Siber Olayı Başkanlığa Bildirmek Zorunlu mu? 7545 m.7 ve 1–10 Milyon TL Ceza 2026
Kısa ve Net Cevap
Evet. 7545 sayılı Siber Güvenlik Kanunu m.7/1-b uyarınca Kanun kapsamında bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyen gerçek ve tüzel kişiler; hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmek zorundadır. Kanun bildirim için “24 saat”, “72 saat” gibi sabit bir süre koymaz; emredici ifade “gecikmeksizin”dir. Aynı yükümlülüğün yerine getirilmemesi, 7545 m.16/10 uyarınca 1.000.000 TL’den 10.000.000 TL’ye kadar idari para cezası yaptırımına bağlanmıştır.
7545 m.7/1-b’nin Net Kuralı
7545 sayılı Siber Güvenlik Kanunu, 12 Mart 2025’te kabul edilmiş ve 19 Mart 2025 tarihli Resmî Gazete’de yayımlanmıştır. Kanunun m.7/1-b hükmü, bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenlerin iki ayrı sorumluluğunu aynı bentte düzenler: Birincisi, milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi için mevzuatın öngördüğü siber güvenlik tedbirlerini almak; ikincisi, hizmet alanında tespit edilen zafiyet veya siber olayı gecikmeksizin Başkanlığa bildirmek.
Bu yükümlülük yalnız saldırı başarılı olduğunda doğmaz. Kanun “siber olay” yanında “zafiyet” kavramını da açıkça kullanır. Bu nedenle sistemde istismar edilebilir bir güvenlik açığı tespit edilmesi ile gizlilik, bütünlük veya erişilebilirlik ihlali doğuran olayın ortaya çıkması ayrı bildirim başlıklarıdır.
Kanunun amacı, olayın kurum içinde kapatılmasını değil ulusal siber güvenlik mimarisi içinde hızlı bilgi akışını sağlamaktır. Bildirim yükümlülüğü; olay müdahalesi, delil korunması, sistem izolasyonu, iş sürekliliği ve kişisel veri ihlali yükümlülüklerinden bağımsız değildir. Bunlar aynı olayda birlikte yürütülür.
Kimler Siber Olay Bildirim Yükümlüsüdür?
7545 m.2, Kanunun kapsamını geniş düzenler. Siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumları, kamu kurumu niteliğinde meslek kuruluşları, gerçek kişiler, tüzel kişiler ve tüzel kişiliği bulunmayan kuruluşlar Kanun kapsamındadır. M.7 ise özellikle bilişim sistemleri kullanarak hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenleri sorumluluk muhatabı yapar.
Bu nedenle yükümlülük yalnız “siber güvenlik şirketleri” için değildir. E-ticaret şirketi, SaaS sağlayıcısı, finansal teknoloji işletmesi, üretim şirketi, veri merkezi, sağlık hizmeti sunucusu, lojistik işletmesi, eğitim kuruluşu veya dijital hizmet sağlayıcısı; m.2 ve m.7 şartlarını taşıdığı ölçüde Kanun kapsamındaki sorumlulukları değerlendirmek zorundadır.
Kritik altyapılar bakımından yükümlülüğün önemi daha yüksektir; ancak m.7/1-b metni sadece kritik altyapıya özgü yazılmamıştır. Kanun kapsamındaki hizmet sunucuları ve veri işleyen yapılar için genel bir bildirim sorumluluğudur.
| Durum | 7545 bakımından işlem |
|---|---|
| Sistemde istismar edilebilir açık bulundu | Zafiyet olarak değerlendirilir; m.7/1-b bildirim yükümlülüğü kontrol edilir. |
| Yetkisiz erişim gerçekleşti | Siber olaydır; gecikmeksizin bildirim gerekir. |
| Fidye yazılımı sistemi şifreledi | Erişilebilirlik ihlalidir; siber olay bildirimi ve olay müdahalesi birlikte yürütülür. |
| Müşteri verisi dışarı sızdı | 7545 bildirimi yanında KVKK m.12/5 yükümlülüğü ayrıca değerlendirilir. |
Siber Olay ve Zafiyet Nedir?
