Bilişim ve Teknoloji Hukuku

Siber güvenlik hukuku; kişisel verilerin, işletme bilgilerinin ve kritik altyapıların dijital ortamda korunmasına ilişkin kuralları kapsar. Düzenlemeler, siber saldırılara karşı hazırlık, önleme, tespit ve yanıt mekanizmalarını içerir.

Temel düzenleme 7545 sayılı Siber Güvenlik Kanunu’dur. Kanun kritik altyapıların korunmasını, siber güvenlik alanında yönetişim modelini ve Siber Güvenlik Başkanlığı’nın yetkilerini düzenler. 192 sayılı Cumhurbaşkanlığı Kararnamesi ile Başkanlığın görev alanına dijital devlet ve yapay zeka da eklenmiştir.

Kurumsal Siber Olaylara Müdahale Ekipleri (SOME) ve kritik altyapı işleticileri açısından siber olayların Ulusal Siber Olaylara Müdahale Merkezi’ne (USOM) bildirilmesinde “gecikmeksizin / derhal” ilkesi esastır. Olayın kritiklik seviyesine göre ilk bildirim veya erken uyarılar ilk 24 saat içinde gerçekleştirilir. Bu yükümlülük, kişisel veri ihlallerindeki KVK Kurulu bildiriminden (72 saat) ayrıdır ve ikisi birlikte değerlendirilmelidir.

Olay sınırlandırılmalı, loglar ve diğer deliller değiştirilmeden korunmalı ve bildirim yükümlülükleri olayın tespitinden itibaren değerlendirilmelidir. Kurumsal SOME’ler ve kritik altyapı işleticileri için USOM’a bildirim gecikmeksizin, olayın kritiklik seviyesine göre ilk 24 saat içinde yapılır. Kişisel veriler etkilenmişse ayrıca Kişisel Verileri Koruma Kurulu’na en kısa sürede ve en geç 72 saat içinde bildirim yapılması gerekir.

Kamu kurumlarının bilişim projelerinde Başkanlığın belirlediği ilkelere uyması zorunlu kılınmıştır. Özel sektör açısından ise veri yönetişimi ve yapay zeka standartlarına uyumun yakın gelecekte hukuki bir zorunluluk haline gelmesi beklenmektedir. Sektöre göre ek yükümlülükler (ör. finans, enerji, sağlık) ayrıca incelenmelidir.

AB pazarında hizmet sunan veya ürün satan şirketler için ilgilendirebilir. NIS2, belirli sektörlerdeki kuruluşlar için siber olay yönetimi ve bildirim yükümlülüklerini sıkılaştırır; Cyber Resilience Act ise AB’de piyasaya sunulan ürünler için siber güvenlik standartları getirir. Uygulanabilirlik, şirketin faaliyetine ve AB ile bağlantısına göre ayrıca değerlendirilmelidir.

Erişim engelleme, içeriğin erişilebilirliğini IP, DNS veya URL engelleme gibi tekniklerle kısıtlar; içerik kaldırma ise içeriğin kaynağından kaldırılmasıdır. Erişim engelleme geçici bir çözüm olarak görülmeli, mümkün olduğunda içerik kaldırma yolları zorlanmalıdır. Dijital içerikler birden fazla hukuk düzenine tabi olabileceğinden hangi kuralların uygulanacağı baştan tespit edilmelidir.

Alan adı ile marka arasındaki uyuşmazlıklarda UDRP ve URS gibi alternatif uyuşmazlık çözüm mekanizmaları kullanılabilir. Bunlarda genellikle alan adı ile marka arasında benzerlik veya kafa karışıklığı, kötü niyetli tescil ve alan adı üzerinde yasal hakkın bulunmaması şartları incelenir. Özellikle girişimler için URS gibi hızlı yöntemler değerlendirilebilir.