Türkiye'de dijital dönüşümün hızlanması ve asimetrik siber tehditlerin artmasıyla birlikte, şirketlerin veri güvenliği yükümlülükleri normatif olarak baştan aşağı yeniden yapılandırılmaktadır. Yasalaşma sürecindeki Yeni Siber Güvenlik Kanunu, şirketleri yalnızca ticari birer organizasyon olarak değil, ulusal siber güvenlik altyapısının müteselsil birer parçası olarak konumlandırmaktadır. Pars Hukuk Bürosu olarak; Avrupa Birliği NIS2 Direktifi standartlarında kurgulanan bu yeni regülasyon çerçevesinde, kurumsal müvekkillerimize "Önleyici Hukuk ve Siber Kriz Yönetimi" müşavirliği sunmaktayız.

Mevcut Kişisel Verilerin Korunması Kanunu (KVKK) süreçleri özü itibarıyla veri mahremiyetini merkeze alırken; yeni siber güvenlik mevzuatı doğrudan Bilişim (IT) altyapılarının dayanıklılığını (Cyber Resilience) denetim altına almaktadır. Yetkisiz erişim (Hacking) veya fidye yazılımı (Ransomware) saldırılarında işletmeler, artık yalnızca verisi çalınan "mağdur" sıfatıyla değil; yasal teknik tedbirleri almayan "kusurlu" sıfatıyla ağır idari ve cezai yaptırımlarla yüzleşecektir.

Yeni Siber Güvenlik Kanunu ve AB NIS2 Direktifi Uyumu

Yeni düzenlemeler, ticari şirketlerin siber güvenlik politikalarını uluslararası standartlara (ISO 27001 ve NIS2 ölçütlerine) entegre etmeyi yasal bir zorunluluk haline getirmektedir. Bu kapsamda şirketlerin temel hukuki yükümlülükleri şunlardır:

• Olay Bildirim Yükümlülüğü (Incident Reporting): Bir siber ihlal veya veri sızıntısı tespit edildiğinde, durumun sadece KVKK Kuruluna değil, aynı zamanda USOM'a (Ulusal Siber Olaylara Müdahale Merkezi) çok kısa süre içerisinde resmi olarak raporlanması.
• Tedarik Zinciri Güvenliği (Supply Chain Security): Şirketlerin, hizmet aldıkları üçüncü parti yazılım, bulut (cloud) ve sunucu sağlayıcılarının siber güvenlik standartlarından müştereken ve müteselsilen sorumlu tutulması.
• Sürekli Risk ve Zafiyet Analizi: Bilgi sistemleri üzerindeki zafiyetlerin düzenli olarak taranması ve bu süreçlerin hukuki bir "Siber Risk Haritası" ile kayıt altına alınması.

Zorunlu Sızma Testleri (Pentest) ve Adli Bilişim Standartları

Olası bir siber saldırı (örneğin; TCK m. 244 kapsamında sistemi engelleme ve bozma eylemleri) ve veri ihlali akabinde şirketlerin idari para cezalarından ve hukuki tazminat yükümlülüklerinden kurtulabilmesi için, "gerekli tüm özen ve teknik tedbirleri aldıklarını" ispat etmeleri gerekmektedir. Hukuken bu ispat yükü, ancak yetkilendirilmiş kurumlarca periyodik olarak gerçekleştirilen Sızma Testleri (Penetration Testing) ve donanım/yazılım güncelleme kayıtlarının (log) arşivlenmesi ile mümkündür. Pars Hukuk olarak süreçteki duruşumuz; teknik test raporlarında belirtilen kritik açıkların kapatılmamasının, yargı mercilerince doğrudan "Ağır Kusur" olarak nitelendirileceği yönündedir.

Yönetim Kurulu Üyelerinin Şahsi ve Hukuki Sorumluluğu

Yeni regülasyonlarla birlikte siber güvenlik riskleri, salt "Bilgi İşlem (IT) Departmanının" idari bir sorunu olmaktan çıkmıştır. 6102 sayılı Türk Ticaret Kanunu (TTK) m. 553 "Özen Yükümlülüğü" kapsamında; şirketin bilişim altyapısına tahsis edilmesi gereken bütçeyi onaylamayan, yasal sızma testlerini yaptırmayan veya kriz anında güvenlik protokollerini işletmeyen Yönetim Kurulu Üyeleri (C-Level Yöneticiler), şirketin ve üçüncü kişilerin uğradığı zarardan şahsi malvarlıklarıyla sorumlu tutulabilecektir.

Siber Güvenlik İhlallerinde Uygulanacak İdari Yaptırımlar

Yeni yasal düzenlemelerin, mevcut idari yaptırımlara ek olarak kurumsal bazda getireceği denetim ve ceza çerçevesi aşağıda sistematik olarak sunulmuştur (Potansiyel yükümlülüklerinizi ölçmek için KVKK Ceza Risk Simülatörü aracımızı da kullanabilirsiniz):

Ankara merkezli Pars Hukuk Bürosu olarak, Bilişim Hukuku, Adli Bilişim (Digital Forensics) ve Kurumsal Ceza Hukukunu tek çatı altında birleştiren vizyonumuzla şirketlerinizi yeni regülasyonlara hazırlıyoruz. Sızma testlerinin hukuki standardizasyonu, veri ihlali kriz yönetimi ve şirket yönetim kurullarının siber kanunlara uyum müşavirliği için iletişim sayfamızdan yetkin ekibimize ulaşabilirsiniz.