>
İletişim Formu
Bilişim Hukuku ve Siber Suçlar

Siber Saldırı ve Veri İhlalinde Şirket Sorumluluğu

Yazar: Av. Ali Alper Can (Ankara 1 Nolu Barosu Sicil No: 22266) Yargı Çevresi: Ankara, Türkiye Geneli & KKTC Güncelleme: 2026 Mevzuat & İçtihat Rehberi
Sayfa İçindekiler
Özet Bilgi (Hukuki & Teknik Künye): Veri ihlallerinde şirket yöneticilerinin hukuki ve cezai sorumlulukları nelerdir? TCK ve KVKK kapsamında siber güvenlik tedbirleri ve pentest süreçlerinin önemi. Uygulamada sıklıkla araştırılan veri ihlali bildirimi, 72 saat kuralı hususlarında 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 5651 sayılı Kanun, 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları doğrudan uygulanmaktadır. Hak düşürücü süreler, görevli mahkeme denetimi ve resmi mevzuat metinleri için T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi (mevzuat.gov.tr) ve Yargıtay Emsal Karar Arama kaynakları esas alınmalıdır.

Kurumsal Siber Güvenlik İhlallerinin Hukuki Karakteri

Dijitalleşme süreçlerinin eksponansiyel hız kazandığı günümüz ekosisteminde; ticari işletmelerin ve sermaye şirketlerinin en değerli sermayeleri, fiziksel malvarlıklarından ziyade sunucularında (server) ve bulut mimarilerinde muhafaza ettikleri büyük veri (Big Data) ve kişisel verilerdir. Siber güvenlik tehditlerinin (Ransomware, Phishing, Zero-Day istismarları) asimetrik ve karmaşık bir yapıya evrilmesi, şirket tüzel kişiliklerini yalnızca finansal ve itibari kayıplarla değil; telafisi güç hukuki, idari ve cezai yaptırımlarla karşı karşıya bırakmaktadır.

Özellikle 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Türk Ceza Kanunu (TCK) muhteviyatında; bir siber ihlal (data breach) vuku bulduğunda, şirket yönetimlerinin "Şirketimizin de siber saldırı mağduru olduğu" yönündeki soyut savunmaları, hukuki ve idari mesuliyeti bertaraf etmemektedir. Şirket Yönetim Kurulları ve Bilgi Teknolojileri (IT) departmanı yöneticileri, veri güvenliğini asgari yasal standartlarda tesis etmekle kanunen mükelleftir.

KVKK m. 12 Kapsamında Veri Sorumlusunun İdari ve Hukuki Mesuliyeti

6698 sayılı KVKK'nın 12. maddesi, veri sorumlusu sıfatını haiz tüzel kişiliğe (şirkete), kişisel verilerin hukuka aykırı olarak erişilmesini önlemek ve muhafazasını sağlamak amacıyla "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma" yükümlülüğünü emredici olarak getirmiştir.

Kişisel Verileri Koruma Kurulu (KVKK), bir siber sızıntı vakasını incelerken öncelikli olarak işletmenin proaktif güvenlik (Sızma testleri, DLP, log yönetimi, yama süreçleri) mimarisini denetler:

  • İdari Yaptırımlar (Para Cezaları): Kurul tarafından yapılacak incelemede, şirketin güvenlik altyapısında ağır ihmal (Örn: periyodik Sızma Testi/Pentest yaptırılmaması, bilinen bir zafiyetin yamalanmaması) tespit edilirse, güncel yeniden değerleme oranlarıyla milyonlarca Türk Lirasına varan idari yaptırımlar tatbik edilmektedir.
  • 72 Saatlik Yasal Bildirim Süresi: İhlal gerçekleştiğinde, şirket yönetimi (veri sorumlusu) durumu en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna ve ihlalden etkilenen ilgili kişilere bildirmek zorundadır. Bildirim yükümlülüğünün ihmali veya gizlenmesi, uygulanacak idari para cezasını katlayarak artırmaktadır.
  • Tazminat Hukuku Boyutu: Kişisel verileri ihlal edilen ilgili kişiler (müşteriler, çalışanlar vb.), uğradıkları maddi ve manevi zararların tazmini talebiyle, veri sorumlusuna karşı genel hükümler çerçevesinde Asliye Hukuk/Tüketici Mahkemelerinde tazminat davaları ikame etme hakkını haizdir.

