Siber Güvenlik Kanunu (7545) ve Siber Güvenlik Hukuku

Siber güvenlik, dijital çağda kişisel verilerin, işletme bilgilerinin ve kritik altyapıların korunması için gereksinim duyulan temel unsurlardan biridir. İnternet üzerinden gerçekleştirilen işlemlerin artışı ve dijital sistemlerin yaygınlaşmasıyla birlikte siber saldırılar da artış göstermekte; bu durum bireyler ve kuruluşlar için ciddi tehditler oluşturmaktadır. Türkiye bu alandaki temel düzenlemeyi 7545 sayılı Siber Güvenlik Kanunu ile yapmıştır.

7545 Sayılı Siber Güvenlik Kanunu

Kanun, kamu kurumları, özel sektör ve bireyler için bağlayıcı kurallar getirmektedir. Temel özellikleri şunlardır:

1. Kapsamlı düzenleme: Kamu ve özel sektörü kapsayan ilkeler getirir.
2. İdari ve cezai yaptırımlar: İhlallere ağır para ve hapis cezaları öngörür.
3. Yeni suç tipleri: Siber saldırılar ve veri ihlalleri için özel cezalar tanımlar.
4. Standardizasyon ve sertifikasyon: Siber güvenlik ürünlerinin denetimini zorunlu hale getirir.
5. Yerli ve milli ürünlerin önceliği: Kritik altyapılarda yerli çözümleri teşvik eder.

Siber Güvenlik Başkanlığı

Kanunla birlikte Siber Güvenlik Başkanlığı kurulmuştur. Başkanlığın görevleri arasında kritik altyapıları korumak, siber saldırıları önlemek, siber olaylara müdahale ekiplerinin (SOME) oluşturulmasını sağlamak ve yerli siber güvenlik ürünlerini desteklemek yer alır.

Kritik altyapıların korunması

• Enerji, finans, sağlık ve ulaşım gibi sektörlerdeki kritik sistemlerin güvenliğinin sağlanması öngörülmüştür.
• Zafiyet (sızma) testleri ve risk analizleri ile sertifikasyon süreçleri zorunlu hale getirilmiştir.

Yeni suçlar ve cezalar

Suç türü	Cezası
Veri sızıntısını yayma	3-5 yıl hapis
Sahte siber saldırı iddiası	2-5 yıl hapis
Kritik altyapıya saldırı	8-15 yıl hapis
Denetim engelleme	1-3 yıl hapis + para cezası

İdari para cezaları

• Güvenlik önlemi almayan şirketlere: 1-10 milyon TL
• Yerli ürün kullanmayan kamu kurumlarına: 10-100 milyon TL

Özel sektör ve bireyler için yükümlülükler

• Bilişim sistemleri kullanan şirketler, güvenlik açıklarını Siber Güvenlik Başkanlığı’na bildirmek zorundadır.
• Kritik altyapı işletmecileri yalnızca sertifikalı siber güvenlik ürünleri kullanacaktır.
• Veri işleyen firmalar mahremiyet ve güvenlik önlemlerini artırmalıdır.

Kanunun temel amacı, siber güvenliğin sağlanabilmesi için yasal zemin oluşturmaktır. Bununla birlikte kanunun ifade özgürlüğüne sınırlama getirebileceği yönünde eleştiriler de yapılmaktadır; muhalefet ve basın örgütleri, “veri sızıntısı” gibi belirsiz ifadelerin gazetecileri hedef alabileceği konusunda uyarılarda bulunmaktadır.

192 Sayılı Cumhurbaşkanlığı Kararnamesi ile Gelen Değişiklikler

7545 sayılı Kanun’un ardından, Siber Güvenlik Başkanlığı’nın yetki ve teşkilat yapısını genişleten 192 sayılı Cumhurbaşkanlığı Kararnamesi (25 Aralık 2025) Resmî Gazete’de yayımlanmıştır. Düzenleme, Başkanlığın görev alanına “dijital devlet” ve “yapay zeka” gibi unsurları eklemektedir.

