7545 sayılı Siber Güvenlik Kanunu, Türkiye Cumhuriyeti’nin siber uzaydaki milli gücünü oluşturan unsurlara içten veya dıştan yönelen mevcut ve muhtemel tehditlerin tespit ve bertaraf edilmesini, siber olayların muhtemel etkilerinin azaltılmasını, kapsamdaki kişi ve kuruluşların korunmasını, strateji ve politikaların belirlenmesini ve Siber Güvenlik Kurulunun kurulmasına ilişkin esasları düzenler. Kanun yayımı tarihinde yürürlüğe girer; belirli bir takvim günü bu hükmün yerine geçmez.
7545 sayılı SİBER GÜVENLİK KANUNU m. 1Kaynağı aç
7545 sayılı SİBER GÜVENLİK KANUNU m. 20Kaynağı aç
Amaç ve kapsam
Amaç hükmü tek bir faaliyete indirgenmez. Tehditlerin tespiti ve bertarafı yanında, siber olayların muhtemel etkilerini azaltmaya yönelik esaslar, kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşların siber saldırılara karşı korunması için gerekli düzenlemeler, ülkenin siber güvenliğini güçlendirecek strateji ve politikalar ve Kurulun kurulması aynı amaç içinde yer alır.
Kanun, siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsar.
Kapsam sınırsız değildir. Polis, Sahil Güvenlik ve Jandarma mevzuatı uyarınca yürütülen istihbari faaliyetler ile 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu ve 211 sayılı Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler Kanun kapsamı dışındadır. İstisna, anılan mevzuat uyarınca yürütülen bu faaliyetlerle sınırlıdır.
Tanımlar ve ilkeler
Kritik altyapı, işlenen bilginin veya verinin gizliliği, bütünlüğü ya da erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara, güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapıdır.
Siber güvenlik, siber uzayı oluşturan bilişim sistemlerinin saldırılardan korunmasını ve bu ortamda işlenen verinin gizlilik, bütünlük ve erişilebilirliğinin güvence altına alınmasını kapsayan tanım unsurlarıyla düzenlenmiştir.
Temel ilkelerden biri, siber güvenliğin milli güvenliğin ayrılmaz bir parçası olmasıdır. Ayrıca siber güvenlik tedbirlerinin hizmet ve ürünlerin tüm yaşam döngüsü boyunca uygulanması esastır.
Başkanlığın görev ve yetkileri
Başkanlık, zafiyet ve sızma testleri ile varlıklara yönelik risk analizleri yapmak veya yaptırmak, siber tehditlerle mücadele etmek ve siber tehdit istihbaratı elde etmekle görevlidir. SOME kurmak, kurdurmak ve denetlemek ile bu ekiplerin olgunluk seviyesini belirlemek ve artırmak için çalışma yapmak da görevlerindendir.
Başkanlık, siber güvenlik alanındaki yazılım, donanım, ürün, sistem ve hizmetler için test ve sertifikasyon işlemlerini yürütür. Ayrıca koruma ve caydırıcılık tedbiri kapsamında kurulan ürünlerin ürettiği veya topladığı veri ve log kayıtlarını, kendi yönetimindeki bilişim sistemlerine aktarabilir. Bu aktarma yetkisi, test ve sertifikasyon işlemine tabi tutulan her ürün için ayrıca öngörülmüş değildir.
Başkanlık, suç teşkil ettiğini değerlendirdiği bulguları adli makamlar ve diğer ilgililerle paylaşır. Bu paylaşım, söz konusu değerlendirmeye bağlıdır. Faaliyetleriyle sınırlı olarak elde edilen bilgi, belge, veri ve kayıtlar en fazla iki yıl çalışmaya konu edilir; çalışma süresi sonunda imha edilir.
Bu Kanun kapsamında işlenen kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olmak, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde ve amaç için gerekli süre kadar muhafaza edilmek üzere işlenir. Elde edilen kişisel veriler ve ticari sırlar, erişilmelerini gerektiren sebepler ortadan kalkınca resen silinir, yok edilir veya anonim hale getirilir.
