Siber Güvenlik Kanunu (7545)

Genel bakış

7545 sayılı Siber Güvenlik Kanunu 12.03.2025’te kabul edilmiş, 19.03.2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanarak aynı gün yürürlüğe girmiştir (Md. 20). Kanun, Türkiye’de siber güvenliğin çerçevesini, yetkilerini ve yaptırımlarını tek metinde toplar. İkincil mevzuat ise yayımlanmamıştır: Geçici Md. 1(6)’daki bir yıllık süre 19.03.2026’da dolmuş, Temmuz 2026 itibarıyla esasa ilişkin bir yönetmelik çıkmamıştır. Aynı gün yayımlanan düzenleme Başkanlığın kendi personeline ilişkindir; uyum içeriği yoktur.

Kapsam ve kurumlar

Md. 2 kapsamı olağandışı geniş tutar: kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları ile siber ortamda var olan, faaliyet gösteren veya hizmet sunan gerçek ve tüzel kişiler ve tüzel kişiliği bulunmayan kuruluşlar kapsamdadır. Kapsam kritik altyapılarla sınırlı değildir. 2559, 2692, 2803, 2937 ve 211 sayılı kanunlar kapsamındaki istihbarat faaliyetleri kapsam dışıdır.

Operasyonel yetki Siber Güvenlik Başkanlığı’ndadır (Md. 5–6). Cumhurbaşkanının başkanlık ettiği Siber Güvenlik Kurulu politika organıdır ve kritik altyapı sektörlerini belirler (Md. 9); Kurul 05.05.2026’da 15 sektörü belirlemiştir: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayi, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma ve uzay.

Md. 6 yetkileri geniştir: yazılım veya donanımın bilgi sistemlerine entegrasyonunu ve ürün kaynaklı veriler ile log kayıtlarının aktarılmasını istemek; yerinde veya uzaktan olay müdahalesi ve adli inceleme yapmak; her türlü bilgi, belge, veri ve kaydı talep etmek, arşiv, veri merkezi ve iletişim altyapısına erişmek — kuruluşlar kendi sektör mevzuatını gerekçe göstererek reddedemez. Bu yolla elde edilen kişisel verilere amaçla sınırlılık uygulanır ve ihtiyaç sona erdiğinde resen silinir (Md. 6(2)).

Temel yükümlülükler

Md. 7(1) özel sektör için beş başlık sayar: (a) istenen veri, belge, donanım, yazılım ve her türlü katkının ivedi ve öncelikli sağlanması; (b) mevzuattaki tedbirlerin alınması ve tespit edilen zafiyet veya siber olayların Başkanlığa gecikmeksizin bildirilmesi — Kanun sayısal bir süre öngörmez, bunu ikincil mevzuata bırakır; (c) kamu kurumları ve kritik altyapıların siber güvenlik ürün ve hizmetlerini yalnızca Başkanlıkça yetkilendirilmiş ve belgelendirilmiş sağlayıcılardan temin etmesi; (ç) belgelendirmeye tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlık onayı alması; (d) Başkanlığın politika ve eylem planlarının uygulanması.

Denetim, devir ve ihracat onayı

Md. 8 uyarınca Başkanlık kendi personeliyle veya yetkilendirdiği bağımsız denetçilerle yerinde denetim yapabilir; denetlenen kuruluş sistemlerini açık tutmak ve erişim sağlamakla yükümlüdür (Md. 8(4)). Md. 8(5), hâkim kararıyla — gecikmesinde sakınca bulunan hâllerde savcının yazılı emriyle — konut dışındaki kapalı alanlarda arama, kopyalama ve el koymaya izin verir; savcı emri 24 saat içinde hâkim onayına sunulur ve 48 saat içinde karara bağlanır.

Md. 18 uygulamada en çok gözden kaçan hükümdür. Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerinin ihracatı Başkanlığın usullerine tabidir; listelenen ürünler onaya bağlıdır. Bu ürünleri üreten şirketlerin birleşme, bölünme, pay devri veya satışı bildirime tabidir; işlem yabancı kişilere doğrudan ya da dolaylı kontrol veriyorsa Başkanlık onayı aranır ve onaysız işlem hukuki geçerlilik kazanmaz (Md. 18(3)). Bu hüküm birleşme–devralma ve yatırım yapılandırmalarını bugün etkiler.

