Türkisches Cybersicherheitsgesetz (Nr. 7545)

Überblick

Das türkische Cybersicherheitsgesetz Nr. 7545 (Siber Güvenlik Kanunu) wurde am 12.03.2025 angenommen, im Resmî Gazete (türkisches Amtsblatt) vom 19.03.2025, Nr. 32846, verkündet und trat am selben Tag in Kraft (Art. 20). Das Gesetz fasst Rahmen, Befugnisse und Sanktionen der Cybersicherheit in der Türkei in einem einzigen Text zusammen. Die vorgesehenen untergesetzlichen Vorschriften sind dagegen nicht ergangen: Die einjährige Frist des Übergangsartikels 1 Abs. 6 lief am 19.03.2026 ab, und mit Stand Juli 2026 ist keine Verordnung in der Sache erschienen. Die an jenem Tag veröffentlichte Regelung betrifft das eigene Personal des Präsidiums; einen Compliance-Inhalt hat sie nicht.

Anwendungsbereich und Behörden

Art. 2 zieht den Anwendungsbereich ungewöhnlich weit: Erfasst sind öffentliche Einrichtungen und Stellen, Berufskammern mit dem Status öffentlicher Einrichtungen sowie natürliche und juristische Personen und Einrichtungen ohne eigene Rechtspersönlichkeit, die im Cyberraum vorhanden sind, dort tätig werden oder Dienste erbringen. Der Anwendungsbereich ist nicht auf kritische Infrastrukturen beschränkt. Nachrichtendienstliche Tätigkeiten nach den Gesetzen Nr. 2559, 2692, 2803, 2937 und 211 sind ausgenommen.

Die operative Zuständigkeit liegt beim Siber Güvenlik Başkanlığı (Präsidium für Cybersicherheit; Art. 5 und 6). Der vom Staatspräsidenten geleitete Siber Güvenlik Kurulu (Rat für Cybersicherheit) ist das politische Organ und bestimmt die Sektoren der kritischen Infrastruktur (Art. 9); am 05.05.2026 hat der Rat 15 Sektoren festgelegt: digitale Infrastrukturen, digitale Dienste, elektronische Kommunikation, Energie, Finanzwesen, Lebensmittel und Landwirtschaft, verarbeitendes Gewerbe, öffentliche Dienstleistungen, Medien und Krisenkommunikation, Post- und Kurierdienste, Gesundheit, Verteidigungsindustrie, Wasserwirtschaft, Verkehr und Raumfahrt.

Die Befugnisse des Art. 6 sind weitreichend: die Integration von Software oder Hardware in die Informationssysteme sowie die Übermittlung produktseitiger Daten und von Protokolldaten (Logs) zu verlangen; Vorfallreaktion und forensische Untersuchungen vor Ort oder aus der Ferne durchzuführen; jede Art von Auskunft, Unterlage, Daten und Aufzeichnung zu verlangen und auf Archive, Rechenzentren und Kommunikationsinfrastruktur zuzugreifen — die Einrichtungen dürfen dies nicht unter Berufung auf ihr eigenes Sektorrecht verweigern. Für die auf diesem Weg erlangten personenbezogenen Daten gilt die Zweckbindung; sie werden von Amts wegen gelöscht, sobald der Bedarf entfallen ist (Art. 6 Abs. 2).

Kernpflichten

Art. 7 Abs. 1 zählt für die Privatwirtschaft fünf Punkte auf: (a) die verlangten Daten, Unterlagen, Hardware, Software und jede sonstige Unterstützung unverzüglich und vorrangig bereitzustellen; (b) die im Recht vorgesehenen Maßnahmen zu ergreifen und festgestellte Schwachstellen oder Sicherheitsvorfälle dem Präsidium ohne Verzug zu melden — eine zahlenmäßige Frist enthält das Gesetz nicht, es überlässt sie den untergesetzlichen Vorschriften; (c) dass öffentliche Einrichtungen und kritische Infrastrukturen Produkte und Dienste der Cybersicherheit nur von Anbietern beziehen, die das Präsidium zugelassen und zertifiziert hat; (ç) dass zertifizierungspflichtige Cybersicherheitsunternehmen vor Aufnahme ihrer Tätigkeit die Zustimmung des Präsidiums einholen; und (d) die Politiken und Aktionspläne des Präsidiums umzusetzen.

