Siber Güvenlik Kanunu Yayımlandı

Siber Güvenlik Kanunu Teklifi (“Kanun Teklifi”), 10 Ocak 2025 tarihinde Türkiye Büyük Millet Meclisi’ne sunulmuş, 12 Mart 2025 tarihinde ise onaylanarak ve 19 Mart 2025 tarihinde Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. 

Siber Güvenlik Kanunu’nun (“Kanun’’) getirdiklerini kısaca değinecek olursak; 

1. Amacı 

• Türkiye Cumhuriyeti’nin siber uzaydaki milli gücüne dair tüm unsurlarına yönelik tehditlerin tespiti ve bertaraf edilmesi,

• Siber olayların muhtemel etkilerini azaltmaya yönelik esasların belirlenmesi,  

• Kapsama dahil kişi ya da kurumların siber saldırılardan korunmasına dair düzenlemelerin yapılması,

• Siber güvenlik stratejileri ve politikaların oluşturulması, Siber Güvenlik Kurulu’nun kurulması.

Böylece siber güvenliğin güçlendirilmesine ilişkin bir yasal çerçeve oluşturulmaktadır.      

2. Kapsamı 

Kanun, doğrudan ya da dolaylı olarak internete, elektronik haberleşme veya bilgisayar ağlarına bağlı olan tüm bilişim sistemlerini ve bunları birbirine bağlayan ağlardan oluşan ortamda bir diğer deyişle siber uzayda varlık gösteren, faaliyetlerini yürüten ya da hizmetlerini sunan; 

• Kamu kurum ve kuruluşları,

• Kamu kurumu niteliğindeki meslek kuruluşları,

• Gerçek ve tüzel kişiler,

• Tüzel kişiliği olmayan kuruluşları kapsamaktadır.   

3. Temel İlkeleri

Kanun uyarınca, siber güvenliğin sağlanmasındaki temel ilkeler belirtilmiştir. Bunlar;

• Siber güvenlik, milli güvenliğin ayrılmaz bir parçasıdır.

• Kritik altyapı ve bilişim sistemlerinin korunması, güvenli bir siber uzay oluşturulması hedeflenmektedir.

• Kurumsallık, süreklilik ve sürdürülebilirlik temelli siber güvenlik çalışmaları yürütülmesi esastır.

• Siber güvenlik tedbirleri, ürün veya hizmetlerin tüm yaşam döngüsü boyunca uygulanmalıdır.

• Yerli ve milli ürünlerle bu çalışmaların yürütülmesi önceliklendirilmelidir.

• Tüm kamu kurum ve kuruluşları ile gerçek ve tüzel kişiler, politika, strateji ve sair düzenleyici işlemlerin yürütülmesi ve gerekli tedbirlerin alınmasından sorumludur.

• Siber güvenlik süreçlerinde hesap verilebilirlik esastır. 

• Politika ve strateji geliştirme çalışmalarında sürekli gelişim yaklaşımı benimsenmelidir.

• Bu alanda nitelikli insan kaynağının arttırılmasına ilişkin çalışmalar teşvik edilmektedir.

• Toplum genelinde siber güvenlik kültürünün yaygınlaştırılması hedeflenmektedir. 

• Hukukun üstünlüğü, temel insan hak ve hürriyetleri, mahremiyetin korunması ilkeleri esastır. 

3. Siber Güvenlik Başkanlığı

Düzenlemeler ile Siber Güvenlik Başkanlığı kurulmuş olup Başkanlığın; 

• Kritik altyapılar ve bilişim sistemlerinin siber dayanıklılığının arttırılması, siber tehditlerle mücadele edilmesi, siber tehdit istihbaratı elde etmek, oluşturmak, paylaşmak, zararlı yazılım inceleme faaliyetleri yürütmek, 

• Kritik altyapılar ile ait oldukları kurumları ve konumları belirlemek,

• Kamu kurumları ve kritik altyapıların varlıklarına yönelik risk analizleri gerçekleştirilmesini, varlıkların kritikliğine göre güvenlik tedbirlerinin alınmasını sağlamak,

• Siber olaylara müdaha ekipleri (SOME) kurmak, kurdurmak ve denetlemek,

• Siber güvenlik alanına yönelik standartları hazırlamak,

• Sertifikasyon, yetkilendirme, belgelendirme işlemlerini ilgili kurumlarla koordine içerisinde yürütmek,

• Siber güvenlik denetimi gerçekleştirmek ve bu doğrultuda yaptırım uygulamak,

• Mevzuat düzenlemelerini, bunların denetimini yapmak veya yaptırmak gibi görevleri mevcuttur. 

4.Siber Güvenlik Kurulu (“Kurul”)

Kurul’un görevleri arasında; 

• Siber güvenlikle ilgili politikalar, stratejiler, eylem planı ve sair düzenleyici işlemlere ve teknoloji yol haritasının uygulanmasına yönelik kararlar almak,

• Teşvik verilecek öncelikli alanları, kritik altyapı sektörlerini belirlemek, insan kaynağının geliştirilmesine dair karar almak, 

• Başkanlıkla kamu kurum ve kuruluşları arasında oluşabilecek ihtilaflara yönelik karar almak hususları belirtilmiştir. 

Cezai Hükümler ve İdari Para Cezaları

Kanun kapsamında ihlalin niteliğine göre kapsamlı şekilde hapis cezaları ve/veya idari para cezaları düzenlenmiştir. Örneğin;

- Gerekli onay, yetki ve izinler olmaksızın faaliyet yürütenler için iki yıldan dört yıla kadar hapis ve bin günden ikibin güne kadar adli para cezası,

- Sır saklama yükümlülüğünün ihlali halinde ise dört yıldan sekiz yıla kadar hapis cezası,

- Siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz şekilde erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası öngörülmüştür. 

Siber Güvenlik Kanunu’na buradan ulaşabilirsiniz.