Siber Güvenlik Şirketi Faaliyete Başlamadan Onay Almak Zorunda mı? 7545 m.7/1-ç 2026
7545 m.7/1-ç hangi yükümlülüğü getiriyor?
7545 sayılı Siber Güvenlik Kanunu’nun 7. maddesi, Kanun kapsamındaki kişi ve kuruluşların siber güvenlik alanındaki temel görev ve sorumluluklarını düzenler. Maddenin birinci fıkrasının (ç) bendinde siber güvenlik alanında faaliyet gösterecek şirket, üretici ve siber güvenlik uzmanları için faaliyete başlamadan önce Siber Güvenlik Başkanlığının onayını alma ve mevzuatta öngörülen yetkilendirme ile belgelendirme süreçlerini tamamlama zorunluluğu açıkça düzenlenmiştir.
Bu hüküm ticari faaliyetin yalnızca vergi kaydı, ticaret sicili, meslek kodu veya şirket ana sözleşmesiyle yürütülebileceği yönündeki genel düşünceyi siber güvenlik alanında değiştirir. 7545 özel kanun olarak siber güvenlik faaliyeti için ayrıca Başkanlık onayı ve yetkilendirme-belgelendirme rejimi kurmuştur.
Kanunda kullanılan “faaliyete başlamadan önce” ifadesi önemlidir. Onay, ihlal ortaya çıktıktan sonra tamamlanacak şekli bir bildirim değildir. Faaliyetin hukuka uygun biçimde başlatılabilmesi için ön koşuldur.
Kimler Başkanlık onayı almak zorundadır?
m.7/1-ç üç grubu açıkça sayar: siber güvenlik alanında faaliyet gösteren şirketler, üreticiler ve siber güvenlik uzmanları. Bu nedenle yükümlülük yalnızca anonim veya limited şirketlere özgü değildir. Gerçek kişi uzmanların ve siber güvenlik ürünü üreten yapıların da mevzuatta öngörülen süreçleri dikkate alması gerekir.
Bir kişinin veya şirketin “siber güvenlik alanında faaliyet gösterip göstermediği” ticaret unvanında kullanılan kelimeden tek başına belirlenmez. Fiilen sunulan ürün veya hizmetin niteliği önemlidir. Penetrasyon testi, zafiyet analizi, siber olay müdahalesi, güvenlik operasyon hizmeti, güvenlik yazılımı veya donanımı üretimi, yönetilen güvenlik hizmeti, siber risk analizi ve benzeri faaliyetler Başkanlığın düzenleyici çerçevesi bakımından değerlendirilir.
Genel bilişim desteği veren bir şirket ile doğrudan siber güvenlik hizmeti sunan şirket aynı hukuki kategoride olmayabilir. Faaliyet tanımı belirsizse şirketin sunduğu hizmetlerin fiili kapsamı, kullandığı yöntemler ve müşterinin sistemlerine erişim biçimi incelenmelidir.
“Faaliyete başlama” hangi anda gerçekleşir?
Kanun özel bir “ilk fatura tarihi” veya “ilk müşteri sözleşmesi tarihi” tanımı yapmaz. Bu nedenle faaliyete başlama, siber güvenlik hizmetinin veya ürününün ticari ya da mesleki olarak sunulmaya başlanmasıyla ilişkilidir. Müşteri kabulü, hizmet sözleşmesi yapılması, sistem erişimi sağlanması veya ürünün piyasaya siber güvenlik ürünü olarak sunulması faaliyetin fiilen başladığını gösterebilir.
Şirketin ticaret siciline tescil edilmiş fakat henüz hiçbir siber güvenlik hizmeti sunmamış olması ile aktif olarak müşterilerin ağlarında test yapan bir yapı aynı durumda değildir. Ancak kanunun amacı faaliyet başlamadan önce onay olduğundan, başvuru sürecinin ilk müşteri alınmadan tamamlanması gerekir.
Şirketin web sitesine hizmet sayfası eklemesi tek başına her durumda fiili hizmet sunulduğunu kanıtlamaz; fakat reklam, teklif, sözleşme ve teknik erişim kayıtları birlikte faaliyetin başladığını ortaya koyabilir. Bu nedenle “henüz fatura kesmedik” savunması tek başına hukuki güvence değildir.
Yetkilendirme ile belgelendirme aynı şey mi?
Kanun bu kavramları birlikte kullanmakla birlikte işlevleri farklı olabilir. Yetkilendirme belirli bir kişi veya kuruluşun siber güvenlik alanında belirli faaliyeti yürütmesine izin verilmesini; belgelendirme ise uzmanlık, süreç, ürün, sistem veya hizmetin belirli kriterleri karşıladığının resmi biçimde gösterilmesini ifade eder.
