ŞİRKETLER İÇİN YENİ SİBER UYUM DÖNEMİ: İHLALİN BEDELİ CİRONUN YÜZDE 5’İNE KADAR ÇIKABİLİR
- Av. & Arb. Mehmet Selçuk BERK
- 16 Tem
- 6 dakikada okunur
Güncelleme tarihi: 24 Tem
Giriş
Şirketlerin dijitalleşmesi yalnızca ticari faaliyetlerin hızlanmasını sağlamadı. Aynı zamanda şirketlerin karşı karşıya bulunduğu hukuki risklerin niteliğini de değiştirdi.
Müşteri verileri, ticari sırlar, muhasebe kayıtları, çalışan bilgileri, e-posta sistemleri, bulut hizmetleri ve üretim altyapıları artık şirketlerin en önemli varlıkları arasında bulunuyor. Bu sistemlerde meydana gelebilecek bir güvenlik açığı yalnızca teknik bir sorun değil; idari, cezai, mali ve itibari sonuçları bulunan kurumsal bir risk niteliği taşıyor.
19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, bu alanda şirketleri doğrudan ilgilendiren yeni bir hukuki dönem başlatmıştır.
Yeni dönemde şirketlerin “bir siber olay meydana geldikten sonra müdahale etmesi” yeterli olmayacaktır. Şirket yönetimlerinin riskleri önceden belirleyen, sorumluları tayin eden, olayları kayıt altına alan ve denetime hazır olmayı sağlayan kurumsal bir siber uyum sistemi kurması gerekmektedir.
Kanun hangi şirketleri kapsıyor?
7545 sayılı Kanun; siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşları kapsamaktadır.
Dolayısıyla Kanun yalnızca teknoloji veya siber güvenlik şirketlerini ilgilendiren sektörel bir düzenleme değildir. İnternet sitesi, e-posta sistemi, şirket ağı, mobil uygulama, bulut hizmeti, çevrim içi satış kanalı veya dijital veri tabanı kullanan şirketlerin Kanun kapsamına girme ihtimali bulunmaktadır.
Bununla birlikte her yükümlülüğün her şirket bakımından aynı kapsamda uygulanacağı söylenemez. Şirketin faaliyet alanı, kullandığı bilişim sistemleri, hizmet sunduğu sektör, kritik altyapı niteliği ve Siber Güvenlik Başkanlığı tarafından çıkarılacak düzenleyici işlemler ayrı ayrı değerlendirilmelidir.
Bu nedenle şirketlerin ilk adımı, kendi faaliyetlerinin Kanun kapsamındaki konumunu belirleyen bir hukuki ve teknik kapsam analizi yapmak olmalıdır.
Şirketlere getirilen temel yükümlülükler nelerdir?
Kanunun 7’nci maddesi kapsamındaki başlıca yükümlülükler şunlardır:
Siber Güvenlik Başkanlığının görev ve yetkileri kapsamında talep ettiği bilgi, belge, yazılım, veri ve donanımı zamanında ve eksiksiz olarak sunmak,
Siber güvenliğe yönelik olarak mevzuatın öngördüğü tedbirleri almak,
Şirketin hizmet sunduğu alanda tespit edilen zafiyetleri veya siber olayları gecikmeksizin Başkanlığa bildirmek,
Başkanlık tarafından yayımlanan politika, strateji, eylem planı ve diğer düzenleyici işlemlerde yer alan tedbirleri yerine getirmek,
Kritik altyapılarda kullanılacak ürün ve hizmetleri, mevzuatta öngörülen şartlara uygun ve yetkilendirilmiş kişi veya şirketlerden tedarik etmek,
Sertifikasyon veya yetkilendirmeye tabi bir siber güvenlik faaliyeti yürütülüyorsa gerekli onayları faaliyete başlamadan önce almak.
Bu hükümler şirketler açısından siber güvenliğin yalnızca bilgi işlem birimine bırakılabilecek teknik bir konu olmadığını göstermektedir. Bildirim, belge saklama, sözleşme yönetimi, satın alma, denetim ve yönetim sorumluluğu gibi alanlar hukuk, bilgi teknolojileri, insan kaynakları ve üst yönetimin birlikte hareket etmesini gerektirir.
Şirket içi uyum çalışması yapılmazsa ne kadar ceza uygulanabilir?
Kanunda doğrudan “siber uyum programı hazırlamamanın cezası” adı altında bağımsız bir kabahat düzenlenmemiştir. Yaptırım, Kanunda belirtilen somut yükümlülüklerin yerine getirilmemesi hâlinde uygulanmaktadır.
Bununla birlikte şirket içinde bir uyum sistemi bulunmaması; yükümlülüklerin zamanında yerine getirilememesi, siber olayların bildirilememesi veya denetim sırasında gerekli bilgi ve sistemlerin sunulamaması riskini ciddi ölçüde artırmaktadır.
