ISO 27001 ve KVKK Farkı: Hangisi Zorunlu, Hangisi Neyi Karşılar, Birlikte Nasıl Yönetilir?

iÇiNDEKiLER

Başlıklar için tıklayın..

Kısa Cevap

KVKK, kişisel verileri işleyen herkesin uymak zorunda olduğu bir kanundur; ISO 27001 ise kuruluşun tüm bilgi varlıklarını korumak için gönüllü olarak uyguladığı ve akredite bir kuruluşça belgelendirilebilen bir yönetim sistemi standardıdır. ISO 27001, KVKK’nın veri güvenliği yükümlülüklerinin önemli bir kısmını sistematik olarak karşılar; ancak aydınlatma, hukuki sebep, ilgili kişi hakları ve yurt dışı aktarım gibi hukuki yükümlülüklerin yerine geçmez.

ISO 27001 ve KVKK farkı, özellikle kişisel veri yoğun çalışan işletmelerin sıkça karıştırdığı bir konudur. “ISO 27001 belgemiz var, KVKK’ya uyumluyuz” veya “KVKK çalışmasını yaptık, ISO 27001’e gerek yok” gibi yaklaşımların ikisi de eksiktir. İki yapı farklı soruları yanıtlar, farklı otoriteler tarafından denetlenir ve birbirinin yerine geçmez. Ancak doğru kurgulandığında birbirini güçlü biçimde tamamlar.

Bu rehberde iki yapının temel farklarını, örtüştükleri ve ayrıştıkları alanları, sık yapılan yanlış varsayımları ve ikisini tek bir yapı içinde nasıl yönetebileceğinizi anlatıyoruz.

Temel Fark: Kanun ve Yönetim Sistemi Standardı

	KVKK (6698 sayılı Kanun)	ISO/IEC 27001
Niteliği	Yasal düzenleme	Uluslararası yönetim sistemi standardı
Zorunluluk	Kişisel veri işleyen tüm gerçek ve tüzel kişiler için zorunlu	Gönüllü; bazı sektörlerde, ihalelerde veya müşteri sözleşmelerinde şart olabilir
Korunan	Gerçek kişilerin kişisel verileri ve temel hakları	Kuruluşun tüm bilgi varlıkları (kişisel veri, ticari sır, finansal bilgi, kaynak kod vb.)
Odak	Hukuka uygun işleme, ilgili kişi hakları, veri güvenliği	Gizlilik, bütünlük ve erişilebilirlik risklerinin yönetimi
Denetleyen	Kişisel Verileri Koruma Kurumu	Akredite belgelendirme kuruluşu (gönüllü belgelendirme)
Yaptırım	İdari para cezası, Kurul kararları, cezai sorumluluk	Belgenin askıya alınması veya geri çekilmesi
Belge	Kurum tarafından verilen resmi bir uyum sertifikası yoktur	Akredite kuruluş tarafından 3 yıl geçerli belge düzenlenir

“KVKK belgesi” ifadesi piyasada sıkça kullanılsa da Kişisel Verileri Koruma Kurumu tarafından verilen resmi bir uyum sertifikası bulunmamaktadır. KVKK uyumu; envanter, aydınlatma metinleri, hukuki sebepler, ilgili kişi başvuru süreci, veri güvenliği tedbirleri ve yükümlü olanlar için VERBİS kaydıyla gösterilir. Konunun ayrıntıları için KVKK rehberimize bakabilirsiniz.

Örtüşen Alan: Veri Güvenliği

KVKK’nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almasını ister. Kurum’un yayımladığı Kişisel Veri Güvenliği Rehberi de bu tedbirleri ayrıntılandırır. ISO 27001’in Ek A kontrollerinin önemli bir kısmı bu tedbirlerle doğrudan örtüşür:

KVKK kapsamındaki tedbir	İlgili ISO 27001:2022 Ek A kontrolleri
Bilgi güvenliği politikası ve prosedürleri	5.1 Bilgi güvenliği politikaları
Erişim yetkilendirmesi ve yetki matrisi	5.15 Erişim kontrolü, 5.18 Erişim hakları, 8.2 Ayrıcalıklı erişim hakları
Çalışan eğitimi ve gizlilik taahhütnameleri	6.3 Farkındalık ve eğitim, 6.6 Gizlilik anlaşmaları
Kayıt (log) tutma ve izleme	8.15 Kayıt tutma, 8.16 İzleme faaliyetleri
Şifreleme	8.24 Kriptografi kullanımı
Yedekleme	8.13 Bilgi yedekleme
Veri sızıntısının önlenmesi	8.12 Veri sızıntısının önlenmesi
Siber güvenlik ve zararlı yazılım koruması	8.7 Zararlı yazılımlara karşı koruma, 8.8 Teknik açıklık yönetimi, 8.20 Ağ güvenliği
Fiziksel ortam güvenliği	7.1 – 7.4 Fiziksel güvenlik çevresi, giriş kontrolleri ve izleme
Veri işleyenlerle sözleşmeler ve denetim	5.19 – 5.22 Tedarikçi ilişkilerinde bilgi güvenliği
Veri ihlali müdahalesi	5.24 – 5.28 Bilgi güvenliği olay yönetimi
Kişisel verilerin silinmesi, yok edilmesi	8.10 Bilginin silinmesi, 7.14 Ekipmanın güvenli imhası
Kişisel verilerin korunması	5.34 Mahremiyet ve kişisel olarak tanımlanabilir bilginin korunması

