7545 Sayılı Siber Güvenlik Kanunu Kimleri Kapsar? Şirketler ve Gerçek Kişiler İçin 2026 Rehberi
Kısa ve Net Cevap
7545 sayılı Siber Güvenlik Kanunu m.2; siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumlarını, kamu kurumu niteliğinde meslek kuruluşlarını, gerçek kişileri, tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsar. Kanunun kapsamı yalnız “siber güvenlik şirketleri” ile sınırlı değildir. Buna karşılık her yükümlülük her kişi için aynı şekilde uygulanmaz; m.7’deki sorumluluklar, m.8’deki denetim, m.18’deki siber güvenlik ürün/şirket işlemleri ve m.16’daki yaptırımlar kendi şartlarına göre ayrı değerlendirilir.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
7545 m.2, siber uzayda faaliyet gösteren kamu ve özel kesimi geniş kapsamda düzenler.
7545 m.2 Kapsamı Nasıl Düzenliyor?
7545 sayılı Siber Güvenlik Kanunu m.2/1, kapsamı kurum türüne göre daraltmak yerine faaliyet alanına bağlar. Kanun; siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurum ve kuruluşlarını, kamu kurumu niteliğinde meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsar.
Bu hüküm nedeniyle yalnız siber güvenlik ürünü satan şirketlerin Kanuna tabi olduğu düşüncesi yanlıştır. E-ticaret işletmesi, üretim şirketi, yazılım şirketi, sağlık kuruluşu, eğitim kurumu, veri merkezi, çevrim içi platform veya başka bir özel işletme; siber uzayda faaliyet yürütüyor ve m.7’de tanımlanan bilişim sistemi faaliyetlerini gerçekleştiriyorsa ilgili yükümlülükleri incelemek zorundadır.
Ancak kapsam maddesi tek başına “her kişi her yükümlülüğü yerine getirir” sonucu doğurmaz. Kanunun devamındaki her madde kendi muhatabını ve fiilini tanımlar. Örneğin siber güvenlik şirketlerinin faaliyete başlama onayı m.7/1-ç’de; ürünlerin yurt dışına satışı ve şirket pay devri m.18’de; siber olay bildirimi ise m.7/1-b’de düzenlenir.
Siber Uzayda Varlık Göstermek Ne Demektir?
7545 m.3, siber uzayı doğrudan veya dolaylı olarak internete, elektronik haberleşme ya da bilgisayar ağlarına bağlı bilişim sistemleri ile bunları birbirine bağlayan ağlardan oluşan ortam olarak tanımlar. Bu tanım yalnız halka açık web sitesi bulunan işletmeleri kapsamaz. İç ağ, bulut altyapısı, uzaktan erişim, veri tabanı, mobil uygulama, elektronik haberleşme sistemi ve ağ bağlantılı endüstriyel sistemler de siber uzayla bağlantı kurabilir.
“Bilişim sistemleri” de geniş tanımlanmıştır. Bilgi ve iletişim teknolojileriyle sunulan hizmet, işlem ve verilerin kullanılmasında yer alan donanım, yazılım, sistem ve aktif/pasif bileşenler bu kavram içindedir. Bu nedenle dijital olarak veri toplayan veya hizmet sunan şirketin “biz siber güvenlik firması değiliz” demesi m.2 kapsam analizini tek başına bitirmez.
Kanunun amacı, kritik altyapı ve bilişim sistemlerinin korunması yanında kamu ve özel kesimin siber saldırılara karşı gerekli düzenlemelere tabi tutulmasıdır. M.4/e de siber güvenlik politika ve stratejilerinin yürütülmesi ile saldırıların önlenmesi veya etkisinin azaltılması bakımından kamu kurumları ile gerçek ve tüzel kişilerin sorumluluğunu temel ilke olarak belirtir.
Özel Şirketler 7545 Sayılı Kanun Kapsamında mı?
Evet. M.2 tüzel kişileri açıkça kapsar. Anonim şirket, limited şirket, kooperatif ve diğer özel hukuk tüzel kişileri faaliyetlerinin niteliğine göre Kanun kapsamındadır. Şirketin sermaye büyüklüğü veya çalışan sayısı m.2’de kapsam dışı bırakma ölçütü olarak düzenlenmemiştir.
