: 2025 yılında ağ tabanlı saldırılarda önemli bir düşüş yaşanırken, kötü amaçlı yazılım saldırılarının istikrarlı seyrettiği belirtiliyor.

WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez’in vurguladığı gibi, “ağ saldırılarındaki düşüşü bir rahatlama değil, tehdit aktörlerinin yön değiştirdiğinin bir işareti olarak görmek gerekiyor.“

WatchGuard Türkiye Satış Mühendisi Alper Onarangil’in tespiti, raporun küresel bulgularıyla örtüşüyor: “Saldırganlar özellikle disk üzerinde iz bırakmayan dosyasız saldırı tekniklerini tercih ediyor. Yalnızca imza tabanlı çalışan geleneksel antivirüs çözümleri, dosyasız ve gelişmiş saldırılar karşısında yetersiz kalıyor. EDR ve NDR gibi davranış analizi temelli gelişmiş tehdit algılama çözümleri artık zorunlu hale geliyor.”

Bu tespit, raporun zero-day oranlarıyla (endpoint’te %76, TLS trafiğinde %89) doğrudan uyumlu.

Türkiye’den Güncel Oltalama (Phishing) Örnekleri

Bu istatistikler soyut rakamlar değil; günlük gerçeklikle birebir örtüşüyor. 25 Ocak 2026 tarihinde Türkiye’deki bir hukuk bürosunun e-posta kutusuna tek günde dört farklı oltalama saldırısı ulaştı. Dördünün de ortak özelliği: aciliyet yaratma, güvenilir kurum taklidi ve ödeme veya kimlik bilgisi çalma amacı.

PTT Gümrük Vergisi Dolandırıcılığı. Birinci saldırı, PTT’nin kurumsal tasarımını birebir taklit eden, “gümrük vergisi ödenmezse gönderi bekletilecek” tehdidiyle aciliyet yaratan bir e-postaydı. Gönderen adresi mail@olivari1948.it – yani İtalya kaynaklı bir domain. PTT’nin gerçek adresleri @ptt.gov.tr uzantılıdır. “Ödemeyi Tamamla” butonu, kredi kartı bilgilerini çalmak için tasarlanmış sahte bir ödeme sayfasına yönlendiriyordu.

Bulut Depolama Ödeme Sorunu. İkinci ve üçüncü saldırılar, jenerik “Cloud” servisi taklidi yapıyordu – hangi bulut hizmeti olduğu bile belirtilmemişti. Birinin gönderen adresi t.eam.suppor.t@yandex.ru (Rusya kaynaklı), diğerinin adresi ise rastgele karakterlerden oluşan bir zienwin.com alt alan adıydı. “Expiration Date: Today” ve “%98 depolama alanı dolu” gibi görsel ve metinsel baskı unsurları kullanılmıştı. Kişiselleştirme yoktu (“Dear User”) – bu, toplu gönderim yapıldığının açık işareti.

Kurumsal E-posta Şifre Süresi. Dördüncü saldırı, Zimbra kurumsal e-posta sistemi taklidi yapıyordu. Gönderen adresi ao.akeju@ui.edu.ng – Nijerya’daki bir üniversitenin ele geçirilmiş e-posta hesabı. “Zimbra e-posta şifreniz bugün sona eriyor” uyarısıyla aciliyet yaratılmış, “Aynı Şifremi Koruyun” butonu ise aslında şifreyi çalmak için tasarlanmıştı.

Bu dört örnek, Hornetsecurity’nin “kötü amaçlı e-postalarda %131 artış, oltalamada %21 artış” bulgularını somutlaştırıyor. Aynı zamanda Truesec’in “AI Slop” tespitini de doğruluyor: bu saldırıların hiçbiri teknik açıdan sofistike değil, ama insan faktörünü hedef alıyorlar. En gelişmiş güvenlik duvarı bile, “Ödemeyi Tamamla” butonuna tıklayan bir çalışanı durduramaz.

