I. Kod, Coğrafya ve Egemenliğin Yeni Sınırları

İnternetin kurucu miti bir sınırsızlık vaadiydi: coğrafyanın hükmünün geçmediği, egemenliğin ulaşamadığı bir küresel köy. O mit çoktan geride kaldı. Bugün devletler siber uzayda sınır çiziyor — ama bu sınırları yasa maddeleriyle değil, ağ mimarileri, loglama zorunlulukları ve teknik protokollerle çiziyorlar.

Hukukun düzenleyici gücünün bir kısmının koda devredildiği tespiti (Code is Law) hiç bu kadar somut olmamıştı: bir ülkenin trafik verisini nasıl kayıt altına aldığı, alan adı sistemini kimin yönettiği ve acil durumda ağa kimin, hangi hızla müdahale edebildiği, artık anayasal düzeyde sorular. Bu soruların toplamına verilen ad: siber egemenlik.

Türkiye bu sorulara cevabını netleştiriyor. 3 Temmuz 2026 tarihinde TBMM Başkanlığına sunulan 2/3764 Esas Numaralı Kanun Teklifi, gerekçesinde siber uzayı kara, deniz, hava ve uzayın yanında “beşinci harekât alanı” olarak tanımlıyor ve siber güvenliği “ülkenin bağımsızlığının dijital alandaki izdüşümü olan dijital egemenliğin tesisiyle doğrudan bağlantılı” bir ulusal güvenlik meselesi olarak konumlandırıyor.

Kelimeler özenle seçilmiş. Bu bir siber güvenlik teklifi değil; bir siber egemenlik mimarisi teklifi.

Peki bu mimariyi zorlayan tehdit tam olarak nerede duruyor? Son aylar, en kırılgan noktanın dışarıdaki sofistike saldırganlar kadar içerideki kimlik, yetkilendirme ve yönetişim katmanı olduğunu üst üste gösterdi. 26 Mart operasyonunda çökertilen sorgu paneli ekosistemini bu sayfalarda incelemiştik: eldeki bulgular, MERNİS gibi kritik devlet sistemlerine erişimin şifre kırma marifetiyle değil, yetkili kullanıcı hesapları üzerinden sağlanmış olabileceğine işaret ediyordu.

Nisan ayında ise cPanel ve WHM sistemlerini vuran kimlik doğrulama atlatma zafiyeti (CVE-2026-41940), internete açık yaklaşık 1,5 milyon kurulumun yönetim düzlemine tek bir geçerli şifre girilmeksizin erişilebileceğini gösterdi; barındırma sağlayıcılarının tespitlerine göre istismar, yamadan yaklaşık iki ay önce başlamıştı.

İki olay, iki farklı coğrafya, aynı örüntü. Modern siber riskler dışarıdan gelen öngörülebilir felaketler değil; bizzat kurduğumuz sistemlerin yetkilendirme zafiyetlerinden, denetimsiz kalan oturum mekanizmalarından ve kurumsal ihmallerden doğan yapısal tehditler. Siber egemenlik mimarisi kurulurken bu örüntünün akılda tutulması gerekiyor; çünkü merkezileşen her yetki, aynı zamanda merkezileşen bir saldırı yüzeyi demek.

II. Küresel Sahnede Üç Dijital Mimari Modeli

Siber yönetişimde küresel sahneyi üç model paylaşıyor ve Türkiye’nin tercihi bu üçgenin içinde bir yere oturuyor.

Amerikan modeli, internetin doğuşundan bu yana platform serbestisini esas aldı; 1996 tarihli İletişim Ahlakı Yasası’nın (Communications Decency Act) ünlü Section 230 hükmü, platformları kullanıcı içeriklerinden doğan sorumluluktan büyük ölçüde bağışık tuttu. Ne var ki bu modelin siber savunma ayağı son iki yılda ciddi biçimde sarsıldı.

