Siber Güvenlik Kanunu (7545): Şirketlerin Yükümlülükleri ve İdari Cezalar
Yasal Dayanak
7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Bu, Türkiye'de siber güvenlik alanında yürürlüğe giren ilk kapsamlı düzenlemedir.
📚 KVKK Rehberi (Ana Rehber) — kişisel veriler alanındaki tüm rehberler, konu gruplarına ayrılmış hâlde.
Kanun; Siber Güvenlik Kurulu'nun ve Siber Güvenlik Başkanlığı'nın kurulmasını öngörmüş, ardından Başkanlık faaliyete geçmiş ve ilk Siber Güvenlik Başkanı atanmıştır.
Kanunun 7. maddesindeki temel yükümlülükler yürürlüğe girmiş olup, bildirim formatı ve süreleri gibi uygulama detayları ikincil mevzuatla netleştirilmektedir.
Kanun Neyi Amaçlar, Kimleri Kapsar?
Kanunun amacı; ülkenin siber uzaydaki millî gücünü oluşturan unsurları iç ve dış tehditlere karşı korumak, siber olayların muhtemel etkilerini azaltmak ve bu alanda strateji ile politikalar belirlemektir.
Kapsamı oldukça geniştir: kamu kurumları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar dâhil siber uzayda faaliyet gösteren tüm yapıları içerir.
Bu nedenle düzenleme, yalnızca büyük teknoloji şirketlerini değil, dijital varlık ve hizmetleri olan hemen her işletmeyi ilgilendirmektedir.
Kimleri Etkiler?
Başta kritik altyapı sağlayıcıları (enerji, finans, haberleşme, sağlık gibi) olmak üzere tüm özel sektör kuruluşlarını.
Yazılım ve teknoloji firmalarını, dijital platform işletenleri ve yoğun veri işleyen şirketleri.
Siber güvenlik ürün, sistem veya hizmeti üreten, satan ya da bu hizmetleri dışarıdan alan tüm işletmeleri.
Şirketlerin Temel Yükümlülükleri
Siber Güvenlik Kurulu veya yetkili denetim mercilerine talep hâlinde bilgi ve belge sunma yükümlülüğü.
Tespit edilen güvenlik zafiyetlerinin yetkili mercilere bildirilmesi.
Yaşanan siber olayların öngörülen usul ve sürelerde bildirilmesi.
Kritik altyapılarda risk analizi yapılması, zafiyetlerin tespit edilmesi ve önleyici/denetleyici tedbirlerin alınması.
Siber güvenlik ürün ve hizmeti sunan firmalar için öngörülen yetkilendirme ve onay süreçlerine uyulması.
Yükümlülüklerin uygulama ayrıntıları ikincil mevzuatla şekillendiğinden, geçiş takviminin yakından izlenmesi gerekir.
Yaptırımlar ve Hukuki Riskler
Denetim ve bilgi/belge sunma yükümlülüklerinin yerine getirilmemesi hâlinde 1 milyon TL'den 10 milyon TL'ye kadar idari para cezası uygulanabilir.
Kasıtlı veri sızıntısı veya yetkisiz erişim gibi fiiller için hapis cezaları (örneğin 3 ila 5 yıl) öngörülmüştür.
Bildirim yapılmayan siber olaylarda ve yükümlülük ihlallerinde disiplin ve lisans/yetki iptali gibi yaptırımlar gündeme gelebilir.
Risk yalnızca idari para cezasıyla sınırlı değildir; faaliyet sürekliliğinin kesintiye uğraması ve kurumsal itibarın zarar görmesi çoğu zaman daha büyük maliyet doğurur.
Sonuç ve Tavsiye
Şirketler, kanunun getirdiği yükümlülükleri karşılamak için iç siber güvenlik yapılanmalarını, görev tanımlarını ve bildirim prosedürlerini şimdiden kurmalıdır.
Düzenli risk analizi, yazılı bir olay müdahale planı, çalışan farkındalık eğitimi ve tedarikçi sözleşmelerine siber güvenlik maddelerinin eklenmesi; hem mevzuata uyumu hem de hukuki korumayı güçlendirir.
Sürecin teknik ve hukuki boyutlarının birlikte yürütülmesi, uyum maliyetini ve yaptırım riskini azaltır.
📚 İlgili Rehberler
Şirketiniz 7545 kapsamında mı, uyum durumunuz ne?
Av. Fatma Öztürk — Hukukçular Evi Ankara
Kapsam: "Bu Kanun Bizi İlgilendirmez" Demek Zor
7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanunun en dikkat çeken yanı kapsamının genişliğidir.
Kanun; doğrudan ya da dolaylı olarak internete, elektronik haberleşme ağlarına veya bilgisayar ağlarına bağlı tüm bilişim sistemlerini ve bu ortamda faaliyet gösteren aktörleri kapsar. Kapsama giren kesimler: kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar.
Pratikte bunun anlamı şudur: bilişim sistemi üzerinden hizmet sunan veya veri işleyen bir şirketin kapsam dışında kalması istisnadır, kural değildir. "Biz teknoloji şirketi değiliz" savunması kapsam tartışmasında sonuç vermez.
Kritik altyapı olarak belirlenen sektörler (enerji, ulaştırma, finans, sağlık, telekomünikasyon gibi) için yükümlülükler daha da ağırdır. Bu işletmeler, siber güvenlik ürün ve hizmetlerini yalnızca Başkanlıkça yetkilendirilmiş sağlayıcılardan temin etmek zorundadır — tedarikçi seçimi artık serbest bir ticari karar değildir.
Yaptırım Tablosu: Rakamlar Neden Bu Kadar Yüksek?
Kanun, idari para cezalarını caydırıcılık esasına göre kurgulamıştır. Öne çıkan bantlar:
- 1 milyon – 10 milyon TL: Kanunun 7. maddesinin birinci fıkrasının (b) ve (c) bentlerindeki görev ve sorumlulukların yerine getirilmemesi.
- 10 milyon – 100 milyon TL: 18. maddedeki görev ve sorumlulukların yerine getirilmemesi.
- 100 bin – 1 milyon TL: 8. maddenin dördüncü fıkrasındaki denetim yükümlülüklerinin ihlali. Ancak bu yükümlülükler ticari şirketlerce yerine getirilmezse ceza, 100 bin TL'den az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablolardaki brüt satış hasılatının yüzde beşine kadar uygulanır.
Ciro esaslı ceza, Türk hukukunda alışılmış bir yaptırım biçimi değildir ve orta ölçekli şirketler için bile varlığı tehdit edebilecek büyüklüktedir. Bu nedenle uyum, bir BT projesi değil yönetim kurulu gündemi olarak ele alınmalıdır.
Kanun ayrıca cezai hükümler de içerir. Görev ve yetkilerini kötüye kullananlar ile kritik altyapıların korunması kapsamında görevin gereklerine aykırı hareket ederek veri ihlaline sebebiyet verenler için bir yıldan üç yıla kadar hapis öngörülmüştür. Yetkili mercilerin talep ettiği bilgi, belge, yazılım, veri ve donanımı vermeyenler veya alınmasına engel olanlar için de hapis ve adli para cezası düzenlenmiştir.
KVKK ile Kesişim: Aynı İhlal, İki Ayrı Ceza
Bir veri sızıntısı yaşandığında iki ayrı rejim aynı anda devreye girer ve bunlar birbirinin yerine geçmez:
- KVKK tarafı: Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim, ilgili kişilerin bilgilendirilmesi ve Kurul'un idari para cezası. Ayrıntı: KVKK Veri İhlali Bildirim Yükümlülüğü.
- 7545 tarafı: Siber olayın Siber Güvenlik Başkanlığına gecikmeksizin bildirilmesi ve Başkanlığın kendi yaptırım rejimi.