M.7, bilişim sistemleri kullanarak hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenlerin görev ve sorumluluklarını ayrıca düzenler. Başkanlığın talep ettiği veri ve belgeleri iletmek, mevzuatın öngördüğü siber güvenlik tedbirlerini almak, zafiyet veya siber olayları gecikmeksizin bildirmek ve Başkanlığın düzenleyici işlemlerindeki hususları yerine getirmek bu çerçevede önem taşır.
Şirketin kritik altyapı işletmesi olması halinde ek yükümlülükler gündeme gelir. Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin Başkanlıkça yetkilendirilmiş ve belgelendirilmiş tedarikçilerden alınması m.7/1-c’de düzenlenmiştir.
Gerçek Kişiler de Kanun Kapsamında mı?
Evet. M.2 gerçek kişileri açıkça sayar. Ancak sıradan bir bireyin internete bağlanması ile ticari veya mesleki faaliyette bilişim sistemi kullanarak hizmet sunması aynı yükümlülük yoğunluğunu doğurmaz. Her somut hükmün muhatap şartı ayrıca aranır.
Örneğin m.16’daki suç hükümleri fiili gerçekleştiren gerçek kişilere doğrudan uygulanabilir. Sızdırılmış kişisel veya kritik kamu hizmeti verisini izinsiz erişime açma, paylaşma veya satışa çıkarma; gerçeğe aykırı siber veri sızıntısı içeriği üretme/yayma; siber saldırı gerçekleştirme gibi fiiller ceza hükümlerinin konusudur.
Buna karşılık m.18’deki şirket birleşme veya pay devri düzenlemesi, siber güvenlik ürün/hizmeti üreten şirketlerin kurumsal işlemlerine yöneliktir. Bu nedenle “kanun gerçek kişileri kapsıyor” cümlesi, her maddede aynı ödev bulunduğu anlamına gelmez.
Kamu Kurumları İçin Kapsam Nasıl?
Kamu kurum ve kuruluşları m.2 kapsamında açıkça sayılmıştır. Kanunun temel hedeflerinden biri kritik kamu hizmetleri ile kamu bilişim sistemlerinin korunmasıdır. Başkanlık, m.5 kapsamında kritik altyapıları ve bunlara ait kurumları belirleme, risk analizi yapma, zafiyet ve sızma testi yürütme ve siber tehditlerle mücadele etme görevlerine sahiptir.
Denetim bakımından kamu kurumları için bazı özel kurallar vardır. M.8 uyarınca kamu kurumları ile kritik altyapıların denetimleri Başkanlık personelince veya Başkanlık personeli refakatinde yürütülür. Arama, kopya çıkarma ve el koyma hükümlerinde de kamu kurumları ile özel kişiler arasında kanunda farklılıklar bulunmaktadır.
M.16/1’de bilgi, belge, yazılım, veri ve donanımı vermemeye ilişkin hapis ve adli para cezası düzenlenirken kamu kurum ve kuruluşları istisna tutulmuştur. Bu, kamu kurumlarının Kanunun genel kapsamından çıktığı anlamına gelmez; yalnız ilgili ceza fıkrasının özel kapsamıdır.
7545 Sayılı Kanunun Kapsam Dışı Bıraktığı Faaliyetler
M.2/2 belirli faaliyetleri Kanun kapsamı dışında tutar. Polis Vazife ve Salâhiyet Kanunu, Sahil Güvenlik Komutanlığı Kanunu ve Jandarma Teşkilat, Görev ve Yetkileri Kanunu uyarınca yürütülen istihbari faaliyetler ile Milli İstihbarat Teşkilatı Kanunu ve Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler bu Kanunun kapsamı dışındadır.
İstisna kurumun bütün faaliyetini değil, maddede sayılan mevzuat uyarınca yürütülen ilgili faaliyetleri hedef alır. Bu nedenle istisna yorumlanırken m.2/2’nin açık metni esas alınmalıdır; kanunda bulunmayan genel bir “kamu güvenliği istisnası” yaratılmamalıdır.
Kapsama Girmek Hangi Temel Yükümlülükleri Doğurur?
