I. Giriş — Üç Operasyon, Bir Site

Bugün 14 Mayıs 2026. Adana Cumhuriyet Başsavcılığı koordinesinde yürütülen geniş çaplı operasyonun bilançosu açıklandı: 21 ilde 228 adres, 198 şüpheli, üç banka yöneticisi, sekiz emniyet personeli, dört avukat. MASAK raporlarıyla tespit edilen tutar yaklaşık 100 milyar TL ve 2 milyar dolar. Suçlar: yasa dışı bahis, nitelikli dolandırıcılık, rüşvet, kara para aklama. 8.500 bahis ve kumar içerikli internet sitesi için 5651 rejimi kapsamında erişim engelleme süreci işletildi.

Dokuz gün öncesinde, 5 Mayıs’ta, İstanbul Cumhuriyet Başsavcılığı koordinesinde gerçekleştirilen Paymix-3 operasyonunda 49 yasa dışı bahis sitesine teknik altyapı ve veri depolama hizmeti sağlayan şebeke çökertildi; 13,8 milyon kullanıcı kaydından 3,17 milyonunun TC kimlik numarasıyla eşleştiği açıklanmıştı.

Operasyonların gürültüsü içinde, görece sessiz bir başka gelişme yaşandı. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı’nın resmi web sitesi olan siberguvenlik.gov.tr yayına alındı. Aralık 2025’te yayımladığımız “Siber Güvenlik Kanunu: 9 Ay Sonra Neredeyiz?” başlıklı yazıda işaret ettiğimiz kurumsal görünürlük eksikliği kapandı. Sayfa açıldı; dolu, çalışıyor. 15 kritik altyapı sektörü de belirlendi.

Adana operasyonunun savcılık metninde, bakan açıklamasında, basın bülteninde Siber Güvenlik Başkanlığı’nın adı doğrudan geçmiyor. Siber Suçlarla Mücadele Şube Müdürlüğü var, MASAK var, jandarma var, savcılık var. SGB ise son altı haftanın en gündemli operasyonlarının hiçbirinde manşette değil. Daha temel bir soru: 7545 sayılı Kanun’un getirdiği siber olay bildirimi yükümlülüğünü duyan bir şirket, sahte yatırım sitesi üzerinden birikimini kaptırmış bir vatandaş — bugün, somut olarak, hangi kapıyı çalacak?

Yazı, bu üç soru üzerine kuruluyor. İlki sade: Yeni açılan site ne sunuyor, kim kullanmalı, nasıl izlenmeli? İkincisi yapısal: USOM’un on yılı aşkın operasyonel birikimi neye dönüşüyor, kritik altyapı operatörleri için ne değişti? Üçüncüsü normatif: Başkanlığın yasal görev tanımı ile sahadaki en yoğun siber zarar arasındaki mesafe neden bu kadar açık?

II. Sitenin Açılışı — Geç Gelen Bir Görünürlük

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı’nın resmi web sitesi yayında. Ana sayfa sade: T.C. Cumhurbaşkanlığı Çankaya Yerleşkesi adresi, iletişim hattı, kurumsal e-posta. Üst banttaki iki bağlantı kurumun hukuki dayanağını işaret ediyor: 8 Ocak 2025 tarih ve 177 sayılı Cumhurbaşkanlığı Kararnamesi — kuruluş; 19 Mart 2025 tarih ve 7545 sayılı Siber Güvenlik Kanunu — görev ve yetki.

Site mimarisi beş ana başlık üzerinde örgütlenmiş: Ana Sayfa, Kurumsal, Faaliyet Alanları, Hizmetler, Haberler, İletişim. Bu beş kategori, sitenin işlevsel haritası olmaktan öte, kurumun yetki cetvelinin operasyonel tercümesi. Kurumsal sekmesi 177 ve 192 sayılı Cumhurbaşkanlığı Kararnamesi ile şekillenen teşkilat yapısını sunuyor.

25 Aralık 2025’te yapılan kapsamlı değişiklikle görev tanımı “siber güvenlik”ten “siber güvenlik ve dijital devlet”e genişletildi, kadro 135’ten 204’e çıkarıldı, Kamu Yapay Zeka Genel Müdürlüğü ile Dijital Devlet Genel Müdürlüğü gibi yeni hizmet birimleri eklendi. Bu evre, Başkanlığı yalnız siber güvenlik değil, Türkiye’nin tüm dijital dönüşüm gündeminin merkezi haline getirdi.