Prüfung, Anteilsübertragung und Ausfuhrgenehmigung

Nach Art. 8 kann das Präsidium mit eigenem Personal oder mit von ihm beauftragten unabhängigen Prüfstellen vor Ort prüfen; die geprüfte Einrichtung ist verpflichtet, ihre Systeme offen zu halten und Zugang zu gewähren (Art. 8 Abs. 4). Art. 8 Abs. 5 erlaubt auf richterliche Anordnung — bei Gefahr im Verzug auf schriftliche Anordnung der Staatsanwaltschaft — Durchsuchung, Kopie und Beschlagnahme in geschlossenen Räumen außerhalb von Wohnungen; die staatsanwaltschaftliche Anordnung ist binnen 24 Stunden der Richterin oder dem Richter zur Bestätigung vorzulegen und binnen 48 Stunden zu bescheiden.

Art. 18 ist die in der Praxis am häufigsten übersehene Vorschrift. Die Ausfuhr von Produkten, Systemen, Software, Hardware und Diensten der Cybersicherheit unterliegt den Verfahren des Präsidiums; die gelisteten Produkte sind genehmigungspflichtig. Verschmelzung, Spaltung, Anteilsübertragung oder Verkauf von Unternehmen, die solche Produkte herstellen, sind anzuzeigen; verschafft das Geschäft ausländischen Personen unmittelbar oder mittelbar die Kontrolle, ist die Zustimmung des Präsidiums erforderlich, und ein Geschäft ohne diese Zustimmung wird nicht rechtswirksam (Art. 18 Abs. 3). Diese Vorschrift wirkt sich bereits heute auf Zusammenschlüsse, Übernahmen und Investitionsstrukturen aus.

Auswirkungen auf türkische Unternehmen

Dass die Durchführungsverordnungen noch nicht ergangen sind, rechtfertigt kein Abwarten. Der erste Schritt ist ein schriftliches internes Verfahren, das festlegt, wer die Meldung nach Art. 7 Abs. 1 Buchst. b bei welcher Schwelle und über welchen Kanal erstattet; da das Merkmal „ohne Verzug“ keine zahlenmäßige Entsprechung hat, entscheidet die Dokumentation, die die rechtzeitige Eskalation belegt.

Unternehmen, die in einem der 15 Sektoren tätig sind, sollten ihre Lieferkette schon jetzt überprüfen: Art. 7 Abs. 1 Buchst. c verlangt zugelassene und zertifizierte Anbieter, doch weil dieses Regime noch nicht errichtet ist, ist die richtige Haltung eine vertragliche — Zusicherungen und Verpflichtungen des Anbieters, Prüfrechte und Klauseln, die eine Neuverhandlung auslösen, sobald das Regime in Kraft tritt. Unternehmen, die Cybersicherheitsprodukte herstellen oder vertreiben, sollten kartieren, welche ihrer Tätigkeiten nach Art. 7 Abs. 1 Buchst. ç einer vorherigen Zustimmung bedürfen, und Art. 18 schon heute in ihre Entscheidungen zur Anteilsstruktur einbeziehen.

Der Übergangsartikel 1 Abs. 4 räumt Vereinen, Verbänden, Stiftungen und Handelsgesellschaften der Cybersicherheit ein Jahr ein, um Zertifizierung und Zulassung abzuschließen. Diese Frist läuft nicht ab dem Inkrafttreten des Gesetzes, sondern ab dem Inkrafttreten der Verordnungen nach Übergangsartikel 1 Abs. 6; da diese mit Stand Juli 2026 nicht veröffentlicht sind, hat die Frist noch nicht zu laufen begonnen, und Einschätzungen, die ein festes Enddatum nennen, beruhen auf einer Annahme. Das größte finanzielle Risiko ist unterdessen die Prüfungsbereitschaft: Ein Verstoß gegen Art. 8 Abs. 4 setzt Handelsgesellschaften einer Geldbuße von bis zu 5 % der Bruttoumsatzerlöse aus — ausgelöst durch nichts anderes als eine Lücke im Prozess.