Kapsama giren bir şirket veya kuruluş önce kendi faaliyetini kanunun maddelerine eşleştirmelidir. Her kuruluş için asgari kontrol başlıkları şunlardır:
- M.7/1-a: Başkanlığın görevleri kapsamında istediği veri, bilgi, belge, donanım ve yazılımın iletilmesi.
- M.7/1-b: Siber güvenlik tedbirlerinin alınması ve tespit edilen zafiyet/siber olayların gecikmeksizin bildirilmesi.
- M.7/1-c: Kamu ve kritik altyapı tedariklerinde yetkilendirilmiş/belgelendirilmiş ürün ve hizmet kullanımı.
- M.7/1-ç: Sertifikasyon veya yetkilendirmeye tabi siber güvenlik şirketlerinin faaliyete başlamadan önce Başkanlık onayı.
- M.7/1-d: Başkanlıkça yayımlanan politika, strateji, eylem planı ve düzenleyici işlemlere uyum.
- M.8: Denetim ve denetim sırasında bilgi-sistem erişimi yükümlülükleri.
- M.18: Siber güvenlik ürünlerinin yurt dışı satışı ve şirket kontrol işlemleri.
Şirketin faaliyetleri değiştikçe bu matris güncellenmelidir. Kritik altyapı müşterisi edinmek, yeni bir güvenlik ürünü geliştirmek veya şirket pay devrine gitmek yeni yükümlülük doğurabilir.
Başkanlığın Denetim Yetkisi Kimleri Kapsar?
7545 m.8, Başkanlığa Kanun kapsamına giren fiil ve işlemleri denetleme yetkisi verir. Denetim, ilgili kurum, kuruluş, gerçek ve tüzel kişilerin Kanunla bağlantılı faaliyet ve işlemlerini kapsar. Yetkili denetçiler mahallinde inceleme yapabilir; kanundaki sınırlar içinde elektronik kayıt ve verilere erişim gündeme gelebilir.
Denetimde istenen veri, belge, yazılım veya donanımın verilmemesi, özel kişiler bakımından m.16/1’de hapis ve adli para cezasına bağlanmıştır. Denetim yetkisinin sınırları ile arama/kopya/el koyma için öngörülen hâkim kararı sistemi ayrıca m.8’den okunmalıdır.
Şirketler denetim günü belge aramak yerine önceden uyum dosyası oluşturmalıdır. Siber güvenlik politikası, olay kayıtları, risk analizleri, tedarikçi belgeleri, yetkilendirmeler, denetim logları ve sorumlu kişiler güncel tutulmalıdır.
7545’te Cezalar Nasıl Ayrılır?
Kanunun kapsamına girmek tek başına ceza doğurmaz. Ceza, m.16’da tanımlanan belirli yükümlülük veya yasakların ihlali halinde uygulanır. Örneğin bilgi vermemek m.16/1, izinsiz faaliyet m.16/2, sır saklama ihlali m.16/3, sızdırılmış veriyi paylaşma m.16/4, belirli gerçeğe aykırı sızıntı içeriği m.16/5 ve siber saldırı m.16/6’da düzenlenir.
M.7/1-b ve c yükümlülüklerinin ihlalinde 1–10 milyon TL; m.18 yükümlülüklerinin ihlalinde 10–100 milyon TL idari para cezası öngörülür. M.8/4 denetim yükümlülükleri için de ayrı idari para cezası sistemi vardır.
Bu nedenle şirketin uyum programı “7545’e tabiyiz/tâbi değiliz” şeklinde tek kutucuklu olmamalı; her yükümlülük ve yaptırım ayrı satırda izlenmelidir.
Şirketler İçin 7545 Kapsam Analizi Kontrol Listesi
- Şirketin tüm dijital hizmetlerini ve bilişim sistemlerini listeleyin.
- Siber uzayda yürütülen faaliyetleri m.2’ye göre sınıflandırın.
- Veri toplama ve işleme faaliyetlerini m.7 açısından eşleştirin.
- Kritik altyapı müşterileri veya kamu müşterilerini belirleyin.
- Sunulan ürün/hizmetin siber güvenlik ürünü sayılıp sayılmadığını değerlendirin.
- Zafiyet ve siber olay bildirim prosedürünü yazılı hale getirin.