Üç husus, Aralık 2025 yazımızdaki ana eleştiriyi ayakta tutmaya devam ediyor. İlki: 7545 sayılı Kanun’un Geçici 1. maddesinde işaret edilen alt düzenlemeler — yönetmelikler, tebliğler, sektörel kriterler — henüz Resmi Gazete’de yayımlanmadı. Hedef tarih 19 Mart 2026’ydı; bugün 14 Mayıs. İki ayı aşkın bir gecikme var, taslak metin de paylaşılmadı.

İkincisi: 5 Mayıs 2026’da Cumhurbaşkanı başkanlığında toplanan Siber Güvenlik Kurulu kararıyla 15 kritik altyapı sektörü kritik altyapı olarak ilan edildi — ama bu sektörlerde faaliyet gösteren işletmeler için somut yükümlülük metinleri sitede henüz görünür değil.

Üçüncüsü: kanunun 19 Mart 2027 olarak işaret ettiği siber güvenlik şirketleri sertifikasyon son tarihine on ay kaldı, ama sertifikasyon prosedürü henüz açılmadı.

Görünürlük geldi. Çerçeve bekliyor.

  

III. Dört Sütun — Yetki Haritası

Sitenin en kapsamlı bölümü Faaliyet Alanları sekmesi. Açıldığında dört sütun beliriyor. Bu sütunlar, bir kararname zincirinin haritası niteliğinde: 177 sayılı Kararname kuruluşu çizdi, 183 sayılı Kararname Dijital Dönüşüm Ofisi’ni kapatıp portföyünü devretti, 192 sayılı Kararname yapıyı bugünkü kapsamına genişletti.

Siber Güvenlik sütunu, 7545’in 5. maddesinde sayılan görevlerin birebir karşılığı: Ulusal Siber Güvenlik Düzenlemeleri, Siber Olay Müdahale ve Koordinasyon, Siber Tehdit İstihbaratı, Zafiyet Yönetimi, Denetim ve Gözetim, Kritik Altyapıların Korunması. “Denetim ve Gözetim” başlığının ayrı kategori olarak konumlanması dikkat çekici — kanunun 8. maddesinde tanımlanan denetim yetkisini operasyonel bir kapı haline getirme niyeti açık.

Dijital Devlet sütununun varlığı yeni. 183 sayılı Kararname ile DDO’nun kapatılması ve 192 sayılı Kararname ile görev tanımının genişletilmesi, bu sütunu kurumsal olarak meşrulaştırdı. Altında beş kalem var: e-Devlet Kapısı, Dijital Devlet Stratejisi, Kamu Bulut Bilişim Stratejisi, Açık Devlet Verisi, Kamuda Açık Kaynak Kodlu Yazılım Kullanımı. e-Devlet Kapısı’nın bu listede yer alması başlı başına bir mesaj — 68 milyonu aşan kullanıcı, binden fazla kurum, dokuz bine yakın hizmet artık SGB şemsiyesinde.

Kamu Yapay Zekâ sütununda sadece iki alt başlık var: Kamu Yapay Zekâ Düzenlemeleri ve Kamu Yapay Zekâ Uygulamaları. Hukuki anlamı önemli. Avrupa Birliği AI Act’i 2024’te yürürlüğe soktu; Türkiye’de yapay zekâya özgü kapsamlı bir yasal çerçeve henüz yok. SGB, doğrudan kamu sektörü uygulamalarına odaklanan bir kapı açmış. Türkiye’de yapay zekâ yönetişiminin ilk güçlü kurumsal eksenlerinden biri kamu düzenlemesi üzerinden şekilleniyor — AB’nin “yatay” yaklaşımının aksine, “dikey” bir tercih.

Ekosistem Geliştirme sütununda üç başlık: SOME Koordinasyonu, Siber Güvenlik Ekosistemi, Kapasite Geliştirme. SOME yapısı yeni değil; 2013 tarihli BTK düzenlemesiyle kurulmuş, sektörel ve kurumsal düzeyde örgütlenmiş bir koordinasyon ağı. Bu yapının koordinasyonu şimdi BTK’dan SGB’ye geçti. Telekomünikasyon operatörleri için değişimin somut anlamı alt düzenlemeler yayımlandığında netleşecek; ama yetki devri çoktan operasyonel.