1. Tedbir alma ve bildirim yükümlülüğüne aykırılık
Kanunun 7’nci maddesinin birinci fıkrasının (b) ve (c) bentlerindeki görev ve sorumlulukların yerine getirilmemesi hâlinde 1.000.000 TL’den 10.000.000 TL’ye kadar idari para cezası uygulanabilir.
Bu yaptırım özellikle şu durumlarda gündeme gelebilir:
Mevzuatın öngördüğü siber güvenlik tedbirlerinin alınmaması,
Şirketin hizmet sunduğu alanda tespit edilen bir zafiyetin giderilmemesi,
Bir siber olayın veya güvenlik zafiyetinin Başkanlığa gecikmeksizin bildirilmemesi,
Kritik altyapılarda yetkilendirilmemiş ürün veya hizmetlerin kullanılması.
Siber Güvenlik Başkanlığının güncel açıklamalarında da tespit edilen zafiyetlerin istismar edilebilir durumdan çıkarılması gerektiği, aksi hâlde Kanun kapsamında işlem uygulanabileceği belirtilmektedir.
2. Denetime hazırlık yükümlülüğüne aykırılık
Kanunun 8’inci maddesi uyarınca denetime tabi tutulan şirketler;
İlgili cihaz, sistem, yazılım ve donanımları denetime açık tutmak,
Denetim için gerekli altyapıyı sağlamak,
Sistemlerin çalışır durumda bulunması için gerekli önlemleri almak,
Denetim sırasında talep edilen kayıt ve belgeleri sunabilmek
zorundadır.
Bu yükümlülüklere aykırılık bakımından ticari şirketler için özel bir yaptırım öngörülmüştür.
Ticari şirketlere, 100.000 TL’den az olmamak üzere, bağımsız denetimden geçmiş yıllık finansal tablolarındaki brüt satış hasılatının yüzde 5’ine kadar idari para cezası verilebilir.
Örneğin bağımsız denetimden geçmiş yıllık brüt satış hasılatı 500 milyon TL olan bir şirket bakımından cezanın kanuni üst sınırı 25 milyon TL’ye ulaşabilir.
Bu düzenleme, siber denetime hazırlığın şirketler açısından doğrudan mali sonuç doğurabilecek bir yönetim yükümlülüğü hâline geldiğini göstermektedir.
3. Siber güvenlik sektöründeki şirketler için daha ağır sonuçlar
Siber güvenlik ürünü veya hizmeti üreten şirketlerin belirli ürünlerin yurt dışına satışı, şirket birleşmesi, bölünmesi, pay devri veya şirket üzerindeki kontrolün değişmesine neden olan işlemleri bakımından Başkanlığa bildirim veya onay yükümlülüğü doğabilir.
Kanunun 18’inci maddesindeki görev ve sorumlulukların yerine getirilmemesi hâlinde 10.000.000 TL’den 100.000.000 TL’ye kadar idari para cezası uygulanması mümkündür.
Gerekli Başkanlık onayı alınmadan gerçekleştirilen bazı işlemlerin hukuki geçerlilik kazanmayacağı da ayrıca düzenlenmiştir.
Dolayısıyla siber güvenlik alanında faaliyet gösteren şirketler bakımından risk yalnızca para cezasıyla sınırlı değildir. Yapılan şirketler hukuku işleminin geçersiz sayılması veya şirketin faaliyetine devam edememesi gibi sonuçlar da ortaya çıkabilir.
Aynı ihlalin tekrarlanması cezayı artırabilir
Kanunda tanımlanan bir kabahatin idari yaptırım kararı verilinceye kadar birden fazla işlendiğinin tespit edilmesi hâlinde tek bir idari para cezası verilmekle birlikte, ceza iki katını aşmayacak şekilde artırılabilir.
İhlal sonucunda bir menfaat elde edilmiş veya zarara neden olunmuşsa idari para cezasının, elde edilen menfaatin ya da meydana gelen zararın üç katından az ve beş katından fazla olmamak üzere belirlenmesi mümkündür.
Bu nedenle şirketlerin tek bir siber olayın mali sonuçlarını yalnızca Kanunda yazılı başlangıç rakamları üzerinden değerlendirmemesi gerekir.
Denetimde bilgi vermemek yalnızca idari para cezası doğurmayabilir
Kanunla yetkilendirilen mercilerin veya denetim görevlilerinin talep ettiği bilgi, belge, yazılım, veri ya da donanımın verilmemesi veya bunların alınmasının engellenmesi hâlinde, kamu kurumları dışında kalan kişiler bakımından bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezası öngörülmüştür.
Bu düzenleme, şirket çalışanları ve yöneticileri açısından ayrıca kişisel ceza sorumluluğu değerlendirmesi yapılmasını gerektirebilir.
Şirketin denetim anında kimin yetkili olduğunu bilmemesi, kayıtların nerede bulunduğunun tespit edilememesi veya bilgi işlem birimi ile hukuk biriminin koordinasyon sağlayamaması ciddi sonuçlara yol açabilir.
Şirketler nasıl bir siber uyum sistemi kurmalı?
Etkili bir siber uyum çalışmasının en azından aşağıdaki aşamaları içermesi gerekir:
1. Kapsam ve risk analizi
Şirketin bilişim sistemleri, veri varlıkları, dış hizmet sağlayıcıları, faaliyet gösterdiği sektör ve kritik altyapılarla ilişkisi belirlenmelidir.
2. Sorumlulukların tayin edilmesi
Siber olayların tespiti, hukuki değerlendirilmesi, üst yönetime bildirilmesi ve yetkili makamlara aktarılması konusunda görevli kişiler yazılı olarak belirlenmelidir.
3. Olay müdahale ve bildirim prosedürü
Bir güvenlik açığı veya siber olay tespit edildiğinde uygulanacak adımlar oluşturulmalı; olayın hangi durumda, kim tarafından ve hangi belgelerle bildirileceği önceden kararlaştırılmalıdır.
4. Denetime hazır belge düzeni
Sistem envanterleri, erişim kayıtları, güvenlik testleri, alınan tedbirler, olay kayıtları, tedarikçi sözleşmeleri ve çalışan eğitimleri düzenli biçimde belgelenmelidir.
Çünkü hukuki denetimde yalnızca tedbir alınmış olması değil, alınan tedbirin ispatlanabilmesi de önem taşır.
5. Tedarikçi ve sözleşme kontrolü
Bulut hizmetleri, yazılım lisansları, dış kaynak bilgi işlem hizmetleri ve siber güvenlik ürünlerine ilişkin sözleşmeler gözden geçirilmelidir. Hizmet sağlayıcıların olay bildirme, denetime destek olma, log kayıtlarını koruma ve güvenlik açıklarını giderme yükümlülükleri açıkça düzenlenmelidir.
6. Düzenli eğitim ve tatbikat
Çalışanlara yalnızca genel farkındalık eğitimi verilmesi yeterli olmayabilir. Şirketin olay müdahale prosedürü belirli aralıklarla test edilmeli ve sonuçlar kayıt altına alınmalıdır.
7. Mevzuatın sürekli izlenmesi
7545 sayılı Kanun bir çerçeve kanun niteliğindedir. Şirketlerin Siber Güvenlik Başkanlığı tarafından yayımlanacak politika, standart, düzenleyici işlem, rehber ve bildirimleri düzenli olarak takip etmesi gerekir.
Proaktif hukuki koruma neden gereklidir?
Siber güvenlik alanında klasik hukuki yaklaşım, çoğu zaman veri sızıntısı veya saldırı meydana geldikten sonra devreye girmektedir. Ancak yeni düzenlemede şirketlerin yükümlülükleri olay sonrasında savunma yapmakla sınırlı değildir.
Şirketlerden;
Riski önceden değerlendirmeleri,
Gerekli tedbirleri almaları,
Zafiyetleri gidermeleri,
Olayları gecikmeksizin bildirmeleri,
Denetime sürekli hazır bulunmaları
beklenmektedir.
Bu nedenle siber güvenlik uyumu, proaktif hukuki korumanın güncel ve somut uygulama alanlarından biridir.
Önceden kurulmuş bir uyum sistemi, şirketin yalnızca idari para cezası riskini azaltmaz. Aynı zamanda olası bir siber olayın faaliyetlerin durmasına, ticari sırların kaybedilmesine, sözleşmesel sorumluluğa, kişisel veri ihlaline ve şirket itibarının zarar görmesine yol açmasını da önleyebilir.
Sonuç
7545 sayılı Siber Güvenlik Kanunu ile siber güvenlik, şirketler bakımından isteğe bağlı bir teknoloji yatırımı olmaktan çıkarak hukuki uyum ve kurumsal yönetim konusu hâline gelmiştir.
Tedbir alma ve bildirim yükümlülüğünün ihlalinde 10 milyon TL’ye; denetim yükümlülüklerinin ticari şirketlerce yerine getirilmemesinde ise yıllık brüt satış hasılatının yüzde 5’ine kadar çıkabilen idari para cezaları söz konusudur. Siber güvenlik sektöründe faaliyet gösteren şirketler bakımından ceza 100 milyon TL’ye ulaşabilmektedir.
Bu yaptırımlar karşısında şirketlerin bir siber olayın gerçekleşmesini veya denetim yazısının gelmesini beklemesi doğru bir risk yönetimi yöntemi değildir.
Siber uyum sisteminin kurulması, şirket faaliyetlerinin hukuki ve teknik açıdan incelenmesi ve mevzuat değişikliklerinin sürekli takip edilmesi; şirketin mali varlığını, ticari itibarını ve yöneticilerini koruyan proaktif bir hukuki güvence niteliğindedir.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Her şirketin yükümlülükleri faaliyet alanı, bilişim altyapısı, kritik altyapılarla ilişkisi ve ikincil düzenlemeler dikkate alınarak ayrıca değerlendirilmelidir.