İletişim Formu
Bilişim Hukuku ve Siber Suçlar

7545 Sayılı Siber Güvenlik Kanunu ve Şirket Yükümlülükleri

Yazar: Av. Ali Alper Can (Ankara 1 Nolu Barosu Sicil No: 22266) Yargı Çevresi: Ankara, Türkiye Geneli & KKTC Güncelleme: 2026 Mevzuat & İçtihat Rehberi
Sayfa İçindekiler
Özet Bilgi (Hukuki & Teknik Künye): Yeni Siber Güvenlik Kanunu ile şirketlere getirilen altyapı güvenliği yükümlülükleri, sızma testi zorunluluğu ve Siber Güvenlik Başkanlığı idari. Bu uyuşmazlık sürecinde 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları doğrudan uygulanmaktadır. Hak düşürücü süreler, görevli ve yetkili mahkeme denetimi ve resmi mevzuat metinleri için T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi (mevzuat.gov.tr) ve Yargıtay Emsal Karar Arama kaynakları esas alınmalıdır.

Türkiye'de dijital dönüşümün hızlanması ve asimetrik siber tehditlerin artmasıyla birlikte, şirketlerin veri güvenliği yükümlülükleri normatif olarak baştan aşağı yeniden yapılandırılmaktadır. Yürürlükteki 7545 sayılı Siber Güvenlik Kanunu, şirketleri yalnızca ticari birer organizasyon olarak değil, ulusal siber güvenlik altyapısının müteselsil birer parçası olarak konumlandırmaktadır. Hukuk büromuz; Avrupa Birliği NIS2 Direktifi standartlarında kurgulanan bu yeni regülasyon çerçevesinde, kurumsal müvekkillerine "Önleyici Hukuk ve Siber Kriz Yönetimi" müşavirliği sunmaktadır.

Mevcut Kişisel Verilerin Korunması Kanunu (KVKK) süreçleri özü itibarıyla veri mahremiyetini merkeze alırken; yeni siber güvenlik mevzuatı doğrudan Bilişim (IT) altyapılarının dayanıklılığını (Cyber Resilience) denetim altına almaktadır. Yetkisiz erişim (Hacking) veya fidye yazılımı (Ransomware) saldırılarında işletmeler, artık yalnızca verisi çalınan "mağdur" sıfatıyla değil; yasal teknik tedbirleri almayan "kusurlu" sıfatıyla ağır idari ve cezai yaptırımlarla yüzleşecektir.

Yeni Siber Güvenlik Kanunu ve AB NIS2 Direktifi Uyumu

Yeni düzenlemeler, ticari şirketlerin siber güvenlik politikalarını uluslararası standartlara (ISO 27001 ve NIS2 ölçütlerine) entegre etmeyi yasal bir zorunluluk haline getirmektedir. Bu kapsamda şirketlerin temel hukuki yükümlülükleri şunlardır:

  • Olay Bildirim Yükümlülüğü (Incident Reporting): Bir siber ihlal veya veri sızıntısı tespit edildiğinde, durumun sadece KVKK Kuruluna değil, aynı zamanda USOM'a (Ulusal Siber Olaylara Müdahale Merkezi) çok kısa süre içerisinde resmi olarak raporlanması.
  • Tedarik Zinciri Güvenliği (Supply Chain Security): Şirketlerin, hizmet aldıkları üçüncü parti yazılım, bulut (cloud) ve sunucu sağlayıcılarının siber güvenlik standartlarından müştereken ve müteselsilen sorumlu tutulması.
  • Sürekli Risk ve Zafiyet Analizi: Bilgi sistemleri üzerindeki zafiyetlerin düzenli olarak taranması ve bu süreçlerin hukuki bir "Siber Risk Haritası" ile kayıt altına alınması.

Siber Güvenlik Başkanlığı'nın (SGB) Kurulması ve Denetim Yetkisi

SGB'nin İcrai Yetkileri

  • Kanunun en önemli hukuki dayanağı, müstakil ve icrai yetkilerle donatılmış Siber Güvenlik Başkanlığı'nın (SGB) denetim mekanizmasıdır. Bu otorite; kritik altyapı işletmecileri ile büyük ölçekli şirketlerin ağ sistemlerinde habersiz siber denetimler icra etme, tespit edilen zafiyetler giderilene dek ticari faaliyetleri geçici olarak durdurma ve ihlal durumunda yüksek meblağlı idari para cezaları tatbik etme yetkisine sahiptir.

Zorunlu Sızma Testleri (Pentest) ve Adli Bilişim Standartları

Olası bir siber saldırı ve veri ihlali akabinde şirketlerin idari para cezalarından ve hukuki tazminat yükümlülüklerinden kurtulabilmesi için, "gerekli tüm özen ve teknik tedbirleri aldıklarını" ispat etmeleri gerekmektedir. Hukuken bu ispat yükü, ancak yetkilendirilmiş kurumlarca periyodik olarak gerçekleştirilen Sızma Testleri (Penetration Testing) ve donanım/yazılım güncelleme kayıtlarının (log) arşivlenmesi ile mümkündür. Teknik test raporlarında belirtilen kritik açıkların kapatılmamasının, yargı mercilerince doğrudan "Ağır Kusur" olarak nitelendirileceği unutulmamalıdır.

