19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, Türkiye’de bu alandaki ilk müstakil kanun oldu. Metni okuyan çoğu imalatçı ilk anda “bu bizi ilgilendirmez, biz kritik altyapı değiliz” diye düşünüyor. Kanunun kapsam tanımı ise daha geniş: bilişim sistemine sahip her tüzel kişi, potansiyel olarak muhatap.
ERP’sini buluta taşımış, üretim hattına IoT sensörü bağlamış ya da tedarikçileriyle veri paylaşan bir imalat işletmesi için bu, soyut bir hukuk metni olmaktan çıkıp somut bir soruya dönüşüyor: bizim durumumuzda hangi yükümlülük doğuyor, hangisi doğmuyor?
Kanun ne getiriyor, kısaca
Kanunun getirdiği çerçeveyi dört başlıkta özetlemek mümkün.
| Alan | İçerik |
|---|---|
| Kapsam | Kamu kurumları, kritik altyapı işletmecileri, siber güvenlik ürün/hizmet sağlayıcıları ve genel olarak bilişim sistemi kullanan tüzel kişiler |
| Kurum | Cumhurbaşkanlığı bünyesinde kurulan Siber Güvenlik Başkanlığı; politika, strateji ve rehber yayımlama, denetim ve müdahale yetkisiyle |
| Temel yükümlülükler | Başkanlığın yayımlayacağı güvenlik tedbirlerinin uygulanması, talep edilen bilgi/belgenin zamanında sağlanması, tespit edilen saldırı veya zafiyetin gecikmeksizin bildirilmesi |
| Yaptırım | İdari para cezası (kanunda 1 milyon TL ile 100 milyon TL arasında değişen bir bant öngörülüyor) ve bazı ihlaller için hapis cezası |
Kritik altyapı işletmecisi sayılan kurum ve şirketler için ek bir kural daha var: siber güvenlik ürün ve hizmetlerini yalnızca Başkanlık tarafından yetkilendirilmiş tedarikçilerden almak zorundalar. Hangi sektörlerin ve hangi işletmelerin “kritik altyapı” sayılacağı, Başkanlığın yayımlayacağı ikincil mevzuatla netleşecek; bu liste yazının kaleme alındığı tarihte tam olarak kamuya açıklanmış değil.
Kritik altyapı mı, “bilişim sistemi olan tüzel kişi” mi?
Burada iki farklı yükümlülük katmanını ayırmak gerekiyor.
Birinci katman kritik altyapı işletmecileri için: enerji, ulaştırma, finans, sağlık gibi sektörlerde faaliyet gösteren ve Başkanlık tarafından bu şekilde belirlenen kurum ve şirketler. Bu grup için yükümlülükler ağır — yetkilendirilmiş tedarikçi zorunluluğu, düzenli denetim, sızma testi gibi konular gündemde.
İkinci katman ise daha geniş ve daha belirsiz: kanun metni, bilişim sistemi kullanan her tüzel kişiyi potansiyel muhatap sayıyor. Bir imalat KOBİ’si kritik altyapı listesine girmese bile, Başkanlığın genel çerçevede talep edeceği bilgi/belge paylaşımı ve tedbir alma yükümlülüğünün kapsamı dışında kalacağının garantisi yok — çünkü ikincil mevzuat henüz tam oturmadı.
Pratik sonuç şu: “biz kritik altyapı değiliz, bizi ilgilendirmez” demek şu an için erken bir sonuç. Doğru yaklaşım, Başkanlığın yayımlayacağı rehber ve düzenlemeleri takip etmek, bu arada da zaten iyi bir dijital hijyen sayılan önlemleri önceliklendirmek.
İmalatçı için pratik risk yüzeyi: ERP, bulut, IoT
Kanunun soyut kapsam tartışmasından bağımsız olarak, dijitalleşen bir üretim tesisinin somut bir gerçeği var: her yeni bağlantı noktası, aynı zamanda yeni bir risk noktası.
- ERP ve bulut sistemleri — üretim planlaması, stok, finans verisi tek bir sistemde toplanınca, bu sistemin kimlik doğrulama ve erişim kontrolü zayıfsa tek noktadan büyük veri kaybı riski oluşur.
- IoT sensörleri ve makine haberleşmesi (M2M) — üretim hattındaki sensörler internete açıldığında, üretici tarafından yamanmayan eski cihaz yazılımları saldırı yüzeyi büyütür.
- Tedarikçi ve müşteri veri paylaşımı — CBAM ve CSRD baskısıyla artan emisyon/üretim verisi paylaşımı, aynı zamanda yeni bir veri güvenliği sorumluluğu getiriyor.
- Uzaktan erişim — saha ekiplerinin veya bakım firmalarının uzaktan sisteme bağlanması, doğru yapılandırılmazsa arka kapı haline gelebilir.
Bu liste kanunla değil, dijitalleşmenin kendisiyle ortaya çıkıyor. Kanun, bu riskleri zaten taşıyan işletmeler için bir de düzenleyici/bildirim boyutu ekliyor.
Orantılı önlem: ölçmeden yönetilmez
Siber güvenlikte de geçerli olan kural, yeşil dönüşümdekiyle aynı: ölçmediğiniz riski yönetemezsiniz. Bir imalat KOBİ’sinin bu konuda atabileceği adımlar, büyük bütçeli bir dönüşüm projesinden çok, düzenli bir disiplin meselesi.
- Envanter çıkarın. Hangi sistem (ERP, bulut, IoT ağ geçidi) hangi veriye erişiyor, kim yönetiyor — bu net değilse önce bu tablo çıkarılır.