Bu tablo, ISO 27001 uygulayan bir işletmenin KVKK’nın veri güvenliği yükümlülüklerini büyük ölçüde sistematik olarak karşılayabildiğini gösterir. Üstelik ISO 27001, bu tedbirlerin risk değerlendirmesine dayalı seçilmesini, izlenmesini, iç tetkikle sınanmasını ve sürekli iyileştirilmesini sağlar. Veri güvenliğine ilişkin pratik adımlar için veri sızıntısı nasıl önlenir yazımıza bakabilirsiniz.

ISO 27001’in Karşılamadığı KVKK Yükümlülükleri

KVKK’nın önemli bir kısmı bilgi güvenliğiyle değil, kişisel verilerin hukuka uygun işlenmesiyle ilgilidir. Bu yükümlülükler ISO 27001’in kapsamı dışındadır:

Genel ilkeler: Hukuka ve dürüstlük kurallarına uygunluk, amaçla bağlantılı, sınırlı ve ölçülü işleme, gerekli süre kadar muhafaza.
Hukuki sebepler: Her işleme faaliyeti için kanunda sayılan işleme şartlarından birine veya açık rızaya dayanılması; özel nitelikli kişisel veriler için ayrı şartlar.
Aydınlatma yükümlülüğü: İlgili kişilerin veri sorumlusunun kimliği, işleme amacı, aktarım ve hakları konusunda bilgilendirilmesi.
İlgili kişi hakları: Başvuruların kanunda öngörülen süre içinde yanıtlanması.
Yurt dışına aktarım: 2024’te yapılan değişikliklerle yeniden düzenlenen aktarım şartlarına (yeterlilik kararı, uygun güvenceler, standart sözleşmeler ve arızi aktarım halleri) uyum.
VERBİS: Yükümlü olan veri sorumlularının sicile kaydı ve kaydın güncel tutulması.
Saklama ve imha: Yükümlü olanlar için saklama ve imha politikası ve periyodik imha.
Veri ihlali bildirimi: Kişisel veri ihlalinin Kurul’a ve ilgili kişilere bildirilmesi. Kurul kararı uyarınca bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır.

ISO 27001’in olay yönetimi süreci ihlali tespit etmeye ve müdahale etmeye yardım eder, ancak Kurul’a bildirim yükümlülüğünü süreç içine ayrıca yerleştirmeniz gerekir.

ISO 27001 ve ISO 27701 Belgelendirme

KVKK yükümlülüklerinizi akredite bir yönetim sistemiyle desteklemek istiyorsanız kapsamınızı paylaşın; TÜRKAK akreditasyonu kapsamında ISO 27001 ve ISO 27701 teklifimizi hazırlayalım.

Ücretsiz Teklif Al

Sık Yapılan 5 Yanlış Varsayım

“ISO 27001 belgemiz var, KVKK’ya uyumluyuz.” ISO 27001 veri güvenliğini kapsar; hukuki sebep, aydınlatma ve ilgili kişi hakları gibi yükümlülükleri karşılamaz.
“KVKK çalışması yaptık, bilgi güvenliğimiz tamam.” Birçok KVKK çalışması ağırlıklı olarak hukuki metinlere odaklanır; teknik tedbirlerin risk bazlı seçilmesi, izlenmesi ve test edilmesi ISO 27001 disiplini gerektirir.
“ISO 27001 yalnızca kişisel verileri korur.” Hayır, tüm bilgi varlıklarını korur. Ticari sırlar, finansal veriler ve kaynak kod da kapsamdadır.
“KVKK için bir belge almamız gerekiyor.” Kurum tarafından verilen resmi bir uyum belgesi yoktur. Kişisel veri yönetimini akredite bir yönetim sistemiyle göstermek isteyen işletmeler için uygun standart ISO/IEC 27701’dir.
“Bir kez yaptık, bitti.” Hem KVKK uyumu hem ISO 27001 sürekli bir süreçtir. Yeni işleme faaliyetleri, yeni sistemler ve yeni mevzuat değişiklikleri düzenli güncelleme gerektirir.

ISO 27701: İki Dünyayı Birleştiren Standart

ISO/IEC 27701, kişisel verilerin yönetimine odaklanan bir yönetim sistemi standardıdır ve 2025 baskısıyla bağımsız olarak uygulanabilir hale gelmiştir. Veri sorumlusu ve veri işleyen rollerine özgü kontroller içerir: işleme amaçlarının ve hukuki sebeplerin belirlenmesi, rıza yönetimi, ilgili kişi hakları, etki değerlendirmesi, aktarımlar ve veri işleyen yönetimi. Bu nedenle KVKK’nın hukuki yükümlülüklerini yönetim sistemine bağlamanın en doğal yolu, ISO 27001’in yanına ISO 27701 eklemektir. İki standardın farkını ISO 27001 ve ISO 27701 farkı yazımızda, ISO 27701 dokümantasyonunu ise ISO 27701 doküman listesi rehberimizde anlattık.

Birlikte Yönetim İçin Yol Haritası

Kişisel veri envanterini tek kaynak yapın: KVKK için hazırladığınız envanteri ISO 27001 varlık envanteriyle ilişkilendirin.
Risk değerlendirmesine kişisel veri boyutunu ekleyin: Kişisel veri içeren varlıklar için ilgili kişiler üzerindeki etkiyi de değerlendirin.
Kontrolleri eşleştirin: KVKK teknik ve idari tedbirlerini uygulanabilirlik bildirgesindeki kontrollerle eşleştirin.
Olay yönetimine 72 saat kuralını ekleyin: Bilgi güvenliği olay prosedürüne kişisel veri ihlali değerlendirmesi ve Kurul’a bildirim adımlarını yerleştirin.
Tedarikçi süreçlerini birleştirin: Veri işleyen sözleşmelerini ISO 27001 tedarikçi değerlendirmesiyle tek süreçte yönetin.
İç tetkike KVKK sorularını ekleyin: ISO 27001 iç tetkikinde aydınlatma, başvuru ve imha süreçlerini de sorgulayın.
Yönetimin gözden geçirmesini ortak yapın: Kişisel veri ihlalleri, başvuru istatistikleri ve Kurul kararlarındaki gelişmeleri gündeme alın.

Hangi İşletme Neyle Başlamalı?

Her işletme: KVKK’ya uyum zorunludur ve tartışmaya açık değildir.
Müşterilerinden bilgi güvenliği güvencesi isteyen işletmeler: ISO 27001 belgesi, kurumsal müşterilerin tedarikçi değerlendirmelerinde ve bazı ihalelerde talep edilir.
Kişisel veri yoğun hizmet veren işletmeler (sağlık, eğitim, insan kaynakları, pazarlama, yazılım ve bulut hizmetleri): ISO 27001 ile birlikte ISO 27701 en kapsamlı güvenceyi sağlar.

ISO 27001 belgelendirme süreci için ISO 27001 belgesi sayfamıza, KVKK uyum süreçleri için KVKK danışmanlık hizmetleri sayfamıza bakabilirsiniz.

Sık Sorulan Sorular

ISO 27001 belgesi KVKK uyumu yerine geçer mi?

Hayır. ISO 27001, KVKK’nın veri güvenliği yükümlülüklerinin önemli bir kısmını sistematik olarak karşılar; ancak hukuki sebepler, aydınlatma, ilgili kişi hakları, yurt dışı aktarım ve VERBİS gibi hukuki yükümlülüklerin yerine geçmez.

KVKK için resmi bir belge var mı?

Kişisel Verileri Koruma Kurumu tarafından verilen resmi bir uyum sertifikası yoktur. KVKK uyumu; envanter, aydınlatma metinleri, hukuki sebepler, başvuru süreci, veri güvenliği tedbirleri ve yükümlüler için VERBİS kaydıyla gösterilir.

ISO 27001 ile KVKK arasındaki temel fark nedir?

KVKK, kişisel verileri işleyen herkes için zorunlu bir kanundur ve gerçek kişilerin haklarını korur. ISO 27001 ise kuruluşun tüm bilgi varlıklarını korumaya yönelik gönüllü bir yönetim sistemi standardıdır ve akredite bir kuruluşça belgelendirilir.

Kişisel veri ihlali kaç saat içinde bildirilmeli?

Kurul kararı uyarınca kişisel veri ihlali, veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirilmelidir. İlgili kişilere de makul en kısa sürede bildirim yapılmalıdır.

KVKK uyumunu akredite bir belgeyle göstermek için hangi standart uygundur?

Kişisel veri yönetimine odaklanan ISO/IEC 27701 bu amaç için en uygun standarttır. 2025 baskısıyla bağımsız olarak uygulanabilir ve ISO 27001 ile entegre şekilde de belgelendirilebilir.

Küçük bir işletme ISO 27001 almadan KVKK’ya uyum sağlayabilir mi?

Evet. KVKK uyumu ISO 27001 belgesine bağlı değildir. Ancak teknik ve idari tedbirlerin seçilmesi, izlenmesi ve sürekli iyileştirilmesi için ISO 27001’in risk temelli yaklaşımı küçük işletmeler için de yararlı bir çerçeve sunar.