Siber Güvenlik Başkanlığı Denetimi Nasıl Yapılır? 7545 m.8 | 2026

7545 sayılı Siber Güvenlik Kanunu, siber güvenlik yükümlülüklerini yalnız beyan ve belge seviyesinde bırakmamış; Siber Güvenlik Başkanlığına fiilî denetim ve mahallinde inceleme yetkisi vermiştir. Bu nedenle şirketlerin siber güvenlik uyumunu yalnız politika metni veya ISO sertifikası üzerinden yönetmesi yeterli değildir. Denetimde gerçek sistem, cihaz, yazılım, log, erişim, yapılandırma ve işleyiş incelenebilir.

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

Kanun m.8 ayrıca denetim ile arama/kopya çıkarma/el koyma arasındaki hukuki sınırı da düzenler. Olağan denetim yetkileri m.8/1-4’te; konut, işyeri ve kamuya açık olmayan kapalı alanlarda arama, kopya çıkarma ve el koyma işlemlerinin adli güvenceleri ise m.8/5’te yer alır. Şirketlerin denetim günü geldiğinde hangi işlemin idari denetim, hangisinin hâkim veya savcı kararına bağlı adli nitelikte işlem olduğunu ayırt edebilmesi önemlidir.

• Başkanlığın denetim yetkisinin dayanağı nedir?
• Kimler denetlenebilir?
• Denetimi kim yapabilir?
• Programlı ve program dışı denetim nedir?
• Denetçi hangi veri ve sistemleri inceleyebilir?
• Şirketin denetimdeki yükümlülükleri nelerdir?
• Arama ve el koyma için hangi şartlar gerekir?
• Veri merkezlerinde özel kural nedir?
• Denetime engel olmanın yaptırımı nedir?
• Denetime hazırlık dosyası nasıl oluşturulur?

1. Siber Güvenlik Başkanlığının Denetim Yetkisinin Dayanağı

7545 sayılı Kanun m.8/1’e göre Başkanlık, Kanunda belirtilen görevleriyle ilgili olarak gerekli gördüğü hâllerde Kanun kapsamına giren her türlü fiil ve işlemi denetleyebilir. Bu amaçla mahallinde inceleme yapabilir veya yaptırabilir.

Denetim, Kanun kapsamındaki kurum, kuruluş, gerçek ve tüzel kişiler ile tüzel kişiliği olmayan kuruluşların Kanun hükümleriyle ilgili faaliyet ve işlemlerini kapsar. Dolayısıyla denetim yalnız siber güvenlik şirketleri veya kritik altyapı işletmecileriyle sınırlı değildir.

Genel kapsamın kimlere uzandığına ilişkin ayrıntılar için 7545 sayılı Siber Güvenlik Kanunu kimleri kapsar? rehberi incelenebilir.

2. Denetimi Kim Yapabilir?

m.8/1 uyarınca denetime Başkanlık personeli, yetkilendirilmiş ve belgelendirilmiş bağımsız denetçiler ve bağımsız denetim kuruluşları yetkilidir. Denetim yetkisi Başkan tarafından görevlendirilenlerce kullanılır.

Kamu kurum ve kuruluşları ile kritik altyapılardaki denetimler için daha sıkı bir kural vardır: Bu denetimler Başkanlık personelince veya Başkanlık personelinin refakatinde yapılır. Bu düzenleme, kritik sistemlere erişimin kamu otoritesi gözetiminde yürütülmesini sağlar.

Şirket, denetime gelen kişinin yetkilendirme ve görevlendirme durumunu kontrol edebilir; ancak bu kontrol denetimi gereksiz şekilde geciktirmek veya engellemek amacıyla kullanılamaz.

3. Programlı Denetim Nasıl Yapılır?

Kanun m.8/2, Başkanlığın denetim faaliyetlerinde önemlilik ve öncelik ilkeleri ile risk değerlendirmesinde dikkate alınacak ölçütleri ve uygulama esaslarını belirleyeceğini düzenler. Denetim faaliyetleri bu ölçütlere göre oluşturulan program uyarınca yürütülür.

Risk temelli yaklaşım; kritik altyapı niteliği, hizmet kesintisinin etkisi, veri kapsamı, geçmiş olaylar, zafiyet seviyesi, sektör riski veya önceki denetim bulguları gibi unsurların denetim önceliğini etkileyebilmesine imkân tanır.