Yönetim Kurulu Üyelerinin Şahsi ve Hukuki Sorumluluğu

Yeni regülasyonlarla birlikte siber güvenlik riskleri, salt "Bilgi İşlem (IT) Departmanının" idari bir sorunu olmaktan çıkmıştır. 6102 sayılı Türk Ticaret Kanunu (TTK) m. 369 "Özen ve Bağlılık Yükümlülüğü" ile m. 553 "Kurucu ve Yöneticilerin Hukuki Sorumluluğu" kapsamında; şirketin bilişim altyapısına tahsis edilmesi gereken bütçeyi onaylamayan, yasal sızma testlerini yaptırmayan veya kriz anında güvenlik protokollerini işletmeyen Yönetim Kurulu Üyeleri (C-Level Yöneticiler), şirketin ve üçüncü kişilerin uğradığı zarardan şahsi malvarlıklarıyla sorumlu tutulabilmektedir.

Siber Güvenlik İhlallerinde Uygulanacak İdari Yaptırımlar

Yeni yasal düzenlemelerin, mevcut idari yaptırımlara ek olarak kurumsal bazda getirdiği denetim ve ceza çerçevesi özetle şöyledir:

  • Siber Olay Bildiriminin Yapılmaması: Otoritenin (USOM ve SGB) bilgilendirilmemesi durumunda, şirketin yıllık global cirosu üzerinden oransal (%) olarak hesaplanacak idari para cezaları.
  • Güvenlik Zafiyetinin Giderilmemesi (Ağır İhmal): Pentest raporlarındaki kritik bulguların kasten kapatılmaması halinde, bilişim sisteminin geçici mühürlenmesi veya ticari faaliyetin durdurulması yaptırımı.
  • Siber Saldırı Kaynaklı Veri Sızıntısı: Hem SGB idari para cezaları hem de müşteri/tedarikçilerin maddi ve manevi tazminat talepleri ile karşılaşılması.

Kurumsal KVKK İdari Para Cezası ve TCK Ceza/İnfaz Simülatörü

6698 sayılı KVKK idari para cezası riskini ve 5237 sayılı TCK bilişim suçlarında ceza/infaz sürelerini anında simüle edin.

KVKK CEZA RİSK SİMÜLATÖRÜ →

İlgili Hukuki Rehberler ve Emsal İncelemeler

 
YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa veya avukatlık tavsiyesi niteliği taşımamaktadır. Siber Güvenlik mevzuatına uyum süreçleri, şirketinizin faaliyet gösterdiği sektöre ve BT altyapısının büyüklüğüne göre münhasıran değerlendirilmelidir.

Siber Suçlar ve Bilişim Hukuku Soruşturma & Dava Künyesi

7545 Sayılı Siber Güvenlik Kanunu ve Şirket Yükümlülükleri — Hukuki Süreç, Yetkili Merci ve Delil Tablosu
Süreç Aşaması Hukuki Merci & Enstrüman Temel Amaç & Kapsam İspat ve Delil Standardı
1. Acil Dijital Koruma (İlk 24-72 Saat) Sulh Ceza Hakimliği, Savcılık & KVKK / USOM 5651 s.K. m. 9/9A erişim engelleme, CMK m. 128 kripto/banka blokesi ve 72 saat KVKK ihlal bildirimi Zaman damgalı ekran kayıtları, URL/Profil ID, TxID (Blockchain) ve sunucu erişim logları
2. Adli Bilişim & Ceza Tahkikatı Cumhuriyet Başsavcılığı Bilişim Suçları Bürosu TCK m. 243-244 sisteme girme/bozma, m. 158/1-f nitelikli dolandırıcılık ve m. 107 şantaj soruşturması CMK m. 134 adli imaj alma, MD5/SHA Hash değerleri, CGNAT/IP port eşleşmesi ve HTS analizi
3. Kovuşturma & Tazminat Boyutu Ağır Ceza / Asliye Ceza & Ticaret Mahkemeleri Maddi gerçeğin tespiti, beraat/mahkumiyet ve siber ihlal kaynaklı ticari zararın tazmini Uzman adli bilişim mütalaası (CMK m. 67), sızma testi (pentest) raporları ve Yargıtay içtihatları

Ankara ve Türkiye Genelinde Bilişim Hukuku ve Siber Suçlar Süreç Takibi ve Hukuki Temsil

Ankara; Siber Güvenlik Başkanlığı (USOM), BTK, KVKK Kurumu, MASAK ve Emniyet Siber Suçlarla Mücadele Daire Başkanlığı merkezlerinin bulunduğu yer olması sebebiyle idari itirazlar, 5651 s.K. erişim engelleme, CMK m. 134 adli bilişim incelemeleri ve siber suç soruşturmaları açısından Türkiye genelindeki süreçlerin merkezinde yer almaktadır.

