Olay bildirim yükümlülükleri

Bir güvenlik olayı doğrulandığında iki saat birlikte işlemeye başlar. Biri teknik müdahalenin saatidir. Öteki yasal bildirim süresidir ve çoğu zaman daha acımasızdır. Bildirim süreleri olayın gerçekleştiği andan değil, kurumun olayı öğrendiği andan sayılır.

Bir sızıntı haftalarca fark edilmeden kalabilir; saat ancak öğrenme anında başlar. Aynı olay birden fazla düzenlemeyi aynı anda tetikleyebilir ve her düzenleme farklı süre, farklı muhatap ister. Bu derste önce KVKK'yı, sonra AB'nin bildirim rejimlerini, ardından 7545 sayılı Siber Güvenlik Kanunu'nu tanıyacaksın. Son iki bölümde öğrenme anının nasıl kaydedildiğini ve bütün sürelerin tek bir matriste nasıl hesaplandığını göreceksin.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrası temel kuralı koyar. İşlenen kişisel veriler kanuni olmayan yollarla başkalarının eline geçerse, veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir. Kanun en kısa süreyi saatle tanımlamaz.

Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu ifadeyi 72 saat olarak yorumladı. Veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapar. Bildirim için Kurulun yayımladığı Kişisel Veri İhlal Bildirim Formu kullanılır. Form ihlalin niteliğini, etkilenen kişi ve kayıt sayısını ve alınan önlemleri sorar.

Karar birkaç ayrıntıyı daha düzenler. Haklı bir gerekçeyle 72 saat kaçırılırsa, bildirimle birlikte gecikmenin nedeni de açıklanır. Formdaki bilgilerin hepsi aynı anda toplanamıyorsa bilgiler gecikmeden, aşamalı olarak verilir.

İlgili kişilere, yani verisi etkilenen müşterilere, etkilenenler belirlendikten sonra makul en kısa sürede haber verilir. Adresine ulaşılabilen kişiye doğrudan yazılır. Ulaşılamıyorsa veri sorumlusunun internet sitesi gibi uygun bir yol kullanılır.

Veriyi kurum adına işleyen tedarikçi, yani veri işleyen, ihlali gecikmeden veri sorumlusuna bildirir. Veri sorumlusu her ihlalin bilgilerini, etkilerini ve alınan önlemleri kayda alır ve Kurul incelemesine hazır tutar. Kurul ayrıca bir veri ihlali müdahale planı hazırlanmasını ve düzenli gözden geçirilmesini ister.

Altay Kargo'nun AB'de müşterileri ve Hollanda'da kurulu bir dağıtım şirketi var. Bu yüzden AB kuralları da onu ilgilendirir. GDPR'nin 33. maddesi KVKK'ya benzer.

Veri sorumlusu ihlali gecikmeksizin ve mümkünse öğrenmesinden itibaren 72 saat içinde denetim otoritesine bildirir. Önemli bir fark vardır. İhlalin kişilerin hak ve özgürlükleri için risk doğurması olası değilse otoriteye bildirim gerekmez.

Kişilere bildirim ise 34. maddeye göre yalnız yüksek risk varsa yapılır. KVKK'nın kanun metninde böyle bir risk eşiği yazmaz. GDPR her ihlalin kayda alınmasını da ister; bildirim yapılmasa bile kayıt tutulur.

NIS2 Yönergesi (AB 2022/2555) kişisel veriye değil, hizmetin sürekliliğine bakar. Posta ve kurye hizmetleri, yönergenin Ek II'sindeki kritik sektörler arasında sayılır. Altay Kargo'nun Hollanda'daki orta ölçekli dağıtım şirketi bu yüzden kapsama girer.

Yönergenin 23. maddesi ciddi olaylar için aşamalı bildirim ister. Hizmette ağır aksama ya da mali kayıp yaratan veya başkalarına kayda değer zarar veren olay ciddi sayılır. Kuruluş olayı öğrendikten sonra en geç 24 saat içinde yetkili CSIRT'e ya da otoriteye erken uyarı gönderir.

En geç 72 saat içinde ilk değerlendirmeyi içeren olay bildirimi gelir. Nihai rapor, olay bildiriminden en geç bir ay sonra verilir. Yönerge ulusal yasalarla uygulanır ve ulusal yasa daha sıkı süre koyabilir.

DORA (AB 2022/2554) finansal kuruluşların bilgi ve iletişim teknolojisi (BİT) olaylarını düzenler. Ayrıntılı süreler 2025/301 sayılı Komisyon Yetki Devri Tüzüğü'ndedir. Finansal kuruluş, olayı büyük BİT olayı olarak sınıflandırdıktan sonra en geç 4 saat içinde ilk bildirimi yapar.

