Türkiye’de Bir İlk: Siber Güvenlik Kanunu Yayımlandı

Türkiye, siber güvenlik alanında önemli bir dönüm noktasına ulaştı: Siber Güvenlik Kanunu (Kanun) 19 Mart 2025’te Resmî Gazete’de yayımlandı.

Bugüne kadar siber güvenlik alanını düzenleyen, “Kişisel Verilerin Korunması Kanunu” veya “Elektronik Ticaretin Düzenlenmesi Hakkında Kanun” gibi, kapsamlı bir çerçeve mevzuatımız yoktu. Kanun ile siber güvenlik alanındaki önemli bir boşluk giderilmiş oldu.

Kanun’un esas amacı Türkiye Cumhuriyeti’nde siber güvenliğin güçlendirilmesine yönelik strateji ve politikaların belirlenmesi.

Kanun, siber uzayda faaliyet gösteren tüm kamu kurum ve kuruluşlarını, meslek odalarını, gerçek ve tüzel kişileri kapsıyor. Milli İstihbarat Teşkilatının yürüttüğü faaliyetleri ile Emniyet Genel Müdürlüğü ve Jandarma Genel Komutanlığının yürüttükleri istihbari nitelikteki faaliyetler ile Devlet İstihbarat Hizmetleri ve Millî İstihbarat Teşkilâtı Kanunu ve Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler Kanun kapsamı dışında tutuluyor.

Kanun'da öne çıkan düzenlemeler şu şekilde:

• Siber Güvenlik Kurulu’nun kurulması ve bu kurulun görev ve yetkileri,

• Kamu kurumları ve kritik altyapı kuruluşlarının siber mukavemet ve olgunluk seviyelerinin artırılması,

• Siber güvenlik olaylarının merkezi bir şekilde izlenmesi, tespit edilmesi ve bertaraf edilmesi,

• Denetim süreçleri ile caydırıcı yaptırımların hayata geçirilmesi,

• Standardizasyon, sertifikasyon ve yetkilendirme süreçlerinin düzenlenmesi,

• Siber suçlar ve olaylara yönelik ağır cezaların uygulanması.

Kanun’la getirilen yenilikler ve başlıca tanımlar ise aşağıdaki şekilde:

Siber Güvenlik Başkanlığı, siber tehditlere karşı proaktif bir rol üstleniyor. Bu rol kritik altyapıların siber dayanıklılığını artırmak, siber saldırıları tespit etmek, önlemek ve etkilerini azaltmak gibi hayati sorumlulukları kapsıyor.

Öte yandan bilişim sistemlerinin kapsamı, Kanun’da oldukça geniş bir biçimde tanımlanmış. Buna göre bilişim sistemleri: bilgi ve iletişim teknolojileriyle sağlanan her türlü hizmet, işlem ve verinin sunumunda kullanılan donanım, yazılım, sistemler ve aktif ya da pasif durumdaki diğer tüm bileşenleri kapsar.

Siber uzay ise, “internete veya elektronik ağlara bağlı bilişim sistemleri ile bu sistemleri birbirine bağlayan ağlardan oluşan ortam” olarak tanımlanıyor. Bu tanım, dijital dünyada faaliyet gösteren herkesin Kanun’a tabi olacağını açıkça ortaya koyuyor.

“SOME”lerin, açılımıyla Siber Olaylara Müdahale Ekibi’nin kurulması, kurulmasının sağlanması ve denetlenmesi, olgunluk seviyelerinin belirlenmesi ve artırılması için çalışmalar yapılması, ayrıca siber güvenlik tatbikatları düzenleyerek SOME'lerin siber olay müdahale kabiliyetlerinin ölçülmesi yetkisi, Kanunla Başkanlık'a veriliyor.

Tanımlar kısmında yer almamakla birlikte, Kanun kapsamında Siber Güvenlik Kurulu (Kurul) da oluşturuldu. Kurulun amacı siber güvenlikle ilgili politika, strateji, eylem planı ve diğer düzenleyici işlemlerle ilgili kararlar almak ve alınan kararların tamamından ya da bir kısmından muaf tutulacak kurum ve kuruluşları belirlemek.

Kanun kapsamında yer alan ve bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenlerin siber güvenliğe ilişkin başlıca görev ve ise sorumlulukları aşağıdaki gibi:

• Başkanlığın görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım, yazılım ve diğer her türlü katkı öncelikle ve zamanında Başkanlığa iletilmeli. Bu kalem oldukça kritik. Zira bu düzenlemeye aykırılık hapis ve idari para cezasını da beraberinde getiriyor.

• Siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirler alınmalı, hizmet sunulan alanda tespit edilen zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirilmeli.

• Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri; Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik edilmeli.

• Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketleri faaliyete başlamadan önce Başkanlık’ın onayını almalı.

Bu kapsamda Başkanlık, Kanun’da belirtilen görevleri ile ilgili olarak gerekli gördüğü hallerde Kanun kapsamına giren her türlü fiil ve işlemi denetleyebilir; bu amaçla mahallinde inceleme yapabilir veya yaptırabilir.

Kanun’da dikkat çeken cezai yaptırımlar ise aşağıdaki şekilde:

• Siber uzayda veri sızıntısı sonucu kişisel veya kritik kamu hizmeti verilerini izinsiz şekilde erişime açan, paylaşan ya da satışa çıkaranlara üç ila beş yıl arasında hapis cezası,

• Türkiye’nin siber uzaydaki milli gücünü meydana getiren unsurlarına yönelik olarak siber saldırıda bulunan veya bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda bulunduranlar için fiil daha ağır bir cezayı gerektiren başka bir suç oluşturmadığı takdirde sekiz yıldan on iki yıla kadar; bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaranlara on yıldan on beş yıla kadar hapis cezası,

• Siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirleri almak, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlık’a bildirmeyenler ve kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri; Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik etmek yönündeki görev ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası,

• Siber güvenlik ürün ve hizmetleri sunan şirketler bakımından getirilen yükümlülükleri yerine getirmeyenler bakımından ise on milyon Türk lirasından yüz milyon Türk lirasına kadar idari para cezası,

• Siber uzayda veri sızıntısı olmadığını bildiği halde halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla siber güvenlikle ilgili veri sızıntısı olduğuna ilişkin gerçeğe aykırı içerik oluşturanlara veya bu maksatla bu içerikleri yayanlara iki yıldan beş yıla kadar hapis cezası verilecek. İlgili düzenleme kamuoyunda büyük yankı uyandırdı. Bunun başlıca nedeni maddenin geniş yorumlamaya müsait olması. Kanun’un bu kısmı ifade özgürlüğüne halel getirilmeyecek şekilde yorumlanmalı.

Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerin yurt dışına satışı; bunları üreten şirketlerin birleşme, bölünme, pay devri veya satış işlemleri ise Başkanlık’ın onayına tabi olacak. Başkanlık onayı olmadan gerçekleştirilen işlemler ise hukuka aykırı olacak.

Kanun’un uygulanmasına ilişkin düzenlemeler, bir yıl içinde yürürlüğe girecek. Bu çerçevede, siber güvenlik alanında faaliyet gösteren şirketler ilgili düzenlemelerin yürürlüğe girmesinden itibaren bir yıl içinde sertifikasyon süreçlerini tamamlamak zorunda olacak.

İkincil düzenlemelerin ise 1 yıl içerisinde tamamlanması öngörülüyor.

Siber güvenlikteki gelişmeler ve beraberinde getireceği düzenlemeler merakla bekleniyor.