7545 Sayılı Siber Güvenlik Kanunu: Türkiye'nin Yeni Çerçevesi

19 Mart 2025'te Resmî Gazete'de yayımlanarak yürürlüğe giren 7545 Sayılı Siber Güvenlik Kanunu, Türkiye'de siber güvenliği İLK KEZ, dağınık düzenlemeler yerine TEK, kapsamlı bir yasal çatı altında topluyor. Bu makale, kanunu hukuki jargon olmadan, siber güvenlik profesyonelinin/adayının bilmesi gereken pratik çerçevede özetliyor.

⚠️ Not: Bu makale bilgilendirme amaçlıdır, hukuki danışmanlık YERİNE GEÇMEZ. Şirketinizi doğrudan ilgilendiren bir konuda MUTLAKA bir hukuk uzmanına danışın.

Kanunun Amacı ve Kapsamı

Kanunun 1. maddesi, amacını şöyle özetliyor: Türkiye'nin "siber uzaydaki millî gücünü" oluşturan unsurlara yönelik tehditlerin tespiti ve bertaraf edilmesi, siber olayların etkilerinin azaltılması, ve bir Siber Güvenlik Kurulu'nun kurulması.

Kimler kapsıyor? Sadece devlet kurumları DEĞİL — kanun, siber uzayda faaliyet gösteren HERKESİ kapsıyor:

• Kamu kurum ve kuruluşları
• Kamu kurumu niteliğindeki meslek kuruluşları
• Gerçek ve tüzel kişiler (yani ŞİRKETLER dahil)
• Tüzel kişiliği olmayan kuruluşlar

Bu, Bulut Güvenliği kütüphanemizdeki "paylaşılan sorumluluk" kavramının, artık YASAL bir zorunluluk hâline geldiği anlamına geliyor — güvenlik artık sadece "iyi bir pratik" değil, KANUNİ bir YÜKÜMLÜLÜK.

Siber Güvenlik Başkanlığı

Kanunla kurulan Siber Güvenlik Başkanlığı, şu görevlere sahip:

• Ülke genelinde siber güvenlik politikalarını OLUŞTURMAK.
• Siber tehditleri TESPİT etmek.
• SOME (Siber Olaylara Müdahale Ekibi) yapılanmasını GELİŞTİRMEK — Kariyer kütüphanemizdeki SOC Analisti rolünün, artık YASAL bir çerçeveye oturmuş hâli.
• Kritik altyapılara yönelik güvenlik seviyesini ARTIRMAK.

Şirketler İçin Somut Yükümlülükler

Kanun kapsamındaki kurum ve şirketler şunlarla YÜKÜMLÜ:

1. Başkanlığın belirlediği güvenlik tedbirlerini ALMAK — yayımlanacak politika, strateji ve rehberlere UYMAK.
2. Talep edilen bilgi/belgeleri ZAMANINDA sunmak.
3. Tespit edilen siber saldırı veya zafiyetleri GECİKMEKSİZİN Başkanlığa BİLDİRMEK — Security+ rehberimizdeki olay müdahale sürecinin, artık YASAL bir bildirim adımı da İÇERDİĞİ anlamına geliyor.
4. Kritik altyapı kapsamındaki şirketler, güvenlik ürün/hizmetlerini SADECE Başkanlık tarafından YETKİLENDİRİLMİŞ sağlayıcılardan TEMİN ETMEK zorunda.

Ceza Maddeleri: Neden Ciddiye Almalısın?

Kanun, hem idari para cezaları HEM de hapis cezaları İÇERİYOR — bu, Türkiye'nin siber güvenliği artık NE KADAR ciddi bir mesele olarak GÖRDÜĞÜNÜN bir göstergesi:

• Sahte veri sızıntısı iddiası: Siber uzayda veri sızıntısı OLMADIĞINI bildiği hâlde, halkta panik yaratmak amacıyla YALAN içerik üretenlere veya yayanlara 2'den 5 yıla kadar hapis.
• "Millî siber güce" saldırı: Ülkenin siber uzaydaki unsurlarına saldıran veya bu saldırı sonucu elde ettiği veriyi BULUNDURANLARA 8'den 12 yıla kadar hapis.
• Veri yayma/satma: Bu şekilde elde edilen veriyi YAYAN, GÖNDEREN veya SATIŞA çıkaranlara 10'dan 15 yıla kadar hapis.
• Nitelikli hâller: Suç bir KAMU GÖREVLİSİ tarafından işlenirse ceza 1/3 artırılır; BİRDEN FAZLA kişi tarafından işlenirse YARI oranında; ÖRGÜT faaliyeti çerçevesinde işlenirse YARISINDAN FAZLA artırılır.

Bu Kanun Kariyerini Nasıl Etkiler?

Bu kanun, Kariyer kütüphanemizdeki GRC (Governance, Risk, Compliance) Uzmanı rolünün Türkiye'de NEDEN giderek daha ÖNEMLİ hâle geldiğini açıklıyor — şirketler artık bu yükümlülükleri ANLAYAN, TAKİP EDEN uzmanlara İHTİYAÇ duyuyor. Ayrıca SOME yapılanmasının yasal ZORUNLULUK hâline gelmesi, SOC Analisti ve Olay Müdahale rollerinin de talep GÖRMEYE devam edeceğinin bir işareti.

Bu makale, SiberCrew ekibi tarafından hazırlanmış özgün içeriktir ve hukuki danışmanlık yerine geçmez.