Kritik altyapı güvenliğinden sorumlu federal ajans CISA’nın 2025‘te yaşadığı bütçe ve personel kesintileri koordinasyon kapasitesini zayıflattı; aynı dönemde Salt Typhoon vakası, telekom altyapısının ve yasal dinleme sistemlerinin yalnızca ulusal güvenlik aracı değil, aynı zamanda yabancı istihbarat servisleri için yüksek değerli saldırı yüzeyi olduğunu gösterdi: Reuters ve WSJ’ye yansıyan bilgilere göre AT&T, Verizon ve Lumen gibi operatörlerin ağları hedef alındı; mahkeme onaylı dinleme süreçlerinde kullanılan sistemlerden bilgi elde edildi ve geniş ölçekli çağrı kayıtları/metadata verisine erişildi..

Bu vaka, yazının ilerleyen bölümleri için kritik bir ders içeriyor: devletin dinleme kabiliyeti için kurulan teknik altyapı, ele geçirildiğinde ülkenin en değerli istihbarat kaynağına dönüşür. Yasal dinleme mimarisi, bir ülkenin en hassas saldırı yüzeyidir.

Avrupa modeli, vatandaş korumasını merkeze alan normatif bir liderlik iddiası taşıyor: DSA platformlara şeffaflık, NIS2 ise kritik sektörlere siber dayanıklılık yükümlülükleri getiriyor. Polonya’da 2025 sonunda enerji altyapısını hedef alan Rusya bağlantılı saldırıların büyük kesintiye dönüşmeden kontrol altına alınması, bu modelin kapasiteyle birleştiğinde çalışabileceğini gösterdi.

Fakat şu açık: hukuk metni tek başına yetmez; olay müdahale mimarisi, sektör koordinasyonu ve teknik hazırlık aynı anda kurulmalı.

Avrupa modelinin kendi içinde bir gerilimi de var. NIS2, üye devletlerdeki kritik ve önemli sektör şirketlerine 24 saatlik erken uyarı ve 72 saatlik olay bildirimi disiplini getirirken, AB kurumları NIS2’ye değil, Regulation (EU, Euratom) 2023/2841 kapsamındaki ayrı bir siber güvenlik rejimine tabi. Mart 2026’da Avrupa Komisyonu’nun Europa web hosting/AWS ortamını etkileyen Trivy tedarik zinciri olayı, bu ayrımın yalnızca teknik değil, kurumsal hesap verebilirlik meselesi olduğunu gösterdi.

Üçüncü model Çin’in: interneti fiziki sınırla çevreleyen, yabancı platformları dışarıda tutan ve siber güvenliği doğrudan ulusal güvenlik aygıtının parçası kılan mutlak devlet kontrolü. Egemenlik burada mimarinin kendisine gömülü.

Türkiye’nin 3 Temmuz teklifi, söylem düzeyinde Avrupa’nın “dijital egemenlik” dilini ödünç alırken, kurumsal tasarım düzeyinde tek çatı ve merkezî kontrol vurgusuyla üçüncü modele yaklaşan melez bir rota çiziyor.

III. 7545’ten 3 Temmuz’a: Tek Çatının İnşası

Kurumsal hikâyeyi hatırlayalım. 19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Türkiye’nin siber savunmasını Siber Güvenlik Başkanlığı çatısı altında toplayan ilk büyük adımdı; BTK ve Dijital Dönüşüm Ofisi’nin ulusal siber güvenlik varlıkları Başkanlığa devredildi. Aralık 2025’te Başkanlığın görev alanının genişletilmesi, kurumun yalnızca savunma değil dijital devlet mimarisi iddiası taşıdığını gösteriyordu.

3 Temmuz teklifi bu hikâyenin ikinci ve çok daha iddialı perdesi. Gerekçe üç amacı açıkça sayıyor: alan adı, internet altyapısı yönetimi, iletişimin tespiti ve analizi gibi yetkilerin SGB’de tek çatı altında toplanması; bu yetkilerin geçmişte “konjonktürel olarak” yüklendiği BTK’nın, kuruluş amacına uygun uzmanlaşmış bir piyasa düzenleyicisi kimliğine döndürülmesi ve yetkilerin fiilen kullanılmasını sağlayan veri merkezi, internet altyapıları ile insan kaynağının Başkanlığa devri.

Sistem düşüncesi diliyle söylersek, bu bir parametre ayarı değil; kurumların amaç tanımına, yani sistemin paradigma katmanına yapılan bir müdahale. Bu katmana yapılan müdahalelerin etkisi, her zaman, değiştirilen madde metinlerinin toplamından büyük olur.

IV. Neler Devrediliyor

Teklifin elektronik haberleşme ve internet rejimini ilgilendiren değişiklikleri dört başlıkta toplanabilir.

Birinci başlık alan adları. İnternet alan adlarına ilişkin strateji ve politika belirleme ile düzenleme yapma yetkisi SGB’ye veriliyor; buna paralel olarak BTK’nın ilgili görev hükümleri yürürlükten kaldırılıyor ve daha az dikkat çeken bir dokunuşla, 5809 sayılı Kanunun 35’inci maddesindeki alan adı tahsisini yapacak kurumu belirleme yetkisi Bakanlıktan Başkanlığa geçiriliyor. Ülke kodu üst düzey alan adı — .tr — bundan böyle bir güvenlik kurumunun stratejik tasarrufunda.

Buna karşılık hâlen BTK bünyesinde işletilen TRABİS altyapısının ve kayıt kuruluşlarının statüsüne ilişkin özel bir geçiş hükmü yok; bu süreçlerin genel köprü hükümle yürütüleceği anlaşılıyor. Alan adı sistemi bir ülkenin dijital adres defteriyse, adres defterinin yönetimi artık güvenlik bürokrasisinin elinde.

İkinci başlık 5651 rejimi. Erişim sağlayıcı, yer sağlayıcı ve içerik süreçlerine ilişkin idari muhataplık, denetim ve ikincil düzenleme yetkileri SGB’de toplanıyor. Daha da dikkat çekici olan, henüz yürürlüğe bile girmemiş hükümlerin akıbeti. 1 Mayıs 2026’da Resmî Gazete’de yayımlanan 7578 sayılı Kanun, 5651’e sosyal ağ sağlayıcılar ve oyun platformları için on beş yaş sınırından küresel cironun yüzde üçüne varan idari para cezalarına uzanan yeni bir yükümlülük mimarisi eklemişti; bu hükümler 1 Kasım 2026’da yürürlüğe girecek.

Teklif, değişiklik kanununun kendisini değiştirmek gibi az rastlanır bir yasama tekniğiyle, bu hükümlerdeki kurumsal atıfları daha doğdukları gün Başkanlığı gösterecek biçimde yeniden yazıyor. Üstelik 5651’deki “Başkan” tanımı da Siber Güvenlik Başkanı olarak değiştirildiğinden, küresel ciro cezası dahil sosyal ağ yaptırımlarını Kasım’dan itibaren fiilen Siber Güvenlik Başkanı verecek. İnternet rejiminin tamamının tek çatıya taşınması iradesi bu ayrıntıda okunuyor..

Üçüncü başlık yasal dinleme. 7545’e eklenen bentle, kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlama ve bu konuda düzenleme yapma görevi SGB’ye veriliyor. Salt Typhoon dersini hatırlayalım: bu altyapı bir ülkenin en hassas saldırı yüzeyi. Siber olaylara müdahale eden kurumla dinleme altyapısını kuran ve standartlarını belirleyen kurumun aynı çatı altında birleşmesi, olağanüstü sıkı bir iç fonksiyon ayrımı, bağımsız denetim ve erişim kaydı (audit log) disiplini gerektiriyor. Teklif bu güvencelerin hiçbirini düzenlemiyor.

Dördüncü başlık, acil tedbir rejimi. Sık tekrarlanan “iki saatlik müdahale rejimi getiriliyor” cümlesi doğru değil. İki saat içinde uygulama yükümlülüğü, sulh ceza hâkimi onayı mekanizması ve veri merkezleri dâhil geniş muhatap listesi, 671 sayılı KHK ile 2016’da 5809 sayılı Kanunun 60’ıncı maddesine eklendi ve o günden beri yürürlükte. Teklifin yaptığı, bu rejimi yeni 60/A maddesine taşımak — ve taşırken üç şeyi değiştirmek.