Sanktionen

Art. 16 sieht sowohl strafrechtliche als auch verwaltungsrechtliche Sanktionen vor. Die Freiheitsstrafen betragen: ein bis drei Jahre (nebst einer Geldstrafe von 500 bis 1.500 Tagessätzen), wenn verlangte Auskünfte, Unterlagen, Software oder Hardware nicht herausgegeben oder wenn dies verhindert wird; zwei bis vier Jahre (nebst 1.000 bis 2.000 Tagessätzen) bei einer Tätigkeit ohne die erforderliche Zustimmung oder Zulassung; vier bis acht Jahre bei einem Verstoß gegen die Verschwiegenheitspflicht des Art. 13; drei bis fünf Jahre, wenn abgeflossene personenbezogene Daten oder Daten kritischer öffentlicher Dienste ohne Einwilligung zugänglich gemacht oder zum Verkauf angeboten werden; und acht bis zwölf Jahre bei Cyberangriffen auf die Elemente der nationalen Machtstellung (bei Verbreitung der erlangten Daten zehn bis fünfzehn Jahre). Art. 16 Abs. 7 erhöht die Strafe um ein Drittel bei Amtsträgern, um die Hälfte bei mehreren Beteiligten und bis auf das Doppelte bei Tatbegehung im Rahmen einer Organisation.

Die Geldbußen (Art. 16 Abs. 10 und 11) sind Nominalbeträge des Jahres 2025 und werden jährlich um den gesetzlichen Neubewertungssatz angepasst: 1.000.000 bis 10.000.000 TRY bei Verstößen gegen Art. 7 Abs. 1 Buchst. b und Buchst. c; 10.000.000 bis 100.000.000 TRY bei Verstößen gegen Art. 18; und 100.000 bis 1.000.000 TRY bei der Pflicht des Art. 8 Abs. 4 — für Handelsgesellschaften bis zu 5 % der Bruttoumsatzerlöse aus dem prüfungspflichtigen Jahresabschluss, mindestens jedoch 100.000 TRY. Art. 17 vervollständigt das Verfahren: schriftliche Stellungnahme binnen 30 Tagen, Zahlung binnen eines Monats, Beitreibung nach dem türkischen Gesetz Nr. 6183 und Anfechtung vor den türkischen Verwaltungsgerichten.

Verwandte Inhalte

Für die Dimension der personenbezogenen Daten sehen Sie den Eintrag zum türkischen Datenschutzgesetz KVKK, für das unionsrechtliche Gegenstück den NIS2-Eintrag. Die Überschneidung mit dem Genehmigungsregime für ausländische Investitionen steht im Eintrag zum türkischen Gesetz Nr. 4875; Vorfallreaktion und Prüfungsbereitschaft behandeln wir in unserem Schwerpunkt Cybersicherheit. Die drei genannten Einträge liegen derzeit auf Türkisch und Englisch vor; auf Anfrage erläutern wir sie Ihnen auf Deutsch.

Inkrafttreten & Änderungshistorie

• 01.06.2026

  Meldungen auf eine API umgestellt

  Das Präsidium nimmt Sicherheitsmeldungen seither über siberguvenlik.gov.tr per Schnittstelle entgegen.

• 05.05.2026

  15 Sektoren der kritischen Infrastruktur

  Der Rat für Cybersicherheit hat die als kritische Infrastruktur geltenden Sektoren festgelegt.

• 19.03.2026

  Frist für die untergesetzlichen Vorschriften abgelaufen

  Die einjährige Frist des Übergangsartikels 1 Abs. 6 lief ab, ohne dass eine Verordnung in der Sache ergangen wäre.

• 19.03.2025

  Gesetz in Kraft getreten

  Verkündung im Resmî Gazete (türkisches Amtsblatt) (Nr. 32846) und Inkrafttreten am selben Tag.