Yükümlülükler ve denetim
Hizmet sunulan alanda tespit edilen zafiyet veya siber olay gecikmeksizin Başkanlığa bildirilir. Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketleri, faaliyete başlamadan önce mevcut düzenlemeler çerçevesinde Başkanlığın onayını alır.
Kamu kurum ve kuruluşları ile kritik altyapılardaki denetimler Başkanlık personelince veya bu personelin refakatinde yapılır. Denetime tabi tutulanlar, ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak zorundadır.
Hâkim kararı olmaksızın yapılan arama, kopya çıkarma ve elkoyma yirmi dört saat içinde görevli hâkimin onayına sunulur. Hâkim kararını kırk sekiz saat içinde açıklar. Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde arama, kopya çıkarma ve elkoyma yalnız hâkim kararıyla yapılabilir. Bu fıkra kapsamındaki taleplerde Ankara sulh ceza hâkimliği yetkili ve görevlidir; kamu kurum ve kuruluşları bakımından hâkim kararı aranmaz.
Kurul, personel ve gizlilik
Cumhurbaşkanının katılmadığı hallerde Siber Güvenlik Kuruluna Cumhurbaşkanı Yardımcısı başkanlık eder. Kurul, alınan kararların tamamından veya bir kısmından istisna tutulacak kurum ve kuruluşları belirlemekle görevlidir.
Başkanlıkta geçici görevlendirilenler dâhil tüm personele 7315 sayılı Güvenlik Soruşturması ve Arşiv Araştırması Kanunu uyarınca güvenlik soruşturması ve arşiv araştırması birlikte yapılır. Kadrolu veya sözleşmeli çalışıp ilişiği kesilen kişi, muvafakat almadan iki yıl süreyle yurt içinde veya yurt dışında siber güvenlik alanında resmî ya da özel başka görev alamaz; ticaret veya serbest meslek yapamaz ve bu sektörde hissedar veya yönetici olamaz.
Başkanlıkça yetki verilen durumlar hariç, görev ve faaliyetler kapsamında edinilen bilgi ve belgeler radyo, televizyon, internet, sosyal medya, gazete, dergi, kitap ve diğer medya araçlarıyla yayımlanamaz veya açıklanamaz. Gizlilik taşıyan bilgiler, kişisel veriler, ticari sırlar ve bunlara ait belgeler, mevzuatın yetkili kıldığı merciler dışında açıklanamaz ve gerçek veya tüzel kişilerin menfaatine kullanılamaz.
Hapis cezaları
Kamu kurum ve kuruluşları hariç, Kanunla yetkilendirilen merciler ile denetim görevlilerinin görev ve yetkileri kapsamında istediği bilgi, belge, yazılım, veri ve donanımı vermeyen veya alınmasına engel olanlar bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezasıyla cezalandırılır. Alınması gerekli onay, yetki veya izinler olmaksızın faaliyet yürütenler iki yıldan dört yıla kadar hapis ve bin günden iki bin güne kadar adli para cezasıyla cezalandırılır. Hangi faaliyetlerin bu izne tabi olduğu bu fıkralarda ayrıca sayılmaz.
7545 sayılı SİBER GÜVENLİK KANUNU m. 16Kaynağı aç
Sır saklama yükümlülüğünü yerine getirmeyenlere dört yıldan sekiz yıla kadar hapis cezası verilir. Siber uzaydaki veri sızıntısı nedeniyle daha önce yer alan kişisel verileri veya kritik kamu hizmeti kapsamındaki kurumsal verileri, ilgili kişilerin ya da kurumların izni olmaksızın ücretli veya ücretsiz erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası verilir.
Veri sızıntısı olmadığını bildiği halde halk arasında endişe, korku ve panik yaratmak ya da kurum veya kişileri hedef göstermek amacıyla, siber güvenlikle ilgili veri sızıntısı olduğuna yönelik içerik oluşturan veya bu amaçla yayan kişiye iki yıldan beş yıla kadar hapis cezası verilir. Ceza, sızıntının olmadığını bilmeye ve anılan amaçlara bağlıdır. İçeriğin hangi sözcükle aykırı sayılacağı tek bir nitelemeyle kesinleştirilmemiştir.
