Banka veya Kamu Bilişim Sistemine Saldırı Cezası 2026: TCK 244/3

Güncel mevzuat kontrolü: 15 Eylül 2026. Türk Ceza Kanunu m.244/3, bilişim sisteminin işleyişini engelleme veya bozma ile sistemdeki verilere yönelik müdahale suçlarının banka veya kredi kurumuna ya da kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesini daha ağır cezalandırır. Bu hüküm ayrı bir saldırı tekniğini değil, TCK m.244/1 veya m.244/2 fiillerinin hedef sistemin niteliği nedeniyle ağırlaşmasını düzenler.

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

TCK m.244/3 ayrı suç mu, nitelikli hâl mi?

TCK m.244/3 bağımsız bir hareket tanımı içermez. Maddenin birinci ve ikinci fıkralarında düzenlenen suçların belirli sistemlere karşı işlenmesi halinde cezanın yarı oranında artırılmasını öngören nitelikli hâldir. Bu nedenle m.244/3 uygulanmadan önce mutlaka m.244/1 veya m.244/2’deki temel suçun unsurları gösterilmelidir.

Önce sistemin işleyişi engellenmiş veya bozulmuş mu, yoksa sistemdeki veri bozulmuş, yok edilmiş, değiştirilmiş, erişilemez kılınmış, veri yerleştirilmiş ya da başka yere mi gönderilmiş sorusu cevaplanır. Sonra hedef bilişim sisteminin bir banka, kredi kurumu veya kamu kurum/kuruluşuna ait olup olmadığı belirlenir.

Bu sıralama ceza hesabında da önemlidir. Mahkeme temel cezayı TCK m.61 uyarınca belirler, ardından m.244/3’teki yarı oranındaki artırımı uygular. “Kamu sistemi hedeflendi” demek temel suçun maddi ve manevi unsurlarını ispatlamanın yerine geçmez.

TCK 244/3 hangi temel fiillere uygulanır?

M.244/3 yalnız maddenin birinci ve ikinci fıkralarındaki fiillere atıf yapar. Birinci fıkra bilişim sisteminin işleyişini engelleme veya bozmayı; ikinci fıkra verileri bozma, yok etme, değiştirme, erişilemez kılma, sisteme veri yerleştirme veya var olan verileri başka yere göndermeyi düzenler.

Bu nedenle banka müşterisinin şifresini ele geçirip sisteme yalnız izinsiz giriş yapılması durumunda öncelikle TCK m.243 hükümleri gündeme gelir. Sistemin çalışması engellenmiş veya veri üzerinde m.244/2’deki müdahaleler gerçekleşmişse m.244 ve varsa m.244/3 değerlendirilir. Her “bankaya yönelik siber suç” otomatik olarak m.244/3 değildir.

DDoS benzeri sistem işleyişini engelleme için DDoS Saldırısının Cezası 2026; veri müdahaleleri için TCK 244/2 Veri Silme veya Değiştirme rehberlerimiz incelenebilir.

“Banka bilişim sistemi” hangi sistemleri kapsar?

Kanun “bir banka veya kredi kurumuna ait bilişim sistemi” ifadesini kullanır. İnternet bankacılığı, mobil bankacılık altyapısı, bankanın iç işlem sistemleri, müşteri kayıt sistemleri, ATM ağının bilişim unsurları veya bankaya ait diğer dijital altyapılar somut olayda bu kapsama girebilir.

Bir internet sitesinin bankanın kurumsal alan adı altında bulunması sistem aidiyetini destekleyen delil olabilir; ancak teknik altyapının dış hizmet sağlayıcı tarafından barındırılması durumunda hizmet sözleşmesi, sistem sahipliği ve fiili işletim ilişkisi ayrıca incelenmelidir. TCK m.244/3’ün amacı bankacılık ve kamu hizmetlerinin bilişim altyapısını daha güçlü korumaktır.

Banka müşterisinin kişisel telefonuna veya bilgisayarına yönelik fiil sırf cihazda mobil bankacılık uygulaması bulunduğu için “bankaya ait bilişim sistemi” sayılmaz. Hedefin kime ait olduğu teknik ve hukuki olarak belirlenmelidir.

Kredi kurumu kavramı

TCK m.244/3 banka yanında “kredi kurumu” ibaresini de kullanır. Somut kuruluşun hukuki statüsü sektörel mevzuat, faaliyet izni ve kurumsal niteliğine göre belirlenir. Her finansal teknoloji şirketi veya ödeme hizmeti sağlayıcısı otomatik olarak kredi kurumu değildir.

