Türkiye'de dijital dönüşümün hızlanması ve asimetrik siber tehditlerin artmasıyla birlikte, şirketlerin veri güvenliği yükümlülükleri normatif olarak baştan aşağı yeniden yapılandırılmaktadır. Yasalaşma sürecindeki Yeni Siber Güvenlik Kanunu, şirketleri yalnızca ticari birer organizasyon olarak değil, ulusal siber güvenlik altyapısının müteselsil birer parçası olarak konumlandırmaktadır. Hukuk büromuz; Avrupa Birliği NIS2 Direktifi standartlarında kurgulanan bu yeni regülasyon çerçevesinde, kurumsal müvekkillerine "Önleyici Hukuk ve Siber Kriz Yönetimi" müşavirliği sunmaktadır.

Mevcut Kişisel Verilerin Korunması Kanunu (KVKK) süreçleri özü itibarıyla veri mahremiyetini merkeze alırken; yeni siber güvenlik mevzuatı doğrudan Bilişim (IT) altyapılarının dayanıklılığını (Cyber Resilience) denetim altına almaktadır. Yetkisiz erişim (Hacking) veya fidye yazılımı (Ransomware) saldırılarında işletmeler, artık yalnızca verisi çalınan "mağdur" sıfatıyla değil; yasal teknik tedbirleri almayan "kusurlu" sıfatıyla ağır idari ve cezai yaptırımlarla yüzleşecektir.

Yeni Siber Güvenlik Kanunu ve AB NIS2 Direktifi Uyumu

Yeni düzenlemeler, ticari şirketlerin siber güvenlik politikalarını uluslararası standartlara (ISO 27001 ve NIS2 ölçütlerine) entegre etmeyi yasal bir zorunluluk haline getirmektedir. Bu kapsamda şirketlerin temel hukuki yükümlülükleri şunlardır:

• Olay Bildirim Yükümlülüğü (Incident Reporting): Bir siber ihlal veya veri sızıntısı tespit edildiğinde, durumun sadece KVKK Kuruluna değil, aynı zamanda USOM'a (Ulusal Siber Olaylara Müdahale Merkezi) çok kısa süre içerisinde resmi olarak raporlanması.
• Tedarik Zinciri Güvenliği (Supply Chain Security): Şirketlerin, hizmet aldıkları üçüncü parti yazılım, bulut (cloud) ve sunucu sağlayıcılarının siber güvenlik standartlarından müştereken ve müteselsilen sorumlu tutulması.
• Sürekli Risk ve Zafiyet Analizi: Bilgi sistemleri üzerindeki zafiyetlerin düzenli olarak taranması ve bu süreçlerin hukuki bir "Siber Risk Haritası" ile kayıt altına alınması.

Siber Güvenlik Başkanlığı'nın (SGB) Kurulması ve Denetim Yetkisi

Zorunlu Sızma Testleri (Pentest) ve Adli Bilişim Standartları

Olası bir siber saldırı ve veri ihlali akabinde şirketlerin idari para cezalarından ve hukuki tazminat yükümlülüklerinden kurtulabilmesi için, "gerekli tüm özen ve teknik tedbirleri aldıklarını" ispat etmeleri gerekmektedir. Hukuken bu ispat yükü, ancak yetkilendirilmiş kurumlarca periyodik olarak gerçekleştirilen Sızma Testleri (Penetration Testing) ve donanım/yazılım güncelleme kayıtlarının (log) arşivlenmesi ile mümkündür. Teknik test raporlarında belirtilen kritik açıkların kapatılmamasının, yargı mercilerince doğrudan "Ağır Kusur" olarak nitelendirileceği unutulmamalıdır.

Yönetim Kurulu Üyelerinin Şahsi ve Hukuki Sorumluluğu

Yeni regülasyonlarla birlikte siber güvenlik riskleri, salt "Bilgi İşlem (IT) Departmanının" idari bir sorunu olmaktan çıkmıştır. 6102 sayılı Türk Ticaret Kanunu (TTK) m. 553 "Özen Yükümlülüğü" kapsamında; şirketin bilişim altyapısına tahsis edilmesi gereken bütçeyi onaylamayan, yasal sızma testlerini yaptırmayan veya kriz anında güvenlik protokollerini işletmeyen Yönetim Kurulu Üyeleri (C-Level Yöneticiler), şirketin ve üçüncü kişilerin uğradığı zarardan şahsi malvarlıklarıyla sorumlu tutulabilecektir.

Siber Güvenlik İhlallerinde Uygulanacak İdari Yaptırımlar

Yeni yasal düzenlemelerin, mevcut idari yaptırımlara ek olarak kurumsal bazda getireceği denetim ve ceza çerçevesi (tasarıya göre) özetle şöyledir:

• Siber Olay Bildiriminin Yapılmaması: Otoritenin (USOM ve SGB) bilgilendirilmemesi durumunda, şirketin yıllık global cirosu üzerinden oransal (%) olarak hesaplanacak idari para cezaları.
• Güvenlik Zafiyetinin Giderilmemesi (Ağır İhmal): Pentest raporlarındaki kritik bulguların kasten kapatılmaması halinde, bilişim sisteminin geçici mühürlenmesi veya ticari faaliyetin durdurulması yaptırımı.
• Siber Saldırı Kaynaklı Veri Sızıntısı: Hem SGB idari para cezaları hem de müşteri/tedarikçilerin maddi ve manevi tazminat talepleri ile karşılaşılması.