Dört sütun bir araya geldiğinde okunaklı bir tablo çiziyor. Kurumun yetki cetveli artık tahmin meselesi değil. Ama haritanın varlığı, üzerindeki yolların açık olduğu anlamına gelmiyor. Her sütunun altındaki başlıklara tıklandığında karşılaşılan içerik, çoğu durumda strateji belgesi ya da rehber referansı düzeyinde kalıyor. Sertifikasyon başvuru formu, denetim takvimi, sektörel uyum prosedürü — bunlar gelecek.

IV. Hizmetler — Operasyonel Hat ve Devralınan Birikim

Sitenin çalışan kalbi Hizmetler sekmesinde. Beş alt başlık altında, on yılı aşkın bir operasyonel hafıza yeni bir adrese taşınıyor: Zararlı Bağlantı Listesi, Güvenlik Bildirimleri, Faydalı Dokümanlar, Bilgi ve İletişim Güvenliği, İhbar Formu.

Bu beşli, Ulusal Siber Olaylara Müdahale Merkezi’nin (USOM) 2013’ten bu yana yürüttüğü görevlerin neredeyse tamamını kapsıyor. USOM’un kendi sayfası bugünlerde bir geçiş duyurusundan ibaret: CVE başvuruları, siber ihbar süreçleri, zararlı bağlantı listeleri ve güvenlik bildirimlerinin artık siberguvenlik.gov.tr üzerinden yayımlanacağı, 1 Haziran 2026 itibarıyla .txt formatındaki paylaşımın sonlanacağı, sistemlerin API üzerinden çalışacak şekilde güncellenmesi gerektiği duyuruluyor.

Bu devir, yazının asıl haberlerinden biri. USOM’un on üç yıllık birikiminin nereye gideceği belirsizdi; cevap şimdi somut. 1 Haziran tarihi bir kilometre taşı; o tarihe kadar paralel rejim çalışıyor, sonrasında API ana kanal olacak. Telekomünikasyon işletmecileri, hosting sağlayıcıları, kurumsal SOME işletenler — zararlı bağlantı listesini gerçek zamanlı tüketen herkes — entegrasyon güncellemesini şimdiden planlamak zorunda.

Zararlı Bağlantı Listesi sayfası, sitenin en canlı bölümü. Bugün 472 bin 181 kayıt görüntüleniyor. Her kayda bir adres, bir tarih, bir açıklama (Oltalama, Zararlı Yazılım, Komuta Kontrol Merkezi gibi) ve bir kaynak (İHBAR ya da SGB) eşlik ediyor. Sağ üst köşede bir API düğmesi var — kurumsal sistemlere doğrudan entegrasyon için. Gerçek zamanlı, makinece okunabilir, sektörel altyapıların besleneceği bir tehdit istihbaratı kaynağı. Bireysel okuyucu için ise farklı bir kullanım var — şüpheli bir bağlantıyla karşılaştığında, adres aramasıyla listede yer alıp almadığını saniyeler içinde doğrulayabiliyor.

Güvenlik Bildirimleri CVE eksenli çalışıyor. Wireshark, Chrome, Jenkins, Firefox, Pardus — yazılım dünyasının kritik güncellemeleri için bildirim numarası alıyor, ilgili kaynaklara yönlendiriyor. USOM döneminde rutin işleyen bu yapı, taşınma sonrasında da kesintisiz çalışıyor.

Faydalı Dokümanlar sayfasında on dört rehber var. Eski tarihliler 17 Aralık 2014’e kadar uzanıyor. Ağustos 2016’da yayımlanan Sektörel SOME Rehberi ile Kurumsal SOME Rehberi, hâlâ Türkiye’nin SOME yapılanmasının temel referans metinleri. Temmuz 2023’te Kurumsal ve Bireysel Siber Güvenlik Önlemleri, Ekim 2023’te CVE Başvuru Süreci, Haziran 2024’te SİP — SOME İletişim Platformu — Başvuru Kılavuzu. On yıllık bir kurumsal hafıza, yeni kabuğunda erişime açık.

