Sitenin açılış yazılarından birini siber güvenliğe ayırdım; çünkü bu alan, hukukun teknolojiye en geç yetiştiği yerlerden biriydi. 7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te yürürlüğe girdi ve ilk kez siber güvenliği tek bir kanunda, yaptırımlarıyla birlikte topladı. Aradan geçen bir buçuk yılda kritik altyapı sektörleri belirlendi, ceza hükümleri değişti, ama beklenen alt düzenlemelerin önemli kısmı hala yayımlanmadı.
Bu yazıda Kanun'un kimleri kapsadığını, şirketlere hangi yükümlülükleri getirdiğini, suç ve idari para cezası hükümlerini ve bireysel olarak bir siber saldırıya uğradığınızda izleyebileceğiniz hukuki yolu anlatıyorum.
Siber Güvenlik Kanunu ne zaman yürürlüğe girdi?
7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli ve 32846 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girdi. Kanun'u uygulayacak kurum olan Siber Güvenlik Başkanlığı ise daha önce, 8 Ocak 2025'te yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile Cumhurbaşkanlığına bağlı olarak kurulmuştu. Politika düzeyindeki kararları, Cumhurbaşkanı başkanlığında toplanan Siber Güvenlik Kurulu alıyor.
Kanun kimleri kapsıyor?
Kapsam maddesi (md. 2) oldukça geniş: Siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar. Yalnız kolluk ve istihbarat birimlerinin ilgili kanunlarına göre yürüttüğü istihbari faaliyetler kapsam dışında.
Bu geniş tanım, bir internet sitesi veya uygulaması olan, müşteri verisini dijital ortamda tutan hemen her işletmenin Kanun'un kapsamına girdiği anlamına geliyor. Yükümlülüklerin yoğunluğu ise işletmenin kritik altyapı içinde olup olmadığına göre değişiyor.
Kritik altyapı sektörleri: 5 Mayıs 2026 kararı
Kanun, kritik altyapı sektörlerini belirleme yetkisini Siber Güvenlik Kurulu'na verdi. Kurul, 5 Mayıs 2026'daki toplantısında şu 15 alanı kritik altyapı sektörü olarak belirledi:
Dijital altyapılar ve dijital hizmetler
Elektronik haberleşme
Enerji ve su yönetimi
Finans
Gıda ve tarım
İmalat sanayi ve savunma sanayii
Kamu hizmetleri
Medya ve kriz iletişimi
Posta ve kargo
Sağlık
Ulaştırma
Uzay
Liste, 2010'ların başındaki belirlemeye göre çok daha geniş. Gıda, imalat, medya, kargo ve dijital hizmetlerin eklenmesiyle, daha önce kendini "kritik altyapı" olarak görmeyen birçok orta ölçekli şirket de bu rejimin içine girdi. Bu sektörlerde kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin Başkanlıkça yetkilendirilmiş ve belgelendirilmiş kişi ve şirketlerden temin edilmesi gerekiyor.
Şirketlerin yükümlülükleri (md. 7)
Bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyen herkes için Kanun'un 7'nci maddesi şu görevleri sayıyor:
Bilgi ve belge verme: Başkanlığın görevleri kapsamında istediği her türlü veri, bilgi, belge, donanım ve yazılımı öncelikle ve zamanında iletmek.
Tedbir ve bildirim: Mevzuatın öngördüğü siber güvenlik tedbirlerini almak; hizmet verilen alanda tespit edilen zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek.
Yetkili tedarikçi: Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerini yetkilendirilmiş ve belgelendirilmiş tedarikçilerden almak.
Onay: Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlığın onayını alması.
Politikalara uyum: Başkanlığın yayımladığı politika, strateji ve eylem planlarındaki hususları yerine getirmek.
Başkanlık, 8'inci madde uyarınca Kanun kapsamındaki her türlü fiil ve işlemi denetleyebiliyor, gerektiğinde mahallinde inceleme yapabiliyor.
Alt düzenlemeler nerede?
Kanun, uygulamaya ilişkin düzenlemelerin bir yıl içinde yürürlüğe konulacağını söylüyor; yani 19 Mart 2026'ya kadar siber olay bildirimi, log yönetimi, sertifikasyon ve teknik kriterlere ilişkin alt düzenlemelerin çıkarılması bekleniyordu. Aynı hüküm, yeni düzenlemeler yürürlüğe girinceye kadar mevcut düzenlemelerin Kanun'a aykırı olmayan hükümlerinin uygulanmaya devam edeceğini de belirtiyor. Temmuz 2026'da 7590 sayılı Kanun ile Bilgi Teknolojileri ve İletişim Kurumu'nun bazı görev ve yetkileri de Başkanlığa devredildi; Başkanlık kendi ikincil düzenlemelerini çıkarana kadar mevcut düzenlemelerdeki BTK atıfları Başkanlığa yapılmış sayılıyor. 29 Eylül 2026 itibarıyla Siber Güvenlik Başkanlığı'nın resmi mevzuat sayfasında, Kanun ve kuruluş kararnamesinin yanında yalnız bir disiplin amirleri yönetmeliği ile Başkanlığın kendi mal ve hizmet alımlarına ilişkin iki usul ve esas görünüyor. Siber olay bildiriminin usulünü, sürelerini ve formatını ayrıntılı düzenleyen bir metin henüz yok.