Şirketin denetim programında bulunması, mutlaka bir ihlal işlendiği anlamına gelmez. Denetim önleyici ve risk temelli bir uyum aracı olarak da yürütülebilir.

4. Program Dışı Denetim Yapılabilir mi?

Evet. m.8/2’nin son cümlesine göre Başkan, oluşturulan program dışında incelenmesi gerekli görülen hususlarda program dışı denetim yaptırabilir. Bu nedenle şirketin “bu yıl denetim takviminde değiliz” gerekçesiyle hazırlıksız kalması doğru değildir.

Siber olay, zafiyet, ihbar, sektörel risk, kritik hizmet kesintisi veya başka bir hukuki neden program dışı incelemeyi gündeme getirebilir. Denetim hazırlığı sürekli yaşayan bir uyum sistemi olmalıdır.

5. Denetçi Hangi Veri, Cihaz ve Sistemleri İnceleyebilir?

Kanun m.8/4, denetimle görevlendirilenlerin yetkilerini ayrıntılı biçimde sayar. Denetçiler, yürüttükleri denetim faaliyetleriyle sınırlı olmak üzere elektronik ortamdaki veri ve belgeleri, elektronik altyapıyı, cihazları, sistemleri, yazılım ve donanımları inceleyebilir.

Bunlardan kopya, dijital suret veya örnek alınabilir; konuyla ilgili yazılı veya sözlü açıklama istenebilir; gerekli tutanaklar düzenlenebilir; tesisler ve işletim yapısı incelenebilir. Dolayısıyla denetim yalnız evrak talebi değildir; teknik sistem üzerinde fiilî inceleme yapılabilir.

“Denetim faaliyetiyle sınırlı” ibaresi önemlidir. İncelemenin kapsamı, denetimin konusu ve Kanun’daki görevlerle bağlantılı olmalıdır. Şirket hukuk ekibi, denetim sırasında sunulan veri ve sistemlerin kapsamını kayıt altına almalıdır.

6. Denetime Tabi Şirketin Yükümlülükleri Nelerdir?

m.8/4 uyarınca denetime tabi olanlar; ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almak zorundadır.

Bu yükümlülük, denetim sırasında sistemi kasıtlı olarak erişilemez kılmama, logları silmeme, incelemeye konu cihazları devre dışı bırakmama ve denetçinin teknik çalışmasını mümkün kılacak erişim imkânını sağlama anlamına gelir.

Şirketin ticari sırrı, kişisel veri veya müşteri gizliliği bulunması denetimi bütünüyle reddetme gerekçesi değildir. Ancak paylaşımın hukuki dayanağı, kapsamı ve teslim edilen materyal kayıt altına alınmalı; sır saklama ve kişisel veri hükümleriyle birlikte yönetilmelidir.

7. Denetim ve Arama-El Koyma Aynı Şey midir?

Hayır. Kanun m.8/1-4 idari denetimi; m.8/5 ise belirli koşullarda arama, kopya çıkarma ve el koymayı düzenler. Konut, işyeri ve kamuya açık olmayan kapalı alanlarda m.8/5 kapsamındaki arama ve el koyma işlemleri için kural olarak hâkim kararı gerekir.

Gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının yazılı emriyle işlem yapılabilir. Hâkim kararı olmaksızın yapılan arama, kopya çıkarma ve el koyma işlemleri yirmi dört saat içinde görevli hâkimin onayına sunulur. Hâkim kırk sekiz saat içinde karar verir; aksi hâlde çıkarılan kopyalar ve çözümü yapılan metinler derhâl imha edilir ve el koyma kendiliğinden kalkar.

İşlemlerin yapılabilmesi için makul sebeplerin oluştuğunun gerekçeleriyle gösterilmesi gerekir. Bu güvenceler, olağan denetim yetkisinin sınırsız adli arama yetkisine dönüşmesini engeller.

8. Veri Merkezi İşletmecileri İçin Özel Kural Nedir?

m.8/5’e göre yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde arama, kopya çıkarma ve el koyma işlemleri yalnız hâkim kararıyla yapılabilir. Bu talepler bakımından Ankara sulh ceza hâkimliği yetkili ve görevlidir.

Kanun ayrıca kamu kurum ve kuruluşları bakımından hâkim kararı aranmayacağını düzenler. Bu özel düzenleme, veri merkezi işletmecilerinin barındırdığı çok sayıda müşteriye ait sistem ve verinin korunması açısından önemlidir.