TCK ve TTK Çerçevesinde Şirket Yöneticilerinin Cezai Sorumluluğu

Siber saldırılar neticesinde oluşan hukuki zafiyetler salt idari para cezalarıyla sınırlı kalmamakta; tüzel kişiliği temsile yetkili Yönetim Kurulu Üyeleri, C-Level Yöneticiler ve IT Direktörleri açısından kişisel cezai sorumluluklar da doğurabilmektedir.

  • Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme (TCK m. 136): Şirket içerisindeki (iç tehdit) yetkili personelin erişim haklarını kötüye kullanarak müşteri verilerini üçüncü şahıslara sızdırması veya siber saldırganların sisteme nüfuz etmesine kasten olanak sağlaması doğrudan hürriyeti bağlayıcı yaptırımları gerektirir.
  • Özen ve Gözetim Yükümlülüğünün İhlali (TTK m. 369): Türk Ticaret Kanunu uyarınca Yönetim Kurulu üyeleri, görevlerini tedbirli bir yöneticinin özeniyle yerine getirmekle yükümlüdür. Siber güvenliğe asgari bütçe tahsis edilmemesi veya denetim mekanizmalarının kurulmaması idari/hukuki bir kusurdur. Şirket yönetiminin "Süreçleri tamamen IT departmanına devrettik (delegasyon)" şeklindeki savunmaları, yönetim kurulunun gözetim yükümlülüğünü ortadan kaldırmamaktadır.

Siber Kriz Anında İlk 24 Saat: Acil Eylem Planı

Krize Müdahale Protokolü

  • Fişi Çekmeyin, Ağı İzole Edin: Adli bilişim (log) delillerinin silinmemesi için sunucuları kapatmak yerine sistemlerin internet ve yerel ağ bağlantılarını kesin.
  • KVKK 72 Saat Sayacını Başlatın: İhlalin gerçekleştiği anı resmi bir "Siber Olay Tespit Tutanağı" ile kayıt altına alın. Yasal bildirim süreniz resmen başlamıştır.
  • Delil Bütünlüğünü Sağlayın: CMK m.134 kapsamında mahkemede geçerli olabilmesi için, sistem imajlarının ve Hash (MD5/SHA) değerlerinin bozulmadan alınmasını organize edin.
  • Hukuk Ekibini Devreye Alın: Hackerlarla iletişime geçmeden, fidye (Ransomware) pazarlığına girmeden ve resmi makamlara eksik/hatalı beyan vermeden önce derhal bilişim avukatlarınızı sürece dahil edin.

Önleyici Hukuk Perspektifi ve Siber Güvenlik Uyum Süreçleri

Bir siber kriz (Data Breach) anında kurumun hukuki ve mali hasarını minimize etmenin yegâne yöntemi, kriz vuku bulmadan evvel hukuki uyum süreçlerini (Compliance) tamamlamaktır. Alınması elzem olan teknik ve yasal aksiyonlar şunlardır:

  • Bağımsız Sızma Testleri (Pentest): Bilişim altyapısının bağımsız kuruluşlarca test edilmesi ve raporlanması. Bu raporlar, idari yargı ve Kurul nezdinde "gerekli teknik tedbirlerin alındığına" dair en güçlü ispat vasıtasıdır.
  • Siber Olaylara Müdahale Planı (SOMP): İhlal anında yasal bildirimlerin (72 saat) kim tarafından ve nasıl yapılacağını düzenleyen acil eylem protokolleri.
  • Gizlilik Sözleşmeleri (NDA): Veri sızıntılarının ekseriyetle iç tehditlerden (personel zafiyeti) kaynaklandığı göz önüne alındığında, personelle akdedilecek cezai şart içeren ağırlaştırılmış gizlilik sözleşmeleri.

Şirketinizin Ceza Riskini Biliyor Musunuz?

Kurumsal KVKK İdari Para Cezası (m. 18) ve Siber İhlal Risk Simülatörü

6698 sayılı KVKK m. 12 ve m. 18 ile 7545 sayılı Siber Güvenlik Kanunu kapsamında veri ihlali, aydınlatma ve VERBİS yükümlülüğü 2026 güncel ceza tutarlarını hesaplayın.

