Türkiye'de siber güvenlik artık büyük holdinglerin veya bankaların değil, bilişim sistemi kullanan her işletmenin gündeminde. 7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi ve Türkiye'nin bu alandaki ilk kapsamlı yasal çerçevesini oluşturdu. Bir yıllık uygulama süresi 19 Mart 2026'da doldu; alt düzenlemeler devreye girmeye başladı. Bu yazıda kanunun KOBİ'leri nasıl etkilediğini, hangi yükümlülüklerin doğduğunu ve ihlal halinde karşılaşılabilecek cezaları anlatıyoruz.
7545 sayılı Siber Güvenlik Kanunu nedir?
Kanun, Türkiye Büyük Millet Meclisi'nde 12 Mart 2025'te kabul edildi ve 19 Mart 2025'te Resmî Gazete'de yayımlanarak yürürlüğe girdi. Amacı, siber güvenliği ulusal güvenliğin bir parçası olarak ele almak, kurumsal kapasiteyi artırmak ve uygulamada koordinasyonu tek bir çatı altında toplamak. Bu çatının başında Siber Güvenlik Başkanlığı (SGB) yer alıyor; Başkanlık aynı zamanda düzenleme, denetim ve yaptırım yetkisini de elinde bulunduruyor.
Kanun hangi işletmeleri kapsıyor, KOBİ'ler muaf mı?
Kısa cevap: hayır, KOBİ'ler kapsam dışında değil.
Kanun metni kapsamı geniş tutuyor: bilişim sistemleri üzerinden hizmet sunan veya veri işleyen kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsıyor. Yani bir e-ticaret sitesi işleten, bulut tabanlı bir ERP kullanan veya müşteri verisini dijital ortamda tutan her KOBİ, tanım gereği "bilişim sistemi üzerinden hizmet sunan veya veri işleyen" taraf konumunda.
Yükümlülüklerin ağırlığı işletmenin kritik altyapı statüsüne göre değişiyor. Enerji, finans, ulaştırma gibi kritik altyapı sahiplerine daha ağır yükümlülükler (yetkilendirilmiş tedarikçi kullanma zorunluluğu gibi) getirilirken, kritik altyapı dışındaki KOBİ'ler için temel tedbir alma ve olay bildirimi yükümlülüğü geçerli. Başka bir deyişle: kapsam dışı kalmak değil, yükümlülük seviyesi düşük kalmak söz konusu.
Kapsamdaki işletmelerin temel yükümlülükleri neler?
Kanunun öngördüğü temel yükümlülükler şöyle özetlenebilir:
- Tedbir alma: Bilişim sistemlerinde Başkanlığın belirlediği asgari güvenlik tedbirlerini uygulamak.
- Olay ve zafiyet bildirimi: Siber güvenlik olaylarını ve tespit edilen zafiyetleri gecikmeksizin Başkanlığa bildirmek.
- Denetime işbirliği: Başkanlığın talep ettiği bilgi ve belgeleri sağlamak, denetimlere işbirliği yapmak.
- Yetkilendirilmiş tedarikçi kullanımı: Kritik altyapı sahipleri için SGB tarafından yetkilendirilmiş/sertifikalandırılmış ürün ve hizmet kullanma zorunluluğu.
Bildirim formatı, süresi ve muhatap birim gibi teknik detaylar kanunun kendisinde değil, alt düzenlemelerde (yönetmelik, usul ve esaslar, tebliğ) yer alıyor — aşağıda bu sürecin durumuna değiniyoruz.
Siber olay bildirimi yapılmazsa ceza ne kadar?
Kanun hem idari para cezası hem hapis cezası öngörüyor. En sık karşılaşılacak ihlal türleri ve yaptırımları:
| İhlal türü | Yaptırım |
|---|---|
| Siber olayı/zafiyeti bildirmemek | 1.000.000 TL – 10.000.000 TL idari para cezası |
| Bilgi vermemek veya denetime erişimi engellemek | 1 – 3 yıl hapis cezası |
| Kritik altyapıya yönelik siber saldırı | 8 – 12 yıl hapis cezası |
Bu tutarlar tek seferlik bir ihlal için geçerli; kanunda tekrarlanan ihlallerde cezanın artırılabileceği ve idari para cezası uygulanmadan önce ilgilinin savunmasının alınacağı hükme bağlanmış. KOBİ ölçeğinde en gerçekçi risk, kritik altyapı saldırısı gibi ağır senaryolardan çok, bir veri sızıntısını fark edip zamanında bildirmemek — çünkü bu durumda 1 milyon TL'lik idari para cezası eşiği tek başına devreye giriyor.
Alt düzenlemeler hangi aşamada?
Kanun, uygulamaya dair ayrıntıların (siber olay bildirimi ve log yönetimi, güvenlik politikaları, sertifikasyon mekanizmaları, teknik kriterler, bağımsız denetim mekanizması, Siber Güvenlik Kurulu çalışma usulü) bir yıl içinde alt düzenlemelerle netleştirilmesini öngörmüştü. Bu süre 19 Mart 2026'da doldu ve yönetmelik ile usul-esas metinleri bu tarihten itibaren yayımlanmaya başladı.
Pratik sonucu şu: 2025 sonunda "henüz uygulama detayı belli değil" diyen işletmeler için bu mazeret artık geçerliliğini yitiriyor. Bildirim süresi, formatı ve muhatap birim gibi somut kurallar netleşiyor; işletmelerin bu kurallara uyum için ayırdığı süre daralıyor.
KVKK yükümlülükleri ile 7545 nasıl örtüşüyor, nasıl ayrışıyor?
Çoğu KOBİ için ilk soru şu oluyor: "Zaten KVKK'ya uyumluyuz, bu bize ayrıca ne getiriyor?" Cevap: iki mevzuat aynı veriye farklı açıdan bakıyor.
- KVKK, kişisel verinin işlenme amacını, açık rızayı, veri sahibinin haklarını ve verinin hukuka uygun işlenip işlenmediğini merkeze alıyor. Muhatabı esas olarak Kişisel Verileri Koruma Kurumu.
- 7545 sayılı Kanun, verinin işlendiği bilişim sisteminin güvenliğini merkeze alıyor — yani veri hukuka uygun işlense bile sistem saldırıya açıksa veya bir sızıntı zamanında bildirilmezse ayrı bir ihlal doğuyor. Muhatabı Siber Güvenlik Başkanlığı.
Pratikte bu iki çerçeve aynı olayda iç içe geçebiliyor: bir veri sızıntısı hem KVKK'nın veri ihlali bildirim yükümlülüğünü (Kurul'a ve ilgili kişilere) hem de 7545'in siber olay bildirim yükümlülüğünü (SGB'ye) aynı anda tetikleyebilir. KOBİ'ler için pratik sonuç, tek bir "veri ihlali / siber olay" prosedürü yazıp iki muhatabı da bu prosedürün içine almak — ayrı ayrı iki süreç yönetmeye çalışmak yerine.
ERP tarafında bu yükümlülük ne anlama geliyor?
Siber Güvenlik Kanunu doğrudan bir ERP mevzuatı değil, ama işletmenin en kritik verisinin büyük kısmı zaten ERP sisteminde tutuluyor: cari hesaplar, stok, üretim, İK, muhasebe. Bu da ERP'yi kanunun dolaylı ama en somut uygulama alanlarından biri yapıyor.
Uyum açısından ERP'den beklenen asgari kabiliyetler:
- Kullanıcı bazlı yetkilendirme ve rol ayrımı (kim hangi veriye erişiyor, kim hangi işlemi yapıyor)
- Değişiklik ve erişim loglarının tutulması — bir olay bildirimi yapılacaksa "ne zaman, kim, ne yaptı" sorusuna hızlı cevap gerekir
- Yetkisiz erişim denemelerinde uyarı/izleme
- Veri yedekleme ve kurtarma süreçlerinin belgelenmiş olması
Birasyo'nun Uyum (Compliance) modülü, bu tür erişim kontrolü, log takibi ve denetim izi ihtiyaçlarını tek sistemde toplayarak KOBİ'lerin hem KVKK hem de 7545 sayılı Kanun kapsamındaki temel tedbir yükümlülüğüne altyapı hazırlamasını kolaylaştırıyor.
KOBİ'ler bugün ne yapmalı?
Alt düzenlemeler netleşene kadar beklemek riskli, çünkü temel yükümlülükler (tedbir alma, bildirim) kanunun yürürlük tarihinden beri geçerli. Somut ilk adımlar:
- Hangi sistemlerin "bilişim sistemi üzerinden hizmet sunma veya veri işleme" tanımına girdiğini çıkarın (ERP, e-ticaret altyapısı, bulut depolama, CRM).
- Bu sistemlerde kim hangi veriye erişiyor sorusunu netleştirin — yetkilendirme matrisi yoksa oluşturun.
- Bir siber olay yaşandığında kimin, ne kadar sürede, hangi kanaldan bildirim yapacağını içeride yazılı hale getirin.
- IT sağlayıcınız veya hukuk müşaviriniz ile alt düzenlemelerin yayım takvimini takip edin; bildirim süresi netleştiğinde iç prosedürünüzü buna göre güncelleyin.
- KVKK kapsamında zaten yürüttüğünüz veri ihlali bildirim sürecini gözden geçirin ve 7545 kapsamındaki SGB bildirimini de aynı akışın içine alacak şekilde güncelleyin — iki ayrı süreç yerine tek bir olay yönetim akışı kurmak, hem daha az operasyonel yük hem de bildirim süresini kaçırma riskini azaltır.
- Kritik altyapı sahibi değilseniz bile, kullandığınız bulut/ERP/e-ticaret tedarikçilerinin güvenlik sertifikasyonlarını (ör. ISO 27001) ve veri merkezi konumunu kayıt altına alın; denetimde ilk istenecek belgeler arasında bu bilgiler yer alıyor.
Özet
7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025'te yürürlüğe girdi ve bilişim sistemi üzerinden hizmet sunan veya veri işleyen tüm gerçek/tüzel kişileri — dolayısıyla büyük çoğunluğu dijitalleşmiş KOBİ'leri de — kapsıyor. Temel yükümlülükler tedbir alma ve siber olay/zafiyet bildirimi; bildirim yapılmazsa 1-10 milyon TL idari para cezası, bilgi vermemede 1-3 yıl hapis cezası söz konusu olabiliyor. Kanunun bir yıllık alt düzenleme süresi 19 Mart 2026'da doldu ve uygulama detayları netleşmeye başladı. KOBİ'ler için öncelik, hangi sistemlerin kapsamda olduğunu belirlemek, erişim yetkilendirmesini düzene sokmak ve bir olay bildirim prosedürünü şimdiden yazılı hale getirmek.
Kaynaklar: 7545 sayılı Siber Güvenlik Kanunu (19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete); T.C. Siber Güvenlik Başkanlığı mevzuat sayfası. Bu yazı genel bilgilendirme amaçlıdır, somut uyum adımları için hukuk müşavirinize ve bilgi güvenliği danışmanınıza teyit ettiriniz.
İlgili yazılar:
Bu yazıyı LinkedIn'de paylaşın
Başlık, özet ve hashtagler panoya kopyalanır, LinkedIn paylaş penceresi açılır — yapıştırın (Cmd/Ctrl+V) ve gönderin.
