Kritik Altyapı Nedir? 7545 m.3 ve m.9’a Göre Siber Güvenlik Yükümlülükleri 2026
Kritik altyapı kavramının hukuki dayanağı nedir?
Türkiye’de kritik altyapı kavramı 7545 sayılı Siber Güvenlik Kanunu ile doğrudan kanuni tanıma kavuşmuştur. Kanun 12 Mart 2025 tarihinde kabul edilmiş, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Kanun 31 Temmuz 2026 tarihinde yürürlüğe giren 7590 sayılı Kanunla bazı yönlerden değiştirilmiştir. Bu nedenle 2026 yılında yapılacak hukuki değerlendirmede ilk yayımlanan metin değil güncel konsolide metin esas alınmalıdır.
7545 sayılı Kanun m.3/1-d kritik altyapıyı, işlediği bilginin veya verinin gizliliği, bütünlüğü ya da erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara ve güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar olarak tanımlar. Tanım, yalnızca fiziksel tesise değil, o tesiste veya hizmet yapısında bulunan bilişim sistemlerinin toplumsal ve ekonomik etkisine odaklanır.
Bu nedenle bir işletmenin “büyük şirket” olması tek başına kritik altyapı olduğu anlamına gelmez. Tersinden, küçük ölçekli görünen bir kuruluşun yönettiği bilişim sistemi, kesinti veya veri bütünlüğü kaybı halinde kritik sonuç doğuruyorsa kritik altyapı rejimi içinde değerlendirilebilir. Kanunun ölçütü şirket cirosu veya çalışan sayısı değil, bilişim sisteminin bozulmasının yaratacağı etkidir.
7545 sayılı Kanun m.3 kritik altyapıyı hangi ölçütlerle tanımlar?
Kanuni tanım üç temel bilgi güvenliği unsurunu esas alır: gizlilik, bütünlük ve erişilebilirlik. Gizliliğin ihlali yetkisiz kişilerin veriye ulaşması; bütünlüğün bozulması verinin veya sistem çıktılarının değiştirilmesi, tahrif edilmesi ya da güvenilirliğini kaybetmesi; erişilebilirliğin bozulması ise sistemin yetkili kullanıcılarca ihtiyaç duyulduğu anda kullanılamaması anlamına gelir. Kanun, bu üç unsurdan herhangi birinin bozulmasının ağır sonuçlara yol açabilmesini kritik altyapı statüsü bakımından yeterli hukuki bağlantı olarak görür.
Sonuç bakımından sayılan etkiler de önemlidir. Can kaybı ihtimali, büyük ölçekli ekonomik zarar, güvenlik açığı veya kamu düzeninin bozulması kritik etki alanlarıdır. Bu nedenle enerji dağıtımı, ulaştırma, haberleşme, finansal sistem, sağlık altyapısı, su yönetimi, veri merkezi hizmetleri ve benzeri alanlardaki bilişim sistemleri kritik sonuçlar doğurabilir. Bununla birlikte Kanun belirli sektörleri m.3 içinde kapalı liste halinde saymamıştır.
Hangi sektörün kritik altyapı sektörü olacağı konusunda nihai kanuni mekanizma 7545 m.9/4-ç’de düzenlenmiştir. Bu hüküm uyarınca kritik altyapı sektörlerini belirleme görevi Siber Güvenlik Kuruluna aittir. Dolayısıyla internette yer alan eski sektörel listeler tek başına güncel hukuki statüyü belirleyen kaynak olarak kabul edilmemelidir.
Kritik altyapı sektörlerini kim belirler?
7545 sayılı Kanun m.9 Siber Güvenlik Kurulunun oluşumunu ve görevlerini düzenler. Maddenin dördüncü fıkrasının (ç) bendi açık biçimde “kritik altyapı sektörlerini belirlemek” görevini Kurula verir. Siber Güvenlik Başkanlığı ise m.5/1-c uyarınca kritik altyapıları, bunların ait olduğu kurumları ve konumlarını belirleme görevine sahiptir.
Burada iki ayrı hukuki fonksiyon vardır. Kurul sektörel düzeyi belirler; Başkanlık ise kritik altyapıların somut envanterinin ve kurumsal karşılığının tespitinde görev sahibidir. Bu ayrım, bir şirketin kendi kendine “kritik altyapı değiliz” kararı vermesinin neden yeterli olmadığını açıklar. Statü, kanuni görevli idari yapı tarafından belirlenir.