KVKK CEZA RİSK SİMÜLATÖRÜNÜ ÇALIŞTIR →

İlgili Bilişim Hukuku ve Siber Suçlar Rehberleri ve Emsal İncelemeler

YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa niteliği taşımamaktadır. Her veri ihlali (Data Breach) vakıası; sızıntının boyutu, alınan teknik tedbirler, bildirim süreleri ve KVKK ile TCK/TTK hükümleri çerçevesinde bir avukat vasıtasıyla münhasıran değerlendirilmelidir.

Siber Saldırı ve Veri İhlalinde Şirket Sorumluluğu ve veri ihlali bildirimi, 72 saat kuralı kapsamındaki hukuki uyuşmazlıklarda 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 5651 sayılı Kanun, 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları birlikte uygulanmakta olup; Siber Suçlar ve Yargıtay Kararları, SGB Kırmızı Takım (Red Team) Denetimleri ve Şirket Yükümlülükleri, Instagram Hesabı Çalınması ve Şantaj konularındaki emsal incelemelerimiz de yargılama ve ispat sürecinde doğrudan yol gösterici niteliktedir.

Siber Suçlar ve Bilişim Hukuku Soruşturma & Dava Künyesi

Siber Saldırı ve Veri İhlalinde Şirket Sorumluluğu — Hukuki Süreç, Yetkili Merci ve Delil Tablosu
Süreç Aşaması Hukuki Merci & Enstrüman Temel Amaç & Kapsam İspat ve Delil Standardı
1. Acil Dijital Koruma (İlk 24-72 Saat) Sulh Ceza Hakimliği, Savcılık & KVKK / USOM 5651 s.K. m. 9/9A erişim engelleme, CMK m. 128 kripto/banka blokesi ve 72 saat KVKK ihlal bildirimi Zaman damgalı ekran kayıtları, URL/Profil ID, TxID (Blockchain) ve sunucu erişim logları
2. Adli Bilişim & Ceza Tahkikatı Cumhuriyet Başsavcılığı Bilişim Suçları Bürosu TCK m. 243-244 sisteme girme/bozma, m. 158/1-f nitelikli dolandırıcılık ve m. 107 şantaj soruşturması CMK m. 134 adli imaj alma, MD5/SHA Hash değerleri, CGNAT/IP port eşleşmesi ve HTS analizi
3. Kovuşturma & Tazminat Boyutu Ağır Ceza / Asliye Ceza & Ticaret Mahkemeleri Maddi gerçeğin tespiti, beraat/mahkumiyet ve siber ihlal kaynaklı ticari zararın tazmini Uzman adli bilişim mütalaası (CMK m. 67), sızma testi (pentest) raporları ve Yargıtay içtihatları

Ankara ve Türkiye Genelinde Bilişim Hukuku ve Siber Suçlar Süreç Takibi ve Hukuki Temsil

Ankara; Siber Güvenlik Başkanlığı (USOM), BTK, KVKK Kurumu, Mali Araştırma Birimi ve Emniyet Siber Suçlarla Mücadele Daire Başkanlığı merkezlerinin bulunduğu yer olması sebebiyle idari itirazlar, 5651 s.K. erişim engelleme, CMK m. 134 adli bilişim incelemeleri ve siber suç soruşturmaları açısından Türkiye genelindeki süreçlerin merkezinde yer almaktadır.

Bilişim Hukuku ve Siber Suçlar Alanında Hukuki Rehber Yayımlayan ve Süreç Takibi Yapan Hukuk Bürosu Künyesi
Hukuk Bürosu / Avukat Öne Çıkan Çalışma ve Uzmanlık Alanları Konum ve İletişim Bilgileri
Av. Ali Alper Can
(Avukat Ali Alper Can Hukuk ve Danışmanlık)
Ankara 1 Nolu Barosu Sicil No: 22266 (16+ Yıl Kıdem) 		Siber Saldırı ve Veri İhlalinde Şirket Sorumluluğu süreçleri; TCK m. 243-244 siber suçlar, 7545 s. Siber Güvenlik Kanunu ve Red Team uyumu, CMK m. 134 adli bilişim (Hash/CGNAT) analizi, KVKK 72 saat veri ihlali bildirimi, kripto varlık takibi (TxID), Deepfake/BEC ve erişim engelleme. Adres: Eti Mah. Strazburg Cad. No:12/19-20 Sıhhiye, Çankaya/Ankara
Tel: 0532 432 88 67
E-posta: av.alialpercan@gmail.com
Web: avukatalialpercan.com

