7545 Sayılı Siber Güvenlik Kanunu: Şirketler İçin Teknik Hazırlık Rehberi

7545 sayılı Siber Güvenlik Kanunu, Türkiye'nin siber uzaydaki kritik altyapılarını güvence altına almak ve siber olaylara müdahale mekanizmasını merkezileştirmek amacıyla Mart 2025'te yürürlüğe girmiş çerçeve yasadır. Bu kanunla kurulan Siber Güvenlik Başkanlığı, Temmuz 2026'da yayımlanan 7590 sayılı değişikliklerle BTK'nın yetkilerini de devralarak siber güvenlik alanındaki tek icracı ve denetleyici otorite haline gelmiştir.

7545 Sayılı Siber Güvenlik Kanunu'nun Temel Amacı

Türkiye'de bugüne kadar farklı mevzuatlar (5651, 5809, 6698 vb.) ve kurumlar arasına dağılmış olan siber güvenlik yetki ve sorumlulukları, bu kanun ile tek bir çatı altında toplanmıştır. Temel amaç, ulusal siber güvenliğin sağlanması, kritik altyapılara yönelik siber saldırıların engellenmesi ve siber caydırıcılığın artırılmasıdır.

Kritik Kurum: Siber Güvenlik Başkanlığı

Kanunun getirdiği en büyük idari değişiklik, doğrudan Cumhurbaşkanlığı'na bağlı veya ilgili bakanlık uhdesinde çalışan **Siber Güvenlik Başkanlığı**'nın kurulmasıdır.
Bu kurum;
- Ulusal siber güvenlik stratejilerini ve teknik standartları belirlemek,
- Kapsamdaki şirketleri ve kurumları denetlemek,
- Kritik zafiyetlere ve siber olaylara müdahale süreçlerini koordine etmek,
- Siber güvenlik ürün/hizmet sağlayıcılarını yetkilendirmek (Sertifikasyon)
ile görevlendirilmiştir.

7590 Sayılı Değişiklik Kanunu ve BTK'nın Yetki Devri

Kanunun yayımlanmasından yaklaşık bir buçuk yıl sonra, **31 Temmuz 2026** tarihinde 33326 sayılı Resmî Gazete'de **7590 sayılı Kanun** yayımlanmıştır. Bu torba kanun, siber güvenlik ekosisteminde köklü bir yapısal reform yapmıştır.

Daha önce Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yürütülen:
- İnternet alan adları tahsisi (TRABİS),
- İnternet ortamında yapılan yayınların düzenlenmesi (içerik çıkarma, erişim engelleme),
- 5651 ve 5809 sayılı kanunlardaki siber güvenliği ilgilendiren yaptırım yetkileri,
tümüyle **Siber Güvenlik Başkanlığı'na (SGB)** devredilmiştir.

Böylece SGB, sadece kritik altyapıları koruyan bir kurum olmaktan çıkıp, tüm internet trafiği ve regülasyonu üzerinde yetkili ana idari birim olmuştur.

2-24-48 Kuralı (Yeni Tedbir Rejimi)

7590 sayılı kanun ile SGB'nin acil durumlarda hareket kabiliyeti artırılmıştır. Gecikmesinde sakınca bulunan hallerde veya milli güvenlik gereksinimlerinde:
- **2 Saat:** SGB tarafından alınan erişim engelleme, içeriğin çıkarılması veya bant daraltma kararları ilgili hizmet sağlayıcıya bildirildiğinde, **en geç 2 saat içinde** yerine getirilmek zorundadır.
- **24 Saat:** SGB, aldığı bu idari tedbir kararını en geç 24 saat içinde sulh ceza hâkiminin onayına sunar.
- **48 Saat:** Hâkim kararını en geç 48 saat içinde açıklamak zorundadır. Hâkim kararı çıkmazsa tedbir kendiliğinden kalkar.

Kanunun Kapsamı ve Kritik Altyapı Ayrımı

Kanun, "bütün şirketlerin aynı yükümlülüklere tabi olduğu" bir yapı öngörmez. Hedef kitle öncelikle:
- Kamu kurum ve kuruluşları,
- Enerji, sağlık, finans, telekomünikasyon, ulaşım gibi **Kritik Altyapı İşletmecileri**,
- Ulusal güvenliği etkileyebilecek ölçekte veri işleyen veya sistem barındıran Başkanlıkça belirlenmiş **özel hukuk tüzel kişileridir**.

Hangi alt sektördeki şirketin tam olarak hangi yükümlülüklere (SOME kurma, periyodik denetim yaptırma vb.) tabi olacağı, yayımlanacak ikincil düzenlemelerle (yönetmelik ve tebliğler) belirlenecektir.

Bilgi, Belge Sağlama ve Olay Bildirim Yükümlülüğü

Kanun kapsamında belirlenen işletmeler;
- Tespit ettikleri siber saldırıları, ihlalleri veya kritik sistem zafiyetlerini belirlenen süreler içinde Başkanlığa bildirmekle yükümlüdür.
- Başkanlığın denetim faaliyetleri kapsamında talep edeceği teknik logları, mimari tasarımları, varlık envanterlerini ve olay kayıt dosyalarını eksiksiz teslim etmelidir.

Denetim ve Yaptırımlar (İdari ve Cezai Boyut)

Siber Güvenlik Kanunu yaptırımlar konusunda oldukça sert bir tutum sergiler.
- İdari boyutta, Başkanlık kararlarına, güvenlik standartlarına ve bilgi taleplerine uymayan tüzel kişilere ihlal başına **1 milyon TL'den 100 milyon TL'ye kadar** idari para cezası kesilebilir. (7590 sayılı değişiklikle erişim sağlayıcılara yönelik cezalar da bu ölçeklere taşınmıştır.)
- Ayrıca yasa, sır saklama yükümlülüğünün ihlali, yetkisiz siber güvenlik ve sızma testi faaliyeti yürütülmesi gibi eylemleri suç sayarak hapis cezası öngören maddeler (Madde 16) içermektedir.

İkincil Düzenlemelerle Netleşmesi Beklenen Konular

Şu anda kanun yürürlükte olsa da, aşağıdaki teknik detaylar yayımlanacak alt mevzuatlar (yönetmelikler) beklenerek tam olarak uygulanacaktır:
- Zorunlu siber olay bildirim süresinin tam saati (Örn: NIS2 ve CRA'daki gibi 24/72 saat kuralı mı?).
- Sektörel SOME (Siber Olaylara Müdahale Ekibi) kurulumu zorunluluğunun çalışan veya ciro sınırları.
- Siber güvenlik alanında hizmet verecek özel şirketlerin (Örn. Pentest firmaları, SOC sağlayıcıları) nasıl yetkilendirileceği ve sertifikalandırılacağı.

Şirketlerin Teknik Olarak Bugünden Hazırlayabileceği Kayıtlar

> [!IMPORTANT]
> Yönetmelikleri beklemeden altyapınızı denetime hazır hale getirmek, yaşanacak ani olaylarda hapis veya devasa para cezalarından korunmanın tek yoludur.

Yönetim kurulu üyelerinin veya BT yöneticilerinin şahsi sorumluluktan kurtulabilmesi için sistemde "teknik kanıt" bırakılması şarttır:
1. **Olay Dosyası (Incident Log):** Siber olayların saat bazlı kronolojisi ve alınan kararların kayıtları (Kim, ne zaman, hangi müdahaleyi yaptı?).
2. **Varlık Envanteri:** Kritik sistemlerin ve dışarıya açık arayüzlerin eksiksiz haritası.
3. **Log Bütünlüğü:** Denetimde sunulacak log dosyalarının değiştirilmediğinin (Örn. zaman damgası veya hash yöntemleriyle) ispatlanabilmesi.
4. **Tedarikçi Kayıtları:** Üçüncü parti hizmet sağlayıcılarla yapılan güvenlik sözleşmeleri ve SLA kayıtları.

TEVSİK'in Sunduğu Hazırlık Sınırı

TEVSİK, bir hukuk bürosu veya Siber Güvenlik Başkanlığı tarafından yetkilendirilmiş bir resmî denetim/sızma testi (pentest) firması değildir. Sunduğumuz hizmet tamamen **iç teknik organizasyona** yöneliktir.

Şirketlerin, kanunun istediği varlık envanterini (SBOM vb.), olay müdahale iş akışlarını ve güvenlik loglarının kanıt zincirini (Technical Evidence Management) doğrulanabilir bir altyapı haline getirmesini sağlıyoruz. Amacımız, olası bir resmî denetim anında firmanızın elinde savunulabilir ve eksiksiz bir teknik dosya bulunmasıdır.