Bilgi ve İletişim Güvenliği sayfası bambaşka bir hukuki ağırlık taşıyor. Sayfa, 6 Temmuz 2019 tarihli ve 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ile başlayan bir rejimi anlatıyor. Genelge yayımlandığında koordinasyon yetkisi Dijital Dönüşüm Ofisi’ndeydi. 24 Temmuz 2020’de Bilgi ve İletişim Güvenliği Rehberi onaylandı; Türkiye’nin bu alandaki ilk referans dokümanı. Ekim 2021’de Denetim Rehberi yayımlandı. 2023’te Bilgi ve İletişim Güvenliği Uyum ve Denetim İzleme Sistemi — BİGDES — devreye alındı.

Kamu kurumları ve kritik altyapı işletmeleri, yılda en az bir kez iç denetim yapma ve sonuçları sisteme yükleme yükümlülüğü altında. İç kaynakla yapılamadığında TSE belgeli firma ya da denetçilerden hizmet alımı seçeneği var.

Bu üç katmanlı yapı — Genelge, Rehber, BİGDES — DDO eseriydi; SGB’ye devredildi. Yükümlülük zinciri yatay olarak transfer edildi: kapsam aynı, denetim metodolojisi aynı, ISO/IEC 27001 uyumlu BGYS kurma beklentisi aynı, sadece muhatap kurum değişti.

İhbar Formu, sayfaların belki de en önemlisi. Vatandaşların ve kurumların şüpheli adres, zararlı içerik ya da siber olay bildirimi yapabileceği kapı. Forseti’nin Aralık 2025’te işaret ettiği eksiklik burada doğrudan adresleniyor — dolandırıcılık mağduru bir vatandaş, sahte yatırım sitesine ait adresi buraya bildirebilir. Sahadaki “ben ne yapacağım” sorusunun ilk somut cevabı.

Ama sadece ilk cevap. Mağduriyetin tazmini, paranın iadesi, dolandırıcının takibi — bunlar başka kapıların işi: savcılık, BTK, MASAK, banka. SGB’nin yapabileceği, dolandırıcının kullandığı altyapıyı tehdit istihbaratı havuzuna eklemek, bir sonraki kurbanın aynı tuzağa düşmesini zorlaştırmak.

V. Söylem ve Saha — Görev Tanımının İki Yüzü

5 Mayıs 2026’da Cumhurbaşkanı başkanlığında toplanan Siber Güvenlik Kurulu kararı, kurumun stratejik konumlanmasını net biçimde ortaya koyuyor. Toplantı bildirgesinde veri egemenliği “ayrı bir başlık altında” ele alındığı, “verinin yalnızca teknik bir unsur olmanın ötesinde stratejik bir değer olduğu” vurgulanıyor. Bu söylem yeni değil — son yıllarda Türkiye’nin siber güvenlik politikasının açıklanmış omurgalarından biri. Söylem ile uygulama arasındaki tutarlılık ise her zaman sınanan bir mesele.

Sitenin kaynak kodu incelendiğinde bazı bilinçli teknik tercihler dikkat çekiyor. Web sitesi trafik analizi için Google Analytics yerine, açık kaynaklı ve veriyi kendi sunucusunda tutan Umami Analytics kullanılıyor. Trafik takip altyapısı kurumun kendi alt etki alanında: tracker.siberguvenlik.gov.tr.

Görseller, yazı tipleri, statik dosyalar üçüncü taraf CDN’lerden değil, yine kurumun kendi içerik dağıtım ağından — cdn.siberguvenlik.gov.tr — sunuluyor. Yazı tipi seçimi de manidar: STIX Two Text, bilimsel yayın toplulukları tarafından geliştirilmiş açık lisanslı bir serif aile, Google Fonts üzerinden değil kurumun kendi CDN’inden çağrılıyor.

Lawrence Lessig’in 1999’da formüle ettiği “Code is Law” çerçevesi tam burada işliyor. Hukuk yalnızca yasal metinlerden ibaret değil; teknolojik mimarinin kendisi de bir düzenleme katmanı. Bir web sitesinin Google Analytics seçip seçmemesi, veri akışlarının nereye gideceğini belirleyen mimari bir karar.