9. Denetime Yardım Yükümlülüğü Kimlere Aittir?

m.8/3’e göre mülki amirler, kolluk kuvvetleri ve diğer kamu kurumlarının amir ve memurları, inceleme veya denetimle görevlendirilenlere her türlü kolaylığı göstermek ve yardımda bulunmakla yükümlüdür.

Şirket açısından doğrudan yükümlülük ise m.8/4’teki cihaz ve sistemleri denetime açık tutma, altyapıyı sağlama ve çalışır vaziyette bulundurma yükümlülüğüdür.

10. Denetime Uymamanın İdari Para Cezası Nedir?

7545 sayılı Kanun m.16/11’e göre m.8/4’teki yükümlülükleri yerine getirmeyenlere 100.000 TL’den 1.000.000 TL’ye kadar idari para cezası uygulanır. Yükümlülüğü yerine getirmeyen taraf ticari şirket ise ceza 100.000 TL’den az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablolardaki brüt satış hasılatının yüzde 5’ine kadar çıkabilir.

Bu yaptırım, özellikle yüksek cirolu şirketler bakımından sabit para cezasından çok daha ağır sonuç doğurabilir. Denetim günü teknik erişim sağlayamamak, sistemi çalışır halde tutmamak veya istenen inceleme ortamını kasıtlı şekilde engellemek ciddi risk yaratır.

Ayrıca m.16/1, kamu kurumları hariç olmak üzere yetkili mercilerin ve denetim görevlilerinin görev ve yetkileri kapsamında istediği bilgi, belge, yazılım, veri ve donanımı vermeyen veya bunların alınmasına engel olanlar hakkında 1 yıldan 3 yıla kadar hapis ve 500 günden 1500 güne kadar adli para cezası öngörür. Somut fiilin hangi fıkra kapsamına girdiği ayrıca değerlendirilmelidir.

11. Şirket Denetim Sırasında Ne Yapmalı?

Denetim geldiğinde ilk adım denetim irtibat sorumlusunun devreye girmesidir. Hukuk, bilgi güvenliği ve üst yönetim temsilcileri birlikte hareket etmelidir. Denetçilerin kimliği ve görevlendirmesi kayda alınmalı; talep edilen sistem ve belgeler liste hâlinde izlenmelidir.

Sunulan her dijital kopyanın adı, hash değeri varsa hash bilgisi, teslim zamanı ve teslim alan kişi tutanakla kayıt altına alınmalıdır. Sistem üzerinde yapılan incelemelerin hizmet kesintisine yol açmaması için teknik ekip eşlik etmelidir.

Denetimi engellemeden, hukuki hakları koruyan kontrollü bir iş birliği modeli kurulmalıdır.

12. Denetim Öncesi Hazırlık Dosyasında Neler Bulunmalı?

• Güncel bilişim varlık envanteri,
• Ağ ve sistem mimarisi,
• Kritik sistem ve veri sınıflandırması,
• Risk analizleri ve zafiyet tarama raporları,
• Sızma testi ve düzeltici faaliyet kayıtları,
• Siber olay ve zafiyet bildirim kayıtları,
• Erişim yetki matrisi,
• Log yönetimi ve saklama politikası,
• Yedekleme ve iş sürekliliği planları,
• Tedarikçi ve dış hizmet güvenlik kontrolleri,
• SOME yapılanması varsa ekip ve süreç kayıtları,
• Yönetim onaylı siber güvenlik politika ve prosedürleri.

13. KVKK Açısından Denetimde Veri Paylaşımı

Denetim sırasında kişisel veri içeren kayıtların Başkanlığa veya yetkili denetçilere sunulması gerekebilir. 7545 sayılı Kanun m.6/2, Kanun kapsamında kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesini düzenler.

Elde edilen kişisel veriler ve ticari sırların erişimi gerektiren sebep ortadan kalktığında resen silinmesi, yok edilmesi veya anonim hâle getirilmesi öngörülmüştür. Şirket de denetim sırasında sunduğu kişisel verinin kapsamını ve hukuki dayanağını kendi kayıtlarında göstermelidir.