İkincil Düzenlemeler ve Kritik Sorular

İkinci yazımızda, Türkiye’nin ABD ve AB modellerinin hatalarından kaçınıp kaçınamayacağını sormuş, üç kritik soru belirlemiştik. Şimdi bu soruları, 7545 sayılı Kanun’un ikincil düzenlemelerle somutlaşacağı döneme girerken değerlendirelim.

Birinci soru: SGB’nin yetkileri nasıl denetlenecek? 7545 sayılı Kanun, Siber Güvenlik Başkanlığı’na geniş yetkiler tanıyor: bilişim sistemlerine erişim, veri toplama, denetim yapma, idari yaptırım uygulama. Aralık 2025’te 192 sayılı Cumhurbaşkanlığı Kararnamesi ile SGB’nin misyonu “siber güvenlik ve dijital devlet” olarak genişletildi, kadro sayısı 204’e yükseltildi. Ancak bu geniş yetkilerin denetimi konusunda Kanun’da yargısal denetim dışında özel bir mekanizma öngörülmüyor.

TBMM’de düzenli hesap verme, bağımsız denetim mekanizmaları veya ombudsman yapısı bulunmuyor. Polonya’nın başarılı sonuç veren siber savunmasının arkasında yatan “düzenleme artı kapasite” formülü, yalnızca teknik kapasite değil şeffaflık ve hesap verebilirlik de gerektiriyor. SGB’nin operasyonel tercihleri, bu dengeyi kurup kuramayacağını gösterecek.

İkinci soru: Platform düzenlemesi vatandaş haklarını mı yoksa devlet kapasitesini mi önceleyecek? AB’nin DSA modeli, platformlara şeffaflık yükümlülükleri getirirken vatandaş haklarını (ifade özgürlüğü, mahremiyet, veri koruma) merkeze alıyor. ABD’nin mevcut yaklaşımı ise platform serbestisini öncelerken, “sansür” söylemi altında içerik denetimini gevşetiyor.

Türkiye’de 7545 henüz platform düzenlemesine odaklanmıyor; ancak SGB’nin “dijital devlet” misyonu kapsamında e-Devlet ve veri yönetişimi yetkileri genişledi. Burada kritik soru, siber güvenlik gerekçesiyle platform erişim engellerinin veya içerik müdahalelerinin yaygınlaşıp yaygınlaşmayacağı. AB modelinin güçlü yanı, düzenlemenin yargısal denetime tabi olması ve vatandaş itiraz mekanizmalarının işlemesi. Türkiye’de benzer güvencelerin ikincil düzenlemelerde yer alıp almayacağı belirsiz.

Üçüncü soru: Siber güvenlik yatırımları kritik altyapı korumasına mı yoksa gözetim altyapısına mı yönelecek? Bu belki de en kritik soru. Polonya örneği, siber güvenlik yatırımlarının kritik altyapı korumasına yönlendirildiğinde somut sonuç verdiğini gösterdi. Enerji şebekesine yönelik Sandworm saldırısı, CSIRT yapılanması sayesinde püskürtüldü. Türkiye’de ise yatırım önceliklerinin ne olacağı henüz netleşmedi.

7545 sayılı Kanun, kritik altyapı sektörlerinin Siber Güvenlik Kurulu tarafından belirleneceğini öngörüyor ancak bu liste henüz yayımlanmadı. Ulaştırma, enerji, finans, sağlık ve telekomünikasyon sektörlerinin bu kapsamda değerlendirileceği bekleniyor. Yatırımların bu sektörlerdeki operasyonel dayanıklılığa mı, yoksa genel gözetim kapasitesine mi yöneleceği, Türkiye’nin siber güvenlik modelinin karakterini belirleyecek.

Yönetim Kurulu Üyelerinin Siber Güvenlik Sorumluluğu

TTK 553. madde kapsamında özen yükümlülüğü, CEO-CISO algı farkının hukuki sonuçları ve idari cezaların ötesindeki özel hukuk riskleri.