Yani tek bir sızıntı, iki ayrı kurumun iki ayrı cezasıyla sonuçlanabilir. Kriz planları bu ikili yapıyı hesaba katmalı; yalnızca KVKK bildirimi üzerine kurulmuş bir olay müdahale planı 7545 yükümlülüğünü karşılamaz.
Bir usul güvencesi de vardır: idari para cezası uygulanmadan önce ilgilinin savunması alınır. Savunma aşaması, alınmış tedbirlerin ve tepki süresinin belgelenmesi için tek fırsattır. Ayrıca bu Kanun uyarınca verilen idari para cezası kararlarına karşı idari yargı yolu açıktır.
Gözden Kaçan Yükümlülük: Şirket İşlemleri ve İhracat
Kanun yalnızca güvenlik tedbirlerini düzenlemez; siber güvenlik sektöründe faaliyet gösteren şirketler için kurumsal işlem boyutu da getirir.
- Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetleri üreten şirketlerin birleşme, bölünme, pay devri veya satış işlemleri Başkanlığa bildirilir.
- Bu işlemler doğrudan veya dolaylı kontrol hakkı ya da karar alma yetkisi sağlıyorsa Başkanlık onayına tabidir. Onay alınmaksızın gerçekleştirilen işlemler hukuki geçerlilik kazanmaz.
- Siber güvenlik ürün ve hizmetlerinin yurt dışına satışı Başkanlıkça belirlenecek usul ve esaslara uygun yapılır; izne tabi ürünlerde Başkanlık onayı gerekir.
Bu hüküm, bir yatırım veya satın alma işleminin kapanışını doğrudan etkiler. Due diligence çalışmalarında 7545 uyumunun ayrı bir başlık olarak incelenmemesi, işlemin geçersizliği riskini doğurur.
Ceza tebliğ edildi mi? Savunma aşaması tek fırsattır.
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
7545 sayılı Kanun şirketimi kapsıyor mu?
Kanun, doğrudan ya da dolaylı olarak internete, elektronik haberleşme veya bilgisayar ağlarına bağlı tüm bilişim sistemlerini ve siber uzayda faaliyet gösteren gerçek ve tüzel kişileri kapsar. Bilişim sistemi üzerinden hizmet sunan veya veri işleyen bir şirketin kapsam dışında kalması istisnadır.
Kanun ne zaman yürürlüğe girdi?
7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.
Cezalar gerçekten ciro üzerinden mi hesaplanıyor?
Kanunun 8. maddesinin dördüncü fıkrasındaki denetim yükümlülüklerinin ticari şirketlerce yerine getirilmemesi hâlinde ceza, yüz bin Türk lirasından az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablolardaki brüt satış hasılatının yüzde beşine kadar uygulanabilir.
Veri sızıntısında hem KVKK hem 7545 cezası alır mıyım?
Evet, iki rejim birbirinden bağımsızdır. KVKK tarafında Kurula 72 saat içinde bildirim ve Kurul cezası, 7545 tarafında ise siber olayın Siber Güvenlik Başkanlığına bildirilmesi ve ayrı bir yaptırım rejimi söz konusudur.
Kritik altyapı işletmecisiysem ek yükümlülüğüm var mı?
Evet. Kritik altyapı kapsamındaki kurum ve şirketler, siber güvenlik ürün ve hizmetlerini yalnızca Başkanlık tarafından yetkilendirilmiş sağlayıcılardan temin etmek zorundadır. Tedarikçi seçimi bu kapsamda serbest bir ticari karar olmaktan çıkar.
Ceza kararına itiraz edebilir miyim?
Evet. Kanun uyarınca verilen idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir. Ayrıca ceza uygulanmadan önce ilgilinin savunmasının alınması öngörülmüştür; bu aşama alınan tedbirlerin belgelenmesi için kritik önem taşır.