7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi. Türkiye'nin ilk müstakil siber güvenlik kanunu olan düzenleme, Siber Güvenlik Başkanlığı'nı merkeze alan bir yönetişim modeli kuruyor ve yalnızca kamu kurumlarını değil, siber uzayda faaliyet gösteren gerçek ve tüzel kişileri de kapsıyor. Bu yazıda kanunun şirketler için ne anlama geldiğini, öne çıkan yükümlülükleri ve bugünden atılabilecek adımları özetliyoruz.
Kısa cevap
7545 sayılı Kanun; siber olay ve açıkların Başkanlığa bildirilmesini, riskle orantılı güvenlik tedbirlerinin alınmasını, denetimlerde bilgi ve erişim sağlanmasını ve kamu kurumları ile kritik altyapı işletmecilerinin yetkilendirilmiş ürün ve hizmet kullanmasını öngörür. Yükümlülüklere aykırılık için idari para cezaları ve belirli fiiller için hapis cezaları düzenlenmiştir.
Kanun kimleri kapsıyor?
- Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları
- Siber uzayda faaliyet gösteren gerçek ve tüzel kişiler, tüzel kişiliği olmayan kuruluşlar
- Özellikle kritik altyapı işletmecileri: enerji, finans, sağlık, ulaştırma, elektronik haberleşme, su ve savunma gibi sektörler
- Dolaylı olarak, bu kurumlara ürün ve hizmet sağlayan tedarikçiler
Kanunun uygulanmasında ölçüt şirketin büyüklüğünden çok, faaliyetinin niteliği ve kritik hizmetlerle bağlantısıdır. Kritik altyapı sektörlerine yazılım, donanım, bulut veya yönetilen hizmet sağlayan bir KOBİ, müşterisinin sözleşmeleri aracılığıyla bu yükümlülüklerle karşılaşacaktır.
Şirketler için öne çıkan yükümlülükler
Siber olay ve açık bildirimi
Kanun kapsamındaki kurumlar, tespit ettikleri siber olayları ve güvenlik açıklarını gecikmeksizin Başkanlığa bildirmekle yükümlüdür. Bildirimin biçimi, eşikleri ve süreleri ikincil düzenlemelerle netleşecektir; ancak bildirim yapabilmek için olayı tespit edebilecek izleme ve log altyapısının bugünden kurulması gerekir.
Güvenlik tedbirleri
Riskle orantılı teknik ve idari tedbirlerin alınması, belgelenmesi ve sürdürülmesi beklenir. Bu, pratikte ISO/IEC 27001 veya Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Rehberi gibi bir çerçeveye dayalı, denetlenebilir bir güvenlik programı demektir.
Denetime hazırlık ve iş birliği
Başkanlığın talep ettiği bilgi ve belgelerin verilmesi, denetimlerde sistemlere erişim ve gerekli altyapının sağlanması zorunludur. Talep edilen bilgiyi vermekten kaçınmak kanunda ayrı bir suç olarak düzenlenmiştir.
Yetkilendirilmiş ürün ve hizmet
Kamu kurumları ve kritik altyapı işletmecilerinin siber güvenlik ürün, sistem ve hizmetlerini Başkanlıkça yetkilendirilmiş veya belgelendirilmiş sağlayıcılardan temin etmesi öngörülür. Bu, siber güvenlik hizmeti satın alırken sağlayıcının yetkinlik ve belgelerinin önemini artırıyor.
Gizlilik
Görevleri sırasında edinilen verilerin ve sistem bilgilerinin gizliliğinin korunması ayrı bir yükümlülüktür; ihlali ağır yaptırımlara bağlanmıştır.
Yaptırımlar
Kanun hem idari para cezaları hem de hapis cezaları öngörür. Kanun metnine göre yükümlülüklere aykırılık için milyonlarca liraya ulaşan idari para cezaları; kritik altyapıya ilişkin yükümlülüklerde ise çok daha yüksek üst sınırlar bulunmaktadır. Talep edilen bilgi ve belgeleri vermemek, gizlilik yükümlülüğünü ihlal etmek, kritik kamu hizmetlerine ait verileri hukuka aykırı biçimde ele geçirmek veya ifşa etmek ve millî siber güç unsurlarına yönelik saldırılar hapis cezası gerektiren suçlar arasındadır.