CEO-CISO Algı Farkı ve TTK 553 Kapsamında Özen Yükümlülüğü

WEF raporunun en çarpıcı bulgularından biri, yönetim katındaki algı kopukluğu. CEO’lar en çok siber dolandırıcılık ve oltalama konularında endişeliyken, CISO’ların (Bilgi Güvenliği Yöneticileri) birincil endişesi fidye yazılımı ve tedarik zinciri kesintileri. Bu farklılık, siber güvenlik yatırımlarının önceliklendirilmesinde tutarsızlıklara yol açabilir.

Hukuki açıdan bu algı kopukluğu ciddi riskler barındırıyor. Türk Ticaret Kanunu’nun 553. maddesi uyarınca yönetim kurulu üyeleri, şirketin işlerini görürken kanun veya esas sözleşme hükümlerini ya da iyiniyet kurallarını ihlal ettikleri takdirde, şirkete, pay sahiplerine ve şirket alacaklılarına karşı verdikleri zarardan sorumlu tutulabiliyor.

“Basiretli tacir” standardı burada devreye giriyor: yönetim kurulu üyesi, CISO’nun teknik değerlendirmelerini dikkate almak, siber güvenlik risklerini düzenli olarak gündemine taşımak ve yeterli kaynak tahsis etmekle yükümlü. CEO’nun “dolandırıcılık odaklı” algısı, CISO’nun tespit ettiği tedarik zinciri risklerini görmezden gelmeyi meşrulaştırmıyor.

WatchGuard raporunun zero-day bulguları bu bağlamda kritik önem taşıyor. Endpoint’te %76, TLS trafiğinde %89 zero-day oranı, “sadece antivirüs programı ve güvenlik duvarı kurduk” savunmasının artık kabul görmeyeceğini gösteriyor. Basiretli tacir standardı, piyasadaki mevcut tehdit manzarasına uygun güvenlik yatırımı yapmayı gerektiriyor; piyasanın gerisinde kalan teknolojiye yatırım yapmak, özen yükümlülüğünün yerine getirildiği anlamına gelmiyor.

Özel Hukuk Sorumluluğu: İdari Cezaların Ötesinde

7545 sayılı Kanun, idari para cezaları (cironun %5’ine kadar) ve hapis cezaları öngörüyor. Ancak şirketler için risk bunlarla sınırlı değil. Siber güvenlik ihlalleri, özel hukuk alanında da tazminat davalarına zemin hazırlıyor.

Bu bağlamda özellikle telekomünikasyon sektöründe operatörlerin dolandırıcılık (fraud) tespit sistemi kurma ve çalıştırma yükümlülüğü, yargı kararlarına konu olmaya başlamıştır. Operatörün yeterli güvenlik önlemi almadığı, anomali tespiti yapmadığı veya müşteriyi zamanında uyarmadığı durumlarda, müşterinin uğradığı zarardan sorumlu tutulabileceği değerlendirilmektedir.

Bu içtihat gelişimi, siber güvenlik yatırımlarının sadece idari yaptırımlardan kaçınmak için değil, özel hukuk sorumluluğunu bertaraf etmek için de gerekli olduğunu gösteriyor.

Bir siber olay sonrasında “teknik ekip ilgileniyordu” veya “bilmiyordum” savunması, hukuki koruma sağlamıyor. Log kayıtlarının düzenli tutulması, sızma testlerinin yapılması ve durum değerlendirmesi (due diligence) raporlarının hazırlanması, “gerekli özeni gösterdiklerini” ispatlayabilmek için hayati önem taşıyor.

Sonuç: Belirsizlik Altında Hazırlık

Beş küresel raporun ve Türkiye verilerinin ortaklaştığı mesaj açık: siber güvenlik artık sunucu odalarından yönetim kurulu salonlarına taşınmış durumda. Yapay zeka hem saldırı hem savunma tarafında oyunun kurallarını değiştiriyor, şifreli trafik üzerinden kaçamak saldırılar “antivirüs programı ve güvenlik duvarı kurduk” savunmalarını yetersiz kılıyor, fidye yazılımları hacim olarak azalsa da etkisi artıyor ve tedarik zinciri en zayıf halka olmaya devam ediyor.