Türkiye Cumhuriyeti’nin siber uzaydaki milli gücünü oluşturan unsurlara siber saldırıda bulunan veya bu saldırı sonucunda elde ettiği her türlü veriyi siber uzayda bulunduran kişiye, fiil daha ağır cezayı gerektiren başka bir suç oluşturmuyorsa sekiz yıldan on iki yıla kadar hapis cezası verilir. Aynı saldırı sonucunda elde edilen veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaran kişiye on yıldan on beş yıla kadar hapis cezası verilir. İkinci ceza, birinci cümledeki fiilden ayrıdır.
Önceki fıkralara göre verilecek ceza; suç kamu görevlisince işlenirse üçte bir, birden fazla kişi tarafından işlenirse yarı oranında, bir örgütün faaliyeti çerçevesinde işlenirse yarısından iki katına kadar artırılır. Artırım bu fıkralarla sınırlıdır.
12. maddeye aykırı davrananlara üç yıldan beş yıla kadar hapis cezası verilir. Kanundan kaynaklanan görev ve yetkisini kötüye kullananlara veya kritik altyapıların siber saldırılara karşı korunmasında görevinin gereklerine aykırı hareket ederek veri ihlali yaşanmasına sebebiyet verenlere bir yıldan üç yıla kadar hapis cezası verilir. İkinci seçenekte aykırı hareket ile veri ihlalinin yaşanması arasındaki bağ aranır.
İdari para cezası
7. maddenin birinci fıkrasının (b) ve (c) bentlerindeki görev ve sorumluluklar yerine getirilmezse idari para cezası bir milyon Türk lirası ile on milyon Türk lirası arasında uygulanır. 18. maddedeki görev ve sorumlulukların yerine getirilmemesi halinde ceza on milyon Türk lirası ile yüz milyon Türk lirası arasındadır.
8. maddenin dördüncü fıkrasındaki yükümlülüklerini yerine getirmeyenlere yüz bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası verilir. Aynı yükümlülükler ticari şirketlerce yerine getirilmezse ceza, yüz bin Türk lirasından az olmamak üzere, bağımsız denetimden geçmiş yıllık finansal tablolardaki brüt satış hasılatının yüzde 5’ine kadar uygulanır. Bu yüzde ölçüsü yalnız ticari şirketler ve anılan fıkradaki yükümlülükler içindir.
İdari para cezası uygulanmadan önce savunma istenir. İstem yazısının tebliğinden itibaren otuz gün içinde savunma verilmezse savunma hakkından feragat edildiği kabul edilir. Karara kadar aynı kabahat birden çok işlenmişse tek idari para cezası verilir ve ceza iki katını aşmayacak şekilde artırılır. Kabahat nedeniyle menfaat elde edilmesi veya zarara yol açılması halinde ceza, bu menfaat veya zararın üç katından az ve beş katından fazla olamaz.
Onay, geçiş ve yürürlük
İzne tabi siber güvenlik ürünlerinin yurt dışına satışında Başkanlık onayı alınır. Şirketlerin kontrol veya karar alma yetkisi sağlayan birleşme, bölünme, pay devri veya satış işlemleri de Başkanlık onayına tabidir. Bu işlemlere ilişkin Başkanlık onayı alınmadan yapılan işlem hukuki geçerlilik kazanmaz. Geçersizlik, onay şartının öngörüldüğü bu işlemlerle sınırlıdır.
BTK ve Dijital Dönüşüm Ofisine ait ve münhasıran ulusal siber güvenlik faaliyetlerinde kullanılan varlıklar ile bu faaliyetlerden doğan borç, alacak, hak ve yükümlülükler, Kanunun yayımından itibaren altı ay içinde Siber Güvenlik Başkanlığına devredilir.