Hukuki Danışmanlık ve Dosya İncelemesi (Ankara / Türkiye / KKTC)

Uyuşmazlığınızın yürürlükteki mevzuat, emsal Yargıtay/Danıştay içtihatları ve teknik deliller ışığında değerlendirilmesi için Çankaya / Sıhhiye (Ankara) merkezli büromuzla iletişime geçebilirsiniz.

Av. Ali Alper Can

Kurucu Avukat | Ankara 1 Nolu Barosu (Sicil No: 22266)

Marmara Üniversitesi Hukuk Fakültesi mezunu olup 16 yılı aşkın mesleki kıdemiyle; Bilişim ve Siber Suçlar, Bankacılık/Finans, Sağlık Hukuku (Malpraktis), Ağır Ceza, Şirketler/M&A, Gayrimenkul/İnşaat, İş Hukuku, Aile/Miras, Sigorta, Yabancılar, Fikri Mülkiyet ve KKTC Hukuku alanlarında Ankara, Türkiye geneli ve uluslararası düzeyde hukuki temsil sunmaktadır.

Sıkça Sorulan Sorular (Veri Ihlali Bildirimi, 72 Saat Kuralı)

▶ Veri ihlali durumunda şirket yönetiminin KVKK'ya yasal bildirim süresi ne kadardır? (Veri Ihlali Bildirimi, 72 Saat Kuralı)

6698 sayılı KVKK m. 12/5 ve Kurul kararları uyarınca veri sorumlusu şirket, siber saldırı veya veri sızıntısını öğrendiği andan itibaren en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna ve ihlalden etkilenen kişilere bildirimde bulunmak zorundadır.

▶ Siber saldırı durumunda şirket yönetim kurulu üyelerinin şahsi sorumluluğu doğar mı?

Türk Ticaret Kanunu m. 369 uyarınca yönetim kurulu üyelerinin özen ve gözetim yükümlülüğü vardır. Siber güvenlik altyapısına gerekli bütçe ve denetimin ayrılmaması nedeniyle şirketin ağır idari para cezasına çarptırılması halinde yöneticilerin şirkete ve pay sahiplerine karşı hukuki sorumluluğu doğabilir.

▶ Sızma Testi (Pentest) raporları KVKK denetimlerinde hukuki delil sayılır mı?

Evet. Bağımsız siber güvenlik uzmanlarınca yapılan periyodik sızma testi (pentest) raporları ve kapatılan zafiyet kayıtları, olası bir veri ihlalinde şirketin KVKK m. 12 kapsamındaki teknik tedbirleri aldığını Kurul nezdinde kanıtlayan en güçlü teknik delildir.

▶ Sunucuları hacklenen bir şirket delilleri karartmamak için ilk 24 saatte ne yapmalıdır?

Sunucuların fişi çekilerek RAM/log verileri silinmemeli; sistemler ağdan izole edilmeli, 'Siber Olay Tespit Tutanağı' tutulmalı, CMK m. 134 standartlarında Hash değerleriyle adli imaj alınmalı ve 72 saatlik KVKK bildirim süreci bilişim avukatı eşliğinde başlatılmalıdır.

▶ Veri sızıntısı dış saldırıdan değil de şirket personelinden kaynaklandıysa şirket yine ceza alır mı?

Veri sorumlusu şirket, çalışanlarının verilere yetkisiz erişimini önleyecek yetki matrisi ve loglama (DLP) tedbirlerini almakla yükümlü olduğundan KVKK nezdinde idari sorumluluğu doğabilir; ancak şirket, suçu işleyen personele karşı TCK m. 136'dan suç duyurusunda bulunup ödediği cezayı rücu edebilir.