SGB sayfası, henüz yayımlanmamış stratejik metinlerden önce, mimarisi düzeyinde bir politik tutum açıklamış oluyor: ziyaretçi verisi yurtdışına aktarılmayacak, üçüncü taraflara bırakılmayacak. Söylem ile uygulamanın bu kod düzeyindeki örtüşmesi kayda değer.

Ama hak teslim ettiğimiz yerde, gerilimi de görmek gerekiyor.

7545 sayılı Kanun’un 5. ve 6. maddeleri, Başkanlığa kâğıt üzerinde son derece geniş yetkiler tanıyor: “siber güvenlik denetimini gerçekleştirmek ve sonucuna göre yaptırım uygulamak”, “siber olayların tespitine yönelik gerekli yöntemi ve aracı kullanabilmek”, “siber saldırılara karşı korunma ve caydırıcılık için tedbir almak veya aldırmak”.

Bu görev cetveli, Türkiye’de meydana gelen her tür siber olayı kapsayabilecek genişlikte. Sahada ise farklı bir tablo görüyoruz — son altı haftanın büyük operasyonlarında SGB’nin konumu, yazının bir sonraki bölümünde ayrıntılı işleneceği üzere, manşetlerden çok arka plandaki tehdit haritalama görevinde.

Bu, tek başına bir çelişki değil. Hukuki açıdan açıklanabilir bir tablo: Suç soruşturması Cumhuriyet Başsavcılığı’nın görev alanı, kolluk yetkileri jandarma ve emniyetin, mali iz takibi MASAK’ın, erişimin engellenmesine ilişkin yargısal-idari süreç 5651 sayılı Kanun çerçevesinde. SGB bir kovuşturma kurumu değil; koordinasyon, düzenleme, denetim kurumu. Görev tanımındaki “siber güvenlik” lafzı, kritik altyapıları ve kamu kurumlarını koruma eksenli okunuyor; bu okuma, kanunun 7. maddesindeki yükümlülük öznelerinin tanımıyla da uyumlu.

Daha temel bir soru duruyor. AB’nin NIS2 Direktifi’nde “significant cyber incident” bildirim yükümlülüğü, sadece kritik altyapı işletmecileri için değil, daha geniş bir aktör havuzu için geçerli. Türkiye’nin tercih ettiği dar yorum, mevzuat boşluğunu kanun değişikliği gerektirmeyen bir genişletmeyle kapatabilir: SGB’nin koordinasyon görevi, vatandaş düzeyinde yaşanan sistemik dolandırıcılık dalgaları için de — savcılığın yerine değil, savcılıkla paralel — bir tehdit istihbaratı havuzlama ve uyarı koordinasyonu çerçevesi kurabilir.

Forseti’nin Aralık 2025’te yayımladığı “Siber Dolandırıcılık Mağdurları” yazısı, bu boşluğun mağdurlar açısından somut anlamını ortaya koymuştu. Küresel ölçekte yıllık 1 trilyon dolarlık kayıp, mağdurların yalnızca yüzde 4’ünün parasına kavuşabilmesi, yüzde 96’sının yalnız bırakılması. Türkiye’de bir vatandaş, Instagram’da gördüğü reklamla başlayan ve milyonlarca lira kayıpla biten bir sürecin sonunda BTK, MASAK ve savcılık arasında ping-pong topu gibi savruluyor. Bu dağınık yetki tablosunda, koordinasyon görevi bakımından SGB’ye en yakın duran kurum yine SGB.

VI. Son Altı Hafta — Sahanın Resmi

Son altı haftada dört büyük operasyon kamuoyuyla paylaşıldı. Girişte değindiğimiz Adana (14 Mayıs) ve Paymix-3 (5 Mayıs) operasyonlarının yanına iki olay daha eklendi: Nisan ortasında MİT koordinesinde dokuz ilde gerçekleştirilen ortak çalışma — kamu bilişim sistemlerine sızıp kişisel verileri sorgu paneli üzerinden pazarlayan on iki şüphelinin yakalandığı, resmi açıklamasında MİT, Siber Güvenlik Başkanlığı, Jandarma Genel Komutanlığı ve MASAK’ın adının yan yana geçtiği operasyon.