Mevcut düzende tedbiri Cumhurbaşkanlığı belirliyor, BTK yalnızca iletiyordu; yeni düzende tedbiri SGB, güvenlik ve istihbarat kurumlarının talebi üzerine veya resen belirliyor. On yıla yakın süredir fiilen istisnai kalmış rejim, ilk kez eylem başına 20.000 ilâ 100.000 TL arasında özgü bir idari para cezasıyla donatılıyor ve cezaların tamamı Başkanlık hesaplarına aktarılıyor. Başkanlık kararlarına karşı açılan davalar öncelikli işlerden sayılırken, Başkanlığın açacağı davalarda teminat aranmıyor.

Bu dört başlığın gölgesinde kalan bir beşinci dokunuş daha var ve işletmeciler açısından belki en ağırı: teklif, 7545’in 16’ncı maddesindeki 1 milyon ilâ 10 milyon TL arasındaki idari para cezasının kapsamını, Başkanlığın talep ettiği her türlü veri, bilgi, belge, donanım ve yazılımı “öncelikle ve zamanında” iletme yükümlülüğünü de içerecek şekilde genişletiyor.

Bilgi talebine geç cevabın milyonlarla ölçülen bir yaptırım riskine bağlanması, talebin kapsamı ve süresi hiçbir yerde tanımlanmamışken, hukuki belirlilik ilkesinin sınırlarını zorluyor.

V. Merkezileşen Güvenlik, Dağılan Hukuk

Teklifin amacına ilkesel bir itiraz kurmak güç: yetki parçalanmışlığı gerçek bir sorundu ve tek çatı, koordinasyon maliyetini düşürebilir. Asıl hukuk sorusu başka yerde. Güvenlik merkezileşirken hukuki belirlilik nasıl korunacak?

Sorunun en somut sahnesi, Şebeke ve Bilgi Güvenliği Yönetmeliği. Bu yönetmelik saf bir siber güvenlik metni değil; siber olay bildirimi ve zafiyet yönetimi gibi güvenlik hükümleriyle, hizmet sürekliliği, hizmet kalitesi, yetkilendirme türlerine göre yükümlülük farklılaştırması ve tüketici etkisi gibi sektörel düzenleme hükümlerini aynı gövdede taşıyan hibrit bir yapı.

Teklifin geçici hükmü, devredilen görevler bakımından mevzuattaki BTK atıflarının SGB’ye yapılmış sayılacağını söylüyor — ama hangi görevlerin devredildiğini madde madde saymıyor. Yönetmeliğin hangi hükmünde “Kurum” artık SGB, hangisinde hâlâ BTK? Bu sorunun bir cevabı yok.

İki uç kabulün ikisi de yanlış sonuç verir: bütün hükümlerin otomatik geçtiğini söylemek yönetmeliğin sektörel yarısını görmezden gelir; hiçbir hükmün geçmediğini söylemek teklifin gerekçesiyle bağdaşmaz. Doğru cevap hüküm bazlı ayrıştırma — ve bu ayrıştırma yapılmadan yürürlüğe girecek bir devir, işletmecileri aynı teknik olay nedeniyle SGB önünde siber olay, BTK önünde hizmet kalitesi, Kişisel Verileri Koruma Kurumu önünde veri ihlali sorumluluğuyla eş zamanlı karşılaşma riskine sürükler. Güvenlik tek çatıda toplanırken, sorumluluk üç çatıya dağılıyor.

VI. Trafik Verisinin Yeni Hukuki Değeri

Teklifin görünüşte en teknik değişikliği, muhtemelen en derin sonuçları doğuracak olanı. 5651’deki “trafik bilgisi” tanımına iki kelime ekleniyor: kaynak ve hedef port. İki kelimenin ağırlığını tartabilmek için önce kavramın kendisine bakmak gerekiyor.

