Denizcilik sektöründe seyrüsefer sistemlerinden yük operasyonlarına, makine kontrollerinden liman hizmetlerine kadar birçok temel işlev bilişim altyapısına bağlanmıştır. Dijitalleşme ile birlikte siber olaylar, operasyonel aksaklıkların ötesine geçerek navlun sözleşmeleri, geminin elverişliliği ve veri güvenliği ekseninde hukuki uyuşmazlıklara yol açabilmektedir. Bu kapsamda siber güvenlik ihlalleri; taşıyanın tedbirli davranma borcundan donatanın organizasyon kusuruna ve mevzuat kapsamındaki yükümlülüklere kadar çeşitli hukuki sorumluluk alanlarını ilgilendirebilmektedir.
Gemi Güvenliğinde Uluslararası Standartlar ve Teknik Kurallar
Uluslararası Denizcilik Örgütü tarafından yayımlanan Denizcilikte Siber Risk Yönetimi Rehberi'nin dördüncü revizyonu; artan otomasyon, üçüncü taraf tedarikçiler, donanım-yazılım tedarik zincirleri ve gömülü sistemlerden kaynaklanan risklerin bir bütün olarak yönetilmesini öngörmektedir. Siber dayanıklılık anlayışı bu çerçevede yalnızca seyir anındaki işletmeyle sınırlı tutulmamakta; gemi sistemlerinin ilk tasarım ve imalat sürecinden sistem entegrasyonuna, operasyonel kullanımdan bakım aşamasına kadar tüm yaşam döngüsünü kapsamaktadır.
Sınıflandırma kuralları düzeyinde ise IACS UR E26 ve UR E27 standartları, 1 Temmuz 2024 ve sonrasında inşa sözleşmesi akdedilen kapsam dahilindeki yeni inşa gemiler için uygulama alanı bulmaktadır. Yaygın kabul görmüş siber güvenlik ilkelerinin ve standartlarının bir gemi işletmesi tarafından gözetilmemesi, olası bir zararın öngörülebilirliği ile işletmenin kusur durumunun takdirinde aleyhe bir unsur oluşturabilmektedir.
TTK Çerçevesinde Geminin Elverişliliği ve Yazılım Açıkları
Türk Ticaret Kanunu m. 1141 gereğince taşıyan, navlun sözleşmelerinde gemiyi denize, yola ve yüke elverişli bir durumda bulundurmak zorundadır. Taşıyan, tedbirli bir taşıyandan beklenen özen ve dikkati göstermiş olmasına karşın seferin başlangıcına kadar tespit edilemeyen eksiklikler haricinde, elverişsizlik nedeniyle doğan yük hasarlarından ve kayıplarından mesul tutulmaktadır. Ayrıca Türk Ticaret Kanunu m. 932 fıkra 4 uyarınca denizde can ve malın korunmasına yönelik mevzuat hükümleri saklı tutulduğundan, elverişlilik standartları değerlendirilirken deniz güvenliğine ilişkin kuralların da göz önünde bulundurulması gerekmektedir.
6102 sayılı TÜRK TİCARET KANUNU m. 932Kaynağı aç
Gemi sevk mekanizması, makine kontrolleri ya da yüke ilişkin güvenlik parametreleri elektronik sistemlerle yürütülüyorsa sistemdeki ciddi bir güvenlik zafiyeti geminin denize, yola veya yüke elverişliliğini zedeleyebilir. Bununla birlikte tespit edilen her yazılım kusuru gemiyi kendiliğinden elverişsiz duruma sokmaz. İlgili teknik eksikliğin, geminin söz konusu seferi emniyetle tamamlamasını fiilen engelleyecek veya güçleştirecek boyutta olması aranır. Bu incelemede geminin yapısal türü, taşınan kargonun özellikleri, seyir yapılan coğrafi bölge, sistemlerin dış ağlarla bağlantı yoğunluğu ve manuel kumanda imkânlarının mevcudiyeti birlikte dikkate alınmaktadır.
Taşıyanın İspat Yükü ve Sevk ve Teknik Yönetim İstisnası
Taşıyanın sorumluluktan kurtulabilmesi için zararın kendi veya adamlarının kastından ya da ihmalinden kaynaklanmadığını ispatlaması gerekir. Türk Ticaret Kanunu m. 1179, bu konudaki ispat yükünü taşıyana vermektedir.
Zararın geminin sevkine veya teknik yönetimine ilişkin bir hareketten doğması hâlinde Türk Ticaret Kanunu m. 1180 kapsamında taşıyanın yalnızca kendi kusurundan sorumlu olması gündeme gelebilir. Bununla birlikte siber güvenlik politikasının oluşturulmaması, yeterli teknik altyapının kurulmaması veya bilinen sistem açıklarının giderilmemesi taşıyanın organizasyon alanına ilişkin kusur sayılabileceği gibi, yükün korunması amacıyla alınması gereken tedbirlerin teknik yönetim istisnası içinde değerlendirilmeyeceği de ifade edilmektedir.