Kritik altyapı kapsamına ilişkin değerlendirme aynı zamanda 7545 m.6/1-g ile bağlantılıdır. Başkanlık, Kanun kapsamındaki kurum, kuruluş ve diğer gerçek ve tüzel kişileri sınıflandırabilir ve faaliyetleri sırasında gerektiğinde yalnızca belirli bir kısmını kapsayan hükümler oluşturabilir. Böylece tüm sektörlere aynı yoğunlukta yükümlülük uygulanması yerine risk ve kritiklik esaslı farklılaştırma yapılmasına kanuni zemin sağlanmıştır.
Kritik altyapı ile kritik kamu hizmeti aynı şey mi?
Hayır. 7545 m.3 iki kavramı ayrı tanımlar. Kritik altyapı, ağır sonuç doğurabilecek bilişim sistemlerini barındıran altyapıyı ifade eder. Kritik kamu hizmeti ise ulusal, toplumsal veya ekonomik faaliyetlerin sürdürülmesi için gerekli olan ve kesintiye uğraması ya da zarar görmesi halinde ulusal güvenlik, sosyal veya ekonomik refah, kamu düzeni veya sağlığı ya da diğer hizmetlerin sunumu üzerinde önemli etki doğurabilecek, ülke genelinde tekel veya sınırlı ikame ile sunulan hizmettir.
Bir kavram daha çok altyapı ve bilişim sistemi ekseninde, diğeri hizmetin toplumsal fonksiyonu ekseninde kurulmuştur. Uygulamada aynı kurum veya sistem her iki kavramla da ilişkili olabilir; ancak kanuni tanımlar birbirinin yerine kullanılmamalıdır. SEO bakımından da “kritik altyapı” ile “kritik kamu hizmeti” aramalarının niyeti farklıdır; bu yazı yalnızca kritik altyapı statüsüne ve sonuçlarına odaklanmaktadır.
Kritik altyapılar için varlık envanteri ve risk analizi zorunluluğu
7545 m.5/1-ç, kamu kurum ve kuruluşları ile kritik altyapıların veri envanteri dâhil olmak üzere tüm varlıklarının envanterinin tutulmasını ve varlıklara yönelik risk analizinin gerçekleştirilmesini sağlama görevini Siber Güvenlik Başkanlığına verir. Aynı hüküm, varlıkların kritikliğine göre güvenlik tedbirlerinin alınmasını veya aldırılmasını da düzenler.
Bu hükmün şirketler açısından pratik sonucu, kritik altyapı kapsamındaki bir kuruluşun siber güvenliği yalnızca antivirüs kurulumu veya dönemsel penetrasyon testi seviyesinde ele alamamasıdır. Hangi sunucuların, ağ cihazlarının, uygulamaların, veri kümelerinin, kullanıcı rollerinin, fiziksel alanların ve dış hizmetlerin kritik olduğunun envanterde gösterilebilmesi gerekir. Risk analizi de soyut değil varlık bazlı ve güncel olmalıdır.
Kanun m.3/1-k “varlık” kavramını geniş tanımlar. Elektronik veya fiziksel ortamda yer alan ve veri içeren bilgi ve bilgi işleme olanakları, veriyi kullanan veya taşıyan personel ile verinin barındırıldığı fiziksel mekânlar da varlık tanımına girer. Bu nedenle kritik altyapı uyumu yalnızca bilgi işlem departmanının teknik dosyası değildir; personel, tesis, veri ve tedarik zinciri birlikte değerlendirilir.
Kritik altyapı hangi siber güvenlik ürününü kullanabilir?
7545 m.7/1-c kritik altyapılar bakımından açık bir tedarik kuralı getirir. Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri, Siber Güvenlik Başkanlığı tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik edilmelidir.
Bu yükümlülük satın alma ve hizmet sözleşmeleri açısından doğrudan önem taşır. Kritik altyapı işletmecisinin teknik açıdan yeterli gördüğü herhangi bir satıcıyı seçmesi kanuni uyum bakımından tek başına yeterli değildir. Tedarikçi, ürün veya hizmet bakımından Başkanlık tarafından öngörülen yetkilendirme ve belgelendirme rejiminin kontrol edilmesi gerekir.
Ayrıca m.6/1-ı uyarınca Başkanlık siber güvenlik yazılım, donanım, ürün ve hizmetlerinin asgari güvenlik kriterlerini belirleyebilir; bunları sağlayan veya tedarik eden gerçek ve tüzel kişiler için sertifikasyon, yetkilendirme ve belgelendirme süreçlerini yönetebilir. Standartlara uygun hale getirme talebine uyulmaması halinde ürünlerin kullanılmasını önleyici tedbirler de alınabilir. Sözleşmeler hazırlanırken mevzuata uyum, yetki belgesinin devamı, denetim iş birliği ve sertifikanın kaybı halinde fesih gibi hükümler bu nedenle önemlidir.
