6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye'de kişisel veri işleyen her kurumu ilgilendirir. Kanunun hukuki yükümlülükleri çoğu zaman aydınlatma metinleri ve açık rıza formlarıyla özdeşleştirilir; oysa bir veri ihlalinde asıl sorgulanan, veri güvenliği için hangi teknik ve idari tedbirlerin alındığıdır. Bu yazıda KVKK ile siber güvenlik arasındaki bağı, 2026 yılı güncel idari para cezalarını ve uygulanabilir bir uyum yol haritasını ele alıyoruz.
Kısa cevap
KVKK m.12, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" almasını şart koşar. Bir ihlal fark edildiğinde Kurul'a en geç 72 saat içinde bildirim yapılmalıdır. 2026'da veri güvenliği yükümlülüğüne aykırılığın idari para cezası 256.357 TL ile 17.092.242 TL arasındadır.
KVKK madde 12: Veri güvenliği yükümlülüğü
Kanunun 12. maddesi, veri sorumlusuna üç temel görev yükler: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak. Madde ayrıca, veri sorumlusunun kendi kurumunda veya kurum dışındaki veri işleyenlerde bu tedbirlerin uygulanmasını denetlemekle de yükümlü olduğunu belirtir. Yani bir hizmet sağlayıcınızdan kaynaklanan ihlal, sizi sorumluluktan kurtarmaz.
Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), bu genel ifadeyi somutlaştıran temel kaynaktır.
KVKK için alınması gereken teknik tedbirler
- Yetki matrisi ve erişim kontrolü: Her çalışan yalnızca işinin gerektirdiği veriye erişmeli; ayrıcalıklı hesaplar PAM çözümleriyle yönetilmeli.
- Çok faktörlü kimlik doğrulama (MFA): Uzaktan erişim, e-posta ve yönetim panellerinde zorunlu olmalı.
- Log kayıtları ve izleme: Kişisel veriye kim, ne zaman, nereden erişti sorusunun cevabı kayıt altında olmalı. Logların bütünlüğü korunmalı; tercihen bir SIEM/SOC tarafından izlenmeli.
- Şifreleme: Hem aktarım hem saklama sırasında, özel nitelikli kişisel verilerde mutlaka.
- Sızma testi ve zafiyet taraması: Düzenli aralıklarla ve her büyük değişiklikten sonra.
- Uç nokta ve ağ güvenliği: EDR/XDR, güvenlik duvarı, segmentasyon, e-posta güvenliği.
- Veri kaybı önleme (DLP): Kişisel verinin e-posta, USB veya bulut üzerinden kontrolsüz çıkışını engellemek.
- Yedekleme ve felaket kurtarma: Fidye yazılımına karşı en az bir kopyanın değiştirilemez veya çevrimdışı tutulması.
- Anonimleştirme ve maskeleme: Test ve geliştirme ortamlarında gerçek kişisel veri kullanılmaması.
KVKK için alınması gereken idari tedbirler
- Kişisel veri envanteri ve veri işleme süreçlerinin haritalanması
- Bilgi güvenliği politikaları, kişisel veri saklama ve imha politikası
- Çalışanlarla gizlilik taahhütleri ve düzenli farkındalık eğitimleri
- Veri işleyenlerle (tedarikçiler) KVKK hükümleri içeren sözleşmeler
- Veri ihlali müdahale planı ve iletişim zinciri
- Periyodik iç denetim ve kayıt altına alınmış risk değerlendirmesi
Veri ihlali bildirimi: 72 saat kuralı
KVKK m.12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgili kişiye ve Kurul'a bildirir. Kurul kararıyla bu süre, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak belirlenmiştir. Bildirim için Kurul'un "Kişisel Veri İhlali Bildirim Formu" kullanılır.