Ödeme kuruluşu, elektronik para kuruluşu, kripto varlık hizmet sağlayıcısı veya finansal aracılık şirketine ait sistemin m.244/3 kapsamına girdiği ileri sürülüyorsa kuruluşun kanundaki “banka veya kredi kurumu” kategorisine neden dahil olduğu somut hukuki dayanakla açıklanmalıdır. Ceza normlarında kıyas yoluyla sanık aleyhine genişletme yapılamaz.

Bu nedenle kuruluşun ticaret unvanında “finans”, “pay” veya benzeri kelime bulunması yeterli değildir. BDDK, ilgili sektörel mevzuat ve faaliyet izinleri üzerinden statü tespit edilmelidir.

Kamu kurum veya kuruluşuna ait sistem ne demektir?

Devletin merkezi idare birimleri, belediyeler ve kanunen kamu kurum veya kuruluşu niteliği taşıyan yapıların bilişim sistemleri m.244/3 kapsamında değerlendirilebilir. E-devlet hizmetlerine veri sağlayan kurum sistemi, kamu hastanesinin bilişim sistemi, belediyenin çevrim içi hizmet altyapısı veya kamu kurumunun iç bilgi sistemi somut olayda bu korumadan yararlanabilir.

Ancak kamu hizmeti sunan her özel şirket sistemi kamu kurumuna ait sayılmaz. Özel hastane, özel üniversite, kamu ihalesiyle hizmet veren yüklenici veya kamuya hizmet sağlayan teknoloji şirketi bakımından sistemin hukuki aidiyeti açıkça belirlenmelidir. Kanun “kamu hizmetinde kullanılan” değil, “kamu kurum veya kuruluşuna ait” sistemi esas alır.

Bir özel şirketin sistemi kamu kurumunun verisini barındırıyorsa yalnız verinin kamuya ait olması ile sistemin kamu kurumuna ait olması farklı sorulardır. M.244/3 artırımının hangi hukuki gerekçeyle uygulandığı kararda açık olmalıdır.

Bulut altyapısı veya dış kaynak kullanımı nitelikli hâli ortadan kaldırır mı?

Modern bilişim sistemleri çoğu zaman fiziksel sunucunun kurum binasında bulunduğu klasik modele sahip değildir. Bulut hizmeti, veri merkezi, yönetilen hizmet veya dış kaynak modeli kullanılabilir. Fiziksel sunucunun üçüncü şirkete ait olması, bankanın veya kamu kurumunun bilişim hizmetinin mutlaka m.244/3 dışında kaldığı anlamına gelmez.

Burada işlevsel ve hukuki aidiyet incelenmelidir. Hangi uygulama veya veritabanı hedef alınmış, sistemi kim yönetiyor, hizmet kimin adına ve hangi sözleşmeyle çalışıyor, saldırı kimin bilişim faaliyetini engellemiş soruları cevaplanmalıdır.

Öte yandan yalnız bulut sağlayıcısının ortak altyapısı hedeflenmiş ve bankaya özgü sistem üzerinde m.244/1 veya 2 sonucu oluşmamışsa banka nitelikli hâlinin uygulanması ayrıca tartışılır. Teknik bilirkişi raporu sistemi katmanlara ayırarak açıklamalıdır.

TCK 244/3 yarı oranındaki artırım nasıl hesaplanır?

TCK m.244/1’in kanuni cezası 1 yıldan 5 yıla kadar hapis; m.244/2’nin cezası 6 aydan 3 yıla kadar hapistir. Mahkeme temel cezayı TCK m.61’deki ölçütlerle belirledikten sonra m.244/3 gereği yarı oranında artırır.

Örneğin m.244/1 için temel ceza 2 yıl olarak belirlenmişse m.244/3 artırımından sonra 3 yıl olur. M.244/2 için temel ceza 1 yıl olarak belirlenmişse yarı artırım sonrasında 1 yıl 6 ay olur. Bunlar yalnız matematik örneğidir; somut dosyada temel ceza suçun işleniş biçimi, zarar, kastın yoğunluğu ve diğer TCK m.61 ölçütlerine göre belirlenir.

Teşebbüs, zincirleme suç, takdiri indirim veya başka nedenler varsa bunların ceza hesabındaki sırası TCK’nın cezanın belirlenmesi ve bireyselleştirilmesi kurallarına göre uygulanır. “M.244/3’te ceza otomatik şu kadardır” denilemez.

Sistemin aidiyeti ve saldırının etkisi nasıl ispatlanır?