Olayı öğrenmesinin üstünden de 24 saat geçmemiş olmalıdır. Ara rapor ilk bildirimden en geç 72 saat sonra, nihai rapor son ara rapordan en geç bir ay sonra gelir. Altay Kargo finansal kuruluş değildir, ama bir AB bankasına ödeme API'si sağlıyor.

DORA'nın 30. maddesi, banka ile BİT hizmet sağlayıcısı arasındaki sözleşmeye olay anında destek yükümlülüğü yazılmasını ister. Altay Kargo bu yüzden bankaya, bankanın kendi dört saatini kaçırmayacağı kadar erken haber verir.

Siber Dayanıklılık Yasası (CRA, AB 2024/2847) dijital ürün üreticilerine bakar. Üretici, ürünündeki aktif olarak istismar edilen bir zafiyeti ya da ürünün güvenliğini etkileyen ciddi bir olayı bildirir. Bildirim ENISA'nın tek raporlama platformu üzerinden yapılır ve koordinatör CSIRT ile ENISA'ya aynı anda ulaşır. Erken uyarı 24 saat, bildirim 72 saat içinde gider.

Nihai rapor, zafiyette düzeltici önlem kullanıma sunulduktan sonra en geç 14 gün, olayda bildirimden sonra en geç bir ay içinde gelir. Bu yükümlülük 11 Eylül 2026'da başladı ve piyasada zaten bulunan ürünleri de kapsar. Altay Kargo'nun kendi geliştirip AB'de sattığı akıllı teslimat dolapları bu yüzden yeni bir bildirim satırı doğurur.

Türkiye'de 19 Mart 2025'te Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, siber uzayda faaliyet gösteren kamu kurumlarını, gerçek ve tüzel kişileri kapsar. Kanun siber olayı geniş tanımlar: bilişim sistemlerinin ya da verinin gizliliğinin, bütünlüğünün veya erişilebilirliğinin ihlal edilmesi. Bu tanıma göre fidye yazılımıyla kilitlenen bir sunucu, içinde kişisel veri olmasa da siber olaydır.

Kanunun 7. maddesinin birinci fıkrasının (b) bendi, bilişim sistemleriyle hizmet sunan ve veri işleyenlere bir görev verir. Bu kişiler hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirir.

Kanun süreyi saatle değil, gecikmeksizin ifadesiyle koyar. Kanunun 6. maddesi, Başkanlığa yapılacak bildirimlerin usul ve esaslarını belirleme yetkisini Başkanlığa verir. Kurum bu yüzden tek bir saat sayısına güvenmez, kendi sektörüne uygulanan güncel düzenlemeyi izler.

Yükümlülüğü yerine getirmemek idari para cezası gerektirir; 16. maddenin onuncu fıkrası 7. maddenin (a), (b) ve (c) bentlerini bu cezaya bağlar. Kanun yayımlandıktan sonra da değişti.

Temmuz 2026'daki 7590 sayılı Kanun, (a) bendini de ceza kapsamına aldı. Bir maddeyi alıntılamadan önce mevzuat sitesindeki güncel metne bakmak bu yüzden şarttır. Başkanlığın yaygın eksiklikler belgesi sahadan bir uyarı da yapar.

Bazı kurumlar saldırıyı kimseye bildirmeden yalnız yedekten dönmüş, saldırgan aynı zafiyetle yeniden girmiştir. Başkanlık, olay tespit edilince kendisinin ve sektörel SOME'nin, yani siber olaylara müdahale ekibinin, bilgilendirilmesini ister.

Bütün rejimler aynı tetikleyiciye dayanır: öğrenme anı. Öğrenme anı ilk alarm değildir. EDPB'nin GDPR bildirim rehberine göre veri sorumlusu, kişisel verinin etkilendiğine makul bir kesinlikle vardığında olayı öğrenmiş sayılır.

Kısa bir ilk inceleme bu sürenin dışında kalır. Ama inceleme hemen başlamalı ve gereksiz yere uzatılmamalıdır. Uyarı bir alarm olabilir, doğrulama ise bir analistin bunun yanlış alarm olmadığını teyit etmesidir.

Altay Kargo'nun olay müdahale planı, öğrenme anını doğrulama anı olarak tanımlar. Bu seçimi önceden yazmak, saatin ne zaman başladığı üzerine sonradan çıkacak tartışmayı önler. Denetçi yine de alarmın doğrulanmadan önce ne kadar beklediğine bakar.

Şema olay müdahalesini altı durakta gösterir. Hazırlık olaydan önce biter: plan, araç ve eğitim hazırdır. Tespit ve analiz durağında alarm incelenir, kapsam çıkarılır ve olay doğrulanır. Bildirim saati bu durakta başlar.