Ceza tutarları ve suç tanımları için kanunun güncel metnini ve hukuk müşavirinizin değerlendirmesini esas alın.
İkincil mevzuat: neyi bekliyoruz?
Kanunun pek çok hükmü, Siber Güvenlik Başkanlığı ve Siber Güvenlik Kurulu tarafından çıkarılacak yönetmelik ve kararlarla ayrıntılandırılacaktır: bildirim usulleri, kritik altyapı sektörlerinin ve işletmecilerinin belirlenmesi, ürün ve hizmet belgelendirme süreçleri. Uzman görüşü şudur: temel yükümlülükler ikincil mevzuat beklenmeden de geçerlidir; son dakikaya kalan kurumlar hem teknik hem bütçe açısından zorlanacaktır.
7545 uyum kontrol listesi: bugünden başlayabileceğiniz 10 adım
- Kurumunuzun kanun kapsamındaki konumunu belirleyin: kritik altyapı işletmecisi mi, tedarikçi mi?
- Siber güvenlikten sorumlu yöneticiyi ve yönetim kurulu düzeyinde raporlama hattını tanımlayın.
- Varlık envanteri ve dış saldırı yüzeyi haritası çıkarın.
- Risk değerlendirmesi yapın ve yazılı bilgi güvenliği politikalarını güncelleyin.
- Merkezi log toplama ve 7/24 izleme kurun; logların bütünlüğünü ve saklama sürelerini güvence altına alın.
- Siber olay müdahale planı ve Başkanlığa bildirim prosedürü hazırlayın; KVKK'nın 72 saatlik bildirimiyle eşgüdümleyin.
- Sızma testi ve zafiyet yönetimi programını yıllık takvime bağlayın.
- Tedarikçi sözleşmelerine güvenlik şartları, bildirim yükümlülüğü ve denetim hakkı ekleyin.
- Kullandığınız güvenlik ürün ve hizmetlerinin sağlayıcı belgelerini gözden geçirin.
- Bir masa başı tatbikatla planı deneyin ve kanıtları denetime hazır biçimde arşivleyin.
ONGSEC ile 7545 hazırlığı
ONGSEC, kritik altyapı, kamu ve sanayi projelerindeki deneyimiyle kurumlara 7545 sayılı Kanun'a hazırlıkta uçtan uca destek verir: boşluk analizi ve olgunluk değerlendirmesi, ISO/IEC 27001 BGYS kurulumu, log yönetimi ve SOC, olay müdahale planı ve tatbikatlar, OT/ICS güvenliği. Kendisi ISO/IEC 27001:2023 belgeli bir kurum olarak çalışıyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kanunun güncel metni ve ikincil düzenlemeler için Resmî Gazete'yi ve Siber Güvenlik Başkanlığı duyurularını takip edin.
Sık sorulan sorular
7545 sayılı Siber Güvenlik Kanunu ne zaman yürürlüğe girdi?
19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak aynı gün yürürlüğe girdi.
Kanun özel şirketleri de kapsıyor mu?
Evet. Kamu kurumlarının yanında siber uzayda faaliyet gösteren gerçek ve tüzel kişileri de kapsar; kritik altyapı işletmecileri ve onların tedarikçileri için yükümlülükler daha yoğundur.
KVKK ile 7545 arasındaki fark nedir?
KVKK kişisel verilerin korunmasına odaklanır ve Kişisel Verileri Koruma Kurumu tarafından denetlenir. 7545 ise siber uzayın ve kritik altyapıların güvenliğine odaklanır ve Siber Güvenlik Başkanlığı tarafından uygulanır. Bir siber olay her iki kanun kapsamında ayrı ayrı bildirim gerektirebilir.