Dört olay yan yana koyulduğunda iki örüntü ortaya çıkıyor. İlki, işlevsel sınır çizgisi. SGB, kamu bilişim sistemlerine yetkisiz erişim, kişisel veri sızıntısı, sistemik teknik istismar gibi olaylarda — bilgi güvenliği ihlalleri ekseninde — doğrudan sahnede. Nisan operasyonu bunun açık örneği. Buna karşın yasa dışı bahis, dolandırıcılık, kara para aklama gibi finansal suç ekseninde SGB görünür değil; sahne savcılık, jandarma/emniyet Siber Suçlarla Mücadele, MASAK eksenine kayıyor.

Bu ayrım hukuki olarak savunulabilir; ama vatandaş açısından sınır çizgisi pratik değil — sahte yatırım sitesi mağduriyetinde hem kişisel veri sızıyor, hem dolandırıcılık yaşanıyor.

Diğeri ise , erişim engeli zinciri. Adana operasyonunda 8.500 internet sitesi için erişim engelleme süreci işletildi. Bu sitelerin SGB Zararlı Bağlantı Listesi’ne aktarılması beklenir; aktarılıp aktarılmadığı ise alt düzenlemelerin getireceği koordinasyon çerçevesiyle netleşecek. Bir başka deyişle, kovuşturma yargısal ve idari merciler ekseninde yürütülse de, sürdürülen tehdit istihbaratı SGB ekseninde tutulabilir. Bu zincir, “SGB nerede” sorusunun yüzeydeki sessiz cevabını oluşturuyor: operasyonun manşetinde değil, sonrasındaki tehdit haritalama görevinde.

VII. 15 Kritik Altyapı Kararı — Yetki Zincirinin Üst Halkası

5 Mayıs 2026 tarihinde Siber Güvenlik Kurulu, 15 kritik altyapı sektörünü kritik altyapı olarak ilan etti: Dijital Altyapılar, Dijital Hizmetler, Elektronik Haberleşme, Enerji, Finans, Gıda ve Tarım, İmalat Sanayi, Kamu Hizmetleri, Medya ve Kriz İletişimi, Posta ve Kargo, Sağlık, Savunma Sanayii, Su Yönetimi, Ulaştırma, Uzay. Bu karar, sıradan bir liste yenilemesinden çok daha fazlası— kanunun çizdiği yetki çerçevesinin en üst halkası kapandı.

7545 sayılı Kanun’un 9. maddesi, Siber Güvenlik Kurulu’nun görevleri arasında “kritik altyapı sektörlerini belirlemek” yetkisini açıkça sayıyor. Yani sektör tanımı, Başkanlığın değil — Cumhurbaşkanı başkanlığındaki Kurul’un yetkisinde.

Bu mimari tercih, 5809 sayılı Elektronik Haberleşme Kanunu’nun Ek 1. maddesinin getirdiği önceki Kurul yapısının izini taşıyor; 2013’te Siber Güvenlik Kurulu’nun 2 sayılı kararıyla elektronik haberleşme altyapısı ilk kez kritik altyapı olarak ilan edilmişti. 5 Mayıs 2026 kararı, on üç yıllık bir karar zincirinin yeniden yapılandırılmış halkası: yetkili mercii değişti (Ulaştırma Bakanlığı eksenli yapıdan Cumhurbaşkanlığı eksenli yapıya), kapsam genişledi, hukuki dayanak güçlendi.

2020-2023 Ulusal Siber Güvenlik Stratejisi ve Bilgi ve İletişim Güvenliği Rehberi döneminde kritik altyapı altı sektörle sınırlıydı: Elektronik Haberleşme, Enerji, Su Yönetimi, Kritik Kamu Hizmetleri, Ulaştırma, Bankacılık ve Finans. Yeni belirlenen 15 kritik altyapı listesinde bu altılı çekirdek korunuyor, üzerine dokuz yeni sektör ekleniyor.

Gıda ve Tarım’ın eklenmesi, gıda güvenliği zincirinin dijital boyutunu düzenleme kapsamına alıyor. İmalat Sanayi’nin eklenmesi, Endüstri 4.0 ortamlarında SCADA ve operasyonel teknoloji sistemleri için doğrudan bir hukuki köprü kuruyor. Medya ve Kriz İletişimi başlığı, kriz dönemlerinde bilgi akışının kontrolünü kapsama alanına çekiyor. Uzay’ın ayrı kalem olması, uydu iletişim altyapısı ve fırlatma hizmetlerinin stratejik önemini tanıyor.