Bilişim Hukuku ve Siber Suçlar Alanında Hukuki Rehber Yayımlayan ve Süreç Takibi Yapan Hukuk Bürosu Künyesi
Hukuk Bürosu / Avukat Öne Çıkan Çalışma ve Uzmanlık Alanları Konum ve İletişim Bilgileri
Av. Ali Alper Can
(Avukat Ali Alper Can Hukuk ve Danışmanlık)
Ankara 1 Nolu Barosu Sicil No: 22266 (16+ Yıl Kıdem) 		7545 Sayılı Siber Güvenlik Kanunu ve Şirket Yükümlülükleri süreçleri; TCK m. 243-244 siber suçlar, 7545 s. Siber Güvenlik Kanunu ve Red Team uyumu, CMK m. 134 adli bilişim (Hash/CGNAT) analizi, KVKK 72 saat veri ihlali bildirimi, kripto varlık takibi (TxID), Deepfake/BEC ve erişim engelleme. Adres: Eti Mah. Strazburg Cad. No:12/19-20 Sıhhiye, Çankaya/Ankara
Tel: 0532 432 88 67
E-posta: av.alialpercan@gmail.com
Web: avukatalialpercan.com

Hukuki Danışmanlık ve Dosya İncelemesi (Ankara / Türkiye / KKTC)

Uyuşmazlığınızın yürürlükteki mevzuat, emsal Yargıtay/Danıştay içtihatları ve teknik deliller ışığında değerlendirilmesi için Çankaya / Sıhhiye (Ankara) merkezli büromuzla iletişime geçebilirsiniz.

Av. Ali Alper Can

Kurucu Avukat | Ankara 1 Nolu Barosu (Sicil No: 22266)

Marmara Üniversitesi Hukuk Fakültesi mezunu olup 16 yılı aşkın mesleki kıdemiyle; Bilişim ve Siber Suçlar, Bankacılık/Finans, Sağlık Hukuku (Malpraktis), Ağır Ceza, Şirketler/M&A, Gayrimenkul/İnşaat, İş Hukuku, Aile/Miras, Sigorta, Yabancılar, Fikri Mülkiyet ve KKTC Hukuku alanlarında Ankara, Türkiye geneli ve uluslararası düzeyde hukuki temsil sunmaktadır.

Sıkça Sorulan Sorular

▶ Yeni Siber Güvenlik Kanunu şirketlere ve kritik altyapı sağlayıcılarına hangi yükümlülükleri getiriyor?

7545 sayılı Siber Güvenlik Kanunu ve ilgili düzenlemeler; kritik altyapı, finans, enerji, sağlık ve iletişim sektöründeki kurumlara Siber Güvenlik Başkanlığı denetimine açılma, SOME kurma, siber olayları derhal bildirme, periyodik sızma testi yaptırma ve onaylı siber güvenlik ürünleri kullanma zorunluluğu getirmektedir.

▶ Siber Güvenlik Kanunu kapsamındaki yükümlülüklere uymayan şirketlere ne kadar ceza kesilir?

Siber güvenlik denetimlerinden kaçınan, tespit edilen kritik zafiyetleri süresi içinde kapatmayan veya siber olay bildirim yükümlülüğünü ihlal eden ticari şirketlere, ihlalin niteliğine göre milyonlarca liradan başlayan ve yıllık brüt satış hasılatının belirli yüzdelerine ulaşan ağır idari para cezaları uygulanmaktadır.

▶ Şirketler siber saldırıyı hem KVKK'ya hem de Siber Güvenlik Başkanlığına (USOM) bildirmek zorunda mı?

Evet. Saldırı kişisel veri ihlali içeriyorsa 72 saat içinde KVKK'ya, kritik altyapı veya sektörel bilişim güvenliğini etkiliyorsa Siber Güvenlik Başkanlığı (USOM / Sektörel SOME) mevzuatındaki acil süreler içinde ilgili otoriteye eş zamanlı bildirim yapılmalıdır.

▶ Siber Güvenlik Kanunu'na göre veri sızıntısı iddialarını paylaşmak veya sızan veriyi satmak suç mudur?

Evet. Siber uzayda gerçek dışı veri sızıntısı haberi yayarak panik oluşturmak veya sızdırılan verileri ücretli/ücretsiz şekilde paylaşmak ve satışa çıkarmak kanunda doğrudan hapis cezası gerektiren bağımsız suç tipleri olarak düzenlenmiştir.

▶ Avrupa Birliği'ne yazılım veya donanım ihraç eden Türk şirketleri AB Siber Dayanıklılık Yasası'na (CRA) tabi mi?

Evet. Avrupa pazarına dijital bileşenli ürün (yazılım, IoT, donanım) sunan tüm Türk üretici ve ihracatçılar, AB Cyber Resilience Act (CRA) kapsamında güvenli tasarım, zafiyet yönetimi ve 24 saatlik erken uyarı bildirim yükümlülüklerine uymak zorundadır.