Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001: Farklar, Örtüşmeler ve Birlikte Uyum Rehberi

iÇiNDEKiLER

Başlıklar için tıklayın..

Kısa Cevap

Bilgi ve İletişim Güvenliği Rehberi, 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kapsamında hazırlanan ve kamu kurumları ile kritik altyapı hizmeti veren işletmeler için uyulması zorunlu güvenlik tedbirlerini tanımlayan ulusal bir dokümandır; uyum, denetim ve gözetim faaliyetleri bugün Siber Güvenlik Başkanlığı tarafından yürütülür. ISO 27001 ise gönüllü ve risk temelli bir yönetim sistemi standardıdır; iki yapı büyük ölçüde örtüşür, ancak ISO 27001 belgesi Rehber’e uyumu tek başına kanıtlamaz.

Bilgi ve İletişim Güvenliği Rehberi, Türkiye’de kamu kurumları ve kritik altyapı hizmeti veren işletmeler için bilgi güvenliğinin asgari çerçevesini belirleyen ulusal dokümandır. Kamuya yazılım, barındırma, ağ veya güvenlik hizmeti veren firmalar da ihale şartnameleri ve sözleşmeler aracılığıyla bu Rehber’le sıkça karşılaşır. Bu firmaların en çok sorduğu soru şudur: ISO 27001 belgemiz Rehber’e uyum için yeterli mi?

Bu rehberde Bilgi ve İletişim Güvenliği Rehberi’nin dayanağını, kimleri kapsadığını, 2025’ten bu yana değişen kurumsal yapıyı, ISO 27001 ile farklarını ve iki yapıyı tek bir yönetim sistemi içinde nasıl yönetebileceğinizi anlatıyoruz.

Rehber’in Dayanağı ve Kurumsal Yapı

2019: 6 Temmuz 2019 tarihli Resmî Gazete’de yayımlanan 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri konulu Cumhurbaşkanlığı Genelgesi, kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmelerin uyması gereken bilgi güvenliği tedbirlerinin bir rehberle belirlenmesini öngördü.
2020: Rehber, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından Temmuz 2020’de yayımlandı. Rehber’de tanımlanan tedbirlere uyum zorunlu tutuldu ve uyumun denetlenmesine yönelik ayrı bir Denetim Rehberi hazırlandı.
2025: Siber Güvenlik Başkanlığı’nın kurulması ve 7545 sayılı Siber Güvenlik Kanunu’nun yürürlüğe girmesiyle, Dijital Dönüşüm Ofisi’nin bu alandaki görev ve yetkileri Başkanlığa devredildi. Rehber’e uyum, denetim ve gözetim faaliyetleri artık Siber Güvenlik Başkanlığı tarafından yürütülüyor.
2026: Rehber, Denetim Rehberi ve ISO 27001 ile Rehber tedbirlerini eşleştiren tablo, kurumsal değişiklikleri yansıtacak şekilde 1 Mart 2026 tarihli 1.1 sürümüyle güncellendi. Başkanlık, bu değişikliklerin ağırlıklı olarak tasarım ve kurumsal düzenlemelerden ibaret olduğunu belirtiyor.

Rehber yaşayan bir dokümandır ve teknolojik gelişmelere ve değişen ihtiyaçlara göre güncellenebilir. Bu nedenle uyum çalışmalarında her zaman Siber Güvenlik Başkanlığı’nın internet sitesinde yayımlanan güncel sürümün esas alınması gerekir.

Rehber Kimleri Kapsar?

Kamu kurum ve kuruluşları: Doğrudan kapsamdadır.
Kritik altyapı hizmeti veren işletmeler: Enerji, su, ulaştırma, haberleşme, finans, sağlık gibi kritik sektörlerde faaliyet gösterenler.
Bu kurumlara hizmet veren tedarikçiler: Doğrudan Genelge kapsamında olmasalar da kamu kurumları, Rehber tedbirlerini tedarikçilerine sözleşme ve şartname yoluyla yansıtır. Kamuya yazılım geliştiren, veri merkezi veya bulut hizmeti sunan, ağ ve güvenlik altyapısı kuran firmalar bu yolla Rehber şartlarıyla karşılaşır.

Rehber’in Yapısı ve Yaklaşımı

Rehber’in uygulama mantığı üç temel adıma dayanır:

Varlık gruplarının belirlenmesi: Kurumun bilgi varlıkları, benzer özellikteki gruplar halinde tanımlanır.
Kritiklik derecesinin belirlenmesi: Her varlık grubu için gizlilik, bütünlük ve erişilebilirlik kaybının etkisine göre bir kritiklik derecesi belirlenir.
Tedbirlerin uygulanması: Varlık grubunun kritiklik derecesine göre uygulanması gereken tedbirler belirlenir ve uygulanır. Kritiklik derecesi arttıkça uygulanması gereken tedbir seti genişler.

Tedbirler; ağ ve sistem güvenliği, uygulama ve veri güvenliği, taşınabilir cihaz ve ortam güvenliği, nesnelerin interneti cihazları, personel güvenliği ve fiziksel mekânların güvenliği gibi varlık odaklı başlıkların yanında; kişisel verilerin güvenliği, bulut bilişim, kriptografik uygulamalar, kritik altyapılar ve yeni teknolojiler gibi uygulama ve teknoloji alanlarına yönelik başlıkları da kapsar. Rehber ayrıca işletim sistemi, veritabanı ve sunucu gibi bileşenler için sıkılaştırma tedbirleri içerir.

ISO 27001 ile Temel Farklar

	Bilgi ve İletişim Güvenliği Rehberi	ISO/IEC 27001
Niteliği	Ulusal düzenleyici doküman	Uluslararası gönüllü standart
Zorunluluk	Kapsamdaki kurum ve işletmeler için zorunlu	Gönüllü (sözleşme veya ihale şartı olabilir)
Yaklaşım	Kritiklik derecesine göre belirlenmiş tedbir setleri; daha kuralcı	Risk değerlendirmesine dayalı kontrol seçimi; daha esnek
Teknik ayrıntı	Sıkılaştırma ve teknoloji özelinde ayrıntılı tedbirler	Kontroller genel düzeyde tanımlanır; uygulama ayrıntısı kuruluşa bırakılır
Yönetim sistemi	Tedbir odaklı; yönetim sistemi unsurları sınırlı	Bağlam, liderlik, iç tetkik, yönetimin gözden geçirmesi ve sürekli iyileştirme ile tam yönetim sistemi
Doğrulama	Denetim Rehberi’ne göre yapılan uyum denetimi	Akredite kuruluş tarafından belgelendirme denetimi
Sonuç belgesi	Uyum denetimi raporu	3 yıl geçerli akredite sertifika

ISO 27001 Belgelendirme Teklifi Alın

Kamuya veya kritik altyapıya hizmet veriyorsanız ISO 27001 yönetim sisteminizi akredite bir belgeyle güvence altına alın. TÜRKAK akreditasyonu kapsamında teklifimiz için kapsam bilgilerinizi iletin.

Ücretsiz Teklif Al

Örtüşen Alanlar

Siber Güvenlik Başkanlığı, ISO 27001 kontrolleri ile Rehber tedbirlerini eşleştiren bir tablo yayımlamaktadır. Bu tablo, iki yapının önemli ölçüde örtüştüğünü gösterir. Örtüşmenin en yoğun olduğu alanlar şunlardır:

Varlık envanteri ve sınıflandırma (Rehber’deki varlık grupları ile ISO 27001’deki bilgi varlıkları envanteri)
Erişim kontrolü, kimlik doğrulama ve yetki yönetimi
Kayıt tutma, izleme ve olay yönetimi
Yedekleme ve iş sürekliliği
Zararlı yazılım koruması ve açıklık yönetimi
Ağ güvenliği ve ağların ayrılması
Kriptografi
Personel güvenliği ve farkındalık
Fiziksel güvenlik
Tedarikçi ilişkileri ve bulut hizmetleri

ISO 27001 Belgesi Rehber Uyumu İçin Yeterli mi?

Tek başına yeterli değildir. ISO 27001 belgesi, bir bilgi güvenliği yönetim sisteminin kurulduğunu ve işlediğini gösterir; ancak kontroller risk değerlendirmesine göre seçildiği için Rehber’in kritiklik derecesine bağlı olarak zorunlu tuttuğu bazı tedbirler ISO 27001 kapsamında farklı düzeyde uygulanmış veya hiç seçilmemiş olabilir. Özellikle sıkılaştırma tedbirleri ve teknolojiye özgü ayrıntılı şartlar ayrıca kontrol edilmelidir.

Bununla birlikte, ISO 27001 uygulayan bir kuruluş Rehber uyumuna çok daha hazırlıklı başlar. Varlık envanteri, risk değerlendirmesi, politika ve prosedürler, olay yönetimi, iç tetkik ve yönetimin gözden geçirmesi gibi yapı taşları zaten mevcuttur. Rehber tedbirleri bu yapıya eklenerek tek bir sistem içinde yönetilebilir.

İki Yapıyı Tek Sistemde Yönetmek: Yol Haritası

Kapsamı belirleyin: Hangi hizmetlerinizin ve varlıklarınızın Rehber kapsamına girdiğini (doğrudan veya sözleşme yoluyla) netleştirin.
Varlık envanterini eşleştirin: ISO 27001 varlık envanterinizi Rehber’deki varlık gruplarıyla ilişkilendirin.
Kritiklik derecelerini belirleyin: Rehber yöntemine göre her varlık grubunun kritiklik derecesini belirleyin ve ISO 27001 risk değerlendirmenizle tutarlılığını kontrol edin.
Uygulanabilirlik bildirgesine Rehber tedbirlerini ekleyin: ISO 27001, Ek A dışındaki kontrollerin de uygulanabilirlik bildirgesine eklenmesine izin verir. Rehber tedbirlerini ayrı satırlar olarak ekleyip her biri için uygulama durumunu ve kanıtını gösterin. Bunun nasıl yapılacağını uygulanabilirlik bildirgesi rehberimizde anlattık.
Eşleştirme tablosunu kullanın: Başkanlığın yayımladığı ISO 27001 eşleştirme tablosu, hangi tedbirin hangi Ek A kontrolüyle ilişkili olduğunu görmeyi kolaylaştırır.
Boşlukları kapatın: ISO 27001 kapsamında karşılanmayan Rehber tedbirlerini risk işleme planına ekleyin.
İç tetkiki genişletin: ISO 27001 iç tetkikini, Denetim Rehberi’ndeki uyum denetimi kriterlerini de kapsayacak şekilde planlayın.
Uyum denetimini planlayın: Denetim Rehberi’ne göre kurumların Rehber’e uyum denetimini yılda en az bir kez gerçekleştirmesi gerekir. Bu denetimi takviminize ekleyin ve sonuçlarını yönetimin gözden geçirmesine taşıyın.

Uyum Denetimini Kimler Yapabilir?

Denetim Rehberi, uyum denetimini yapacak ekip için asgari kurallar belirler. Denetim ekibi en az iki denetçiden oluşmalıdır ve denetlenen sistemlerin karmaşıklığına göre bu sayı artırılabilir. Denetim dışarıdan hizmet alımıyla yaptırılıyorsa, ekipteki denetçilerin TSE’nin Bilgi ve İletişim Güvenliği Rehberi uyum denetimi hizmeti veren personel ve firma belgelendirme programı kapsamında yetkilendirilmiş olması ve ekipte en az bir baş denetçinin bulunması gerekir. Kamu kurumlarında denetim ekibi, belirli yetkinliklere sahip veya bilgi sistemleri denetimi alanında eğitim almış kurum personelinden de oluşturulabilir.

Bu ayrım önemlidir: Rehber uyum denetimi ile ISO 27001 belgelendirme denetimi farklı faaliyetlerdir ve farklı yetkilendirme kurallarına tabidir. Akredite bir ISO 27001 belgelendirme kuruluşu, Rehber uyum denetiminin yerine geçecek bir rapor düzenlemez; iki denetim birbirini tamamlar.

Siber Güvenlik Kanunu ile İlişkisi

7545 sayılı Siber Güvenlik Kanunu, siber güvenlik alanında yetkili kurum olarak Siber Güvenlik Başkanlığı’nı belirler ve kapsamındaki kurum ve kişilere siber olayları bildirme, Başkanlığın düzenlemelerine uyma gibi yükümlülükler getirir. Rehber’e ilişkin uyum, denetim ve gözetim faaliyetlerinin Başkanlık bünyesinde yürütülmesi, Rehber’in önemini artırmıştır. Kanunun ISO 27001 ile ilişkisini Siber Güvenlik Kanunu ve ISO 27001 yazımızda ayrıntılı ele aldık.

Kamuya Hizmet Veren Firmalar İçin Pratik Öneriler

İhale şartnamelerinde ve sözleşmelerde Rehber’e yapılan atıfları ayrı bir listede toplayın.
Kamu müşterilerinizin hangi varlık gruplarınızı hangi kritiklik derecesinde değerlendirdiğini öğrenin.
ISO 27001 belgenizin kapsamının kamuya verdiğiniz hizmetleri içerdiğinden emin olun.
Sıkılaştırma tedbirleri için sistem bazında kontrol listeleri hazırlayın ve kanıtlarını saklayın.
Sektörünüze özgü kamu düzenlemelerini (örneğin sağlık alanında kayıt ve yetkilendirme süreçleri) de takip edin. Sağlık bilgi sistemleri için SBYS kayıt süreçleri, kamu bilişim projeleri için de kamu bilişim yetki belgesi yazılarımız yol gösterici olabilir.

ISO 27001 belgelendirme süreci için ISO 27001 belgesi sayfamıza, kontrollerin listesi için ISO 27001 Ek A kontrolleri yazımıza bakabilirsiniz.

Sık Sorulan Sorular

Bilgi ve İletişim Güvenliği Rehberi kimleri kapsar?

Rehber, 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kapsamında kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmeleri kapsar. Bu kurumlara hizmet veren tedarikçiler de Rehber şartlarıyla sözleşme ve şartnameler aracılığıyla karşılaşır.

Rehber’e uyum denetimini hangi kurum yürütür?

Rehber’e uyum, denetim ve gözetim faaliyetleri, Dijital Dönüşüm Ofisi’nin bu alandaki yetkilerinin devredilmesiyle birlikte Siber Güvenlik Başkanlığı tarafından yürütülmektedir.

ISO 27001 belgesi Bilgi ve İletişim Güvenliği Rehberi’ne uyumu kanıtlar mı?

Tek başına kanıtlamaz. İki yapı büyük ölçüde örtüşür, ancak Rehber kritiklik derecesine göre belirli tedbirleri zorunlu tutar ve sıkılaştırma gibi ayrıntılı teknik şartlar içerir. ISO 27001 uygulayan kuruluşlar bu tedbirleri uygulanabilirlik bildirgesine ekleyerek tek sistemde yönetebilir.

Rehber uyum denetimi ne sıklıkla yapılmalı?

Bilgi ve İletişim Güvenliği Denetim Rehberi’ne göre uyum denetiminin yılda en az bir kez gerçekleştirilmesi gerekir. Denetim ekibi en az iki denetçiden oluşmalı; dışarıdan hizmet alınıyorsa denetçiler TSE’nin ilgili belgelendirme programı kapsamında yetkilendirilmiş olmalıdır.

Rehber’in güncel sürümü hangisi?

Rehber, Denetim Rehberi ve ISO 27001 eşleştirme tablosu 1 Mart 2026 tarihli 1.1 sürümüyle güncellenmiştir. Rehber yaşayan bir doküman olduğu için Siber Güvenlik Başkanlığı’nın yayımladığı güncel sürümün takip edilmesi gerekir.

Rehber’deki kritiklik derecesi ne işe yarar?

Kritiklik derecesi, bir varlık grubunun gizlilik, bütünlük ve erişilebilirlik kaybından ne ölçüde etkileneceğini gösterir ve o varlık grubuna uygulanması gereken tedbir setini belirler. Derece arttıkça uygulanması gereken tedbirler genişler.

Kamuya hizmet veren bir yazılım firması Rehber’e uymak zorunda mı?

Firma doğrudan Genelge kapsamında olmasa da, kamu kurumları Rehber tedbirlerini sözleşme ve şartnamelerle tedarikçilerine yansıtır. Bu durumda sözleşmede belirtilen tedbirlere uyum, sözleşmesel bir yükümlülük haline gelir.