ISO 27001 belgesi Türkiye’de herkes için geçerli genel bir yasal zorunluluk değildir; zorunluluk, firmanın faaliyet gösterdiği sektörün mevzuatından doğar.
Bugün ISO 27001’i doğrudan zorunlu tutan düzenlemeler elektronik haberleşme işletmecilerini, KEP ve elektronik sertifika hizmet sağlayıcılarını, GİB özel entegratörlerini, kamu bilişim ihalelerine katılan firmaları ve elektrikli araç şarj ağı işletmecilerini kapsar.
Enerji, bankacılık ve ödeme sistemlerinde ise mevzuat ISO 27001’e uyum ya da bağımsız denetim ister, ama her durumda sertifikayı zorunlu tutmaz.
Aşağıda her kurumun hangi yönetmelikle, kimi, ne zamandan beri kapsadığını tablo hâlinde veriyoruz. Ardından ISO 27001’in yasal olarak zorunlu olmadığı hâlde ihale, tedarikçi sözleşmesi veya yurt dışı müşteri şartıyla fiilen zorunlu hâle geldiği durumları açıklıyoruz.
ISO 27001 Zorunluluğu Neye Göre Belirlenir?
ISO 27001’in kimler için zorunlu olduğunu üç soru belirler:
- Faaliyetiniz bir kurumun lisansına, iznine veya yetkisine bağlı mı? BTK yetkilendirmesi, EPDK lisansı, GİB özel entegrasyon izni ya da Sanayi ve Teknoloji Bakanlığı yetki belgesi gibi.
- O mevzuat sertifika mı istiyor, uyum mu? Yönetmelik “belgelendirme kuruluşundan uygunluk belgesi alır” diyorsa akredite bir ISO 27001 sertifikası zorunludur. “Standarda uygun olmalıdır” diyorsa denetimde uyumu ispat etmeniz gerekir ve sertifika bunun en güçlü kanıtıdır.
- Bir eşik var mı? BTK yükümlülüğü yıllık net satışa, EPDK yükümlülüğü kurulu güce ve lisans türüne bağlıdır.
Firma büyüklüğü tek başına belirleyici değildir. 15 kişilik bir özel entegratör ISO 27001 yükümlülüğü altındayken, bin çalışanlı bir üretim firması için yasal bir zorunluluk bulunmayabilir.
ISO 27001’i Zorunlu Kılan Kurumlar ve Mevzuat Tablosu
| Kurum | Mevzuat | Kimi kapsıyor | Ne zamandan beri | Sertifika mı, uyum mu? |
|---|---|---|---|---|
| BTK | Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği (RG 13.07.2014, sayı 29059), md. 5/2 ve 36 | Altyapı işletmeciliği, internet servis sağlayıcılığı, sabit telefon gibi yetkilendirme türlerinde yıllık net satışı Kurul kararıyla belirlenen eşiğin üzerindeki işletmeciler | 13.07.2014 | Sertifika; yükümlü olunan yılın sonundan itibaren 1 yıl içinde alınıp BTK’ya gönderilir |
| BTK | Kayıtlı Elektronik Posta Sistemi ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ (RG 25.08.2011, sayı 28036), md. 8 ve 10 | KEP hizmet sağlayıcıları | 25.08.2011 | Sertifika |
| BTK | Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ (RG 06.01.2005, sayı 25692), md. 9 ve 11 | Elektronik sertifika hizmet sağlayıcıları (ESHS) | 20.06.2006 değişikliği | Sertifika |
| GİB | e-Fatura Uygulaması Özel Entegrasyon Kılavuzu | Özel entegrasyon izni almak isteyen firmalar | Kılavuz şartı; Haziran 2026’dan itibaren TÜRKAK onayı zorunlu | Sertifika; ISO 27001, ISO 22301 ve ISO 20000’den en az biri, eksikler taahhütle tamamlanır |
| Sanayi ve Teknoloji Bakanlığı | Kamu Bilişim Hizmet Alımı Kapsamında Katılımcıların Yetkilendirilmesi Hakkında Yönetmelik (RG 29.06.2022, sayı 31881) | Kamu bilişim ihalelerine katılan firmalar ve alt yükleniciler | 29.09.2022 | Sertifika; üç yetki türünün hepsinde zorunlu |
| EPDK | Şarj Hizmeti Yönetmeliği (RG 02.04.2022, sayı 31797); değişiklik RG 23.03.2026, sayı 33202, md. 18/2 ve geçici md. 4 | Şarj ağı işletmecilerinin yazılımları, şarj üniteleri ve uzaktan erişim altyapısı | 23.03.2026; mevcut lisans sahiplerine 1 yıl geçiş | Güncel sürüme uyum; geçiş hükmü sertifika ister |
| EPDK | Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (RG 06.06.2023, sayı 32213) | Elektrik iletim ve dağıtım, 100 MWe ve üzeri üretim, doğal gaz iletim, dağıtım ve depolama, ham petrol iletim ve rafineri lisans sahipleri (OSB hariç) | 06.06.2023 | Uyum; ISO 27001 uyumu model içinde sürdürülür ve bağımsız denetimle ölçülür |
Tablodaki madde ve tarihler Resmî Gazete metinlerine dayanır. Mevzuat değişebildiği için başvuru öncesinde ilgili kurumun güncel metnini kontrol edin.
Kurum Kurum ISO 27001 Zorunlulukları
BTK: Elektronik Haberleşme İşletmecileri
Şebeke ve Bilgi Güvenliği Yönetmeliği’ne göre tüm işletmeciler bir bilgi güvenliği yönetim sistemi (BGYS) kurmak zorundadır.
Yıllık net satışı Kurul’un belirlediği eşiği aşan işletmeciler ise bu sistem için akredite bir kuruluştan uygunluk belgesi almak ve bunu Kurum’a göndermek zorundadır. Sertifika kapsamı yetkilendirilmiş tüm hizmetleri ve kritik sistemleri içermelidir.
Kapsam değişikliği veya yenileme olduğunda işletmeci en geç iki ay içinde BTK’ya bilgi verir; yıllık raporda da belgelendirme kuruluşunun son denetim sonuçları yer alır.
BTK: KEP ve Elektronik Sertifika Hizmet Sağlayıcıları
Kayıtlı elektronik posta hizmeti veren firmalar ISO 27001’e uygunluklarını yetkili kuruluşlardan alınan belgelerle kanıtlamak zorundadır. KEP tebliği ISO 27001’in yanında ETSI TS 102 640, BS 10012 ve ISO/IEC 27031 standartlarına da uyum ister. Elektronik imza sertifikası veren ESHS’ler için de aynı şekilde ISO 27001 uygunluğunu belgelendirmek zorunludur.
GİB: e-Fatura Özel Entegratörleri
Özel entegrasyon izni için başvuran firmalar bilgi güvenliği için ISO 27001, iş sürekliliği için ISO 22301 ve BT hizmet yönetimi için ISO 20000 sertifikalarına sahip olmak zorundadır.
Kılavuz başvuru anında en az birini yeterli sayar; eksik sertifikaların hangi sürede alınacağı Bilgi İşlem Sistemleri raporunda taahhüt edilir.
Taahhüt yerine getirilmezse özel entegrasyon izni iptal edilebilir. GİB’in Haziran 2026’da güncellediği kılavuzla bu sertifikaların TÜRKAK onaylı olması zorunlu hâle geldi.
Sanayi ve Teknoloji Bakanlığı: Kamu Bilişim İhaleleri
Kamu kurumlarının bilişim hizmet alımı ihalelerine katılmak için Bakanlık’tan yetki belgesi almak zorunludur ve üç belge türünün hepsi ISO 27001 ister:
- Kamu Bilişim Yetki Belgesi: ISO 27001 sertifikası.
- Yazılım Yetki Belgesi: ISO 27001 ile birlikte en az Seviye 2 süreç değerlendirme belgesi (ISO 15504 SPICE veya ISO 33061) ya da CMMI Seviye 3.
- Sızma Testi Yetki Belgesi: ISO 27001 ile birlikte TSE “Sızma Testi Yapan Firma” belgesi.
Zorunluluk alt yükleniciler için de geçerlidir. Şartlardan biri kaybedilirse firmaya altı aya kadar düzeltme süresi verilir ve bu sürede yetki askıya alınır; düzeltilmezse yetki iptal edilir ve aynı türde yeniden başvuru ilk iptalde bir yıl, tekrarında üç yıl yasaklanır.
EPDK: Şarj Ağı İşletmecileri ve Enerji Şirketleri
Mart 2026’daki değişiklikle şarj ağı işletmecilerinin şarj hizmetinde kullandığı yazılımlar, şarj üniteleri ve uzaktan erişim altyapısı ISO 27001’in güncel sürümüne uygun olmak zorundadır.
Mevcut lisans sahiplerine bu sistemleri ISO 27001 sertifikalı hâle getirmeleri için bir yıl verildi. Ayrıntılar için araç şarj istasyonları için ISO 27001 zorunluluğu yazımıza bakabilirsiniz.
Büyük enerji şirketleri ise Siber Güvenlik Yetkinlik Modeli Yönetmeliği kapsamındadır. Yönetmelik ISO 27001 uyumunun model içinde sürdürülmesini ve bağımsız sektörel denetimle ölçülmesini ister.
Bu denetimi yapacak firmaların kendilerinin IAF üyesi bir akreditasyon kurumunca akredite edilmiş kuruluştan ISO 27001 sertifikası alması ise açıkça zorunludur.
ISO 27001’in Zorunlu Olmadığı Ama Sık Karıştırıldığı Düzenlemeler
| Düzenleme | Ne istiyor? | ISO 27001 zorunlu mu? |
|---|---|---|
| Siber Güvenlik Kanunu (7545, RG 19.03.2025) | Kamu ve kritik altyapılarda Siber Güvenlik Başkanlığı’nca yetkilendirilmiş ürün ve hizmet | Hayır |
| KVKK (6698) | Kişisel veriler için uygun teknik ve idari tedbirler | Hayır; ISO 27001 ve KVKK farkı |
| TCMB Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri Tebliği (RG 01.12.2021, sayı 31676) | Yetkilendirilmiş bağımsız denetim kuruluşlarınca bilgi sistemleri denetimi | Hayır |
| BDDK bankaların bilgi sistemlerine ilişkin düzenlemeler | Bilgi güvenliği yönetim süreçleri ve bilgi sistemleri denetimi | Hayır |
| Sağlık Bakanlığı SBYS kaydı | ISO 15504 SPICE, CMMI veya ISO 33061; 1 Eylül 2027’den itibaren SPICE kabul edilmiyor | Hayır |
Bu düzenlemelerde ISO 27001 belgesi zorunlu değildir, ama istenen tedbirlerin çoğu ISO 27001 Ek A kontrolleriyle örtüşür. ISO 27001 sahibi bir firma denetimde aynı kanıtları ikinci kez üretmek zorunda kalmaz.
Zorunlu Değilse ISO 27001 Ne Zaman Fiilen Gerekli Olur?
- Kamu ihalesinin teknik şartnamesinde yer aldığında. İdare işin niteliğine göre ISO 27001’i sözleşme süresince sağlanacak bir şart olarak koyabilir. Bu durumda sertifika ihale tarihinde geçerli olmalı ve kapsamı ihale konusu işi karşılamalıdır. Ayrıntılar için kamu ihalelerinde ISO belgesi şartı yazımıza bakın.
- Zorunlu bir sektöre hizmet verdiğinizde. Operatörler, enerji şirketleri ve özel entegratörler kendi mevzuat yüklerini tedarikçi sözleşmelerine taşır. Bir dağıtım şirketine SCADA yazılımı veya bir operatöre çağrı merkezi hizmeti veren firma, sözleşmede ISO 27001 şartıyla karşılaşır.
- Avrupa Birliği’ndeki müşterilere hizmet verdiğinizde. NIS2 Direktifi (AB 2022/2555) kapsamındaki kuruluşlar tedarik zinciri güvenliğinden sorumludur ve tedarikçilerinden bilgi güvenliği kanıtı ister.
- Bulut, veri merkezi veya SaaS hizmeti sattığınızda. Kurumsal müşteriler satın alma öncesi uzun güvenlik anketleri gönderir; ISO 27001 sertifikası bu anketlerin büyük bölümünün yerini tutar.
ISO 27001 Zorunluysa: Sertifika Alırken Dikkat Edilecekler
- Sürüm: Mevzuattaki “güncel sürüm” ifadesi bugün ISO/IEC 27001:2022’yi karşılar. 2013 sürümüne göre düzenlenmiş sertifikaların geçerliliği 31 Ekim 2025’te sona erdi.
- Kapsam: Sertifika kapsamı mevzuatın istediği hizmetleri içermelidir. BTK tüm yetkilendirilmiş hizmetleri ve kritik sistemleri ister; yazılım yetki belgesi için kapsamda yazılım geliştirme yer almalıdır.
- Akreditasyon: Kamu ihaleleri ve GİB, TÜRKAK veya IAF karşılıklı tanıma anlaşmasına taraf bir kurumun akreditasyonunu arar. Kuruluşun akreditasyonunu TÜRKAK akredite kuruluş arama rehberimizle doğrulayabilirsiniz.
- Süre: Belgelendirme aşama 1 ve aşama 2 denetimleriyle ilerler. Mevzuattaki bir yıllık süreleri kaçırmamak için hazırlığa erken başlayın; ortalama takvim için ISO 27001 belgesi ne kadar sürer yazımıza bakın.
- Hazırlık: Risk değerlendirmesi, uygulanabilirlik bildirgesi (SoA) ve ISO 27001 doküman listesi denetimden önce tamamlanması gereken temel çıktılardır.
Yükümlü olduğunuz mevzuata göre kapsam ve takvim planı için TÜRKAK akreditasyonlu ISO 27001 belgelendirme sayfamızı inceleyebilir ya da fiyat teklif formunu doldurabilirsiniz.
Sık Sorulan Sorular
1. ISO 27001 küçük firmalar için de zorunlu mu?
Zorunluluk firma büyüklüğüne değil faaliyete bağlıdır. Özel entegrasyon izni, KEP hizmeti veya kamu bilişim ihalesi için çalışan sayısı fark etmeksizin ISO 27001 zorunludur. BTK’da ise yükümlülük yıllık net satış eşiğine bağlı olduğu için küçük işletmeciler bu zorunluluğun dışında kalabilir, ama BGYS kurma yükümlülüğü tüm işletmeciler için geçerlidir.
2. ISO 27001 belgem 2013 sürümüne göre, hâlâ geçerli mi?
Hayır. ISO/IEC 27001:2013’e göre düzenlenmiş sertifikaların geçerliliği 31 Ekim 2025’te sona erdi. “Güncel sürüm” isteyen şarj hizmeti gibi düzenlemelerde ve kamu ihalelerinde yalnızca ISO/IEC 27001:2022 sürümü kabul edilir.
3. KVKK’ya uymak için ISO 27001 almak zorunlu mu?
Hayır. 6698 sayılı Kanun veri sorumlusundan uygun teknik ve idari tedbirleri almasını ister, belirli bir sertifikayı zorunlu tutmaz. ISO 27001 bu tedbirlerin sistemli biçimde kurulduğunu göstermenin en yaygın yoludur, ama tek başına KVKK uyumu anlamına gelmez.
4. ISO 27001 zorunlu olduğu hâlde sertifika almazsam ne olur?
Sonuç mevzuata göre değişir. Kamu bilişim yetkisinde şart kaybedilirse altı aylık düzeltme süresi sonunda yetki belgesi iptal edilir ve bir ila üç yıl yeniden başvuru yapılamaz. GİB özel entegrasyon izninde eksik sertifikalar taahhüt edilen sürede tamamlanmazsa izin iptal edilebilir.
5. ISO 27001 belgesini danışmanlık firması verebilir mi?
Hayır. Sertifikayı yalnızca ISO/IEC 17021-1’e göre akredite edilmiş bir belgelendirme kuruluşu düzenleyebilir. Danışmanlık firması sistemi kurmanıza yardım eder; aynı firmaya hem danışmanlık hem belgelendirme hizmeti verilmesi tarafsızlık kurallarına aykırıdır.