7545 m.6/1-ı, Başkanlığa siber güvenlik alanında kullanılacak yazılım, donanım, ürün ve hizmetlerin asgari güvenlik kriterlerini belirleme ve bunları sağlayan veya tedarik eden gerçek ve tüzel kişiler için sertifikasyon, yetkilendirme ve belgelendirme işlemlerini yürütme yetkisi verir. Bu nedenle süreçlerin kapsamı Başkanlığın düzenleyici işlemlerine göre somutlaşır.
Bir şirketin tek bir yetki belgesi almış olması, bütün ürün ve hizmetlerinin otomatik olarak aynı kapsamda olduğu anlamına gelmez. Belgenin hangi faaliyet, hizmet veya ürün için verildiği ve geçerlilik şartları kontrol edilmelidir.
Şirket kurmak veya NACE kodu almak yeterli mi?
Hayır. Ticaret sicili tescili, vergi mükellefiyeti veya faaliyet kodu şirketin genel hukuki varlığını ve ticari faaliyet alanını gösterir. 7545 m.7/1-ç ise siber güvenlik alanına özgü ayrı bir ön onay ve yetkilendirme-belgelendirme yükümlülüğü getirir.
Bu nedenle “şirket ana sözleşmemizde bilişim ve güvenlik hizmetleri yazıyor” denilerek Başkanlık onayı atlanamaz. Tersinden, Başkanlık yetkilendirmesi de şirketler hukukundaki kuruluş, ruhsat veya vergi yükümlülüklerinin yerine geçmez. Her hukuki rejim kendi şartlarıyla birlikte uygulanır.
Siber güvenlik şirketi kuruluş planında ticaret hukuku, vergi, personel, fikri mülkiyet, KVKK ve sözleşme altyapısı ile 7545 yetkilendirme süreci eş zamanlı planlanmalıdır.
Freelance siber güvenlik uzmanı da onay almak zorunda mı?
Kanun m.7/1-ç yalnızca şirketleri değil “siber güvenlik uzmanlarını” da açıkça sayar. Bu nedenle şirket kurmadan serbest çalışan ve siber güvenlik hizmeti sunan gerçek kişiler de düzenlemenin kapsamı dışında kabul edilemez. Uygulanacak yetkilendirme ve belgelendirme prosedürü Başkanlığın ilgili düzenlemelerine göre belirlenir.
Gerçek kişinin tek seferlik veya düşük ücretli hizmet sunması, faaliyetin siber güvenlik niteliğini ortadan kaldırmaz. Mesleki ve ticari faaliyetin kapsamı somut olarak değerlendirilir. Özellikle üçüncü kişinin sistemlerine test, inceleme veya müdahale yetkisi veren hizmetlerde hukuki yetkinin açık olması gerekir.
Ayrıca penetrasyon testi veya güvenlik incelemesi yapılırken müşteriden yazılı yetki alınması ayrı bir zorunluluktur. Başkanlık yetkisi, müşteri sistemine sınırsız erişim izni vermez; sözleşme ve test kapsamı ayrıca belirlenmelidir.
Yabancı siber güvenlik şirketleri Türkiye’de hizmet verebilir mi?
7545 sayılı Kanun’un kapsamı siber uzayda varlık gösteren, faaliyet gösteren ve hizmet sunan gerçek ve tüzel kişiler bakımından geniştir. Türkiye’de siber güvenlik hizmeti sunan yabancı şirketin yalnızca kendi ülkesindeki sertifikasına dayanması 7545 kapsamındaki Başkanlık onayının yerine geçmez.
Yabancı şirketin Türkiye’deki hukuki varlığı, temsil veya şube yapısı, hizmetin nereden sunulduğu, verinin nerede işlendiği ve Başkanlığın yetkilendirme koşulları birlikte değerlendirilir. Ayrıca KVKK’nın yurt dışına veri aktarımı hükümleri, ihracat kontrolü, ticari sözleşmeler ve sektörel düzenlemeler ayrı olarak uygulanabilir.
Kamu veya kritik altyapı müşterisine hizmet verilecekse m.7/1-c de devreye girer. Bu müşteriler siber güvenlik ürün, sistem ve hizmetlerini Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş uzman, üretici veya şirketlerden tedarik etmek zorundadır. Ayrıntılar kritik altyapı siber güvenlik tedariki rehberimizde yer alır.
Alt yüklenici veya taşeron kullanılırsa kim yetkili olmalı?
Siber güvenlik hizmetinin bir kısmı alt yükleniciye verildiğinde yalnızca ana yüklenicinin şirket statüsüne bakmak yeterli değildir. Fiilen siber güvenlik faaliyeti yürüten gerçek veya tüzel kişinin mevzuatın gerektirdiği yetkilendirme ve belgelendirme şartlarını taşıması gerekir.
Örneğin ana yüklenici müşteri ilişkisini yürütüyor, fakat teknik testleri başka bir şirket yapıyorsa müşterinin sistemine erişen teknik şirketin statüsü önemlidir. Alt yüklenici zincirinin sözleşmede şeffaf olması, önceden yazılı onay ve belge kontrolü mekanizması kurulması gerekir.
Kamu ve kritik altyapı müşterilerinde bu kontrol daha da belirgindir; çünkü m.7/1-c tedarikin doğrudan yetkilendirilmiş ve belgelendirilmiş aktörlerden yapılmasını emreder.
Onaysız siber güvenlik faaliyetinin cezası nedir?
7545 m.16/2, Kanun uyarınca alınması gereken onay, yetki veya izni almaksızın faaliyet yürütenler için iki yıldan dört yıla kadar hapis ve bin günden iki bin güne kadar adli para cezası öngörür. Hüküm, onay şartını yalnızca idari eksiklik olmaktan çıkararak ceza hukuku yaptırımına bağlar.
Ceza sorumluluğu için somut faaliyetin gerçekten onay, yetki veya izin gerektirip gerektirmediği; failin hangi faaliyeti ne zaman yürüttüğü ve yetkilendirme durumunun ne olduğu delillerle belirlenir. Ticaret sicili, sözleşmeler, faturalar, teknik raporlar, müşteri erişim kayıtları ve sunulan hizmetler bu değerlendirmede önem taşıyabilir.
Şirket yöneticilerinin veya çalışanlarının ceza sorumluluğu da otomatik toplu sorumluluk şeklinde kurulamaz. Ceza sorumluluğu şahsidir; fiile katkı, görev ve kast bakımından ayrı değerlendirme yapılır.
Geçici madde 1’deki uyum süresi ne anlama geliyor?
7545 sayılı Kanun’un geçici 1. maddesi, Kanunun yürürlüğe girdiği tarihte siber güvenlik alanında faaliyet gösteren ve ilgili faaliyetleri yürüten kişi, kurum ve kuruluşlar için ikincil düzenlemelerin yürürlüğe girmesinden itibaren belirli süre içinde sertifikasyon ve yetkilendirme yükümlülüklerinin tamamlanmasına ilişkin geçiş rejimi kurmuştur. Hüküm, yeni kurulacak işletmelerin “faaliyete başlamadan önce” şartını ortadan kaldırmaz.
Geçiş hükmünün kime ve hangi tarihte uygulanacağı şirketin Kanun yürürlüğe girdiği tarihte gerçekten faaliyette olup olmadığına ve ilgili ikincil düzenlemenin yürürlük tarihine göre belirlenir. Bu nedenle 2026’da yeni faaliyete başlayacak bir şirketin eski işletmeler için öngörülen geçiş süresini genel erteleme gibi kullanması doğru değildir.
Şirketler geçiş hükmüne dayanıyorsa faaliyet başlangıcını gösteren belgeler ile hangi ikincil düzenleme bakımından süre hesapladıklarını dosyalamalıdır.
Başkanlık onayı ile müşteri izni arasındaki fark nedir?
Başkanlık onayı, kişinin veya şirketin siber güvenlik alanında mevzuata uygun biçimde faaliyet göstermesiyle ilgilidir. Müşteri izni ise belirli bir sistemde hangi testlerin veya müdahalelerin yapılabileceğini belirler. İki izin birbirinin yerine geçmez.
Yetkilendirilmiş bir siber güvenlik şirketi, müşteri sözleşmesinde izin verilmemiş sisteme izinsiz erişemez. Aynı şekilde müşteri “sistemimde test yapabilirsin” dese dahi hizmet sağlayıcının 7545 kapsamındaki gerekli Başkanlık onayını almamış olması mevzuat ihlalini ortadan kaldırmaz.
Penetrasyon testi, zafiyet taraması ve olay müdahalesinde hedef sistemler, zaman aralığı, izin verilen yöntemler, veri erişimi, acil durdurma prosedürü ve raporlama şekli yazılı olarak belirlenmelidir.
Siber güvenlik şirketi sözleşmesinde hangi bilgiler yer almalı?
Sözleşmede şirketin Başkanlık yetkilendirme ve belgelendirme bilgileri, hizmet kapsamı, sorumlu uzmanlar, alt yükleniciler ve yetkinin geçerliliğini kaybetmesi halinde uygulanacak prosedür açık olmalıdır. Müşteri, hizmet süresince yetkinin devam ettiğini doğrulayabilmelidir.
Gizlilik ve ticari sır hükümleri, kişisel veri işleme, loglara erişim, siber olay bildirimi, delil bütünlüğü, hizmet seviyesi, zafiyet raporlarının paylaşımı ve hizmet sonunda verilerin iadesi veya imhası ayrıca düzenlenmelidir. Sözleşme yalnızca standart “BT hizmet sözleşmesi” olarak bırakılmamalıdır.