Kurumsal alan adı, sistem envanteri, hizmet sözleşmesi, bulut hesapları, sunucu kayıtları, kurumun Bilgi İşlem birimi yazısı, ticari ve idari kayıtlar sistemin aidiyetini gösterebilir. Teknik rapor yalnız IP veya alan adından hareketle aidiyet sonucu çıkarmamalı; sistemin hangi kurum adına işletildiğini açıklamalıdır.

Temel suç için ayrıca saldırının etkisi ispatlanmalıdır. M.244/1’de sistem işleyişinin engellendiği veya bozulduğu; m.244/2’de veri üzerinde kanunda sayılan müdahalenin gerçekleştiği gösterilir. Log kayıtları, olay müdahale raporu, veri tabanı değişiklik geçmişi ve yedek karşılaştırmaları önemlidir.

Şüphelinin eylemle bağlantısı sistem aidiyetinden tamamen ayrı sorudur. IP, cihaz, kullanıcı hesabı, oturum, mesajlaşma, ödeme veya diğer delillerle fail tespiti yapılmalıdır. “Kamu sistemi saldırıya uğradı” tespiti belirli kişiyi fail yapmaz.

Kurum çalışanı veya yetkili kullanıcı hakkında m.244/3 uygulanabilir mi?

Evet. M.244/3 failin dışarıdan saldırgan olmasını şart koşmaz. Banka veya kamu kurumunda çalışan kişi kendisine verilen erişim yetkisini kasten aşarak sistem işleyişini engeller ya da verilere m.244/2’deki şekilde müdahale ederse temel suç ve nitelikli hâl gündeme gelebilir.

Ancak teknik hata, yanlış işlem, ihmali davranış veya görev gereği yapılan meşru değişiklik kasten işlenen m.244 suçuyla karıştırılmamalıdır. Çalışanın yetki matrisi, görev tanımı, işlem talimatı ve olayın nedeni incelenmelidir.

Çalışan aynı zamanda kamu görevlisiyse eylemin niteliğine göre görevi kötüye kullanma, kişisel veri veya başka suçlarla ilişki ayrıca değerlendirilebilir. Her olayda aynı suçların birlikte oluştuğu varsayılmaz; fiil ve hukuki değerler somutlaştırılır.

TCK 244/3 zamanaşımı

M.244/1’in 5 yıllık üst sınırı yarı oranında arttığında nitelikli hâlin teorik üst sınırı 7 yıl 6 aya çıkar. TCK m.66/3, dava zamanaşımı belirlenirken suçun daha ağır cezayı gerektiren nitelikli hâlinin göz önünde bulundurulmasını emreder. Bu nedenle m.244/1 + m.244/3 bakımından TCK m.66/1-d kapsamında 15 yıllık temel dava zamanaşımı gündeme gelir.

M.244/2’nin 3 yıllık üst sınırı yarı artırım sonunda 4 yıl 6 aya çıktığından m.244/2 + m.244/3 bakımından temel dava zamanaşımı TCK m.66/1-e uyarınca 8 yıl olarak kalır. Hangi temel fıkranın uygulandığı bu nedenle zamanaşımı bakımından da önemlidir.

TCK m.67’deki kesilme ve durma nedenleri ayrıca hesaplanır. Savcı huzurunda ifade/sorgu, tutuklama kararı, iddianame ve mahkûmiyet gibi kesilme nedenleri süreyi yeniden başlatabilir.

Savunmada kontrol listesi

1. Temel suç m.244/1 mi, m.244/2 mi? 2. Sistem işleyişi veya veri üzerinde hangi somut sonuç oluştu? 3. Hedef sistem gerçekten banka, kredi kurumu veya kamu kurum/kuruluşuna mı ait? 4. Özel şirket/kamu hizmeti sağlayıcısı ile kamu kurumu birbirine karıştırılmış mı? 5. Bulut altyapısında hukuki ve teknik aidiyet doğru belirlenmiş mi? 6. Şüpheli ile teknik eylem arasındaki bağlantı hangi delile dayanıyor? 7. Yetkili kullanıcıysa işlem görev kapsamında mı, yetki aşımı mı? 8. M.244/3 artırımından önce temel ceza TCK m.61’e uygun belirlenmiş mi? 9. Zamanaşımı doğru temel fıkraya göre hesaplanmış mı? 10. Aynı fiille başka suçlar ileri sürülüyorsa içtima hükümleri değerlendirilmiş mi?

Resmî kaynaklar

• Mevzuat Bilgi Sistemi — TCK m.244
• Bankacılık Düzenleme ve Denetleme Kurumu
• EGM Siber Suçlarla Mücadele
• USOM