Donatanın Organizasyon Sorumluluğu ve Gemi Personeli Eylemleri
Gemi adamının yetkisiz bir harici belleği sisteme bağlaması, zararlı bir elektronik postayı açması ya da güvenlik talimatlarına aykırı hareket etmesi sonucu gerçekleşen siber hadiselerde donatanın hukuki mesuliyeti gündeme gelebilmektedir. Bu tür ihlaller salt tek bir personelin kişisel hatası olarak görülemez. Donatanın çalışanlarına düzenli eğitim verip vermediği, denetim mekanizmalarını kurup kurmadığı, erişim yetkilerini sınırlandırıp sınırlandırmadığı ve parola politikalarını etkin işletip işletmediği organizasyon kusuru açısından incelenir.
Siber müdahalenin üçüncü bir kişi veya grup tarafından gerçekleştirilmiş olması, önceden bilinen sistem açıklarını kapatmayan, gerekli güncellemeleri zamanında yüklemeyen, veri yedekleme düzenini oluşturmayan ve acil müdahale planı hazırlamayan donatanın kusurlu sayılmasını engellemez. Güvenlik önlemlerini ihmal eden işletmeciler, üçüncü tarafın yasa dışı müdahalesine rağmen organizasyonel eksiklikleri oranında sorumlu kalabilmektedir.
Kişisel Verilerin Korunması ve Bildirim Borcu
Gemi işletmelerinde yolcu, mürettebat veya acente kayıtlarının tutulduğu veri sistemlerinin saldırıya uğraması halinde 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümleri devreye girmektedir. Kanunun 12. maddesinin ilk fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve bu verilere yetkisiz biçimde erişilmesini önlemek ile verilerin güvenli muhafazasını temin etmek maksadıyla gereken teknik ve idari tedbirleri eksiksiz almakla yükümlüdür. Kanunun 12. maddesinin 3. fıkrası uyarınca kendi teşkilatında bu hükümlerin yerine getirilmesini sağlamak amacıyla gerekli denetimleri bizzat yapmak veya yetkili organlar aracılığıyla yaptırmak zorundadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri işleme süreçlerinin harici bir hizmet sağlayıcıya devredilmiş olması veri sorumlusunu borçtan kurtarmaz. 6698 sayılı Kanun m. 12 fıkra 2 gereğince, verilerin başka bir kişi tarafından işlenmesi durumunda güvenlik tedbirlerinin temini hususunda veri sorumlusu ile veri işleyen birlikte müştereken sorumlu olmaktadır. Kanunun 12. maddesinin 4. fıkrası uyarınca veri sorumluları ile veri işleyen kişiler görevleri sebebiyle öğrendikleri verileri hukuka aykırı olarak başkasına açıklayamaz ve tahsis gayesi dışında kullanamaz; söz konusu yükümlülük vazifeden ayrılma sonrasında da yürürlükte kalır.
Siber ihlal neticesinde kişisel verilerin kanuni olmayan yollarla üçüncü kişilerce ele geçirilmesi durumunda, 6698 sayılı Kanun m. 12 fıkra 5 uyarınca veri sorumlusu bu tabloyu en kısa sürede hem ilgili kişilere hem de Kişisel Verileri Koruma Kuruluna bildirmek mecburiyetindedir. Kurul, durumun vahametine ve gerekliliğine göre ihlali kendi resmî internet portalı üzerinden ya da uygun göreceği sair vasıtalarla ilan edebilmektedir.
Ulusal Mevzuat Çerçevesinde 7545 Sayılı Kanun
7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihinde yürürlüğe girmiştir. Kanun, siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsayan bir uygulama alanına sahiptir. Kanun kapsamında kritik altyapıların belirlenmesi, varlık envanteri ve risk analizlerinin yapılması, siber olaylara müdahale ekiplerinin oluşturulması, test ve sertifikasyon işlemleri ile denetim ve yaptırım mekanizmaları konusunda Siber Güvenlik Başkanlığına görev ve yetkiler verilmektedir.
Sözleşmesel Risk Dağılımı ve Deniz Sigortaları
BIMCO Siber Güvenlik Klozu 2019, denizcilik sözleşmelerinde tarafların siber güvenlik önlemlerini, ihlal bildirimini, zararın azaltılması için iş birliğini ve sorumluluğun dağılımını düzenlemek amacıyla hazırlanmış standart bir hükümdür.