- Başkanlık denetimi için sorumlu ekip ve belge envanteri oluşturun.
- Siber güvenlik ürün ihracatı varsa m.18 izin kontrolünü ekleyin.
- Şirket birleşme/pay devri planlarında m.18 kontrolünü zorunlu yapın.
- İkincil düzenlemeleri ve Başkanlık duyurularını sürekli takip edin.
İç Bağlantılar
- Siber Olay Bildirim Zorunluluğu
- Siber Güvenlik Denetimi Nasıl Yapılır?
- Siber Güvenlik Şirketi Faaliyete Başlama Onayı
- Siber Güvenlik Şirketinde Pay Devri
Sık Sorulan Sorular
7545 yalnız siber güvenlik şirketlerini mi kapsar?
Hayır. M.2, siber uzayda faaliyet yürüten kamu kurumlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsar.
Küçük işletmeler kapsam dışında mı?
M.2’de çalışan veya ciroya bağlı genel bir küçük işletme istisnası yoktur. Uygulanacak yükümlülük faaliyet ve madde bazında belirlenir.
İnternet sitesi olan her şirket aynı yükümlülüklere mi tabi?
Hayır. Kapsam geniştir fakat her maddenin muhatabı ve şartı farklıdır.
Gerçek kişiler 7545 kapsamında mı?
Evet. M.2 gerçek kişileri açıkça sayar.
Kamu kurumları kapsamda mı?
Evet. M.2 kamu kurum ve kuruluşlarını açıkça kapsar; bazı maddelerde kamu için özel kurallar vardır.
Kanunda hangi faaliyetler kapsam dışında?
M.2/2’de belirli kolluk, istihbarat ve TSK mevzuatı uyarınca yürütülen faaliyetler açıkça kapsam dışında sayılmıştır.
Şirket siber olay bildirmek zorunda mı?
M.7/1-b kapsamındaki hizmet sunan/veri işleyen kişiler tespit ettikleri zafiyet veya siber olayı gecikmeksizin Başkanlığa bildirir.
Başkanlık şirketi denetleyebilir mi?
Evet. M.8 Kanun kapsamındaki gerçek ve tüzel kişiler hakkında denetim yetkisi düzenler.
Siber güvenlik ürünü satan şirket için ek kurallar var mı?
Evet. M.7’de onay/yetkilendirme, m.18’de yurt dışı satış ve şirket kontrol işlemleri için özel hükümler vardır.
7545 ile KVKK aynı kanun mu?
Hayır. 7545 siber güvenlik rejimini, 6698 ise kişisel verilerin korunmasını düzenler. Aynı olayda iki kanun birlikte uygulanabilir.
Kapsama girmek otomatik para cezası doğurur mu?
Hayır. Ceza, m.16’da tanımlanan belirli ihlal veya yasakların gerçekleşmesi halinde doğar.
Şirket kapsam analizini nasıl belgelendirmeli?
Faaliyet, sistem, veri işleme, kritik altyapı ilişkisi, ürün/hizmet ve ilgili kanun maddelerini eşleştiren yazılı uyum matrisi oluşturulmalıdır.
Resmî Kaynaklar
- 7545 sayılı Siber Güvenlik Kanunu m.1, 2, 3, 4, 7, 8, 16, 17 ve 18.
- Mevzuat Bilgi Sistemi
- Resmî Gazete
Sonuç
7545 sayılı Kanunun kapsamı bilinenden geniştir. Kanun yalnız siber güvenlik şirketlerini değil, siber uzayda faaliyet yürüten kamu ve özel kesimi kapsar. Buna karşılık yükümlülükler madde bazında değişir. Doğru uyum yöntemi, şirketin dijital faaliyetlerini m.7, m.8, m.16 ve gerekiyorsa m.18 hükümleriyle ayrı ayrı eşleştirmektir.
Hukukçu İncelemesi ve E-E-A-T
Bu içerik 11 Eylül 2026 itibarıyla yürürlükteki 7545 sayılı Siber Güvenlik Kanunu esas alınarak hazırlanmıştır. Yazar: Av. Halil Bakırcı. Kapsam ile somut yükümlülük birbirinden ayrılarak açıklanmıştır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