Trafik bilgisi, iletişimin içeriği değil; içeriği taşıyan zarfın üzerindeki bilgiler. Kanundaki tanımıyla taraflara ilişkin IP adresi, port bilgisi, hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı ve abone kimlik bilgileri. Mektubu hiç açmadan zarfa bakan biri ne öğrenirse — kimden kime, ne zaman, ne ağırlıkta — trafik bilgisi de onu söylüyor. İletişim gözetimi literatürünün eski bir tespiti burada da geçerli: yeterince zarf biriktiğinde, mektupları okumaya gerek kalmaz.

Port ise bu zarfın en ince ayrıntısı. IP adresi ağ üzerindeki binayı bulur; port, o binadaki dairenin kapı numarası. Bir cihaz aynı anda yüzlerce bağlantı yürütür ve her bağlantı bir port üzerinden akar: bağlantıyı başlatan tarafın kullandığı kapı kaynak port, gidilen hizmetin kapısı hedef port.

Değişikliğin pratik gerekçesi CGNAT (taşıyıcı sınıfı ağ adres çevirimi) gerçeğinde saklı: adres kıtlığı nedeniyle binlerce abone tek kamusal IP adresini paylaşıyor ve bir bağlantının hangi aboneye ait olduğu, ancak IP adresinin, kaynak portun, hedef bilgisinin ve hassas zaman damgasının birlikte tutulmasıyla kesin biçimde eşleştirilebiliyor.

Madalyonun öbür yüzü ise şu: hedef port, abonenin kim olduğunu değil, ne yaptığını anlatır — web’e mi bağlandı, e-posta mı gönderdi, hangi tür hizmete erişti. Kaynak portun kaydı kimlik tespitine hizmet ederken, hedef portun sistematik kaydı trafik bilgisini davranış örüntüsüne yaklaştırır.

İki kelimelik ek, kayıt mimarisinin niteliğini değiştiriyor: kim sorusundan ne sorusuna.

Karasal geniş banttan uydu erişimine, ülkenin bütün dijital altyapısının kayıt mimarisini ilgilendiren bir dokunuş bu; CGNAT kullanan işletmecilerde log hacminin ve zaman hassasiyeti gereksinimlerinin katlanması, işin yalnızca maliyet boyutu. Kayıt mimarisi böyle derinleşirken, bu kayıtların kimin elinde ve hangi hukuk rejiminde tutulduğu sorusu, siber egemenlik tartışmasının tam kalbine yerleşiyor.

Ama asıl hukuki mesele hacim değil, rejim. Teklif yalnızca 5651’deki tanımı değiştiriyor ve 5651 rejimini SGB’ye taşıyor; 5809 sayılı Kanunun 51’inci maddesindeki “trafik verisi” rejimine — gizlilik esası, sınırlı işleme amaçları, yönetmelikle belirlenen saklama süreleri — dokunmuyor. Metinde m.51’e ilişkin değişiklik öngörülmediğine göre o rejim BTK ve Kişisel Verileri Koruma Kurumu ekseninde yaşamaya devam edecek.

Sonuç: aynı log kaydı, 5651 üzerinden SGB’nin, m.51 üzerinden BTK’nın, kişisel veri boyutuyla KVKK’nın rejimine tabi. Üç ayrı hukuk rejimi, tek bir kaydın üzerinde.

Trafik bilgisi üzerine daha önce yazdıklarımızın kaldığı yerden söylersek: loglama mimarisi bir düzenleme biçimidir; neyin, hangi hassasiyette, ne kadar süreyle kaydedileceğine ilişkin her teknik karar, aynı zamanda haberleşme hürriyetinin fiilî sınırlarını çizen bir normdur. Kanun koyucunun iki kelimelik eki, bu anlamda, görünenden çok daha büyük bir normatif alanı hareket ettiriyor.

Trafik verisinin dijital egemenlik boyutu da burada belirginleşiyor. Kritik altyapılara ait verilerin — ulaşım, enerji, haberleşme — nerede barındığı ve hangi ülkenin hukukuna tabi olduğu, artık teknik bir mimari tercih değil; FISA 702 ve CLOUD Act gibi sınır ötesi erişim rejimleri düşünüldüğünde, doğrudan bir egemenlik sorusu.