Siber güvenlik alanında faaliyet yürüten dernek, federasyon, vakıf ve ticaret şirketleri, ilgili düzenlemelerin yürürlüğünden itibaren bir yıl içinde sertifikasyon, yetkilendirme ve belgelendirme işlemlerini tamamlar. Yükümlülük yerine getirilmezse bu alanda faaliyette bulunulamaz. Süre sonunda yükümlülüğünü yerine getirmeyen dernek, vakıf ve federasyonların tüzel kişiliğine, Başkanlığın talebi üzerine 4721 sayılı Türk Medenî Kanunu hükümlerine göre mahkeme kararıyla son verilir. Ticaret şirketleri, siber güvenliğe ilişkin unvan ve faaliyet konusu ibarelerini çıkarır veya tasfiye sürecini başlatır.
Kanunun uygulanmasına ilişkin düzenlemeler bir yıl içinde yürürlüğe konulur. Bu düzenlemeler yürürlüğe girinceye kadar, mevcut düzenlemelerin Kanuna aykırı olmayan hükümleri uygulanmaya devam eder.
5809 sayılı Elektronik Haberleşme Kanunu’nun 60. maddesinin 11. fıkrası, 12/3/2025 tarihli ve 7545 sayılı Kanun’un 19. maddesiyle yürürlükten kaldırılmış olarak işaretlenmiştir. 7545 sayılı Kanun’un 19. maddesinin birinci ve ikinci fıkraları 375 sayılı Kanun Hükmünde Kararname ile 5018 sayılı Kanuna, üçüncü ve dördüncü fıkraları ise 5651 sayılı Kanun ile 5809 sayılı Kanuna ilişkindir; bu fıkralar hükümlerin yerine işlendiğini belirtir, değiştirilen düzenlemenin metnini içermez.
5809 sayılı ELEKTRONİK HABERLEŞME KANUNU m. 60Kaynağı aç
7545 sayılı SİBER GÜVENLİK KANUNU m. 19Kaynağı aç
Kanun hangi faaliyetleri kapsam dışında bırakır?
Polis, Sahil Güvenlik ve Jandarma mevzuatına göre yürütülen istihbari faaliyetler ile MİT Kanunu ve TSK İç Hizmet Kanunu uyarınca yürütülen faaliyetler kapsam dışındadır. İstisna bu faaliyetlerle sınırlıdır.
Zafiyet veya siber olay ne zaman bildirilir?
Hizmet sunulan alanda tespit edilen zafiyet veya siber olay gecikmeksizin Başkanlığa bildirilir. Gerekli onay, yetki veya izin alınmadan faaliyet yürütmek ayrıca iki yıldan dört yıla kadar hapis ve bin günden iki bin güne kadar adli para cezasına bağlanmıştır.
Arama ve elkoyma için hâkim onayı nasıl işler?
Hâkim kararı olmaksızın yapılan arama, kopya çıkarma ve elkoyma yirmi dört saat içinde görevli hâkimin onayına sunulur; hâkim kararını kırk sekiz saat içinde açıklar. Yetkilendirilmiş veri merkezlerinde işlem yalnız hâkim kararıyla yapılır, taleplerde Ankara sulh ceza hâkimliği görevlidir ve kamu kurum ve kuruluşları bakımından hâkim kararı aranmaz.
Ayrılan personel hangi süreyle sınırlıdır?
Başkanlıktan ayrılan kadrolu veya sözleşmeli personel, muvafakat almadan iki yıl süreyle yurt içinde veya dışında siber güvenlik alanında başka görev alamaz, ticaret veya serbest meslek yapamaz ve bu sektörde hissedar ya da yönetici olamaz.
Sahte sızıntı haberi hangi şartla cezalandırılır?
Kişi, veri sızıntısı olmadığını bildiği halde endişe, korku ve panik yaratmak veya kurum ya da kişileri hedef göstermek amacıyla gerçeğe aykırı içerik oluşturur veya bu amaçla yayarsa iki yıldan beş yıla kadar hapis cezası öngörülmüştür.
Kanun ne zaman yürürlüğe girer?
Kanun yayımı tarihinde yürürlüğe girer. Uygulamaya ilişkin düzenlemeler bir yıl içinde yürürlüğe konulur; o zamana kadar mevcut düzenlemelerin Kanuna aykırı olmayan hükümleri uygulanır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy