7545 Sayılı Siber Güvenlik Kanunu ve Yönetimsel Sorumluluk

I. Neden Bu Sizin Meseleniz?

Siber güvenlik, uzun yıllar boyunca bilgi işlem departmanlarının teknik bir uğraşı olarak görüldü. Sunucu odasında çalışan mühendislerin ilgilendiği, yönetim kurulu toplantılarına nadiren konu olan bir alan. Bu dönem artık sona erdi. Günümüzde siber güvenlik, kurumların varlığını sürdürebilmesi için inşa edilmesi gereken stratejik bir savunma hattı ve bu hattın sorumluluğu doğrudan yönetim organlarına ait.

Bu tehdit soyut değil: Cybersecurity Ventures‘a göre küresel siber suç maliyeti 2025’te 10.5 trilyon dolara ulaşacak — bu rakam, siber suçu ABD ve Çin’den sonra dünyanın üçüncü büyük ekonomisi yapardı. IBM’in 2024 raporuna göre bir veri ihlalinin ortalama maliyeti 4.88 milyon dolar ile tarihi zirvesine ulaştı. Allianz Risk Barometer 2025, siber olayları üst üste dördüncü yıl bir numaralı küresel iş riski olarak tescilledi. PwC’nin araştırmasına göre ise teknoloji liderlerinin üçte ikisi siber güvenliği önümüzdeki yıl azaltılması gereken en önemli risk olarak görüyor.

Bunun nedeni yalnızca artan siber saldırılar değil. Hukuk, artık “bilmiyordum” veya “teknik ekip ilgileniyordu” savunmasını kabul etmiyor.

Türkiye’de 2024 yılında yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Avrupa Birliği’nin NIS2 Direktifi ve Kişisel Verilerin Korunması Kanunu, yönetim organlarını siber güvenlik konusunda doğrudan sorumlu kılıyor.

Ve bu kurallar kağıt üzerinde kalmıyor: 26 Aralık 2025’te MİT koordinasyonunda Siber Güvenlik Başkanlığı, Jandarma ve MASAK’ın ortak operasyonuyla kamu verilerine yetkisiz erişim sağlayan bir suç şebekesi çökertildi, 4 kişi tutuklandı ve 8 internet sitesi erişime kapatıldı — Başkanlığın ilk somut saha operasyonu.

Bir siber saldırı sonrasında yaşanan maddi kayıplar, itibar zedelenmesi ve idari para cezaları, artık “teknik aksaklık” değil “yönetimsel kusur” olarak değerlendiriliyor.

II. Siber Güvenlik nedir?

En yalın tanımıyla siber güvenlik, dijital ortamda üç temel değeri koruma çabasıdır: Bilginin gizli kalmasını (yalnızca yetkili kişilerin erişmesini), bütünlüğünü (değiştirilmemesini, bozulmamasını) ve erişilebilirliğini (ihtiyaç duyulduğunda ulaşılabilir olmasını). Uluslararası literatürde buna “CIA Üçgeni” denir — Confidentiality, Integrity, Availability.

Ancak bu teknik tanım, meselenin yalnızca bir yüzü. Siber güvenliğin asıl zorluğu, belirsizlik altında karar vermeyi gerektirmesi. Henüz görmediğiniz bir tehdide karşı önlem alıyorsunuz. Henüz keşfedilmemiş bir açığı kapatmaya çalışıyorsunuz. Gerçekleşmemiş bir saldırının maliyetini hesaplıyorsunuz.

Sosyolog Ulrich Beck’in “risk toplumu“ kavramıyla ifade ettiği bu durum, siber güvenliği klasik risk yönetiminden farklı bir yere taşıyor. Deprem sigortası yaptırırken en azından depremin ne olduğunu bilirsiniz; siber güvenlikte ise tehdidin doğası sürekli değişiyor.

III. Üç Asimetri: Güvenliği Zorlaştıran Dinamikler

Siber güvenliği zorlaştıran üç temel asimetri vardır ve yönetim organlarının bu dinamikleri anlaması, doğru kaynak tahsisi ve strateji belirleme açısından kritik önem taşır.

Birincisi bilgi asimetrisi

Saldırgan, hedef aldığı sistemi aylar boyunca inceleyebilir ve tek bir zayıf nokta arayabilir. Savunan taraf ise tüm noktaları aynı anda korumak zorundadır. Saldırganın bir kez başarılı olması yeterlidir; savunanın her seferinde başarılı olması gerekir. Bu dengesizlik, “mükemmel güvenlik” kavramının neden bir yanılsama olduğunu açıklar.

İkincisi zaman asimetrisi

Bir güvenlik açığı keşfedildiği an ile kapatıldığı an arasında bir pencere vardır ve bu pencere açıkken saldırgan avantajlıdır. Bazı açıklar yıllarca keşfedilmeden kalabilir — bunlara “sıfır gün” (zero-day) açıkları denir. Bilmediğiniz bir şeye karşı nasıl korunursunuz? Bu sorunun cevabı, tek bir önleme değil katmanlı bir savunma mimarisine yatırım yapmaktır.

Üçüncüsü teşvik asimetrisi

Güvenlik yatırımının geri dönüşünü ölçmek zordur. Hiçbir şey olmadığında, bunun yatırımın işe yaradığı için mi yoksa zaten saldırı olmayacağı için mi olduğunu bilemezsiniz. Bu belirsizlik, güvenlik bütçelerinin “bir şey olana kadar” ihmal edilmesine yol açar. Ancak hukuki düzenlemeler artık bu hesabı değiştiriyor: Önlem almamak “tasarruf” değil, “kusur” olarak değerlendiriliyor.

IV. Hukuki Çerçeve: Yönetim Organlarının Sorumluluğu

Türkiye’de siber güvenlik hukuku, 2024 yılından itibaren köklü bir dönüşüm geçiriyor. Bu dönüşümün merkezinde 7545 sayılı Siber Güvenlik Kanunu yer alıyor. Kanun, bilişim sistemleri üzerinden hizmet sunan tüm kurum ve kuruluşları kapsıyor ve “kritik altyapı“ olarak belirlenen sektörlere (enerji, ulaştırma, finans, sağlık, telekomünikasyon gibi) ek yükümlülükler getiriyor.

7545 Sayılı Siber Güvenlik Kanunu’na Göre

Kanun’un 7. maddesi, siber olayların Siber Güvenlik Başkanlığı’na bildirilmesi yükümlülüğünü düzenliyor. 16. madde ise yaptırımları belirliyor: Bildirimsizlik, önlem almama veya denetimi engelleme gibi ihlaller için brüt satış hasılatının yüzde beşine kadar idari para cezası öngörülüyor. Kritik altyapı işletmecileri için cezalar daha da ağır.

Üstelik bu cezalar tüzel kişiliğe kesilse de, yönetim kurulu üyelerinin şahsi sorumluluğu da gündeme gelebilir. Türk Ticaret Kanunu’nun 553. maddesinin birinci fıkrası açık: “Kurucular, yönetim kurulu üyeleri, yöneticiler ve tasfiye memurları, kanundan ve esas sözleşmeden doğan yükümlülüklerini kusurlarıyla ihlal ettikleri takdirde, hem şirkete hem pay sahiplerine hem de şirket alacaklılarına karşı verdikleri zarardan sorumludurlar.” Siber güvenlik yükümlülüklerinin ihmali, bu madde kapsamında “kusurlu ihlal” olarak değerlendirilebilir.

NIS2 Direktifine Göre

Avrupa Birliği’nde ise NIS2 Direktifi (2022/2555) benzer bir çerçeve oluşturuyor. Direktif’in 20. maddesi özellikle dikkat çekici: Yönetim organları, siber güvenlik risk yönetimi tedbirlerini “onaylamak” ve uygulanmasını “denetlemekle” yükümlü kılınıyor. Ayrıca yönetim organı üyelerinin siber güvenlik eğitimi alması zorunlu hale getiriliyor. Direktif, yönetim kurulunun “bilmiyordum” savunmasını açıkça ortadan kaldırıyor.

KVKK’ya Göre

Kişisel Verilerin Korunması Kanunu (KVKK) da bu çerçevenin önemli bir parçası. Kanun’un 12. maddesi, veri sorumlusuna “uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri alma” yükümlülüğü getiriyor. Veri ihlali durumunda 18. madde kapsamında 1 milyon TL’den 10 milyon TL’ye kadar idari para cezası uygulanabiliyor. KVKK ile 7545 sayılı Kanun’un kesişim noktası olan veri ihlallerinde, her iki kanun kapsamında ayrı ayrı yaptırımlarla karşılaşmak mümkün.

V. Katmanlı Savunma: Teknik Kavramların Hukuki Karşılığı

Siber güvenlik stratejisinin temelinde “savunma derinliği” (defense-in-depth) prensibi yatar. Bu prensip, tek bir güvenlik önlemine güvenmek yerine, iç içe geçmiş birden fazla koruma katmanı oluşturmayı öngörür. Her katman, bir önceki aşıldığında devreye girer. Amaç, saldırganın işini her adımda zorlaştırmak ve tespit şansını artırmaktır.

Uç Nokta Güvenliği

İlk katman uç nokta (endpoint) güvenliğidir. Kurumun ağına bağlanan her cihaz — bilgisayarlar, telefonlar, tabletler — potansiyel bir giriş noktasıdır. Cihaz şifreleme, davranışsal analiz yazılımları (EDR) ve Çok Faktörlü Doğrulama (MFA) bu katmanın araçlarıdır. Hukuki açıdan bakıldığında, bu önlemler KVKK Madde 12 kapsamındaki “teknik tedbirler”in somut karşılığıdır. Kurumun MFA gibi temel bir kontrolü zorunlu kılmaması veya personeline farkındalık eğitimi vermemesi, olası bir ihlal davası veya idari soruşturmada “basiretli tacir” ilkesi çerçevesinde kusur olarak değerlendirilecektir.

Ağ Bölümleme

İkinci katman ağ bölümlemesidir (network segmentation). Bu, sistemin farklı bölümlerini birbirinden tecrit etmek anlamına gelir. Bir saldırgan bir bölüme sızsa bile, diğer bölümlere otomatik olarak erişememeli. Hukuki perspektiften bu, “veri minimizasyonu” ve “erişim kısıtlaması” ilkelerinin teknik karşılığıdır. Bir çalışanın veya üçüncü taraf hizmet sağlayıcısının, işiyle ilgisi olmayan hassas veritabanlarına teknik olarak erişebilmesi, hem güvenlik açığı hem de hukuki risk yaratır. Etkili bir durum değerlendirmesi (due diligence), “güvenlik duvarı var mı?” sorusunun ötesine geçer ve “kimde hangi erişim yetkisi var?” sorusunu sorgular.

İzleme ve Kayıt Mekanizmaları

Üçüncü ve belki de en kritik katman, izleme ve kayıt (SIEM/loglama) mekanizmasıdır. Bu katman, sistemdeki tüm hareketleri kayıt altına alır ve anormal davranışları tespit eder. SIEM sistemleri, farklı kaynaklardan gelen logları merkezi olarak toplar, korelasyon yapar ve şüpheli kalıpları belirler. Hukuki açıdan bu katmanın önemi, ispat yükümlülüğüyle doğrudan ilişkilidir.

VI. İspat Yükümlülüğü: Log Tutma Neden Zorunlulu?

Avrupa Birliği Adalet Divanı’nın C-340/21 sayılı kararı (Bulgaristan Ulusal Gelir Ajansı davası), siber güvenlik hukukunda bir dönüm noktası niteliğindedir. Divan, bir veri ihlali yaşandığında ispat yükünün nasıl dağılacağını netleştirdi: Veri sorumlusu, aldığı teknik ve organizasyonel tedbirlerin “uygunluğunu” ispat etmekle yükümlüdür. “Elimden geleni yaptım” demek yetmez; bunu kanıtlamak gerekir.

Bu kararın pratik anlamı şudur: Bir siber saldırı sonrasında mahkemeye veya düzenleyici otoriteye sunabileceğiniz tek güvenilir kanıt, saldırı anındaki dijital parmak izleri — yani loglardır. Kayıt altına alınmamış veya düzgün analiz edilmemiş bir güvenlik olayı, hukuk sisteminde “gerekli özenin gösterilmediği” karinesini güçlendirir. Tersinden söylemek gerekirse: Düzenli tutulan, değiştirilemez şekilde saklanan ve analiz edilen loglar, kurumun “iyi niyetli ve profesyonel çabasının” en somut delilidir.

7545 sayılı Kanun da bu konuda açık yükümlülükler getiriyor. Kanun’un alt düzenlemeleri (19 Mart 2026 tarihine kadar yayımlanması bekleniyor) log saklama sürelerini ve standartlarını detaylandıracak. Ancak BTK’nın Şebeke ve Bilgi Güvenliği Yönetmeliği halihazırda telekomünikasyon sektörü için 2 yıllık log saklama yükümlülüğü öngörüyor. Kritik altyapı işletmecileri için bu sürelerin daha da uzun tutulması muhtemel.

VII. Due Diligence ve Siber Sigorta

Katmanlı teknik savunma ve düzenli log tutma, siber güvenlik stratejisinin temelini oluşturur. Ancak “risk toplumu“nda yaşadığımız gerçeği göz önüne alındığında, bu önlemler tek başına yeterli değil. Hiçbir sistem yüzde yüz güvenli olamaz; dolayısıyla “ihlal olursa ne olacak?” sorusunun da cevabı hazır olmalı.

Bu noktada iki araç öne çıkıyor: Profesyonel durum değerlendirmesi (due diligence) raporları ve siber sigorta poliçeleri. Düzenli aralıklarla yapılan bağımsız güvenlik denetimleri ve bunların raporlanması, kurumun “sistematik özen” gösterdiğinin kanıtıdır. Tespit edilen açıkların kapatılması için yapılan çalışmalar ve bunların belgelenmesi, olası bir davada savunmanın temelini oluşturur.

Siber sigorta ise risk transferi mekanizması olarak işlev görür. İyi yapılandırılmış bir siber sigorta poliçesi, veri ihlali maliyetlerini, iş kesintisi kayıplarını, fidye taleplerini ve hukuki giderleri kapsayabilir. Ancak sigorta şirketleri de due diligence yapar: Poliçe almadan önce kurumun güvenlik duruşunu değerlendirir, belirli önlemlerin alınmasını şart koşar. Bu anlamda siber sigorta, yalnızca bir risk transferi değil, aynı zamanda kurumun güvenlik olgunluğunun bir göstergesidir.

VIII. Sonuç: Ne Yapmalı?

Siber güvenlik, satın alınacak bir ürün değil geliştirilecek bir kültürdür. Bir kerelik bir proje değil, sürekli bir süreçtir. Teknik bir detay değil, stratejik bir önceliktir. Yönetim kurulunun bu alanda üstlenmesi gereken yönetimsel sorumluluk, bütçe onayının ötesine geçer: Stratejiyi belirlemek, uygulamayı denetlemek ve kurumun güvenlik kültürünü şekillendirmek.

Somut adımlar şöyle sıralanabilir: İlk olarak, kurumun “taç mücevherlerini” belirlemek — kaybedildiğinde işi durduracak veya itibarı yerle bir edecek varlıklar hangileri? İkinci olarak, tehdit modellemesi yapmak — kimden, ne tür saldırılar beklenebilir? Üçüncü olarak, katmanlı savunma mimarisini gözden geçirmek — her katman yerinde mi, güncel mi? Dördüncü olarak, log tutma ve izleme kapasitesini değerlendirmek — bir ihlal durumunda ispat yükünü karşılayabilecek durumda mıyız? Beşinci olarak, due diligence süreçlerini kurumsallaştırmak ve siber sigorta seçeneklerini değerlendirmek.

7545 sayılı Siber Güvenlik Kanunu’un alt düzenlemeleri 19 Mart 2026 tarihine kadar yayımlanacak. Bu tarih, Türkiye’de siber güvenlik hukukunun yeni döneminin başlangıcı olacak. Hazırlıklı olmak, yalnızca cezalardan kaçınmak için değil, dijital çağda kurumsal sürdürülebilirliğin temel şartı olduğu için önemli.

Siber güvenlik yolculuğu, doğru soruları sormakla başlar.

Yazdır