14. 2026 Uyum Kontrol Listesi

• Denetim irtibat kişisini belirleyin.
• Varlık envanterini güncel tutun.
• Logların erişilebilir ve değişmez olmasını sağlayın.
• Denetimde sunulabilecek belgeleri önceden sınıflandırın.
• Teknik ekip ve hukuk ekibi için denetim prosedürü yazın.
• Dijital kopya teslim tutanağı şablonu hazırlayın.
• Arama/el koyma işlemlerinde karar ve süre kontrollerini yapacak hukuki sorumlu belirleyin.
• Tedarikçilerinizin denetim iş birliği yükümlülüklerini sözleşmeye ekleyin.
• Denetim bulguları için düzeltici faaliyet takip sistemi kurun.
• m.16/11 ciroya bağlı yaptırım riskini yönetim seviyesinde izleyin.

15. Site İçindeki İlgili Rehberler

7545 sayılı Kanun kapsam analizi için Kanun kimleri kapsar?, olay ve zafiyet süreçleri için Siber olay ve zafiyet bildirimi, genel içerikler için Siber Güvenlik Hukuku bölümü incelenebilir.

16. Resmî Kaynaklar

• Siber Güvenlik Başkanlığı – Denetim ve Gözetim
• Siber Güvenlik Başkanlığı – Sık Sorulan Sorular
• Siber Güvenlik Başkanlığı – Mevzuat
• TBMM – 7545 Sayılı Siber Güvenlik Kanunu

17. Sık Sorulan Sorular

Başkanlık şirkette yerinde inceleme yapabilir mi?

Evet. m.8/1 gerekli görülen hâllerde mahallinde inceleme yapılmasına veya yaptırılmasına izin verir.

Bağımsız denetçi denetim yapabilir mi?

Yetkilendirilmiş ve belgelendirilmiş bağımsız denetçi ve kuruluşlar denetim yapabilir.

Kritik altyapıda bağımsız denetçi tek başına denetim yapabilir mi?

Kamu kurumları ve kritik altyapı denetimleri Başkanlık personelince veya onların refakatinde yapılır.

Program dışı denetim mümkün mü?

Evet. Başkan gerekli gördüğü hususlarda program dışı denetim yaptırabilir.

Denetçi cihazdan dijital kopya alabilir mi?

m.8/4 kapsamında denetim faaliyetiyle sınırlı olmak üzere kopya, dijital suret veya örnek alınabilir.

İşyeri araması için hâkim kararı gerekir mi?

m.8/5 kapsamındaki arama, kopya çıkarma ve el koyma için kural olarak hâkim kararı gerekir; gecikmesinde sakınca bulunan hâllerde savcının yazılı emri ve sonradan hâkim onayı düzenlenmiştir.

Veri merkezinde özel kural var mı?

Yetkilendirilmiş veri merkezlerinde arama, kopya çıkarma ve el koyma yalnız hâkim kararıyla yapılabilir.

Denetime uymamanın cezası nedir?

m.16/11 kapsamında 100 bin TL-1 milyon TL; ticari şirketlerde belirli şartlarla brüt satış hasılatının yüzde 5’ine kadar idari para cezası uygulanabilir.

Bilgi vermemek ayrıca suç olabilir mi?

m.16/1’de belirli şartlarda 1-3 yıl hapis ve adli para cezası öngörülmüştür.

Şirket denetim tutanağı tutmalı mı?

Evet. Sunulan belge, veri ve dijital kopyaların kayıt altına alınması hukuki ispat ve veri yönetimi açısından önemlidir.

18. Uygulamada İzlenecek Net Yol

Denetim hazırlığı, denetim yazısı geldiğinde başlayan bir faaliyet olmamalıdır. Varlık envanteri, loglar, risk analizleri, olay kayıtları ve tedarikçi güvenlik dokümanları sürekli güncel tutulmalıdır. Denetim prosedürü, teknik ekibin iş birliği yükümlülüğü ile hukuk ekibinin kayıt ve yetki kontrolünü aynı akışta birleştirmelidir.

Bakırcı & Keskin Hukuk Bürosu, Siber Güvenlik Başkanlığı denetimleri, 7545 sayılı Kanun yükümlülükleri, KVKK ve bilişim sözleşmelerinin hukuki uyumunu somut sistem ve kayıtlar üzerinden incelemektedir. Türkiye genelindeki çalışmalar Mersin’deki İstanbul ve Mersin’deki fiziksel ofislerden koordine edilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →