Siber Güvenlik Denetimi Nasıl Yapılır? 7545 m.8 Yetki ve Yükümlülükler 2026
7545 sayılı Kanun’da siber güvenlik denetiminin dayanağı nedir?
7545 sayılı Siber Güvenlik Kanunu’nun 8. maddesi, Siber Güvenlik Başkanlığının denetim yetkisini ve denetime tabi kişi ve kuruluşların yükümlülüklerini düzenler. Kanun, siber güvenlik yükümlülüklerinin yalnızca beyana dayalı kalmasını kabul etmez; Başkanlığa fiil ve işlemleri inceleme, yerinde denetim yapma ve teknik kayıtları kontrol etme yetkisi verir.
m.8/1’e göre Başkanlık, Kanun kapsamındaki fiil ve işlemleri gerekli gördüğü hallerde denetleyebilir. Hüküm, denetimin yalnızca bir siber olay meydana geldikten sonra yapılacağı şeklinde sınır koymaz. Risk, yükümlülük, uygunluk veya teknik güvenlik bakımından gerekli görülen durumlarda denetim yapılabilir.
Denetim yetkisinin sınırı yine Kanundur. Denetim görevlileri yalnızca yürüttükleri denetim faaliyeti kapsamında işlem yapabilir. Genel ve amaçsız veri toplama, denetimin konusu ile ilgisiz sistemlerin incelenmesi veya m.8’deki usul güvencelerinin aşılması hukuken denetimin kapsamı dışında kalır.
Kimler 7545 kapsamında denetlenebilir?
7545 m.2 Kanunun kapsamını geniş tutar. Siber uzayda varlık gösteren, faaliyet gösteren veya hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan teşekküller Kanun kapsamına girebilir. Denetim yetkisi de bu kapsam içindeki yükümlülüklerin yerine getirilip getirilmediğini kontrol etmeye yöneliktir.
Her kişi veya şirket aynı yoğunlukta denetim riskine sahip değildir. Başkanlık m.6 kapsamında kurum ve kuruluşları sınıflandırabilir; yükümlülükleri faaliyet ve risk niteliğine göre farklılaştırabilir. Kritik altyapılar ise m.8’de ayrıca düzenlenmiştir.
Bir kuruluşun “küçük şirket” olması tek başına Kanun kapsamı dışında olduğu anlamına gelmez. Esas olan, siber uzayda hangi faaliyet veya hizmetin yürütüldüğü ve Kanunun hangi yükümlülüğünün o kuruluşa uygulandığıdır.
Denetim programı nasıl belirlenir?
7545 m.8/2, denetim programının önemlilik, öncelik ve risk değerlendirmeleri esas alınarak hazırlanacağını düzenler. Bu yaklaşım denetimin risk temelli yürütüldüğünü gösterir. Bir kuruluşun yönettiği sistemin kritiklik seviyesi, hizmetin kesintisinin etkisi, işlenen verinin niteliği, bilinen zafiyetler ve siber olay geçmişi denetim planlamasında anlam taşıyabilir.
Başkan, denetim programı dışında da denetim yaptırabilir. Dolayısıyla yıllık programa alınmamış bir kuruluşun hiçbir şekilde denetlenemeyeceği sonucu çıkarılamaz. Yeni bir tehdit, önemli zafiyet, bildirim, olay veya başka hukuki ihtiyaç program dışı denetimi gündeme getirebilir.
Şirketlerin “denetim listesine girmedik” düşüncesiyle uyum hazırlığını ertelemesi doğru değildir. Kanuni yükümlülükler denetim tarihinden bağımsız olarak yürürlüktedir. Denetim, mevcut yükümlülüğün yerine getirilip getirilmediğini kontrol eder.
Kritik altyapı denetiminde özel kural nedir?
m.8/1 kritik altyapılardaki denetimlerin Başkanlık personelince veya Başkanlık personeli refakatinde yapılacağını açıkça düzenler. Bu hüküm kritik altyapı sistemlerinin hassasiyeti nedeniyle denetim sürecinde doğrudan Başkanlık gözetimini zorunlu kılar.
Kritik altyapı kavramı m.3/1-d’de tanımlanmıştır. Veri veya sistemin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda can kaybı, büyük ekonomik zarar, güvenlik açığı veya kamu düzeninin bozulması sonucu doğurabilecek bilişim sistemlerini barındıran altyapılar bu kapsamdadır. Ayrıntılı açıklama için kritik altyapı rehberimize bakılabilir.