Siber olay ve zafiyet bildirimi kritik altyapı için zorunlu mu?
Evet. 7545 m.7/1-b, Kanun kapsamında bilişim sistemi kullanarak hizmet sunan, veri toplayan veya işleyenlerin hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini düzenler. Kritik altyapıların bu yükümlülük dışında tutulduğuna dair bir istisna yoktur.
Kanundaki “gecikmeksizin” ifadesi, örneğin KVKK uygulamasındaki 72 saatlik Kurul ilke kararından farklıdır. 7545 sayılı Kanun kendi metninde sabit 24 veya 72 saatlik bir siber olay bildirim süresi koymamıştır. Bu nedenle “üç gün içinde bildirilir” şeklinde genel bir cümle 7545 bakımından doğru değildir. Kurum içi olay müdahale prosedürü, tespit ve ilk doğrulama tamamlanır tamamlanmaz bildirim mekanizmasını çalıştıracak şekilde kurulmalıdır.
Bu konuyu ayrıntılı olarak 7545 m.7/1-b siber olay bildirimi rehberinde ayrıca ele aldık. Kritik altyapı statüsü, olayın etkisinin yüksek olabilmesi nedeniyle bildirim sürecinin teknik ekip, hukuk birimi ve üst yönetim arasında önceden planlanmasını daha da önemli hale getirir.
Başkanlık kritik altyapıdan veri, log ve belge isteyebilir mi?
7545 m.6 ve m.7 bu konuda geniş fakat kanunla sınırlanmış yetki ve yükümlülükler düzenler. m.7/1-a kapsamında Başkanlığın görev ve faaliyetleri çerçevesinde talep ettiği veri, bilgi, belge, donanım, yazılım ve diğer katkıların öncelikle ve zamanında iletilmesi gerekir. Konunun ayrıntısı için Siber Güvenlik Başkanlığı veri ve belge talebi rehberine bakılabilir.
m.6/1-b Başkanlığa uygun bulunan yazılım ve donanım ürünlerinin kurulum ve entegrasyonunu sağlama, bu ürünlerin ürettiği veya topladığı veri ve log kayıtlarını Başkanlık yönetimindeki bilişim sistemlerine aktarma ve siber olayların tespitine yönelik yöntem ve araçları kullanma yetkisi verir. m.6/1-d ise log kayıtlarının Başkanlık bünyesinde toplanabilmesini, saklanabilmesini ve değerlendirilebilmesini düzenler.
Bununla birlikte kişisel veri işleme sınırsız değildir. 7545 m.6/2 hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli-açık-meşru amaç, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkelerini açıkça sayar. Veriye erişmeyi gerektiren sebepler ortadan kalktığında kişisel veriler ve ticari sırlar resen silinmeli, yok edilmeli veya anonim hale getirilmelidir.
Kritik altyapılar nasıl denetlenir?
7545 m.8, Siber Güvenlik Başkanlığının Kanun kapsamındaki fiil ve işlemleri gerekli gördüğü hallerde denetleyebilmesini düzenler. Kritik altyapılardaki denetimlerin Başkanlık personelince veya Başkanlık personeli refakatinde yapılması gerekir. Denetim programı önemlilik, öncelik ve risk değerlendirmesine göre yürütülür; Başkan ayrıca program dışı denetim yaptırabilir.
Denetim görevlileri yürüttükleri denetim faaliyetiyle sınırlı olarak elektronik veri ve belgeleri, elektronik altyapıyı, cihazları, sistemleri, yazılım ve donanımı inceleyebilir; kopya, dijital suret veya örnek alabilir; yazılı veya sözlü açıklama isteyebilir; tutanak düzenleyebilir; tesis ve işletimi inceleyebilir. Denetime tabi kuruluş, ilgili sistemleri verilen sürelerde denetime açık tutmak ve gerekli altyapıyı çalışır halde bulundurmak zorundadır.
Bu yükümlülüklerin ihlali yalnızca usule ilişkin bir eksiklik değildir. 7545 m.16/11, m.8/4’teki denetim yükümlülüklerini yerine getirmeyenler için yüz bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası öngörür. Yükümlülüğün ticari şirket tarafından ihlalinde, yüz bin Türk lirasından az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablodaki brüt satış hasılatının yüzde 5’ine kadar ceza uygulanabilir.
Kritik altyapıda arama, kopya çıkarma ve el koyma hangi şartlarla yapılır?