Taşıyan ve donatanın siber olaylar sonucunda üçüncü şahıslara verebileceği zararlar bakımından sigorta güvencesi de önem taşır. Türk Ticaret Kanunu m. 1473 uyarınca sorumluluk sigortalarında sigortacı, poliçe kapsamındaki bir rizikonun gerçekleşmesi sebebiyle sigortalının üçüncü kişilere karşı doğan hukuki mesuliyetini sözleşmede belirlenen azami teminat limitine kadar tazmin etmekle mükelleftir.
Liman İşletmeleri ve Çok Taraflı Kusur Durumları
Birden fazla kişinin kusuru bulunuyorsa zararın; saldırgan, donatan, taşıyan, liman işletmesi ve hizmet sağlayıcı arasında kusur ve nedensellik durumuna göre paylaştırılabileceği değerlendirilmektedir.
Liman işletmesinin sorumluluğu işletme sözleşmeleri, terminal hizmet şartları, Türk Borçlar Kanunu ve somut olayın niteliğine göre haksız fiil hükümleri çerçevesinde belirlenebilmektedir.
Kaptanın İhtiyat Ödevi ve Delillerin Korunması
Elektronik sistemlerin hatalı bilgi verdiğine ilişkin belirtiler mevcutsa kaptanın bu verilere kayıtsız biçimde güvenmemesi; radar, görsel seyir, kâğıt harita veya bağımsız konum kaynakları gibi alternatif yöntemleri kullanması gerekebilir.
Siber saldırı uyuşmazlıklarında elektronik kayıtlar, sunucu günlükleri, erişim bilgileri, yazılım güncelleme tarihleri, kullanıcı hareketleri, gemi veri kayıt cihazı, elektronik harita kayıtları, radar görüntüleri ve personel yazışmaları korunmalıdır. Olaydan hemen sonra sistemlerin kontrolsüz biçimde yeniden kurulması veya kayıtların üzerine yazılması önemli delillerin kaybolmasına neden olabilir.
Sık Sorulan Sorular
Bir gemi yazılımındaki her güvenlik açığı gemiyi hukuken elverişsiz kılar mı?
Hayır, her yazılım açığı gemiyi otomatik olarak elverişsiz kılmaz. Eksikliğin geminin belirli yolculuğu güvenli biçimde gerçekleştirmesini etkileyebilecek ağırlıkta olması gerekir. Bu değerlendirmede geminin türü, taşıdığı yük, seyir bölgesi, sistemlerin bağlantı düzeyi ve manuel kullanım imkânlarının bulunup bulunmadığı dikkate alınır.
Siber saldırının dışarıdan bir failce yapılması donatanı sorumluluktan kurtarır mı?
Hayır, failin harici bir saldırgan olması donatanın kusurunu kendiliğinden ortadan kaldırmaz. Donatan; bilinen güvenlik açıklarını kapatmamış, sistemlerini güncel tutmamış, düzenli yedekleme yapmamış veya olay müdahale planı hazırlamamışsa kendi organizasyon kusuru ölçüsünde sorumlu kalmaya devam eder.
Siber olay neticesinde yük hasara uğrarsa taşıyan nasıl sorumluluktan kurtulabilir?
Taşıyanın sorumluluktan kurtulabilmesi için zararın kendi veya adamlarının kastından ya da ihmalinden kaynaklanmadığını ispatlaması gerekir. Türk Ticaret Kanunu m. 1179, bu konudaki ispat yükünü taşıyana vermektedir.
Gemi sistemlerinden kişisel veri sızdığında bildirim süresi ne kadardır?
6698 sayılı Kanun m. 12 fıkra 5 uyarınca veri sorumlusu, yasa dışı yollarla elde edilen kişisel verileri en kısa sürede hem ilgilisine hem de Kişisel Verileri Koruma Kuruluna bildirmek zorundadır. Kanun metninde takvim günü olarak sabit bir azami süre belirlenmemiş olup en kısa süre ölçütü esas alınmıştır.
Veri işleme faaliyetinin dışarıdan temin edilmesi veri sorumlusunun mesuliyetini kaldırır mı?
Hayır, veri işleme faaliyetinin hizmet sağlayıcıya devredilmesi sorumluluğu kaldırmaz. 6698 sayılı Kanun m. 12 fıkra 2 uyarınca veri sorumlusu, kendi adına veri işleyen üçüncü kişilerle birlikte güvenlik tedbirlerinin alınması noktasında müştereken sorumludur.
BIMCO Siber Güvenlik Klozu 2019 sözleşmelerde hangi işlevi görür?
Bu standart kloz; tarafların asgari siber güvenlik tedbirlerini belirlemelerine, ihlal anında gecikmeksizin bilgi paylaşmalarına, zararı hafifletici iş birliği kurmalarına ve sorumluluğun sözleşme hükümleri çerçevesinde önceden taksim edilmesine olanak sağlar.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy