Yazılım Tedarikçisi Yanlış SBOM Verirse: Eksik Bileşen ve Lisans Listesi
Tedarikçi sözleşmede yazılım bileşen listesini, kullanılan lisansları veya belirli bir standarda uygun SBOM teslimini üstlenmişse bu borç, programın çalışmasıyla kendiliğinden yerine gelmez. Eksik bileşen, yanlış lisans veya eski sürüme ait liste bakımından önce taahhüdün kapsamı, teslim edilen ürün ve listenin üretildiği tarih karşılaştırılır. TBK m.112, borcun hiç veya gereği gibi ifa edilmemesinden doğan zararın giderilmesini düzenler. Tazminat için aykırılık yanında zarar ve nedensellik bağı da gösterilmelidir.
SBOM, yazılımın bileşenlerini ve bunlar arasındaki ilişkileri görünür kılan envanterdir. Bir güvenlik sertifikası veya tek başına kullanım ruhsatı değildir. Tedarikçi lisans sütununa “ticari kullanım serbest” yazdığında, asıl hak sahibinin vermediği izin doğmaz. Bu nedenle yanlış listenin düzeltilmesiyle mevcut lisans ihlalinin giderilmesi aynı talep değildir. Satın alma dosyasında bu iki işin sorumlusu, süresi ve doğrulanma yöntemi ayrı kurulmalıdır.
SBOM borcu hangi sözleşme hükmüne dayanır?
Türk Borçlar Kanunu m.26 tarafların sözleşme içeriğini kanuni sınırlar içinde belirlemesine izin verir. Ana sözleşme, teknik şartname, teklif ve kabul yazışmalarında üstlenilen SBOM teslimi bu çerçevede değerlendirilir. TBK m.19 gereğince kullanılan başlıktan önce gerçek ve ortak irade araştırılır. “Dokümantasyon” sözcüğünün sözleşmede bulunması, kendiliğinden her ayrıntıda güncel bileşen envanteri borcu yaratmaz; hangi belgenin kararlaştırıldığı gösterilmelidir.
Teklifte belirli format, kapsam ve güncelleme sıklığı açıkça yazılıysa, daha sonra yalnız üst düzey bir ürün listesi gönderilmesi taahhüdü karşılamayabilir. Buna karşılık müşteri teslimden sonra daha kapsamlı bir format istemişse bunun mevcut borcun açıklanması mı yoksa ek iş mi olduğu ayrılır. Uyuşmazlık çözülürken her iki belgenin tarihi, eklerin sözleşmeye dahil edilme biçimi ve tarafların kabul açıklamaları birlikte değerlendirilir.
Tedarikçinin standart koşullarındaki “bütün envanterler bağlayıcı değildir” ifadesi de tek başına sonucu belirlemez. Müzakere edilmiş açık teslim taahhüdüyle standart kayıt arasındaki ilişki ve TBK m.20–25’teki genel işlem koşulu denetimi incelenir. Önceden tek taraflı hazırlanmış bir kaydın sözleşme eki olması, onun her durumda geçerli ve sınırsız olduğu anlamına gelmez. Bununla birlikte her sorumluluk sınırlaması da otomatik olarak hükümsüz sayılamaz.
2026 SBOM rehberi sözleşmede nasıl kullanılmalı?
CISA ve ortak kurumların 29 Temmuz 2026 tarihli SBOM asgari unsurlar rehberi, 2021 metnini günceller; 2025 belgesi taslak aşamasıdır. Güncel rehber bileşen lisansı, hash değeri ve algoritması, üretim bağlamı, araç ve format bilgileri gibi unsurları ele alır. Kapsam, bilinmeyen bilgilerin açık gösterilmesi ve güncelleme süreçleri de önem taşır. Rehber kendi başına yeni hukuki yükümlülük oluşturmadığını açıklar. Türk sözleşmesindeki borç, bu metne yapılan atıf ve geçerli mevzuatla belirlenir.
Atıfta yalnız “güncel standart” yazılması tartışma yaratır. İmza günündeki sürüm mü, her teslim tarihindeki sürüm mü, yoksa müşterinin sonradan seçtiği sürüm mü uygulanacaktır? Sabit tarihli bir rehbere atıf ile sürekli güncelleme borcu farklıdır. Sözleşmede atıf yapılan sürüm, daha sonraki değişikliğin maliyeti ve uyum süresi belirlenirse, tedarikçi ile müşteri farklı belge beklentileri üzerinden tartışmaz. Yabancı teknik rehberin Türkiye’de herkese doğrudan uygulanan kanun gibi sunulması doğru değildir.
Eksik, yanlış ve doğrulanamayan bilgi nasıl ayrılır?
İlk sorun, ürün içinde bulunduğu hâlde listede gösterilmeyen bileşendir. Bu durumda teslim edilen sürümün hangi teknik yapıdan üretildiği ve sözleşmenin hangi bileşen katmanlarını kapsadığı araştırılır. Doğrudan kullanılan bir kütüphane ile onun başka bağımlılıkları aynı envanter derinliğinde bulunmayabilir. Liste yalnız belirli katmanı kapsıyorsa bu sınır baştan açık olmalıdır. Kapsam dışında bırakılmış alanın varlığıyla vaat edilen alandaki eksiklik birbirine karıştırılmaz.
İkinci sorun, doğru bileşenin yanlış sürüm veya yanlış lisansla gösterilmesidir. Lisans değerlendirmesi projenin bugünkü ana sayfasına bakılarak tamamlanmaz. Müşteriye teslim edilen dosyanın ait olduğu sürüm, o sürümle gelen lisans metni ve varsa ayrıca alınmış ticari izin esas alınır. Aynı isimde birden fazla paket veya farklı lisans seçenekleri bulunması hâlinde tedarikçinin hangi paketi hangi yetkiye dayanarak kullandığı belgelenmelidir.
Üçüncü sorun, doğrulanamamış bilginin kesin bilgi gibi sunulmasıdır. Bilinmeyen lisansın açıkça belirtilmesiyle hiçbir araştırma yapılmadan lisansın serbest olduğunun yazılması aynı davranış değildir. Sözleşme belirli doğrulama seviyesini arıyorsa “bilinmiyor” kaydı da borcun tamamlandığını göstermeyebilir; ancak belirsizliği dürüstçe ortaya koyar. Çözüm, alanı gelişigüzel doldurmak değil, bilinmeyenin hangi belge veya incelemeyle giderileceğini ve bunu kimin üstlendiğini belirlemektir.
Program çalışıyorsa müşteri yine teslim talep edebilir mi?
Yazılımın işlevsel testi ile sözleşmede kararlaştırılan bilgi teslimi farklı ölçütlerdir. Program bütün ekranlarını açsa bile vaat edilen bileşen ve lisans dokümantasyonu eksik kalabilir. Müşteri talebini “ürün bozuk” biçiminde genelleştirmek yerine hangi teslim kaleminin yapılmadığını göstermelidir. Bu ayrım, kabul tutanağında yalnız işlev testinin mi yoksa bütün sözleşmesel teslimlerin mi onaylandığını belirlemek bakımından önemlidir.
Özel yazılım geliştirme ilişkisinde eser sözleşmesinin gözden geçirme ve bildirim hükümleri ayrıca incelenir. Yazılım kabul testi ve ayıp bildirimi rehberi bu özel rejimi açıklamaktadır. SBOM uyuşmazlığında her eksiklik otomatik olarak aynı ayıp kategorisine konulmamalıdır. Bağımsız belge ediminin hiç teslim edilmemesi, teslim edilmiş belgenin yanlış olması ve ürünün üzerinde üçüncü kişinin hakkının bulunması farklı hukuki değerlendirmeler gerektirir.
Kabul sırasında eksik belge açıkça kaydedilmişse, tutanakla teknik teslim alınması ile o eksiklikten vazgeçilmesi aynı değildir. Buna karşılık genel ve koşulsuz kabul açıklaması taraflar arasındaki tartışmayı etkiler. İncelenecek belge yalnız son imzalı sayfa değil, kabul ekleri ve saklı tutulan taleplerdir. Uyuşmazlık çıktıktan sonra önceki tutanağı değiştirmek yerine, o tarihteki gerçek belge bütünlüğü korunmalıdır.
Yanlış lisans listesi kullanım hakkı kazandırır mı?
FSEK m.48 ve m.52 mali hakların kullanılması ve bunlara ilişkin sözleşmelerin şekli bakımından esas alınır. SBOM’da lisans adının bulunması, o lisansın bütün koşullarının yerine getirildiğini kanıtlamaz. Bildirim, kaynak sağlama veya dağıtım koşulu varsa bunların ayrıca karşılanması gerekir. Lisans adını doğru yazmakla ürün dağıtımının hukuka uygun olması arasındaki fark, satın alma incelemesinin merkezinde yer almalıdır.
FSEK m.54, mali hakkı veya kullanma ruhsatını devretme yetkisi bulunmayan kişiden edinimde iyi niyetin tek başına koruma sağlamadığını düzenler. Müşterinin tedarikçi listesine güvenmesi, asıl hak sahibinin eksik iznini yaratmaz. Aynı madde, yetkisiz devredenin sorumluluğunu da ayrı koşullarla düzenler. Tedarikçiye yöneltilecek sözleşmesel talep ile üçüncü kişinin telif talebi bu nedenle aynı dosyada dahi ayrı başlıklarla incelenmelidir.
Müşterinin kodu kendi ürününde dağıtması, yalnız kurum içinde çalıştırması ve ağ üzerinden hizmet sunması farklı kullanım biçimleridir. Bir bileşenin kullanımı bu biçimlerden birinde izinli, diğerinde ek koşullara bağlı olabilir. SBOM tesliminde müşterinin planlanan kullanım biçiminin gizli bırakılması doğru incelemeyi güçleştirir. Genel hak çerçevesi için yazılımın telif hakkıyla korunması açıklamasına bakılabilir; somut izin, ilgili sürümün lisans metninden okunmalıdır.
Liste hangi ürün ve hangi tarihle eşleştirilmeli?
Uyuşmazlıkta karşılaştırılacak nesne belirli olmalıdır. Ürün adı, sürüm, teslim paketi, derleme kimliği ve belge tarihi birlikte kaydedilir. Geçen ay oluşturulan listenin bu ay teslim edilen ürüne ait olduğu, yalnız dosya adlarının benzemesinden çıkarılamaz. Aynı ürünün farklı müşterilere farklı bileşenlerle teslim edilmesi hâlinde de genel ürün listesi yerine ilgili teslimin kapsamı incelenir. Teknik eşleştirme, hukuki taahhüdün yerine getirilip getirilmediğini ölçmeye yarar.
Sürekli güncellenen hizmette bir defalık başlangıç listesi ile değişiklik oldukça güncelleme borcu ayrılır. Sözleşme belirli sürümdeki envanteri istiyorsa her ilerideki değişiklik için kendiliğinden sınırsız raporlama yükümlülüğü doğduğu söylenemez. Güncelleme üstlenilmişse hangi olayın yeni teslim gerektirdiği belirlenir. Yeni bileşen eklenmesi, sürüm yükselmesi ve yalnız açıklama düzeltmesi farklı bildirim ihtiyaçları yaratabilir; tarafların kararlaştırdığı eşik esas alınır.
Kaynak kodun saklayıcıya bırakılması da SBOM’un güncel teslim edildiğini tek başına göstermez. Kaynak kodu escrow sözleşmesi ayrı bir saklama ve belirli koşullarda açılma düzenidir. Müşterinin bugün incelemesi gereken envanterin yalnız ileride açılacak depoda bulunması, mevcut bilgi verme borcunu karşılamayabilir. Bunun karşılığında SBOM alan müşteri de kaynak kodun tamamına veya üretim sırlarına otomatik erişim hakkı kazanmaz.
Ticari sır gerekçesi teslim borcunu kaldırır mı?
Tedarikçi gizlilik ihtiyacını sözleşme aşamasında görünür kılmalıdır. Hangi envanter alanının hangi alıcı grubuna verileceği, erişimin nasıl sağlanacağı ve belgenin paylaşım sınırı kararlaştırılabilir. Fakat açıkça üstlenilmiş teslim borcunun sonradan bütün içeriği kapsayan “ticari sır” açıklamasıyla ortadan kalktığı kabul edilemez. Geçerli gizlilik kaydı ile teknik olarak gerekli doğrulama imkânı birlikte ele alınır; karşılıklı taahhütler tek taraflı yorumla boşaltılmaz.
Üçüncü taraf açık kaynak lisansının zorunlu kıldığı bildirim veya kaynak sağlama koşulu da müşteriyle yapılan gizlilik sözleşmesiyle kendiliğinden kaldırılmaz. Tedarikçi, hem gizlilik taahhüdünü hem lisans yükümlülüğünü yerine getirecek dağıtım yapısını seçmelidir. Eğer bu ikisi birlikte karşılanamıyorsa sorun belgeyi saklamakla çözülmez. Bileşenin değiştirilmesi, uygun ek lisans alınması veya ürün kapsamının hukuka uygun biçimde yeniden kurulması ayrıca değerlendirilir.
Dosyanın teknik olarak açılması doğru teslim sayılır mı?
Teslim denetimi üç ayrı soruya cevap vermelidir: dosya alınmış mı, kararlaştırılan biçimde okunabiliyor mu ve kapsamındaki bilgiler ilgili ürünü doğru anlatıyor mu? Bir dosyanın şema denetiminden geçmesi içerdiği bütün bilgilerin maddi doğruluğunu kanıtlamaz. Aynı şekilde belgenin imzalanmış olması, hangi kişinin o belgeyi sunduğuna ilişkin delil sağlayabilir; içindeki her lisans sonucunun doğru olduğu anlamına gelmez. Kabul ölçütleri bu seviyeleri birbirinden ayırmalıdır.
Müşteri yalnız dosyanın ulaştığını bildiren otomatik yanıtı, bütün içeriği inceleyip onaylamış gibi kullanmamalıdır. Tedarikçi de teslim makbuzundan sınırsız sorumsuzluk sonucu çıkarmamalıdır. Sözleşmede teknik denetimin kim tarafından, hangi süre içinde ve hangi örneklemle yapılacağı belirtilmelidir. İnceleme sırasında saptanan farklar dosyanın ilk sürümüyle birlikte kaydedilirse sonraki düzeltmenin kapsamı görülebilir. Bu düzen hem gereksiz yeniden inceleme giderlerini hem hangi belgenin kabul edildiği konusundaki belirsizliği azaltır.
Yanlışlık tespit edilince hangi somut talepler ileri sürülür?
İlk bildirimde eksik alan ve dayanak sözleşme maddesi belirtilir. Hangi teslim sürümüyle karşılaştırıldığı, yanlışlığın nasıl saptandığı ve istenen düzeltmenin kapsamı açıklanır. “Tüm lisans sorunlarını çözün” ifadesi yerine eksik bileşenin eklenmesi, yanlış lisansın belgelenerek düzeltilmesi veya kullanma yetkisinin dayanağının sunulması ayrı talepler olarak kurulmalıdır. Böylece tedarikçinin cevabının gerçekten sorunu giderip gidermediği denetlenebilir.
Düzeltme yalnız yeni bir dosya göndermekten oluşmamalıdır. Önceki listeyle farkı, düzeltmenin ilgili ürün sürümünü kapsadığı ve etkilenen müşteri işlemleri açıklanmalıdır. Yanlış lisans nedeniyle dağıtımın durdurulması gerekiyorsa, envanter düzeltmesinin bunu neden ortadan kaldırdığı gösterilmelidir. Hak sahibinden ek izin alınması ile teknik bileşenin değiştirilmesi farklı çözümlerdir; müşterinin sonraki kullanımı için hangi yolun tamamlandığı belgelenmelidir.
TBK m.117 ve karşılıklı sözleşmelerde m.123–125, temerrüt ve seçilecek hukuki yol bakımından önem taşır. Her SBOM eksikliğinde otomatik fesih veya bedelin tamamının iadesi sonucu kurulamaz. Edimin muacceliyeti, ihtar gerekip gerekmediği, uygun süre ve sözleşmenin niteliği incelenir. Belge hatasıyla ilgisiz bütün ödemelerin durdurulması da ayrı bir uyuşmazlık yaratır. Talep, ihlalin kapsamıyla bağlantılı olmalıdır.
Tazminatta hangi zarar ve hangi delil gerekir?
TBK m.112 kapsamında müşteri, üstlenilen borcu, aykırılığı, zararını ve aradaki bağlantıyı ortaya koymalıdır; tedarikçi kendisine kusur yüklenemeyeceğini ispat yüküyle karşılaşır. Yanlış liste yüzünden gerekli hâle gelen inceleme, yeniden lisanslama veya zorunlu geçiş giderleri belgeyle gösterilmelidir. Her danışmanlık faturası otomatik zarar değildir. Giderin neden gerekli olduğu, kapsamı ve yanlış bilgiden nasıl doğduğu açıklanmalıdır.
Müşterinin fark ettiği riske rağmen önlem almadan dağıtımı genişletmesi de değerlendirilir. TBK m.114 aracılığıyla uygulanacak m.52, zarar görenin katkısının giderime etkisini düzenler. Bu kural tedarikçinin yanlış beyanını ortadan kaldırmaz; sonradan büyüyen zararın hangi davranıştan doğduğunu ayırır. Tedarikçinin alt yüklenici veya tarama aracı kullanması da tek başına sorumluluktan çıkış değildir; kendi edimi ve yardımcı kişiler bakımından m.116 incelenir.
- İmzalı sözleşme, şartname ve SBOM taahhüdünün kabul edildiğini gösteren teklif sürümü.
- Teslim edilen ürün paketiyle o pakete ait olduğu ileri sürülen ilk SBOM dosyası.
- Yanlışlığı gösteren bileşen dosyası, lisans metni, teknik rapor ve karşılaştırmanın yöntemi.
- Düzeltme talepleri, tedarikçi cevapları, bildirimlerin ulaşma tarihleri ve yeni belge sürümleri.
- Zorunlu inceleme veya giderim masrafları, yapılan işler ve yanlış bilgiyle nedensellik bağlantısı.
Elektronik belgeler HMK m.199 çerçevesinde delil olarak değerlendirilir. Kayıtların tarihi, kaynağı ve değişiklik geçmişi korunmalıdır. Ürün güncellenince kaybolacak bir durum varsa HMK kapsamında delil tespiti ihtiyacı ayrıca incelenir. Delil tespiti, tedarikçinin sorumlu olduğuna önceden karar verilmesi değildir; sonradan incelenmesi güçleşecek teknik durumun usulüne uygun belirlenmesine hizmet eder. Tespit talebinde incelenecek sürüm ve sorular açık yazılmalıdır.
Bildirim ve dava süreleri nasıl belirlenir?
Bütün SBOM talepleri için tek süre yoktur. TBK m.146 genel olarak on yıllık zamanaşımını düzenler; m.147’de eser sözleşmesi gibi ilişkiler için özel süreler bulunur. Ayıba ilişkin özel hükümler uygulanıyorsa bunların bildirim ve zamanaşımı düzeni ayrıca incelenir. Aynı belgede yanlış bilgi bulunması, her talebin aynı hukuki nedene dayandığı anlamına gelmez. Süre hesabı, sözleşme türü ve ileri sürülen hakkın niteliği üzerinden yapılmalıdır.
Dosyada dört tarih özellikle ayrılmalıdır: teslim, kabul, yanlışlığın öğrenilmesi ve tedarikçiye bildirimin ulaşması. Sonradan verilen düzeltme sözü veya yeni liste gönderilmesi bütün yasal sürelerin kendiliğinden yeniden başladığını göstermez. Sözleşmesel destek süresiyle dava zamanaşımı da aynı değildir. İlk inceleme, hatayı teknik olarak doğrularken bildirimin ve hukuki talebin hangi kurala bağlı olduğunu birlikte belirlemelidir.
Sık sorulan sorular
SBOM nedir, lisans belgesi yerine geçer mi?
SBOM yazılım bileşen envanteridir. Lisansın kaynağını ve koşullarını araştırmayı kolaylaştırır; hak sahibinin vermediği çoğaltma, dağıtım veya değiştirme iznini kendiliğinden yaratmaz. Envanter ile ruhsat ayrı belgelerdir.
Yazılım çalışıyorsa eksik SBOM istenebilir mi?
Sözleşmede ayrı teslim borcu üstlenilmişse programın çalışması bu borcu tamamlamaz. Kabul kapsamı, eksik bırakılan alan ve sözleşmedeki teslim ölçütü incelenir. İşlev testiyle belge teslimi farklıdır.
2025 SBOM taslağı güncel rehber mi?
CISA ve ortak kurumların 29 Temmuz 2026 metni güncel rehberdir. 2025 metni taslaktı. Sözleşmenin hangi tarihli sürüme atıf yaptığı ve güncelleme borcu ayrıca belirlenmelidir.
Yabancı SBOM rehberi bütün Türk şirketlerine doğrudan borç yükler mi?
Teknik rehbere dayanmak tek başına böyle genel bir sonuç doğurmaz. Geçerli mevzuat ve tarafların sözleşmesel taahhüdü incelenir. Rehber kendi kapsam açıklamasında yeni hukuki yükümlülük oluşturmadığını belirtir.
Lisans alanına bilinmiyor yazılması yeterli midir?
Bu kayıt belirsizliği gösterir, fakat kararlaştırılmış doğrulama borcunu her durumda tamamlamaz. Sözleşmenin kapsamı, bilinmeyen alanın önemi ve hangi incelemenin üstlenildiği belirleyicidir. Yanlış kesin bilgiyle aynı değildir.
Tedarikçinin serbest dediği kod izinsiz çıkarsa müşteri korunur mu?
FSEK m.54 uyarınca yetkisiz kişiden hak edinmede iyi niyet tek başına koruma sağlamaz. Asıl hak sahibinin talebi ile müşterinin tedarikçiye yönelteceği sözleşmesel veya kanuni talep ayrı incelenir.
Ticari sır gerekçesiyle vaat edilen liste verilmeyebilir mi?
Açık teslim taahhüdü sonradan genel bir gizlilik açıklamasıyla kendiliğinden kalkmaz. Paylaşım kapsamı ve geçerli gizlilik hükümleri değerlendirilir. Lisansların zorunlu bildirimleri de ayrıca yerine getirilmelidir.
SBOM alınması kaynak kodun da teslim edildiği anlamına gelir mi?
Hayır. Envanter, kaynak kod ve escrow teslimi farklı edimlerdir. Her biri için sözleşmedeki kapsam ve teslim şartı incelenir. Bileşen listesini alan kişi otomatik olarak bütün kaynak kod haklarını kazanmaz.
Her yanlışlıkta sözleşme feshedilip bütün bedel geri alınır mı?
Otomatik sonuç yoktur. İhlalin kapsamı, giderim imkânı, temerrüt şartları ve sözleşmenin niteliği incelenir. Belge düzeltme, geçerli izin sağlama, zarar ve sona erdirme talepleri ayrı kurulmalıdır.
Hata tespit edilince önce hangi dosya korunmalı?
İlgili teslim sürümü, ilk SBOM, sözleşme eki ve yanlışlığı gösteren teknik bulgu birlikte korunmalıdır. Sonradan güncellenen liste önceki belgeyi silmemelidir. Bildirim ve teslim tarihleri ayrıca kaydedilmelidir.
İstanbul ve Mersin ofisleri
İstanbul · Polaris Plaza
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbulMersin · Profit İş Merkezi
İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/MersinHukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