Kritik altyapı müşterilerinde denetim iş birliği ve Başkanlık taleplerine cevap süreci de sözleşmeye yansıtılmalıdır. Hizmet sağlayıcının kendi mevzuat ihlali nedeniyle müşterinin yaptırımla karşılaşması halinde sorumluluk ve rücu hükümleri açık yazılmalıdır.
Şirketler için faaliyete başlamadan önce kontrol sırası
İlk olarak sunulacak ürün ve hizmetler tek tek belirlenmelidir. İkinci olarak bunların 7545 ve Başkanlığın düzenlemeleri bakımından siber güvenlik faaliyeti sayılıp sayılmadığı değerlendirilmelidir. Üçüncü olarak şirket, üretici veya uzman için gerekli onay, yetkilendirme ve belgelendirme süreci tamamlanmalıdır.
Dördüncü olarak müşteri sözleşme şablonları hazırlanmalı; test yetkisi, gizlilik, veri güvenliği ve olay bildirim hükümleri eklenmelidir. Beşinci olarak çalışan ve alt yüklenicilerin yetki-belge durumu kontrol edilmelidir. Altıncı olarak yetki belgesinin süresi ve yenileme tarihleri uyum takvimine eklenmelidir.
Yedinci olarak verilen hizmetler için kayıt düzeni kurulmalıdır. Hangi müşteri sisteminde hangi personelin hangi tarihte işlem yaptığı, hangi izin kapsamında test yürüttüğü ve hangi veriye eriştiği gerektiğinde gösterilebilmelidir. Bu kayıt düzeni hem müşteri uyuşmazlığı hem denetim hem ceza hukuku bakımından önemlidir.
Mersin’de siber güvenlik şirketi kurmak için ayrı kural var mı?
7545 bakımından hayır. Kanun Türkiye genelinde uygulanır. Mersin’de kurulacak bir siber güvenlik şirketi de İstanbul, Ankara veya başka bir ildeki şirketle aynı m.7/1-ç yükümlülüğüne tabidir. Ticaret sicili ve vergi işlemlerindeki yerel uygulamalar ayrı olmakla birlikte Başkanlık onay rejimi ulusaldır.
Mersin’in liman, lojistik, sanayi ve enerji altyapısı nedeniyle siber güvenlik hizmeti sunan firmaların kritik altyapı müşterileriyle çalışma ihtimali yüksektir. Bu tür müşterilerde m.7/1-c’deki yetkilendirilmiş tedarikçi şartı ayrıca önem taşır.
Sık sorulan sorular
Siber güvenlik şirketi Başkanlıktan onay almak zorunda mı?
Evet. 7545 m.7/1-ç faaliyete başlamadan önce Başkanlık onayı ve öngörülen yetkilendirme-belgelendirme süreçlerini zorunlu tutar.
Sadece şirketler mi kapsamda?
Hayır. Kanun şirketler, üreticiler ve siber güvenlik uzmanlarını açıkça sayar.
Şirket kurmak yeterli mi?
Hayır. Ticaret sicili tescili, 7545’e özgü Başkanlık onayının yerine geçmez.
Freelance uzman da onay almalı mı?
Kanun siber güvenlik uzmanlarını ayrıca kapsam içine alır; uygulanacak süreç Başkanlığın düzenlemelerine göre tamamlanır.
Yabancı şirket Türkiye’de kendi ülke sertifikasıyla çalışabilir mi?
Yabancı sertifika tek başına 7545 kapsamındaki Başkanlık onayının yerine geçmez.
Onaysız faaliyetin cezası nedir?
m.16/2 uyarınca iki yıldan dört yıla kadar hapis ve bin günden iki bin güne kadar adli para cezasıdır.
Ana yüklenici yetkiliyse alt yüklenici kontrol edilmez mi?
Fiilen siber güvenlik faaliyeti yürüten alt yüklenicinin de gerekli yetkilendirme ve belgelendirme şartları kontrol edilmelidir.
Başkanlık onayı müşteri sistemine erişim izni verir mi?
Hayır. Müşterinin yazılı test ve erişim yetkisi ayrıca gerekir.
Geçiş süresi yeni kurulan şirketler için genel erteleme midir?
Hayır. Geçici hükmün uygulanması Kanun yürürlüğe girdiğinde mevcut faaliyet ve ilgili ikincil düzenlemenin yürürlük tarihine göre değerlendirilir.
Mersin’de farklı onay sistemi var mı?
Hayır. 7545 kapsamındaki onay ve yetkilendirme rejimi ülke genelindedir.
Dış Kaynaklar
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
BAKIRCI & KESKİN HUKUK BÜROSU sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