Kararın dört önemli hukuki sonucu var. Birincisi, alt düzenleme takvimine baskı: Sektörler belirlendiğine göre, bu sektörlerde uygulanacak somut yükümlülüklerin de düzenlenmiş olması gerekirdi; tanım önce geldi, çerçeve geride kaldı.

İkincisi, idari işlem hiyerarşisi: Sektör tanımı Kurul kararıyla yapıldı; alt düzenlemeler Başkanlık yönetmeliği olacak; teknik kriterler Başkanlık tebliğleri ve rehberleriyle netleşecek. Kurul kararının yargısal denetiminin uygulamada hangi yoldan açılacağı tartışmaya açık; ancak uygulama yönetmeliklerine ve tebliğlere karşı idari yargı yolu açıktır.

Üçüncüsü, kapsam farklılıkları: AB NIS2 Direktifi’nde araştırma kuruluşları kapsamda; eğitim kurumları üye devlet takdirine bırakılmış. Türk listesinde araştırma kuruluşları açıkça yer almıyor. Atıksu yönetimi AB rejiminde ayrı bir kategori; Türk listesinde “Su Yönetimi” başlığı altında erimiş gibi duruyor. Bu farklılıklar, ileride yayımlanacak alt düzenlemelerde alt kategori tanımlarıyla netleşecek.

Dördüncüsü, kurumsal kapasite testi: 15 kritik altyapı sektörünün her birinin denetlenmesi, bildirim mekanizmalarının her sektör için işletilmesi, sertifikasyon süreçlerinin koordinasyonu — bunlar SGB’nin mevcut 204 kişilik kadrosuyla operasyonel olarak yönetilebilir bir yük mü?

Bir kritik altyapı işletmecisinin bugün üç pratik adımı var. Birincisi, mevcut BG Rehberi uyumu süreçlerini kesmeden sürdürmek; yıllık iç denetim devam ediyor, sonuçlar BİGDES’e yükleniyor, muhatap kurum artık SGB.

Diğer bir adım, siber olay bildirimi için iç prosedür hazırlığını şimdiden yapmak; AB NIS2’deki 24 saatlik erken uyarı, 72 saatlik olay bildirimi, 30 günlük nihai rapor kademeli rejimi Türk düzenleyicisinin önündeki en güçlü referans şablon; KVKK’nın 12. maddesindeki 72 saatlik veri ihlali bildirim süresi ile çifte yükümlülük doğurabilecek olaylar için iç müdahale ekibi ve karar şeması bugünden hazırlanmalı.

Son olarak, tedarikçi sözleşmelerini gözden geçirmek; 7545’in 7/1-c bendindeki “Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş” tedarikçi şartı, 19 Mart 2027 son tarihiyle birlikte zorunlu hale geliyor.

VIII. Kamuoyu Takibi — Üç Tür İzleyici

Siteyi takip etmek, vatandaşların ve kurumların hukuki olarak da pratik olarak da çıkarına. Üç farklı izleyici tipi, üç farklı kullanım: vatandaş Zararlı Bağlantı Listesi ile İhbar Formu’nu kullanır; kurumlar Ulusal Siber Güvenlik Düzenlemeleri, Bilgi ve İletişim Güvenliği, Denetim ve Gözetim sayfalarını uyum yol haritası olarak izler; kamuoyu denetimi ise yayımlananı kadar yayımlanmayanı sorgular.

Vatandaş için en somut araç Zararlı Bağlantı Listesi. 472 bin kayıtlık bu havuz, şüpheli bir URL’nin daha önce ihbar edilip edilmediğini saniyeler içinde gösteriyor. İhbar Formu, listede olmayan bir adresi resmi kanaldan iletebilmenin yolu.

Bu kapı dolandırılan vatandaşın parasını iade etmez — o, bankalar, savcılık ve sigorta sistemlerinin işi. Ama bir başkası aynı tuzağa düşmesin diye atılan adım, bireysel mağduriyeti kolektif öğrenmeye dönüştürmenin somut yolu.