Kent ölçeğinde toplanan hareketlilik ve kamera verilerinin yabancı hukuka tabi bulut altyapılarında barındırıldığı senaryolarda bu soru fiziki güvenlik boyutu da kazanıyor; Tahran’da trafik kamera ağına sızılarak hedef kişilerin yaşam örüntülerinin çıkarıldığına ilişkin basına yansıyan değerlendirmeler, meselenin soyut olmadığını hatırlatıyor.

Teklifin gerekçesindeki “dijital egemenlik” vurgusunun en sağlam zemini burası. Ne var ki gerekçe veri egemenliğini işaret ederken, teklif metni bu alanda tek somut kural koymuyor; egemenlik söylemi ile normatif içerik arasındaki bu boşluk, ikincil düzenlemelere devasa bir yük bırakıyor.

VII. Veri Merkezleri: Altyapının Altyapısı

Yeni dijital mimarinin sessiz aktörü veri merkezleri. Acil tedbir rejiminin muhatapları arasında veri merkezlerinin sayılması yeni değil — 2016’dan beri kanunda yazıyor. Yeni olan, bu muhataplığın eylem başına ceza mekanizmasıyla somut bir riske dönüşmesi.

Ve tam burada, hukuk ile teknik gerçeklik arasındaki makas açılıyor: veri merkezi işletmecisi çoğu durumda son kullanıcıyı tanımaz, taşıdığı trafiğin içeriğini yönetmez ve özellikle fiziksel barındırma (colocation) modelinde, müşteri mülkiyetindeki sunucuya hukuken ve fiilen müdahale edemez. Bulut hizmetlerinde kontrol düzeyi sözleşmeye göre değişir.

İki saat içinde uygulanması gereken bir tedbir kararı veri merkezine ulaştığında, işletmeciden beklenen tam olarak nedir — barındırma hizmetinin kesilmesi mi, trafik yönlendirmesi mi, müşteriye bildirim mi, yoksa yalnızca kayıt paylaşımı mı?

Bu sessizliğin uzun vadeli anlamı açık: veri merkezleri, elektronik haberleşme hukukunun kıyısından siber güvenlik hukukunun merkezine çekiliyor ve fiilen kritik altyapı aktörü gibi konumlandırılıyor.

VIII. Siber Egemenlik ve Hukuk Devleti Aynı Dijital Mimaride

3 Temmuz teklifi, Türkiye’nin siber uzayda kendi sınırlarını çizme iradesinin bugüne kadarki en somut ifadesi ve tek çatı tercihinin kendisi, yetki parçalanmışlığının maliyetini görmüş herkes için anlaşılır bir tercih. Ancak siber egemenlik, doğası gereği tek merkezden yönetilebilecek bir kale değil; işletmecilerin, veri merkezlerinin, olay müdahale ekiplerinin, sektör birliklerinin ve teknik toplulukların gündelik iş birliğiyle ayakta duran bir ortak varlık, bir ekosistem.

USOM ve SOME ağından işletmecilerin kendi aralarındaki teknik koordinasyona kadar bu ekosistemin öz-düzenleme kapasitesi, merkezî otoritenin ikamesi değil, tamamlayıcısı. Merkezileşme bu kapasiteyi kurutursa, kazanılan koordinasyon kaybedilen dayanıklılıkla ödenir.

Bu yüzden yeni mimarinin gerçek testi, teklifin yasalaşması değil; ondan sonra atılacak adımlar. SGB ile BTK arasındaki görev ayrımının hüküm bazında, herkesin görebileceği biçimde netleştirilmesi. Acil tedbir rejiminin tedbir türlerini sayan, teknik uygulanabilirliği şart koşan ve yargısal denetimi kâğıt üzerinde bırakmayan güvencelerle donatılması. 

Egemenlik sınır çizmekle başlar; hukuk devleti, o sınırın içinde kimin neye, hangi usulle yetkili olduğunun öngörülebilir olmasıyla tamamlanır. İkisi aynı mimaride birlikte kurulmazsa, kurulan şey egemenlik değil, yalnızca yetki olur.