Kritik altyapı denetiminde kuruluş, sistem sürekliliğini koruyacak teknik planı önceden hazırlamalıdır. Denetim yapılması hizmetin güvenliği ve devamlılığı bakımından kontrolsüz müdahale anlamına gelmez; denetim ile operasyonel süreklilik birlikte yönetilmelidir.
Denetim görevlileri hangi sistemleri inceleyebilir?
7545 m.8/4 denetim görevlilerinin yetkilerini ayrıntılı sayar. Denetim görevlileri yürüttükleri denetim faaliyetiyle sınırlı olmak üzere elektronik ortamdaki veri ve belgeleri, elektronik altyapıyı, cihazları, sistemleri, yazılım ve donanımı inceleyebilir. Bu hüküm yalnızca kağıt belge denetimi değil, teknik sistem denetimi yapılmasına imkan verir.
İnceleme konusu kuruluşun güvenlik mimarisi, olay kayıtları, erişim politikaları, kullanılan siber güvenlik ürünleri, konfigürasyonlar, varlık envanteri, yetkilendirme kayıtları ve yükümlülükle ilgili diğer teknik veriler olabilir. Hangi sistemin inceleneceği denetim konusuyla bağlantılı olmalıdır.
Denetim görevlisinin yetkisi, kuruluş içindeki her türlü ticari veya kişisel veriye sınırsız erişim yetkisi değildir. Kanun açıkça “yürüttükleri denetim faaliyetiyle sınırlı” ifadesini kullanır. Bu sınır hem denetçi hem denetlenen açısından önemlidir.
Denetimde dijital kopya, suret ve örnek alınabilir mi?
Evet. m.8/4, denetim görevlilerine incelenen veri, belge, altyapı, cihaz, sistem, yazılım ve donanımdan kopya, dijital suret veya örnek alma yetkisi verir. Bu yetki siber güvenlik denetiminin teknik niteliği gereği önemlidir; olay kayıtlarının veya sistem konfigürasyonlarının yalnızca ekrandan görülmesi her zaman yeterli olmaz.
Kopya ve örnek alma denetim faaliyetiyle sınırlıdır. Alınan verinin kapsamı, tarih aralığı, dosya adı, bütünlük bilgisi ve teslim-tesellüm süreci kayıt altına alınmalıdır. Özellikle kişisel veri veya ticari sır içeren dijital kopyalarda yetki, amaç ve erişim güvenliği ayrıca önem taşır.
Denetim sırasında kopya alınması ile m.8/5 kapsamında adli nitelikte arama, kopya çıkarma ve el koyma aynı işlem değildir. Denetim yetkisi m.8/4’te; konut, işyeri ve kamuya açık olmayan kapalı alanlarda arama-el koyma usulü ise ayrı fıkrada ve farklı güvencelerle düzenlenmiştir.
Denetçi yazılı veya sözlü açıklama isteyebilir mi?
Evet. m.8/4 denetim görevlilerinin gerekli gördükleri konularda yazılı veya sözlü açıklama isteyebileceğini düzenler. Bu yetki teknik kayıtların yorumlanması ve kurum içi sürecin nasıl işletildiğinin anlaşılması için kullanılır.
Kuruluşun açıklama verecek sorumluları önceden belirlemesi yararlıdır. Bilgi güvenliği sorumlusu, hukuk birimi, sistem yöneticisi, olay müdahale ekibi ve gerektiğinde üst yönetim arasındaki görev paylaşımı denetim prosedüründe gösterilmelidir.
Sözlü açıklamaların yanlış veya eksik verilmesi sonradan uyuşmazlık yaratabilir. Bu nedenle denetim toplantılarının kurum içinde tutanakla kayıt altına alınması, açıklamanın hangi belge veya teknik kayıtla desteklendiğinin belirtilmesi gerekir.
Denetime tabi kuruluşun temel yükümlülüğü nedir?
m.8/4’e göre denetime tabi olanlar, ilgili cihaz, sistem, yazılım ve donanımları verilen süre içinde denetime açık tutmak ve denetimin gerektirdiği altyapıyı çalışır halde bulundurmak zorundadır. Bu yükümlülük pasif “kapıyı açma” davranışından daha geniştir; teknik denetimin fiilen yapılabilmesini sağlayacak ortamın hazır olması gerekir.
Gerekli kullanıcı hesabı, erişim, kayıt sistemi veya test ortamının kasıtlı biçimde kapatılması; sistemlerin çalışmaz hale getirilmesi; istenen teknik kaydın sunulmaması denetim yükümlülüğü bakımından sorun yaratabilir. Kuruluş, denetimin hizmet sürekliliğine etkisini yönetirken denetimi fiilen imkansız hale getiremez.
Denetime hazırlık için varlık envanteri, sistem sorumluları, erişim prosedürü ve yedekleme planı güncel tutulmalıdır. Denetimin başladığı gün hangi sunucunun kime ait olduğunun araştırılması ciddi zaman ve uyum kaybı yaratır.
Denetim ile arama ve el koyma arasındaki fark nedir?
Denetim, kurumun Kanun kapsamındaki yükümlülüklerinin teknik ve idari olarak incelenmesidir. m.8/4’teki inceleme ve kopya yetkisi bu çerçevededir. Arama, kopya çıkarma ve el koyma ise daha ağır müdahaledir ve m.8/5’te özel usule bağlanmıştır.
m.8/5’e göre millî güvenlik, kamu düzeni, suç işlenmesinin veya siber saldırıların önlenmesi amacıyla hâkim kararı üzerine; gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısının yazılı emriyle konutta, işyerinde ve kamuya açık olmayan kapalı alanlarda arama yapılabilir. Hâkim kararı olmaksızın yapılan işlem yirmi dört saat içinde hâkim onayına sunulur; hâkim kırk sekiz saat içinde kararını açıklamazsa kopyalar imha edilir ve el koyma kendiliğinden kalkar.
Yetkilendirilmiş veri merkezi işletmecilerinin veri merkezlerinde ise yalnızca hâkim kararıyla arama, kopya çıkarma ve el koyma yapılabilir ve bu taleplerde Ankara sulh ceza hâkimliği yetkili ve görevlidir. Bu özel konu ayrı bir yazıda ayrıca ele alınmalıdır.
Denetim yükümlülüğüne uymamanın cezası nedir?
7545 m.16/11, m.8/4’te düzenlenen denetim yükümlülüklerini yerine getirmeyenlere yüz bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası verileceğini düzenler. İhlalin ticari şirket tarafından gerçekleştirilmesi halinde yüz bin Türk lirasından az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablodaki brüt satış hasılatının yüzde 5’ine kadar idari para cezası uygulanabilir.
Bu hüküm özellikle ticari şirketler için cezanın ekonomik büyüklüğe göre artabilmesini sağlar. Şirketin “dosyayı geç hazırladık” şeklindeki yaklaşımı, denetimi fiilen engelleyen veya yükümlülüğü yerine getirmeyen davranışın yaptırım riskini ortadan kaldırmaz.
İdari para cezası verilmeden önce m.17 gereğince savunma alınır. Savunma istem yazısının tebliğinden itibaren otuz gün içinde savunma yapılmazsa savunma hakkından feragat edilmiş sayılır. Karara karşı idari yargı yolu açıktır.
Denetim öncesi şirketler hangi belgeleri hazır tutmalı?
İlk olarak güncel varlık envanteri ve risk analizi hazırlanmalıdır. İkinci olarak siber güvenlik politika ve prosedürleri, olay müdahale planı, zafiyet yönetimi, erişim yetkileri ve log yönetimi belgeleri güncel tutulmalıdır. Üçüncü olarak siber güvenlik ürün ve hizmetlerinin tedarik belgeleri ile yetkilendirme kontrolleri dosyalanmalıdır.
Dördüncü olarak Başkanlığa yapılan olay veya zafiyet bildirimleri ile talep üzerine verilen bilgi ve belgelerin kayıtları saklanmalıdır. Beşinci olarak sistemlerdeki kritik değişikliklerin kim tarafından ve hangi onayla yapıldığı izlenebilir olmalıdır. Altıncı olarak denetim sırasında muhatap olacak teknik ve hukuki sorumlular belirlenmelidir.
Denetim hazırlığı yalnızca belge klasörü hazırlamak değildir. Belgede yazan süreç ile sistemde fiilen uygulanan süreç aynı olmalıdır. Örneğin politika “ayrıcalıklı erişimler üç ayda bir gözden geçirilir” diyorsa bunun kayıtları gösterilebilmelidir.
Kişisel veri ve ticari sırlar denetimde nasıl korunur?
7545 m.6/2 kişisel verilerin hukuka ve dürüstlük kurallarına uygun, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini emreder. Denetim sırasında kişisel veri içeren log veya dosyalar incelendiğinde bu ilkeler geçerlidir. Ticari sırlar da Kanunun gizlilik rejimi içindedir.
Denetlenen kuruluş, hassas veri içeren sistemleri saklamak veya denetimi engellemek yerine, hangi verinin hangi nedenle incelendiğini ve erişimin nasıl sınırlandırıldığını kayıt altına almalıdır. Denetim görevlilerinin yetkisini de denetim faaliyetiyle sınırlı kullanması gerekir.
Başkanlığın log toplama ve kişisel veri sınırları hakkında log kayıtları rehberimiz ayrıntılı açıklama içerir.
Kritik altyapı şirketi için denetim günü prosedürü
Denetim bildirimi veya görevlendirme geldiğinde kuruluş önce denetimin kapsamını, tarihini ve irtibat kişilerini doğrulamalıdır. Teknik ekip, hukuk birimi ve üst yönetim tek iletişim planıyla hareket etmelidir. Denetim görevlilerinin istediği sistemlere kontrollü erişim sağlanmalı; yapılan işlemler kurum içinde kayıt altına alınmalıdır.
Dijital kopya veya örnek alındığında hangi dosya veya veri setinin verildiği, tarih-saat, kapsam ve mümkünse bütünlük doğrulama bilgileri tutanağa geçirilmelidir. Sözlü açıklama verildiğinde konu ve açıklamayı yapan kişi not edilmelidir. Denetim sonunda tespit veya öneriler varsa sorumlular ve düzeltme takvimi belirlenmelidir.
Bu düzen, denetime karşı direnç değil denetimin hukuka uygun, izlenebilir ve sistem sürekliliğini koruyan biçimde yürütülmesini sağlar.
Mersin’de siber güvenlik denetimi farklı mı?
Hayır. 7545 sayılı Kanun Türkiye genelinde uygulanır. Mersin’deki şirket ve kritik altyapılar da aynı m.8 denetim rejimine tabidir. Yerel faaliyet yeri yalnızca denetimin lojistik ve fiili yürütülme biçiminde rol oynar; yetkinin kanuni çerçevesini değiştirmez.
Mersin’de liman, lojistik, enerji ve sanayi tesislerinde siber sistemlerle fiziksel operasyonun iç içe olması nedeniyle denetim planında hizmet sürekliliği özel önem taşır. Teknik erişim sağlanırken üretim veya kritik hizmetin kontrolsüz kesilmemesi için önceden prosedür oluşturulmalıdır.
Sık sorulan sorular
Siber Güvenlik Başkanlığı şirketi denetleyebilir mi?
Evet. 7545 m.8’e göre Kanun kapsamındaki fiil ve işlemler gerekli görüldüğünde denetlenebilir.
Denetim yalnızca siber olaydan sonra mı yapılır?
Hayır. Kanun böyle bir sınırlama koymaz; denetim risk ve önemlilik esaslı programla veya program dışı yapılabilir.
Kritik altyapıyı kim denetler?
Kritik altyapı denetimi Başkanlık personelince veya Başkanlık personeli refakatinde yapılır.
Denetçi bilgisayar ve sunucuyu inceleyebilir mi?
Evet. Denetim faaliyetiyle sınırlı olarak cihaz, sistem, yazılım, donanım ve elektronik altyapı incelenebilir.
Dijital kopya alınabilir mi?
Evet. m.8/4 kopya, dijital suret veya örnek alma yetkisi verir.
Sözlü açıklama istenebilir mi?
Evet. Denetim görevlileri gerekli gördükleri konularda yazılı veya sözlü açıklama isteyebilir.
Şirket sistemleri kapatabilir mi?
Denetime tabi kuruluş ilgili sistemleri verilen sürede denetime açık ve gerekli altyapıyı çalışır halde tutmak zorundadır.
Denetim ile arama aynı şey mi?
Hayır. Denetim m.8/4’te, arama-kopya-el koyma ise m.8/5’te farklı usul ve güvencelerle düzenlenmiştir.
Denetim yükümlülüğüne uymamanın cezası nedir?
m.16/11’e göre yüz bin TL ile bir milyon TL arasında; ticari şirketlerde yüz bin TL’den az olmamak üzere brüt satış hasılatının yüzde 5’ine kadar idari para cezası uygulanabilir.
Mersin’de farklı denetim kuralı var mı?
Hayır. 7545 ülke genelinde aynı şekilde uygulanır.
Dış Kaynaklar
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