İkinci yazımızda sorduğumuz “Türkiye, ABD ve AB’nin hatalarından kaçınabilir mi?” sorusunun yanıtı henüz belirsiz. İkincil düzenlemeler yayımlanmadan kesin bir değerlendirme yapmak güç. Ancak şunu söyleyebiliriz: “düzenleme artı kapasite” formülü işliyor gibi. Türkiye’nin bu formülü uygulayabilmesi için SGB’nin geniş yetkilerinin şeffaflık ve hesap verebilirlikle dengelenmesi, yatırımların kritik altyapı korumasına yönlendirilmesi ve platform düzenlemesinin vatandaş haklarını gözetmesi gerekiyor.

7545 sayılı Kanun’un ikincil düzenlemelerinin ne zaman yürürlüğe gireceği, idari süreçlere bağlı olarak değişebilir. Ancak bu belirsizlik, şirketler için “bekle-gör” stratejisini haklı kılmıyor; aksine erken hazırlık zorunluluğunu pekiştiriyor.

Bu noktada asıl fark, mevzuatı okumakla değil; kurumun kendi mimarisini, tedarik zincirini ve karar alma süreçlerini bu çerçeveye göre yeniden haritalayabilmekle ortaya çıkıyor. 7545’in getirdiği yükümlülükler, her sektör ve her şirket için farklı operasyonel sonuçlar doğuracak; bu sonuçları önceden görmek, uyum maliyetini düşürmenin en etkili yolu.

Hazırlıklarını tamamlayan, gölge yapay zeka risklerini yöneten ve siber güvenliği kurumsal kültürün bir parçası haline getiren şirketler, sadece cezalardan korunmakla kalmayacak, dijital ekonomide güvenilir bir aktör olarak rekabet avantajı elde edecek. Unutulmamalıdır ki dijital dünyada güvenlik, varılacak bir hedef değil sürekli yönetilmesi gereken bir süreçtir.

 

Sıkça Sorulan Sorular

7545 sayılı Siber Güvenlik Kanunu ne zaman yürürlüğe girdi?

7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Kanunun uygulanmasına ilişkin ikincil düzenlemelerin takvimi ise henüz netleşmemiştir; piyasada 2026’nın ilk yarısı beklenti olarak konuşulmaktadır.

Yönetim kurulu üyelerinin siber güvenlik sorumluluğu nedir?

TTK 553. madde uyarınca yönetim kurulu üyeleri, şirketin uğradığı zararlardan “basiretli tacir” standardına göre sorumlu tutulabilir. Siber güvenlik bağlamında bu, CISO’nun teknik değerlendirmelerini dikkate almak, siber riskleri yönetim kurulu gündemine almak ve yeterli kaynak tahsis etmek anlamına gelir. İmza tabanlı güvenliğin yetersiz kaldığı bir ortamda, güncel tehditlere uygun yatırım yapmamak özen yükümlülüğünün ihlali olarak değerlendirilebilir.

7545 sayılı Kanun hangi cezaları öngörüyor?

7545 sayılı Siber Güvenlik Kanunu, yükümlülüklere aykırılık halinde cironun %5’ine kadar idari para cezası ve belirli suçlar için hapis cezası öngörüyor. Ancak şirketler için risk idari cezalarla sınırlı değil; özel hukuk sorumluluğu (tazminat davaları) da söz konusu olabilir.

Şifreli trafik neden siber güvenlik açısından risk oluşturuyor?

WatchGuard Q2 2025 verilerine göre tüm kötü amaçlı yazılımların %70’i artık şifreli (TLS) bağlantılar üzerinden dağıtılıyor. Şifreli trafiği incelemeyen güvenlik mimarileri bu tehditleri göremez. Dahası, TLS trafiğinde zero-day oranı %89’a ulaşıyor; yani imza tabanlı savunmalar (antivirüs programı ve güvenlik duvarı) bu tehditlerin büyük çoğunluğunu tespit edemiyor.