Başkanlığın genişleyen görev alanı

• Dijital devlet ve e-Devlet yönetimi: Başkanlık, dijital devlet kurumsal mimarisini oluşturma, e-Devlet Kapısı ürünlerini geliştirme ve işletme yetkisine sahip olmuştur.
• Yapay zeka mevzuatı ve yönetişimi: Kamuda yapay zeka uygulamalarına yönelik mevzuat çalışmaları, ulusal stratejiler ve yapay zeka ekosisteminin geliştirilmesi faaliyetleri Başkanlığın koordinasyonuna verilmiştir.
• Veri yönetişimi: Dijital devlet ve yapay zeka teknolojileri kapsamında verinin oluşturulmasından yok edilmesine kadar tüm süreçlere ilişkin standartlar Başkanlık tarafından belirlenecektir.

Teşkilat yapısındaki değişiklikler

1. Kamu Yapay Zeka Genel Müdürlüğü: Kamudaki yapay zeka projelerini yürütecek birim.
2. Dijital Devlet Genel Müdürlüğü: e-Devlet ve kamu bilişim sistemlerinin entegrasyonundan sorumlu birim.
3. Yurt dışı teşkilatı ve şirket kurma yetkisi: Başkanlık, görev alanıyla ilgili yurt içinde veya yurt dışında şirket kurma yetkisiyle donatılmıştır.

Kamu kurumları ve şirketler açısından

Kamu kurumlarının bilişim projelerinde Başkanlığın belirlediği proje yönetim ilkelerine uyması zorunlu kılınmış; Strateji ve Bütçe Başkanlığı’na verilecek görüşlerle projelerin mali boyutları da denetim altına alınmıştır. Şirketler için ise veri yönetişimi ve yapay zeka standartlarına uyumun yakın gelecekte hukuki bir zorunluluk olarak gündeme gelmesi beklenmektedir.

AB ve ABD Siber Güvenlik Mevzuatı

Avrupa Birliği ve Amerika Birleşik Devletleri siber güvenlik alanında farklı düzenleme ve stratejiler benimsemektedir. Her iki bölge de siber tehditlerin yönetimi için çeşitli düzenlemeler geliştirmiştir; ancak kapsam ve uygulama yöntemleri farklılık göstermektedir.

AB düzenlemeleri

• NIS1 ve NIS2: Birinci NIS Direktifi, belirli sektörlerin ve bu sektörlerdeki aktörlerin temel yükümlülüklerinin belirlenmesine yönelik düzenlemeler içermektedir. NIS2 ile kapsam genişletilmiş, yeni sektörler eklenmiş ve uyuma yönelik daha sıkı yaptırımlar getirilmiştir; belirli sektörlerdeki kuruluşlara siber olayları yönetebilme kabiliyeti ve siber olayları bildirme yükümlülüğü öngörülmüştür.
• Cybersecurity Act: Avrupa Birliği Siber Güvenlik Ajansı’nın (ENISA) görevlerini güçlendirir ve siber güvenlik sertifikasyonuna ilişkin çerçeveyi düzenler.
• Cyber Resilience Act: AB pazarındaki dijital unsurlu ürünler için siber güvenlik gerekliliklerini belirler ve bu gerekliliklere uymayan ürünlerin piyasaya arzını engellemeyi amaçlar.

ABD yaklaşımı

ABD, siber güvenlik alanında daha esnek ve dinamik düzenlemeler geliştirmektedir. Devletin ve özel sektörün iş birliği içinde hareket ettiği bir çerçeve benimsenmiş; kritik altyapıların korunması için siber saldırılara karşı hazırlık, önleme, tespit ve yanıt mekanizmalarını içeren düzenlemeler yapılmıştır.

Sonuç

7545 sayılı Kanun ve 192 sayılı Kararname ile Türkiye, siber güvenliği yapay zeka ve dijital devlet vizyonuyla birleştirmiştir. Bu durum, bilişim hukuku alanında yeni standartların ve uyum süreçlerinin başlaması anlamına gelmektedir. Siber güvenlik hukuku ve mevzuatı teknolojinin gelişimine paralel olarak güncellenmeye devam edecek; yasal düzenlemelerin yanı sıra bireylerin ve kuruluşların bu alandaki farkındalığı da belirleyici olacaktır.