7545 sayılı Siber Güvenlik Kanunu ve Bilgi ve İletişim Güvenliği Rehberi

19 Mart 2025'te Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, Türkiye'nin ilk müstakil siber güvenlik kanunudur. Önceki derslerde KVKK kişisel veriyi korudu. Bu Kanun ise sistemi ve hizmeti korur. Kanundan önce siber güvenlik yükümlülükleri elektronik haberleşme, bankacılık ve kişisel veri mevzuatına dağılmıştı.

Kamu için teknik tedbirleri ise bir rehber sayıyordu. Bu derste Kanunun kapsamını ve kurumlarını, Bilgi ve İletişim Güvenliği Rehberi'ni, bildirim ve denetim yükümlülüklerini göreceksin. Son bölüm kritik altyapı sektörlerine ayrıldı. Altay Kargo'yu yakından ilgilendiren bir haber de orada: 2026'da belirlenen sektörlerden biri Posta ve Kargo'dur.

Kanunun 2. maddesi kapsamı geniş çizer. Siber uzayda varlık gösteren, faaliyet yürüten ya da hizmet sunan kamu kurumları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ve tüzel kişiliği olmayan kuruluşlar kapsamdadır. Siber uzay da geniştir: internete, elektronik haberleşme ya da bilgisayar ağlarına doğrudan ya da dolaylı bağlı bütün bilişim sistemleri.

Kolluğun ve istihbarat kurumlarının istihbari faaliyetleri ile silahlı kuvvetlerin iç hizmet faaliyetleri kapsam dışıdır. Web sitesi, mobil uygulaması ve takip sistemiyle hizmet veren Altay Kargo bu yüzden Kanunun doğrudan muhatabıdır. Kanun siber olayı da tanımlar: bilişim sistemlerinin ya da verinin gizliliğinin, bütünlüğünün veya erişilebilirliğinin ihlali. Bu tanım kişisel veri içermeyen olayları da kapsar.

Kanun iki kurumla çalışır. Siber Güvenlik Kurulu, Cumhurbaşkanı başkanlığında toplanır (madde 9). Kurulda Cumhurbaşkanı Yardımcısı, ilgili bakanlar, Milli Güvenlik Kurulu Genel Sekreteri, MİT Başkanı, Savunma Sanayii Başkanı ve Siber Güvenlik Başkanı yer alır.

Kurul politika ve strateji kararlarını alır, kritik altyapı sektörlerini belirler. Politikayı uygulayan Siber Güvenlik Başkanlığı ise Ocak 2025'te 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulmuştu. Kanun onun görevlerini sayar (madde 5).

Başkanlık kritik altyapıları belirler, standart hazırlar, siber güvenlik ürün ve şirketlerini belgelendirir ve denetim yapar. Madde 6'ya göre kapsamdakilerden bilgi, belge ve kayıt isteyebilir. Talebi alan kurum kendi mevzuatını gerekçe gösterip kaçınamaz.

Genel çerçeve KVKK'nın veri odaklı yaklaşımından farklıdır. 7545 sayılı Kanun kişisel veriyi değil, sistemin ve hizmetin sürekliliğini korumayı hedefler. İki kanun aynı olaya farklı yerden bakar. Altay Kargo'nun takip sistemi fidye yazılımıyla kilitlenirse hizmet durur; bu bir siber olaydır.

Saldırgan müşteri tablosunu da kopyaladıysa aynı olay bir kişisel veri ihlalidir. Şirket bu durumda iki ayrı bildirim yapar: Başkanlığa gecikmeksizin, Kurula en geç 72 saat içinde. Olay kaydı tek tutulur, bildirimler ayrı hazırlanır.

Kanundan önce de kamu için bir teknik çerçeve vardı. Dayanağı, 6 Temmuz 2019'da yayımlanan 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi'dir. Genelge üzerine Cumhurbaşkanlığı Dijital Dönüşüm Ofisi, Bilgi ve İletişim Güvenliği Rehberi'ni (BİG Rehberi) hazırladı.

Ofisin siber güvenlik görevleri 2025'te Başkanlığa geçti. Rehberin 1 Mart 2026 tarihli 1.1 sürümü artık Başkanlığın sitesinde yayımlanır. Başkanlığa göre bu sürümde yalnız logo ve kurum adı değişti, içerik ve denetim usulü aynı kaldı.