- Erişimi daraltın. Çok faktörlü kimlik doğrulama (MFA) ve rol bazlı yetkilendirme, düşük maliyetli ama etkisi yüksek iki önlemdir.
- Yama ve güncelleme takvimi kurun. Özellikle üretim hattındaki eski cihazlar için — üretici desteği bitmiş donanım, bilinen en büyük açık kapılardan biridir.
- Bildirim/olay müdahale sürecini tanımlayın. Bir zafiyet ya da saldırı tespit edildiğinde kimin ne yapacağı önceden belli olmalı; kanun bunu gecikmeksizin bildirim yükümlülüğüyle de destekliyor.
- Tedarikçi ve iş ortağı erişimini gözden geçirin. Dışarıdan uzaktan bağlanan her hesap, kendi güvenlik seviyeniz kadar önemlidir.
Bu adımlar, Sürdür eksenimizde çalıştığımız ISO/IEC 27001 çerçevesiyle örtüşüyor: siber güvenliği sonradan eklenen bir katman değil, sistem tasarımının bir ön koşulu olarak ele almak.
KVKK ile karıştırılmamalı
Siber Güvenlik Kanunu, KVKK’nın (Kişisel Verilerin Korunması Kanunu) yerine geçmiyor; ikisi farklı katmanlar. KVKK, kişisel verinin işlenme ve korunma esaslarını düzenliyor — VERBİS kaydı, açık rıza, veri işleme sözleşmeleri bu kapsamda. Siber Güvenlik Kanunu ise sistemin kendisinin dayanıklılığını ve bir saldırı/zafiyet anında devletle koordinasyonu hedefliyor. Uygulamada ikisi birbirini tamamlıyor: KVKK “hangi veriyi neden işliyorsunuz” sorusuna, yeni kanun “bu veriyi taşıyan sistemi nasıl koruyorsunuz” sorusuna odaklanıyor. Bir imalat KOBİ’si için ikisini birlikte değerlendirmek, ayrı ayrı ele almaktan daha verimli.
Somut olarak nereden başlanır
Elimizdeki Qera birikiminde 550+ müşteri ve 100+ ERP projesinde gördüğümüz ortak nokta şu: güvenlik açığının çoğu karmaşık bir saldırıdan değil, temel hijyenin eksikliğinden doğuyor — paylaşılan şifreler, güncellenmeyen sunucu, kapatılmamış eski hesap. Dijitalleşme projesine başlarken bu envanteri çıkarmak, sonradan yama yapmaktan her zaman daha ucuz.
Kurumsal değerlendirme talebi olan işletmeler için Ölç-Dönüştür-Sürdür metodolojimiz kapsamında hem dijitalleşme hem de güvenlik envanterini birlikte ele alan bir keşif görüşmesi iletişim formundan talep edilebilir; ön bilgi paylaşımı için bir taahhüt gerekmez.
Sıkça Sorulan Sorular
Siber Güvenlik Kanunu hangi işletmeleri doğrudan bağlıyor?
Kesin cevap, Başkanlığın yayımlayacağı kritik altyapı listesi ve ikincil mevzuatla netleşecek. Bugün için bilinen: kamu kurumları, kritik altyapı işletmecileri ve siber güvenlik ürün/hizmet sağlayıcıları doğrudan kapsamda; bilişim sistemi kullanan diğer tüzel kişiler için kapsam ve yükümlülük derecesi ikincil düzenlemelere bağlı.
Bir imalat KOBİ’si kritik altyapı sayılır mı?
Genel imalat faaliyeti tek başına kritik altyapı tanımına girmiyor; kritik altyapı genellikle enerji, ulaştırma, finans, sağlık gibi sektörlerle ilişkilendiriliyor. Ancak enerji üretimi/dağıtımı, su, gıda güvenliği gibi alanlarda faaliyet gösteren ya da kritik altyapı işletmecisine tedarik yapan firmalar için durum farklı olabilir; kesin durum Başkanlığın belirlemesiyle şekillenecek.
Ceza riski gerçek mi, yoksa caydırıcı bir üst sınır mı?
Kanunda öngörülen idari para cezası bandı (1 milyon TL - 100 milyon TL) ve bazı ihlaller için hapis cezası, metinde yer alan gerçek yaptırımlar. Cezanın hangi ihlale hangi ağırlıkta uygulanacağı, Başkanlığın denetim pratiğiyle netleşecek.
KVKK uyumu olan bir işletme bu kanun için de hazır sayılır mı?
Kısmen. KVKK uyumu (VERBİS kaydı, veri işleme envanteri, açık rıza süreçleri) iyi bir temel oluşturur ama Siber Güvenlik Kanunu’nun odağı farklı — sistemin saldırılara karşı dayanıklılığı ve olay bildirim süreci. İkisi ayrı ayrı değerlendirilmeli.
Küçük bir üretim tesisi bu konuda ne kadar bütçe ayırmalı?
Kesin bir rakam vermek yanıltıcı olur; ölçek, mevcut altyapı ve risk profiline göre değişir. Genel eğilim, büyük bir ilk yatırımdan çok düzenli, orantılı önlemlerin (MFA, erişim kontrolü, yama takvimi) öncelikli olması yönünde. Kurumun kendi durumuna göre net bir çerçeve için bir uyum danışmanına ya da Başkanlığın yayımlayacağı rehberlere başvurulması önerilir.
Kaynaklar
İlgili sayfalar: Dijital Dönüşüm · Çözümler · Hizmetler · Sözlük