Bu boşluk, yükümlülüklerin askıda olduğu anlamına gelmiyor. 7'nci maddedeki bilgi verme ve gecikmeksizin bildirim yükümlülüğü Kanun'un yürürlüğüyle birlikte başladı. Usul belirsiz olsa da, bir olay yaşandığında bildirimi belgelenebilir bir kanaldan ve hızla yapmak, sonradan "gecikme" tartışmasının önüne geçiyor.
Siber Güvenlik Kanunu'ndaki suçlar ve cezalar
Kanun'un 16'ncı maddesi, bir kısmı doğrudan vatandaşları da ilgilendiren yeni suç tipleri getirdi:
Fiil | Fıkra | Ceza |
|---|---|---|
Yetkililerin istediği bilgi, belge, yazılım, veri veya donanımı vermemek ya da alınmasını engellemek (kamu kurumları hariç) | 16/1 | 1-3 yıl hapis ve 500-1.500 gün adli para cezası |
Gerekli onay, yetki veya izin olmadan faaliyet yürütmek | 16/2 | 2-4 yıl hapis ve 1.000-2.000 gün adli para cezası |
Sır saklama yükümlülüğüne aykırılık | 16/3 | 4-8 yıl hapis |
Veri sızıntısı nedeniyle daha önce siber uzayda yer alan kişisel veya kritik kurumsal verileri izinsiz erişime açmak, paylaşmak veya satışa çıkarmak | 16/4 | 3-5 yıl hapis |
Sızıntı olmadığını bildiği halde panik yaratmak veya kişi ve kurumları hedef göstermek amacıyla gerçeğe aykırı "veri sızıntısı" içeriği oluşturmak veya yaymak | 16/5 | 2-5 yıl hapis |
Türkiye'nin siber uzaydaki milli gücünü oluşturan unsurlara siber saldırı ve elde edilen verileri bulundurma | 16/6 | 8-12 yıl hapis; verileri yayma veya satışa çıkarma 10-15 yıl |
Pratikte en çok karşılaşılacak hükümler 4'üncü ve 5'inci fıkralar. Daha önce sızdırılmış bir veri setini "zaten internette" diye yeniden paylaşmak, dördüncü fıkra kapsamında ayrı bir suç. Buna karşılık gerçek olmayan bir sızıntı haberini panik yaratma veya hedef gösterme amacıyla yaymak da beşinci fıkraya giriyor. Beşinci fıkrada aranan kasıt unsuru (sızıntı olmadığını bilmek ve belirli bir amaç) dar yorumlanmalı; aksi halde gerçek bir ihlali haber yapan gazeteci veya uyarı paylaşan güvenlik araştırmacısı da tehdit altında kalır.
İdari para cezaları: Temmuz 2026 değişikliği
Kanun'un 16'ncı maddesinin onuncu fıkrası, 24.07.2026 tarihli ve 7590 sayılı Kanun ile değiştirildi. Güncel haliyle:
7'nci maddenin birinci fıkrasının (a), (b) ve (c) bentlerindeki yükümlülükleri yerine getirmeyenlere 1 milyon TL'den 10 milyon TL'ye kadar idari para cezası veriliyor. Değişiklikle (a) bendi, yani Başkanlığın istediği bilgi ve belgeyi zamanında iletmeme de bu kapsama alındı.
Siber güvenlik ürün ve şirketlerine ilişkin 18'inci maddedeki yükümlülüklere aykırılıkta ceza 10 milyon TL'den 100 milyon TL'ye kadar.
Denetime ilişkin 8'inci maddenin dördüncü fıkrasındaki yükümlülüklere aykırılıkta 100 bin TL'den 1 milyon TL'ye kadar; ticari şirketler için ise 100 bin TL'den az olmamak üzere brüt satış hasılatının yüzde 5'ine kadar ceza öngörülüyor.
Ceza verilmeden önce ilgilinin savunması alınıyor; savunma istemine ilişkin yazının tebliğinden itibaren otuz gün içinde savunma verilmezse bu haktan feragat edilmiş sayılıyor (md. 17/1). Ceza tebliğden itibaren bir ay içinde ödenmezse, kesinleşmesinin ardından 6183 sayılı Kanun'a göre tahsil ediliyor. Bu cezalara karşı yol da açıkça gösterilmiş: 17'nci maddenin beşinci fıkrasına göre idari yargıya başvurulabiliyor.