Sınırlama, temizleme ve kurtarma saat işlerken yürür. Çıkarılan ders durağı ise bir sonraki hazırlığı besler. Bildirim hazırlığı teknik müdahalenin bitmesini beklemez. Sınırlama sürerken hukuk ekibi bildirim taslağını yazmaya başlar ve eksik bilgileri sonraki aşamada tamamlar.

OLAY KAYDI  OLY-2026-117   (bütün saatler UTC)

14.09.2026 19:52  SIEM alarmı: siparis-db01 sunucusundan olağan dışı dışa aktarım
14.09.2026 20:10  Nöbetçi analist triyaja başladı
14.09.2026 21:40  Doğrulandı: müşteri tablosundan 18.400 kayıt dışarı çıktı
                  (2.100 kayıt AB'de yaşayan alıcılara ait)
14.09.2026 21:55  Olay komutanı atandı; öğrenme anı 21:40 olarak işlendi
14.09.2026 22:30  Sınırlama: veritabanının dışa giden bağlantısı kesildi
15.09.2026 04:30  Sistem yeniden açıldı; Hollanda şirketinin siparişleri
                  altı saat durdu

Kayıt bütün saatleri UTC ile tutar, çünkü sunucu günlükleri UTC yazar. Alarm 19:52'de geldi, doğrulama 21:40'ta tamamlandı. Plan öğrenme anını doğrulama anı saydığı için saat 21:40 UTC'de başlar.

Türkiye saati (TSİ) UTC+3'tür. 21:40 UTC, TSİ ile ertesi gün 15 Eylül 00:40 eder. Gece yarısını geçen dönüşümlerde tarih de değişir ve en sık hata bu satırda yapılır.

Kayıttaki son satır da önemlidir. Hollanda şirketinin siparişleri altı saat durdu. Bu durum, olayın NIS2'deki ciddi olay eşiğini aşıp aşmadığı sorusunu açar.

Altay Kargo'nun olay müdahale planı her olay türü için üç soruyu önceden cevaplar: kime bildirilir, süre nedir, saat ne zaman başlar? Gerçek olayda ekip bu cevapları bir matrise döker. Matris her satırda bir yükümlülüğü, muhatabını ve son tarihini taşır.

Son tarih Türkiye saatiyle yazılır, çünkü ekip o saatle çalışır. Uygulanmayan rejim de satır olarak kalır ve neden uygulanmadığı yazılır. Boş bırakılan bir satır, değerlendirilmemiş bir yükümlülük gibi okunur.

BİLDİRİM MATRİSİ  OLY-2026-117
Öğrenme anı: 14.09.2026 21:40 UTC = 15.09.2026 00:40 TSİ

Rejim        Muhatap                          Son tarih (TSİ)
-----------  -------------------------------  ----------------------------------
KVKK         Kurul                            18.09.2026 00:40 (72 saat)
KVKK         Etkilenen 18.400 kişi            belirlenince, makul en kısa sürede
GDPR md. 33  Hollanda veri koruma otoritesi   18.09.2026 00:40 (mümkünse 72 saat)
NIS2 md. 23  Hollanda'daki yetkili CSIRT      16.09.2026 00:40 erken uyarı
NIS2 md. 23  Hollanda'daki yetkili CSIRT      18.09.2026 00:40 olay bildirimi
7545 md. 7   Siber Güvenlik Başkanlığı        gecikmeksizin, sektörel SOME ile
Sözleşme     AB'deki banka müşterisi          15.09.2026 02:40 (2 saat)
CRA md. 14   ENISA platformu                  uygulanmaz: olay üründe değil

Matrisi satır satır oku. İlk iki satır KVKK'dan gelir ve iki ayrı muhatabı vardır: Kurul ve verisi etkilenen kişiler. GDPR satırı, AB'de yaşayan 2.100 alıcı yüzünden açıldı.

NIS2'nin iki satırı vardır, çünkü yönerge aşamalı bildirim ister. Nihai rapor için olay bildiriminden bir ay sonrası ayrıca takvime işlenir. 7545 satırında saat yoktur ama gecikmeksizin ifadesi beklemeye izin vermez.

Sözleşme satırı DORA'dan dolaylı doğar. Banka kendi süresini koruyabilmek için Altay Kargo'dan iki saat içinde haber ister. Son satır, uygulanmayan bir rejimin neden uygulanmadığının da yazıldığını gösterir. Matris üç sık hatayı önler: bütün bildirimleri tek e-postayla yapmak, saat dilimini karıştırmak ve ürün üreticisinin CRA yükümlülüğünü unutmak.