Kritik altyapı olarak ilan edilen 15 kritik altyapı sektöründen birinde faaliyet gösteren kurumlar için site, uyum sürecinin canlı haritası. Alt düzenlemeler Ulusal Siber Güvenlik Düzenlemeleri sayfasında, BİGDES denetim takvimi ve metodoloji güncellemeleri Bilgi ve İletişim Güvenliği sayfasında, denetim programının parametreleri Denetim ve Gözetim başlığında, kritik CVE’ler Güvenlik Bildirimleri’nde duyurulacak. Kaçırılan bir duyuru, gecikmiş bir tedbir, uygulanmamış bir güncelleme demek; bu da idari ceza ve özel hukuk sorumluluğu riskinin somut zemini.

Hukukçular, akademisyenler, basın, sektör örgütleri, sivil toplum için ise üçüncü bir izleme katmanı var: yayımlananı kadar yayımlanmayanı takip etmek. Hangi alt düzenleme zamanında çıktı, hangisi gecikti? Hangi sektör için hangi rehber yayımlandı? Sertifikasyon takvimi ne zaman duyuruldu? Bu sorular kurumların kendi kendini değerlendirmesini tek meşru kanal olmaktan çıkarır. Türkiye’de geleneksel olarak zayıf olan bu kamusal denetim damarı, sitenin etrafında oluşacak izleme ağının niteliğini belirleyecek.

IX. Sonuç — Görünür Sayfa, Görünmez Cetvel

Aralık 2025 yazımızda üç kritik eksiklik tespit etmiştik: resmi web sitesinin yokluğu, alt düzenlemelerin yayımlanmamış olması, kritik altyapı tanımının netleşmemiş olması. Bugün, 14 Mayıs 2026 itibarıyla, üç eksiklikten biri kapandı — site açıldı, çalışıyor. İkincisi kısmen kapandı — 15 kritik altyapı sektörü ilan edildi, ama her sektörün operasyonel yükümlülükleri henüz somutlaşmadı. Üçüncüsü aynen duruyor — alt düzenlemeler için belirlenen 19 Mart 2026 hedefi geçti, Resmi Gazete’de taslak metin dahi yok.

Bu kısmi ilerleme, üç çıkarım ortaya koyuyor. Kurumsal görünürlük gerçek: 472 bin zararlı bağlantı kaydının canlı tutulması, USOM’un on üç yıllık birikiminin yeni evine taşınması, BİGDES sisteminin yeni muhatap kurumun şemsiyesine geçmesi — bunlar işleyen bir kurumsal kapasitenin somut göstergeleri. Mevzuat boşluğu ise süreklilik kazandı: 7545 m.7’nin “gecikmeksizin Başkanlığa bildirim” yükümlülüğü hâlâ yürürlükte; ama bildirimin formatı, süresi, eşik değeri, yaptırım rejimi belirsiz. Bu boşluk, kritik altyapı işletmecileri için iki paralel rejim doğuruyor; bütünleşme alt düzenlemelerin yorum tercihiyle netleşecek.

Üçüncü çıkarım, yazının asıl tezi. SGB’nin kanuni yetkileri geniş; sahada ise kurumun konumu bilgi güvenliği eksenli olaylarda önde, finansal siber suç ekseninde arkadan koordinasyon görevinde aktive oluyor. Bu paylaşım hukuken meşru bir görev ayrımı; ama vatandaş açısından — dolandırılan, oltalanan, sahte yatırım sitesi mağduru milyonlarca kişi açısından — yeterli değil.

Mevcut görev tanımının daha geniş yorumlanması — koordinasyon yetkisinin vatandaş düzeyine yayılması, tehdit istihbaratının savcılık-MASAK ekseniyle eş zamanlı kullanılması — kanun değişikliği gerektirmiyor. Sadece yorum tercihi.

Web sitesi açıldı; bu olumlu. Mevzuat bekliyor; bu rahatsız edici. Saha ise, kanunun çizdiği çerçevenin tam dışında değil, kenarında seyrediyor. Önümüzdeki aylarda bu kenarın merkeze ne kadar çekileceğini, alt düzenlemelerin yorumu belirleyecek. Vatandaştan hukukçuya, kurumdan akademiye — sürecin takibi hepsinin payına düşüyor. Şimdi sıra uygulamada.