Aynı olay çoğu zaman KVKK'yı da ilgilendirir. Kişisel verilerin sızdığı bir siber saldırıda Başkanlığa bildirim ile Kişisel Verileri Koruma Kurulu'na 72 saat içinde yapılacak veri ihlali bildirimi ayrı yükümlülükler. KVKK tarafındaki 2026 ceza tutarlarını ve ilke kararlarını KVKK 2026 yazısında topladım.
Bireyler için: Hesabınız ele geçirildiyse veya dolandırıldıysanız
Siber Güvenlik Kanunu ağırlıklı olarak kurumları düzenliyor. Bir vatandaşın sosyal medya hesabının ele geçirilmesi, banka hesabından izinsiz para çekilmesi veya sahte bir siteyle dolandırılması ise hala Türk Ceza Kanunu'nun bilişim suçları ve nitelikli dolandırıcılık hükümleriyle karşılanıyor:
Bilişim sistemine girme (TCK md. 243): Bir bilişim sistemine hukuka aykırı olarak girmek veya orada kalmaya devam etmek. Başkasının e-posta veya sosyal medya hesabına izinsiz girmek tipik örnek. Sistem içindeki veri nakillerini teknik araçlarla izlemek de aynı maddenin dördüncü fıkrasında ayrıca cezalandırılıyor.
Sistemi engelleme, bozma, verileri yok etme veya değiştirme (TCK md. 244): Fidye yazılımıyla dosyaların şifrelenmesi, verilerin silinmesi veya başka yere gönderilmesi. Fiil banka, kredi kurumu veya kamu kurumunun sistemine karşı işlenirse ceza yarı oranında artıyor.
Banka veya kredi kartlarının kötüye kullanılması (TCK md. 245): Kart bilgilerinin ele geçirilip kullanılması.
Nitelikli dolandırıcılık (TCK md. 158/1-f): Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılmasıyla işlenen dolandırıcılık. Ceza üç yıldan on yıla kadar hapis; bu bentte hapis cezasının alt sınırı dört yıl ve adli para cezası suçtan elde edilen menfaatin iki katından az olamıyor.
Ne yapmalısınız?
Delilleri hemen koruyun: Ekran görüntüleri, mesajlar, bağlantı adresleri, e-posta başlıkları, hesap hareketleri ve banka dekontları. Hiçbir şeyi silmeyin.
Para çıkışı varsa bankanızı gecikmeden arayın ve itiraz kaydı açtırın; kartı ve internet bankacılığı erişimini kapattırın.
Ele geçirilen hesapların şifrelerini değiştirin, iki aşamalı doğrulamayı açın, platformun hesap kurtarma sürecini başlatın.
Cumhuriyet başsavcılığına şikayette bulunun. Dilekçede olayın tarihini, saatini, kullanılan hesap ve IBAN bilgilerini ve elinizdeki delilleri sırayla yazın.
Sahte site veya zararlı bağlantıyı Siber Güvenlik Başkanlığı'nın bildirim kanalı üzerinden ihbar edin.
Şirketler için kısa kontrol listesi
15 kritik altyapı sektöründen birinde faaliyet gösterip göstermediğinizi ve tedarik zincirinizdeki siber güvenlik ürünlerinin yetkilendirme durumunu kontrol edin.
Bir siber olay müdahale planı yazın; Başkanlığa bildirim ile KVKK'ya 72 saatlik bildirimi aynı akışta tanımlayın.
Başkanlıktan gelebilecek bilgi ve belge taleplerine kim, ne kadar sürede cevap verecek, belirleyin. Temmuz 2026 değişikliğiyle bu yükümlülüğün ihlali de milyonlarca liralık ceza aralığına girdi.
Log kayıtlarını, erişim yetkilerini ve olay kayıtlarını düzenli tutun; denetimde istenecek ilk belgeler bunlar.
Alt düzenlemeleri takip edin. Yayımlandıklarında süreler ve formatlar netleşecek.
Başkanlığın verdiği idari para cezalarına karşı açılacak davalarda süre ve yürütmenin durdurulması gibi idari yargı kurallarını İdari dava rehberinde anlattım.
Kaynaklar
7545 sayılı Siber Güvenlik Kanunu, güncel metin: mevzuat.gov.tr
Siber Güvenlik Başkanlığı, mevzuat sayfası: siberguvenlik.gov.tr
Siber Güvenlik Kurulu toplantısı, 5 Mayıs 2026: siberguvenlik.gov.tr
Bu yazı genel bilgilendirme amaçlıdır; somut bir olay için hukuki görüş yerine geçmez. Mevzuat 29 Eylül 2026 itibarıyla kontrol edilmiştir.