Türk şirketlerine etkisi

Uygulama yönetmeliklerinin yayımlanmamış olması bekleme gerekçesi değildir. İlk adım, Md. 7(1)(b) kapsamındaki bildirimi kimin, hangi eşikte ve hangi kanaldan yapacağını belirleyen yazılı bir iç prosedürdür; “gecikmeksizin” ölçütünün sayısal bir karşılığı bulunmadığından, zamanında yükseltmeyi ispatlayan kayıt düzeni belirleyici olur.

15 sektörden birinde faaliyet gösteren şirketler tedarik zincirini şimdiden gözden geçirmelidir: Md. 7(1)(c) yetkilendirilmiş ve belgelendirilmiş sağlayıcı şartı getirir, ancak bu rejim henüz kurulmadığından doğru duruş sözleşmeseldir — sağlayıcı beyan ve taahhütleri, denetim hakları ve rejim yürürlüğe girdiğinde yenilemeyi tetikleyen hükümler. Siber güvenlik ürünü üreten veya satan şirketler ise Md. 7(1)(ç) kapsamında hangi faaliyetlerinin ön onay gerektireceğini haritalamalı ve Md. 18’i pay yapısı kararlarına şimdiden dahil etmelidir.

Geçici Md. 1(4), siber güvenlik dernek, federasyon, vakıf ve ticari şirketlerine belgelendirme ve yetkilendirmelerini tamamlamaları için bir yıl tanır. Bu süre Kanunun yürürlüğünden değil, Geçici Md. 1(6) yönetmeliklerinin yürürlüğe girmesinden itibaren işler; yönetmelikler Temmuz 2026 itibarıyla yayımlanmadığından süre henüz başlamamıştır ve sabit bir bitiş tarihi veren değerlendirmeler varsayıma dayanır. En büyük mali risk ise denetime hazırlıktır: Md. 8(4) ihlali ticari şirketleri brüt satış hasılatının %5’ine kadar cezaya açar ve bunu bir süreç eksikliği tetikler.

Yaptırımlar

Md. 16 hem cezai hem idari yaptırım öngörür. Hapis cezaları; istenen bilgi, belge, yazılım veya donanımın verilmemesi ya da engellenmesinde 1–3 yıl (ve 500–1.500 gün adli para cezası), gerekli onay veya yetki olmaksızın faaliyette 2–4 yıl (ve 1.000–2.000 gün), Md. 13 gizlilik ihlalinde 4–8 yıl, sızdırılmış kişisel veya kritik kamu hizmeti verisinin rızasız erişilebilir kılınması veya satışa sunulmasında 3–5 yıl, millî güç unsurlarına yönelik siber saldırılarda 8–12 yıl (elde edilen verinin yayılmasında 10–15 yıl) olarak öngörülür. Md. 16(7) cezayı kamu görevlisinde üçte bir, birden fazla kişide yarı, örgüt faaliyetinde iki katına kadar artırır.

İdari para cezaları (Md. 16(10)–(11)) 2025 nominal tutarlarıdır ve her yıl yeniden değerleme oranında güncellenir: Md. 7(1)(b) ve 7(1)(c) ihlallerinde 1.000.000–10.000.000 TL; Md. 18 ihlallerinde 10.000.000–100.000.000 TL; Md. 8(4) yükümlülüğünde 100.000–1.000.000 TL — ticari şirketler bakımından 100.000 TL’den az olmamak üzere, bağımsız denetime tabi yıllık finansal tablolardaki brüt satış hasılatının %5’ine kadar. Md. 17 usulü tamamlar: 30 gün içinde yazılı savunma, bir ay içinde ödeme, 6183 sayılı Kanun uyarınca tahsil ve idare mahkemelerinde itiraz.

İlgili içerik

Kişisel veri boyutu için KVKK, AB karşılığı için NIS2 kaydına bakın. Yabancı yatırım onay rejimiyle kesişim 4875 sayılı Kanun kaydında; olay müdahalesi ve denetime hazırlık Siber Güvenlik odağımızdadır.

Yürürlük & değişiklik geçmişi

• 01.06.2026

  Bildirimler API’ye taşındı

  Başkanlık, güvenlik bildirimlerini siberguvenlik.gov.tr üzerinden API ile iletmeye başladı.

• 05.05.2026

  15 kritik altyapı sektörü

  Siber Güvenlik Kurulu, kritik altyapı sayılan sektörleri belirledi.

• 19.03.2026

  İkincil mevzuat süresi doldu

  Geçici Md. 1(6)’daki bir yıllık süre, esasa ilişkin bir yönetmelik yayımlanmadan doldu.

• 19.03.2025

  Kanun yürürlüğe girdi

  Resmî Gazete’de yayımlandı (sayı 32846) ve aynı gün yürürlüğe girdi.