7545 m.8/5, denetim yetkisinden daha ağır müdahaleler için özel usul getirir. Millî güvenlik, kamu düzeni, suç işlenmesinin veya siber saldırıların önlenmesi amacıyla hâkim kararı üzerine; gecikmesinde sakınca bulunan hallerde ise Cumhuriyet savcısının yazılı emriyle konutta, işyerinde ve kamuya açık olmayan kapalı alanlarda arama yapılabilir. Uzun süreli hizmet aksamasına yol açmayacak ve kesintisiz biçimde kopya çıkarma ve el koyma işlemi gerçekleştirilebilir.
Hâkim kararı olmaksızın yapılan arama, kopya çıkarma ve el koyma işlemi yirmi dört saat içinde görevli hâkimin onayına sunulmalıdır. Hâkim kırk sekiz saat içinde kararını açıklamazsa çıkarılan kopyalar ve çözümü yapılan metinler derhal imha edilir ve el koyma kendiliğinden kalkar. Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde ise yalnızca hâkim kararıyla arama, kopya çıkarma ve el koyma yapılabilir; bu taleplerde Ankara sulh ceza hâkimliği yetkili ve görevlidir. Kanun, kamu kurum ve kuruluşları bakımından hâkim kararı aranmayacağını ayrıca düzenler.
Kritik altyapı yükümlülüklerine aykırılığın para cezası nedir?
7545 m.16/10’un 31 Temmuz 2026 tarihinde yürürlüğe giren güncel halinde, m.7/1’in (a), (b) ve (c) bentlerindeki görev ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası verilir. Bu değişiklik önemlidir; 2025 tarihli ilk metne dayanan eski açıklamalarda (a) bendinin ceza bağlantısı eksik görülebilir.
Bu kapsama; Başkanlık tarafından istenen veri, bilgi, belge, donanım, yazılım ve katkının öncelikle ve zamanında verilmemesi; mevzuatın öngördüğü siber güvenlik tedbirlerinin alınmaması veya tespit edilen zafiyet ve siber olayın gecikmeksizin bildirilmemesi; kamu kurumları ile kritik altyapılarda gerekli ürün, sistem ve hizmetlerin yetkilendirilmiş ve belgelendirilmiş uzman, üretici veya şirketlerden tedarik edilmemesi girer.
İdari para cezası prosedürü m.17’de ayrıca düzenlenir. Ceza verilmeden önce ilgilinin savunması alınır ve savunma istem yazısının tebliğinden itibaren otuz gün içinde savunma yapılmaması savunma hakkından feragat sayılır. Verilen idari para cezası tebliğden itibaren bir ay içinde ödenir. Kanun, bu kararlara karşı idari yargı yolunun açık olduğunu doğrudan hükme bağlamıştır.
Şirketler için kritik altyapı uyum kontrol listesi
Kritik altyapı kapsamına giren veya girme ihtimali bulunan bir şirketin ilk adımı hukuki statü ve sektörel düzenlemeleri belirlemektir. Ardından bilgi işlem varlıklarının, veri akışlarının, üçüncü taraf hizmetlerin, personel erişimlerinin ve fiziksel tesislerin güncel envanteri çıkarılmalıdır. Envanter yalnızca cihaz listesi olmamalı; her varlığın işlevi, veri sınıfı, kritiklik derecesi, sahibi, dış bağımlılığı ve kesinti etkisi belirlenmelidir.
İkinci adım risk analizidir. Siber olayın erişilebilirlik, bütünlük veya gizlilik üzerindeki etkisi ve bunun can güvenliği, ekonomik zarar, kamu düzeni ve hizmet sürekliliğine yansıması belgelenmelidir. Üçüncü adım tedarik zinciridir. Yeni siber güvenlik ürün ve hizmet alımlarında yetkilendirme-belgelendirme durumu sözleşme öncesinde kontrol edilmeli; mevcut sözleşmelerde de uyum, denetim, olay bildirimi, alt yüklenici ve sertifikanın kaybı hükümleri gözden geçirilmelidir.
Dördüncü adım olay müdahalesidir. Zafiyet veya siber olayın kim tarafından tespit edileceği, hangi iç eşiklerde hukuk ve üst yönetimin bilgilendirileceği, Başkanlığa “gecikmeksizin” bildirimin kim tarafından yapılacağı ve bildirimin hangi delillerle kayıt altına alınacağı yazılı prosedüre bağlanmalıdır. Beşinci adım denetim hazırlığıdır. Sistemlerin denetime açık tutulması, erişim yetkileri, log bütünlüğü, dijital kopya süreçleri ve denetim görevlileriyle iletişim kanalı önceden belirlenmelidir.
Altıncı adım veri koruma kontrolüdür. 7545 kapsamındaki bilgi paylaşımı ile 6698 sayılı KVKK yükümlülükleri birlikte ele alınmalı, yalnızca gerekli veriye erişim ve ölçülülük ilkesi korunmalıdır. Kanunun Başkanlığa bilgi talebi yetkisi vermesi, şirket içindeki tüm verilerin amaçsız veya sınırsız biçimde işlenebileceği anlamına gelmez. Kurum içi kayıtlar, hangi bilginin hangi kanuni talep üzerine ve kim tarafından aktarıldığını gösterecek şekilde tutulmalıdır.
Mersin’de kritik altyapı ve siber güvenlik uyumu
7545 sayılı Kanun Türkiye genelinde uygulanır; Mersin için ayrı bir kritik altyapı tanımı yoktur. Mersin’de liman, lojistik, enerji, sanayi, sağlık, haberleşme ve veri hizmetleri gibi alanlarda faaliyet gösteren kuruluşlar açısından kritik altyapı statüsü ve sektörel belirlemeler özellikle önem taşıyabilir. Ancak bir işletmenin yalnızca bu sektörlerden birinde bulunması otomatik olarak kritik altyapı statüsü vermez; kanuni tanım ve yetkili idari belirleme esas alınır.
Şirket merkezinin veya tesisin Mersin’de olması, Başkanlığın 7545 sayılı Kanundan doğan ulusal yetki ve sorumluluklarını değiştirmez. Uyum çalışmasında merkezi mevzuat, Siber Güvenlik Kurulu kararları, Başkanlığın düzenleyici işlemleri ve ilgili sektörel kurallar birlikte izlenmelidir.
Sık sorulan sorular
Kritik altyapı nedir?
7545 m.3/1-d’ye göre bilgi veya verinin gizliliği, bütünlüğü ya da erişilebilirliği bozulduğunda can kaybı, büyük ölçekli ekonomik zarar, güvenlik açığı veya kamu düzeninin bozulması sonucu doğurabilecek bilişim sistemlerini barındıran altyapıdır.
Hangi sektörler kritik altyapıdır?
Kritik altyapı sektörlerini belirleme görevi 7545 m.9/4-ç uyarınca Siber Güvenlik Kuruluna aittir. Eski veya özel kaynaklardaki sektör listeleri tek başına güncel statü oluşturmaz.
Bir şirket kendisinin kritik altyapı olmadığına karar verebilir mi?
Hayır. Şirket iç risk değerlendirmesi yapabilir; ancak hukuki statü ve kapsam yetkili kamu makamlarının kanuni görevleri çerçevesinde belirlenir.
Kritik altyapı istediği siber güvenlik şirketinden hizmet alabilir mi?
7545 m.7/1-c’ye göre kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş uzman, üretici veya şirketlerden tedarik edilmelidir.
Siber olay kaç saat içinde bildirilmelidir?
7545 m.7/1-b sabit saat sayısı yazmaz; zafiyet veya siber olayın “gecikmeksizin” Başkanlığa bildirilmesini emreder.
Kritik altyapı denetlenebilir mi?
Evet. 7545 m.8’e göre Başkanlık Kanun kapsamındaki fiil ve işlemleri denetleyebilir. Kritik altyapı denetimleri Başkanlık personelince veya refakatinde yapılır.
Denetimde dijital kopya alınabilir mi?
Evet. m.8/4 kapsamında denetim faaliyetiyle sınırlı olmak üzere elektronik veri ve belgelerden kopya, dijital suret veya örnek alınabilir.
Veri merkezinde arama için hâkim kararı gerekir mi?
Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde m.8/5 uyarınca yalnızca hâkim kararıyla arama, kopya çıkarma ve el koyma yapılabilir; ilgili taleplerde Ankara sulh ceza hâkimliği yetkili ve görevlidir.
7545 m.7 yükümlülüğünü ihlal etmenin cezası nedir?
Güncel m.16/10’a göre m.7/1’in (a), (b) ve (c) bentlerindeki görev ve sorumlulukları yerine getirmeyenlere bir milyon TL ile on milyon TL arasında idari para cezası verilir.
İdari para cezasından önce savunma alınır mı?
Evet. m.17/1’e göre savunma alınmadan idari para cezası uygulanmaz; savunma istem yazısının tebliğinden itibaren otuz günlük süre vardır.
Dış kaynaklar
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
BAKIRCI & KESKİN HUKUK BÜROSU sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