7545 m.3’e göre siber olay, bilişim sistemlerinin veya verinin gizlilik, bütünlük ya da erişilebilirliğinin ihlal edilmesidir. Bu tanım üç temel güvenlik eksenini esas alır. Yetkisiz kişinin müşteri verisine erişmesi gizlilik ihlalidir; kayıtların değiştirilmesi bütünlük ihlalidir; sistemin saldırı nedeniyle hizmet veremez hale gelmesi erişilebilirlik ihlalidir.
Zafiyet ise siber uzaydaki varlıkların bir siber tehdit tarafından istismar edilebilecek zayıflığı veya güvenlik açığıdır. Güvenlik açığı henüz kullanılmamış olsa da risk oluşturabilir. Kanunun m.7/1-b’de hem “zafiyet” hem “siber olay” demesi, bildirim mekanizmasının yalnız gerçekleşmiş veri sızıntılarına indirgenemeyeceğini gösterir.
Siber saldırı kavramı da ayrıdır. M.3’te saldırı, sistem veya verinin gizlilik, bütünlük ya da erişilebilirliğini ortadan kaldırmak amacıyla kasıtlı yapılan işlem olarak tanımlanır. Her siber olay saldırı sonucu doğmayabilir; yanlış yapılandırma veya teknik hata da güvenlik olayına yol açabilir. Bildirim değerlendirmesi olayın hukuki tanımına göre yapılmalıdır.
Siber Olay Bildirim Süresi Kaç Saattir?
7545 sayılı Kanun sabit bir saat sayısı belirlememiştir. M.7/1-b’nin kullandığı ifade “gecikmeksizin”dir. Bu nedenle 24 saat, 48 saat veya 72 saat şeklinde kanunda bulunmayan bir süre yazmak hatalıdır. Kurumun olaydan haberdar olduğu anda sınıflandırma, doğrulama ve bildirim akışını başlatması gerekir.
“Gecikmeksizin” kavramı, kurumun olayı haftalarca iç incelemede tutabileceği anlamına gelmez. Olayın bütün teknik ayrıntılarının tamamlanması beklenmeden mevcut bilgilerle ilk bildirim yapılması ve yeni bulguların süreç içinde tamamlanması, hızlı bildirim amacına uygun yöntemdir. Uygulanacak ikincil düzenleme veya Başkanlık usulü ek teknik format belirliyorsa ayrıca o kurala uyulur.
Olayın tespit zamanı, ilk teknik doğrulama, yönetim bilgilendirmesi ve Başkanlığa yapılan bildirimin tarih-saat kayıtları saklanmalıdır. Ceza incelemesinde “ne zaman öğrenildi, hangi işlem ne zaman yapıldı?” soruları doğrudan önem taşır.
Siber Olay Bildiriminde Hangi Bilgiler Bulunmalıdır?
Kanun m.7/1-b ana yükümlülüğü belirler; teknik bildirim formatı Başkanlığın düzenleyici işlemleriyle ayrıntılandırılabilir. Kurumun iç olay kaydı ise en azından olayın tespit zamanı, etkilenen sistemler, olay türü, ilk etki, alınan acil tedbirler, bilinen saldırı göstergeleri ve iletişim sorumlusunu içermelidir.
Bildirimde doğrulanmamış varsayımlar kesin gerçek gibi yazılmamalıdır. Bilinen bulgu, devam eden inceleme ve henüz doğrulanmamış ihtimal ayrılmalıdır. Teknik ekip tarafından üretilen log, hash, IP, alan adı, dosya adı, zaman damgası ve olay göstergeleri değiştirilmeksizin korunmalıdır.
Kişisel veri içeriyorsa bildirimin kapsamı veri minimizasyonu ilkesine göre belirlenir. Başkanlığa gerekli teknik bilgi aktarılırken ilgisiz kişisel verinin kontrolsüz şekilde çoğaltılmaması gerekir. 7545 m.6 ve ilgili hükümler kişisel verilerin hukuka uygun, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini öngörür.
7545 Bildirimi ile KVKK Veri İhlali Bildirimi Aynı Şey mi?
Hayır. 7545 m.7/1-b siber olay ve zafiyet bildirimini Siber Güvenlik Başkanlığına yöneltir. KVKK m.12/5 ise işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmesini düzenler.
Aynı fidye yazılımı veya yetkisiz erişim olayı her iki mevzuatı birden tetikleyebilir. Örneğin bir şirketin sunucusuna saldırı yapılıp müşteri verileri dışarı çıkarılmışsa olay hem 7545 anlamında siber olaydır hem kişisel veri ihlali niteliği taşıyabilir. Bu durumda “Başkanlığa bildirdik, KVKK bildirimi gerekmez” veya tam tersi yaklaşım doğru değildir.
KVKK Kurulunun veri ihlali bildirimine ilişkin yerleşik yaklaşımında 72 saatlik bildirim hedefi bulunmakla birlikte, 7545’in kendi metnindeki ölçüt “gecikmeksizin”dir. İki mevzuatın süre ve muhatapları birbirine karıştırılmamalıdır.
Bu ayrım için Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? rehberimiz ayrıca incelenebilir.
Bildirim Yapmamanın Cezası: 1–10 Milyon TL
7545 m.16/10, m.7/1-b ve m.7/1-c bentlerindeki görev ve sorumluluklarını yerine getirmeyenlere 1.000.000 TL’den 10.000.000 TL’ye kadar idari para cezası verilmesini düzenler. Bu yaptırım, Kanunun metninde doğrudan yer alan güncel aralıktır.
Ceza yalnız “saldırıyı gizlemek” fiiline bağlı değildir. M.7/1-b’deki tedbir alma ve tespit edilen zafiyet veya siber olayı gecikmeksizin bildirme sorumluluklarının yerine getirilmemesi yaptırım kapsamına girer. Kurumun olay müdahale prosedürü, tespit ve bildirim kayıtları bu nedenle hukuki savunmanın da parçasıdır.
M.16/11’de denetim yükümlülüklerine ilişkin ayrı idari para cezaları bulunduğundan, her ihlalin doğru fıkraya göre sınıflandırılması gerekir. Aynı olayın kişisel veri ihlali, hizmet kesintisi, sektörel düzenleme veya sözleşmesel güvenlik yükümlülükleri bakımından başka yaptırımlar doğurması da mümkündür.
İdari Para Cezası Verilmeden Önce Savunma Alınır mı?
Evet. 7545 m.17/1 uyarınca idari para cezası uygulanmadan önce ilgilinin savunması alınır. Savunma istendiğine ilişkin yazının tebliğinden itibaren 30 gün içinde savunma verilmezse savunma hakkından feragat edilmiş sayılır.
M.17 ayrıca aynı kabahatin yaptırım kararı verilinceye kadar birden çok işlendiğinin tespit edilmesi hâlinde tek ceza verileceğini, cezanın iki katını aşmayacak şekilde artırılabileceğini; menfaat sağlanmış veya zarar doğmuşsa cezanın menfaat ya da zararın üç katından az, beş katından fazla olamayacağını düzenler. Başkanlıkça verilen idari para cezasına karşı idari yargı yolu açıktır.
Savunmada olay zaman çizelgesi, tespit sistemi, güvenlik ekibinin müdahalesi, bildirim zamanı, teknik kayıtlar, alınan önlemler ve gecikme iddiasına ilişkin somut belgeler sunulmalıdır. “Saldırının boyutunu anlamaya çalışıyorduk” şeklindeki soyut açıklama yerine tarih-saat bazlı kayıt gerekir.
Şirketler İçin Siber Olay Bildirim Uyum Planı
- Olay sınıflandırma matrisi: Zafiyet, siber olay, saldırı ve kişisel veri ihlali ayrı tanımlansın.
- Tek sorumlu ekip: Bilgi güvenliği, hukuk, KVKK ve üst yönetim arasındaki bildirim zinciri yazılı hale getirilsin.
- Zaman damgası: İlk alarm, doğrulama, izolasyon ve bildirim anları otomatik kaydedilsin.
- Başkanlık bildirim prosedürü: 7545 m.7/1-b muhatabı, onay akışı ve gerekli teknik alanlar önceden belirlensin.
- KVKK paralel kontrolü: Kişisel veri etkisi varsa KVKK m.12/5 süreci aynı anda açılsın.
- Delil koruma: Log ve sistem imajları bütünlük doğrulamasıyla saklansın.
- Tedarikçi yükümlülüğü: Bulut, MSSP, yazılım ve dış hizmet sözleşmelerinde olay bildirim süreleri yazılı hale getirilsin.
- Tatbikat: Yılda belirlenen periyotlarda siber olay senaryosu çalıştırılsın.
- Yönetim raporu: M.7 kapsamındaki tedbirlerin uygulandığı yönetim seviyesinde belgelenebilsin.
- Mevzuat takibi: Başkanlığın yayımladığı ikincil düzenlemeler ve teknik formatlar düzenli izlenmelidir.
İç Bağlantılar
- Kritik Altyapı Nedir? 7545 Siber Güvenlik Yükümlülükleri
- Siber Güvenlik Denetimi Nasıl Yapılır?
- Başkanlığa Bilgi Vermemenin Cezası
- Kişisel Veri İhlali Bildirim Süresi
Sık Sorulan Sorular
Siber olay kaç saat içinde bildirilmelidir?
7545 m.7/1-b sabit saat sayısı vermez; “gecikmeksizin” bildirim emreder.
Yalnız kritik altyapılar mı bildirim yapmak zorunda?
Hayır. M.7, Kanun kapsamında bilişim sistemleriyle hizmet sunan, veri toplayan veya işleyenleri muhatap alır.
Güvenlik açığı henüz kullanılmadıysa bildirim gerekir mi?
M.7/1-b “zafiyet veya siber olay” ifadesini birlikte kullanır. Tespit edilen zafiyet de hükmün kapsamındadır.
Fidye yazılımı siber olay mıdır?
Evet. Sistemin veya verinin gizlilik, bütünlük ya da erişilebilirliğini ihlal eden fidye yazılımı olayı m.3 anlamında siber olaydır.
Siber olay bildirmemenin cezası nedir?
M.16/10 uyarınca m.7/1-b yükümlülüğünü yerine getirmeyenlere 1 milyon TL’den 10 milyon TL’ye kadar idari para cezası verilir.
Ceza verilmeden savunma alınır mı?
Evet. M.17/1 gereği savunma alınır; savunma isteminin tebliğinden itibaren 30 gün içinde cevap verilmelidir.
Başkanlığa bildirim yapmak KVKK bildirimini ortadan kaldırır mı?
Hayır. Kişisel veri ihlali varsa KVKK m.12/5 kapsamındaki bildirim ayrıca değerlendirilir.
Siber olay bildirimi için olayın tamamen çözülmesi beklenir mi?
Kanun “gecikmeksizin” bildirim öngördüğünden bütün incelemenin tamamlanmasını beklemek kuralın amacına aykırıdır. İlk doğrulanmış bilgilerle süreç başlatılmalı, yeni bulgular tamamlanmalıdır.
İdari para cezasına karşı nereye başvurulur?
7545 m.17/5 uyarınca Başkanlıkça verilen idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir.
Olay kaydı neden önemlidir?
Tespit, müdahale ve bildirim zamanlarını ispatlar; gecikme iddiası ve savunma bakımından somut delildir.
Bulut hizmet sağlayıcısı olayı geç bildirirse ne olur?
Veri sorumlusunun ve hizmet alan kuruluşun kanuni sorumlulukları sözleşmeyle ortadan kaldırılamaz. Tedarikçi bildirim yükümlülüğü sözleşmede ayrıca güvence altına alınmalıdır.
Siber olay bildirimi kişisel veri içerebilir mi?
Gerekli teknik kapsamda veri aktarımı yapılırken amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri gözetilmelidir.
Resmî Kaynaklar
- 7545 sayılı Siber Güvenlik Kanunu m.2, 3, 7, 16 ve 17.
- 6698 sayılı KVKK m.12/5.
- Mevzuat Bilgi Sistemi
- Resmî Gazete
Sonuç
7545 m.7/1-b, siber olay ve zafiyet bildirimini isteğe bağlı bir iyi uygulama değil kanuni yükümlülük olarak düzenler. Sabit saat sayısı yerine “gecikmeksizin” ölçütü kullanılmıştır. M.16/10 ise yükümlülüğün ihlaline 1–10 milyon TL idari para cezası bağlar. Kurumların olay tespit, sınıflandırma, Başkanlık bildirimi ve KVKK paralel kontrolünü yazılı ve zaman damgalı bir süreç halinde yürütmesi gerekir.
Hukukçu İncelemesi ve E-E-A-T
Bu içerik 11 Eylül 2026 tarihi itibarıyla yürürlükteki 7545 sayılı Siber Güvenlik Kanunu ve 6698 sayılı Kanun esas alınarak hazırlanmıştır. Yazar: Av. Halil Bakırcı. Kanundaki süre ve ceza tutarları metinde açık hükme dayalı olarak gösterilmiştir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
