7545 Sayılı Siber Güvenlik Kanunu ve KOBİ'lere Etkisi

Türkiye’nin siber güvenlik mevzuatında köklü bir değişiklik yaşanıyor: 7545 sayılı Siber Güvenlik Kanunu ile birlikte Siber Güvenlik Başkanlığı kuruldu ve bilişim sistemleri üzerinden hizmet sunan ya da veri işleyen kurum ve şirketler için yeni yükümlülükler getirildi.

Bu yazı hukuki danışmanlık yerine geçmez — kanunun tam kapsamı ve şirketinize özel etkileri için mutlaka bir hukuk danışmanına başvurun. Ama teknoloji kararı veren yöneticilerin bu değişikliği neden görmezden gelemeyeceğini anlamak için pratik bir çerçeve sunuyoruz.

Kanun Kimleri Kapsıyor?

Kanunun kapsamı ilk bakışta göründüğünden geniş: bilişim sistemleri üzerinden hizmet sunan veya veri işleyen kamu kurumları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ve tüzel kişiliği bulunmayan kuruluşlar kanun kapsamına giriyor. Yani yalnızca kamu kurumları değil, dijital ortamda faaliyet gösteren pek çok özel sektör şirketi de bu kapsamda.

En doğrudan etkilenen grup ise kritik altyapı sektörlerindeki işletmeler: enerji, finans, ulaştırma, sağlık ve elektronik haberleşme. Bu sektörlerde faaliyet gösteren veya bu sektörlere hizmet sağlayan şirketler için yükümlülükler daha ağır.

Temel Yükümlülükler Neler?

Kanunun getirdiği başlıca yükümlülükler şunlar:

Belirlenen güvenlik tedbirlerini almak: Siber Güvenlik Başkanlığı tarafından yayımlanacak politika, strateji, eylem planı ve rehberlerde belirtilen tedbirlerin uygulanması.
Bilgi taleplerine zamanında cevap vermek: Başkanlık’ın talep ettiği bilgi, belge ve teknik verilerin süresi içinde sağlanması.
Olay bildirimi: Tespit edilen siber saldırı veya güvenlik zafiyetlerinin gecikmeksizin Başkanlığa bildirilmesi.
Yetkilendirilmiş tedarikçi zorunluluğu: Kritik altyapı kapsamındaki kurum ve şirketlerin siber güvenlik ürün ve hizmetlerini yalnızca Başkanlık tarafından yetkilendirilmiş sağlayıcılardan temin etmesi.

Yaptırımlar Neden Ciddiye Alınmalı?

Kanun hem idari para cezaları hem de hapis cezaları öngörüyor. İdari para cezaları 1 milyon TL ile 100 milyon TL arasında değişiyor; bilgi/belge vermeme, yetkisiz faaliyet yürütme, sır saklama yükümlülüğünün ihlali, veri sızıntısı ve yanlış bilgi yayma gibi fiiller için ayrıca hapis cezaları da düzenlenmiş durumda.

Bu ceza aralığının büyüklüğü, özellikle KOBİ’ler için orantısız bir risk anlamına gelebilir. Kanunda küçük ve orta ölçekli işletmeler için kademeli uyum, teşvik veya rehberlik gibi yumuşak destek mekanizmaları şu an için somut biçimde yer almıyor — bu da uyum yükünün büyük ölçüde şirketlerin kendi inisiyatifine kaldığı anlamına geliyor.

KOBİ’ler İçin Pratikte Ne Değişiyor?

Kritik altyapı sektörlerinde değilseniz bile, bu kanunun oluşturduğu genel farkındalık ve denetim ortamını göz ardı etmemek gerekir. Pratikte dikkat edilmesi gereken noktalar:

Veri işleme envanterinizi çıkarın. Hangi sistemlerin hangi veriyi işlediğini, hangi üçüncü taraf servislerin bu veriye eriştiğini bilmiyorsanız, bir olay anında ne bildireceğinizi de bilemezsiniz.

Olay müdahale sürecinizi tanımlayın. “Bir güvenlik zafiyeti tespit edildiğinde kim, ne zaman, hangi adımları atar” sorusunun net bir cevabı olmalı. Bu süreç sadece yasal zorunluluk değil, operasyonel olgunluğun da göstergesi.

Tedarikçi zincirinizi gözden geçirin. Kritik altyapı kapsamındaysanız, siber güvenlik ürün ve hizmeti aldığınız firmaların yetkilendirme durumunu kontrol edin. Kapsam dışındaysanız bile, tedarikçilerinizin güvenlik pratikleri sizin riskinizin bir parçası.

Yönetim kurulu seviyesinde farkındalık yaratın. Ceza büyüklükleri göz önüne alındığında, siber güvenlik artık yalnızca IT’nin değil, üst yönetimin gündeminde olması gereken bir konu.

Nereden Başlanmalı?

Kanuna tam uyum karmaşık ve genellikle hukuki danışmanlık gerektiren bir süreç. Ama teknik tarafta atılabilecek ilk somut adım nettir: mevcut güvenlik duruşunuzu (varlık envanteri, erişim kontrolleri, loglama, olay müdahale planı) bir dış gözle değerlendirmek. Bu değerlendirme hem kanuni uyum sürecine hem de genel siber dayanıklılığınıza hizmet eder.

Özet

7545 sayılı Siber Güvenlik Kanunu, Türkiye’de siber güvenliği “iyi olsa iyi olur” kategorisinden “yasal yükümlülük” kategorisine taşıyor. KOBİ’ler için doğrudan kapsam dışında kalınsa bile, denetim ortamının sıkılaştığı bir dönemde güvenlik olgunluğunu erteleme lüksü giderek azalıyor.

Şirketinizin mevcut güvenlik duruşunu değerlendirmek ve önceliklendirilmiş bir yol haritası çıkarmak isterseniz, ücretsiz teknik görüşmeyle başlayabiliriz.