Rehber kamu kurumlarını ve kritik altyapı hizmeti veren işletmeleri kapsar. Bu işletmelere hizmet veren tedarikçi doğrudan yükümlü değildir, gereksinimler ona ürün ve hizmet şartı olarak yansır. Rehber kanun değil, genelgeye dayanan idari bir düzenlemedir. Bağlayıcılığını denetim ve gözetim süreçlerinden alır.

Rehber tedbirleri tek tip uygulatmaz, önce varlıkları gruplar. Altı ana başlık vardır: ağ ve sistemler, uygulamalar, taşınabilir cihaz ve ortamlar, IoT cihazları, personel ve fiziksel mekânlar. Her varlık grubu için sekiz soruluk bir kritiklik anketi doldurulur. Sorular önce gizlilik, bütünlük ve erişilebilirliği, sonra etkilenen kişi sayısını, toplumsal ve kurumsal sonuçları, sektörel etkiyi ve bağımlı varlıkları sorar.

Anketi varlık sahipleri, sistem yöneticileri ve yöneticiler birlikte doldurur; Rehber uzlaşma için Delfi yöntemini önerir. Puanlar toplanır: 18'in altı Derece 1, 18 ile 27 arası Derece 2, 28 ve üstü Derece 3'tür. Derece 1'e temel, Derece 2'ye temel ve orta, Derece 3'e bunlara ek ileri seviye tedbirler uygulanır.

VARLIK GRUBU: Uygulamalar-1 (gönderi takip portalı, dışa açık)
SORU                              CEVAP  PUAN
1 Gizlilik                        b      2
2 Bütünlük                        b      2
3 Erişilebilirlik (1-8 saat)      c      3
4 Etkilenen kişi (10 bin-100 bin) c      3
5 Toplumsal sonuç (basına yansır) b      2
6 Kurumsal sonuç (itibar)         c      3
7 Sektörel etki                   c      3
8 Bağımlı varlıklar               c      3
ANKET PUANI                              21  -> Derece 2

Tabloyu satır satır oku. İlk üç satır verinin kendisine bakar. Portaldaki ad ve adres sızarsa şirket ve kişiler zarar görür; bu şık 2 puandır. Portal bir iş gününden uzun duramaz, erişilebilirlik bu yüzden 3 puan alır.

Sonraki beş satır etki alanını ölçer. On binlerce müşteri, basına yansıyan bir olay ve itibar kaybı puanı yükseltir. Toplam 21, yani Derece 2'dir; portal temel ve orta seviye tedbirleri alır. Puan 28'e ulaşsaydı grup Derece 3 olur, ileri seviye tedbirler de gerekirdi.

1 Gizlilik           a  1
2 Bütünlük           b  2
3 Erişilebilirlik    c  3
4 Etkilenen kişi     b  2
5 Toplumsal sonuç    b  2
6 Kurumsal sonuç     b  2
7 Sektörel etki      c  3
8 Bağımlı varlıklar  c  3

Kanunun kalbi 7. maddedir. Bilişim sistemleriyle hizmet sunan, veri toplayan ya da işleyen herkes beş sorumluluk taşır. Birincisi, Başkanlığın istediği veri, bilgi, belge, donanım ve yazılımı öncelikle ve zamanında iletmektir.

İkincisi, mevzuatın öngördüğü tedbirleri almak ve tespit ettiği zafiyet ve siber olayları gecikmeksizin Başkanlığa bildirmektir. Üçüncüsü yalnız kamu kurumlarını ve kritik altyapıları bağlar: siber güvenlik ürün ve hizmetleri, Başkanlığın yetkilendirdiği ve belgelendirdiği uzman, üretici ya da şirketlerden alınır. Dördüncüsü siber güvenlik şirketlerine yöneliktir: sertifikasyon, yetkilendirme ve belgelendirmeye tabi olanlar faaliyete başlamadan Başkanlığın onayını alır, yani Başkanlığın yetkilendirme sürecinden geçer.

Beşincisi, Başkanlığın politika, strateji ve eylem planlarındaki gereklere uymaktır. Kanun gecikmeksizin der, sabit bir saat vermez. Bunu 72 saat diye okumak KVKK ile karıştırmaktır.

Başkanlık, Kanun kapsamındaki her fiil ve işlemi denetleyebilir (madde 8). Denetimi Başkanlık personeli ya da yetkilendirilmiş bağımsız denetçiler yapar. Kamu kurumlarında ve kritik altyapılarda denetim, Başkanlık personelince ya da onların refakatinde yürür.

Denetlenen, cihaz ve sistemleri denetime açık tutmak zorundadır. Yaptırımlar ağırdır. İstenen bilgi, belge ya da veriyi vermeyen ya da alınmasını engelleyen, kamu kurumları hariç, bir yıldan üç yıla kadar hapisle cezalandırılır.

Gerekli onayı almadan faaliyet yürütene iki yıldan dört yıla kadar hapis öngörülür. 7. maddenin ilk üç bendine uymayana ayrıca bir milyondan on milyon TL'ye kadar idari para cezası verilir. Denetime cihaz açmayan ticari şirkette ceza, brüt satış hasılatının yüzde beşine kadar çıkabilir.

Kanun kritik altyapıyı tanımlar (madde 3). İşlediği bilginin gizliliği, bütünlüğü ya da erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara, güvenlik açıklarına ya da kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapı kritiktir. Kritik altyapı sektörlerini belirlemek Siber Güvenlik Kurulunun görevidir. Kurul 5 Mayıs 2026'daki ilk toplantısında on beş sektör belirledi.

İlk yedisi Dijital Altyapılar, Dijital Hizmetler, Elektronik Haberleşme, Enerji, Finans, Gıda ve Tarım ve İmalat Sanayidir. Öbür sekizi Kamu Hizmetleri, Medya ve Kriz İletişimi, Posta ve Kargo, Sağlık, Savunma Sanayii, Su Yönetimi, Ulaştırma ve Uzaydır. Sektörlere ilişkin ikincil düzenleme çalışmaları sürüyor. Hangi işletmenin kritik altyapı sayılacağı bu düzenlemelerle netleşecek.

Rehberi uygulayan kurum her yıl en az bir kez denetim yaptırır. Denetim ekibi en az iki denetçiden oluşur. Ekip, uyum çalışmasını yürüten birimden ve denetlenen birimden bağımsızdır. İç kaynak yoksa TSE programında belgelendirilmiş firmalardan hizmet alınır.

Bağımsızlık için iki sınır vardır. Kurum, sözleşmeden önceki iki yıl içinde Rehber danışmanlığı aldığı firmadan denetim alamaz. Aynı firmadan art arda en fazla üç denetim alabilir. Sonuçlar, raporun imzasından itibaren iki ay içinde Bilgi ve İletişim Güvenliği Uyum ve Denetim İzleme Sistemi (BİGDES) üzerinden Başkanlığa iletilir.

KONTROL                                             ALTAY KARGO
Siber uzayda hizmet sunuyor mu? (md. 2)            Evet: web, mobil, takip API
Bilişim sistemiyle veri topluyor ya da işliyor mu? Evet -> md. 7 yükümlülükleri
Faaliyet alanı Kurulun sektör listesinde mi?       Evet: Posta ve Kargo
Kritik altyapı işletmecisi sayılıyor mu?           Bekliyor: ikincil düzenleme
Kritik altyapı müşterisi var mı?                   Evet: liman işletmesi -> sözleşme
Olay bildirim kanalı hazır mı?                     Nöbet listesi, SOME iletişim bilgisi

Listeyi yukarıdan aşağı oku. İlk iki satır, Altay Kargo'nun sektörü ne olursa olsun 7. madde yükümlülüklerini taşıdığını gösterir. Üçüncü ve dördüncü satır açık bir soruya işaret eder: sektör belli, işletme düzeyindeki kapsam henüz belli değil.

Beşinci satır tedarik zincirinin etkisidir. Kritik altyapı işleten bir liman, Rehberin ve Kanunun şartlarını tedarikçi sözleşmesine yansıtır. Son satır en pratik olanıdır.

Gecikmeksizin bildirim, gece yarısı kime ulaşılacağı belli değilse kâğıt üzerinde kalır. Başkanlık, olay müdahale ekipleriyle iletişim için SOME İletişim Platformu (SİP) adlı bir sistem de işletir.