Pratikte 72 saat çok kısa bir süredir: ihlalin kapsamını, etkilenen kişi sayısını ve veri kategorilerini bu sürede ortaya koyabilmek için olay müdahale planınızın ve log altyapınızın önceden hazır olması gerekir. Ayrıntılı ilk 60 dakika kontrol listesi için fidye yazılımı yazımıza göz atabilirsiniz.
2026 yılı güncel KVKK idari para cezaları
KVKK'daki idari para cezaları her yıl yeniden değerleme oranında artırılır. 2026 için oran %25,49 olarak açıklanmıştır. Güncel tutarlar:
| Aykırılık | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğüne aykırılık | 85.437 TL | 1.709.200 TL |
| Veri güvenliğine ilişkin yükümlülüklere aykırılık | 256.357 TL | 17.092.242 TL |
| Kurul kararlarına uymama | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL | 17.092.242 TL |
| Yurt dışı aktarımda standart sözleşme bildirimi | 90.308 TL | 1.806.377 TL |
İdari para cezası tek maliyet değildir: ihlal duyurusunun itibara etkisi, müşteri kaybı, olay müdahale ve hukuk giderleri ile sistemlerin durması çoğu zaman cezadan daha pahalıya gelir.
8 adımda KVKK siber güvenlik uyum yol haritası
- Envanter: Hangi kişisel veriyi, hangi sistemde, hangi amaçla işlediğinizi çıkarın.
- Risk analizi: Her veri kategorisi için tehditleri ve olasılık/etki değerlendirmesini yapın.
- Boşluk analizi: Kurul rehberindeki tedbirlerle mevcut durumu karşılaştırın.
- Teknik iyileştirme: MFA, log yönetimi, şifreleme ve yedekleme gibi en yüksek etkili tedbirlerle başlayın.
- Test: Sızma testi ile tedbirlerin gerçekten çalıştığını doğrulayın.
- Eğitim: Çalışanları oltalama ve veri paylaşımı konusunda bilinçlendirin.
- Olay müdahale: 72 saat içinde bildirim yapabilecek bir plan hazırlayın ve tatbikatla deneyin.
- Sürekli denetim: Yılda en az bir kez iç denetim yapın; mümkünse ISO/IEC 27001 ile yönetim sistemine dönüştürün.
ONGSEC ile KVKK uyumu
ONGSEC, KVKK uyumunun hukuki tarafını hukuk müşavirinizle birlikte, teknik tarafını ise uçtan uca yürütür: veri envanteri ve risk analizi, teknik tedbirlerin tasarımı ve uygulanması, log yönetimi ve 7/24 SOC izleme, sızma testleri, farkındalık eğitimleri ve ihlal müdahale planı. Kendisi ISO/IEC 27001:2023 belgeli bir kurum olarak KVKK / GDPR uyum danışmanlığı ve BGYS belgelendirme süreçlerinde kurumlara rehberlik ediyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kurumunuza özel değerlendirme için hukuk müşavirinize danışın.
Sık sorulan sorular
KVKK veri ihlali bildirimi kaç saat içinde yapılmalı?
Kurul kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirmelidir. Etkilenen kişilere de makul en kısa sürede bildirim yapılır.
2026'da KVKK veri güvenliği cezası ne kadar?
Veri güvenliğine ilişkin yükümlülüklere aykırılık için 2026 yılı idari para cezası 256.357 TL ile 17.092.242 TL arasındadır.
KVKK uyumu için ISO 27001 şart mı?
Şart değildir; ancak ISO/IEC 27001, KVKK m.12'nin istediği teknik ve idari tedbirleri sistematik ve denetlenebilir biçimde kurmanın en yaygın kabul gören yoludur.
Bulut hizmeti kullanırsak sorumluluk sağlayıcıya mı geçer?
Hayır. Bulut sağlayıcısı veri işleyen konumundadır; veri sorumlusu olarak sağlayıcının tedbirlerini denetleme yükümlülüğü sizde kalır. Yurt dışında bulunan sağlayıcılar için ayrıca yurt dışı aktarım hükümleri değerlendirilmelidir.