Siber Güvenlik Kanunu (7545) ve ISO 27001: Şirketler İçin Yükümlülükler ve Hazırlık Rehberi

iÇiNDEKiLER

Başlıklar için tıklayın..

Kısa Cevap

7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025’te yürürlüğe girdi; siber güvenlik alanında Siber Güvenlik Başkanlığı’nı yetkili kılar ve kapsamındaki kurum ve kişilere Başkanlık düzenlemelerine uyma, talep edilen bilgi ve belgeleri sağlama ve tespit edilen siber olayları gecikmeksizin bildirme gibi yükümlülükler getirir. ISO 27001 bu kanuna uyumu tek başına kanıtlamaz, ancak olay yönetimi, risk yönetimi, tedarikçi kontrolü ve kayıt tutma gibi yükümlülükleri karşılamak için sistematik bir altyapı sağlar.

Siber Güvenlik Kanunu, Türkiye’de siber güvenliği ilk kez kapsamlı bir kanunla düzenleyen yasal çerçevedir. 7545 sayılı Kanun, Türkiye Büyük Millet Meclisi’nde 12 Mart 2025’te kabul edildi ve 19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girdi. Kanun yalnızca kamu kurumlarını değil, bilişim sistemleri üzerinden hizmet veren veya veri işleyen geniş bir kesimi ilgilendiriyor. Bu nedenle özellikle bilgi güvenliği yönetim sistemi kurmuş veya kurmayı planlayan işletmeler, Kanunun ISO 27001 ile ilişkisini merak ediyor.

Bu rehberde Kanunun genel çerçevesini, işletmeler açısından öne çıkan yükümlülükleri ve ISO 27001’in bu yükümlülüklere hazırlıkta nasıl kullanılabileceğini anlatıyoruz. Bu yazı genel bilgilendirme amaçlıdır. Kanunun uygulanmasına ilişkin ikincil düzenlemeler gelişmeye devam ettiği için kesin hukuki değerlendirme yapmadan önce Kanun metnini ve Siber Güvenlik Başkanlığı’nın güncel düzenlemelerini incelemeniz ve gerekirse hukuki destek almanız önerilir.

Kanunun Genel Çerçevesi

Yetkili kurum: Kanun, siber güvenlik alanında politika, strateji ve eylem planlarını belirleyen, düzenleme yapan ve denetleyen kurum olarak Siber Güvenlik Başkanlığı’nı esas alır. Başkanlık 2025 başında Cumhurbaşkanlığı Kararnamesi ile kurulmuştur.
Kapsam: Kanun; kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsayacak şekilde geniş tutulmuştur.
Kritik altyapılar: Kritik altyapı işleten kurum ve işletmeler için ek yükümlülükler ve daha sıkı kurallar öngörülmüştür.
Siber güvenlik ürün ve hizmetleri: Kamu kurumları ve kritik altyapılar için siber güvenlik ürün, sistem ve hizmetlerinin Başkanlıkça yetkilendirilmiş veya belgelendirilmiş tedarikçilerden temin edilmesine ilişkin kurallar getirilmiştir.
Yaptırımlar: Kanun, yükümlülüklere aykırılık halinde idari para cezaları ve bazı fiiller için hapis cezaları öngörür.

İşletmeler Açısından Öne Çıkan Yükümlülükler

Kanunun kapsamındaki işletmeler için öne çıkan yükümlülükler genel hatlarıyla şunlardır:

Başkanlık düzenlemelerine uyum: Siber Güvenlik Başkanlığı’nın yayımladığı politika, strateji, ilke ve standartlara uymak.
Bilgi ve belge sağlama: Başkanlığın görevleri kapsamında talep ettiği bilgi, belge, donanım, yazılım ve diğer katkıları sağlamak.
Siber olay ve zafiyet bildirimi: Tespit edilen siber olayları ve zafiyetleri gecikmeksizin Başkanlığa bildirmek. Bildirimin usul ve süreleri ikincil düzenlemelerle ayrıntılandırılmaktadır.
Siber güvenlik tedbirleri: Bilişim sistemlerinin güvenliğini sağlamaya yönelik teknik ve idari tedbirleri almak; kritik altyapılar ve kamu kurumları için Başkanlığın belirlediği tedbirleri uygulamak.
Denetime tabi olma: Başkanlığın yetkisi dahilinde yapılacak denetimlere uyum sağlamak.
Gizlilik: Görevleri gereği öğrendikleri siber güvenlikle ilgili gizli bilgileri korumak.

Kişisel verileri etkileyen bir siber olay söz konusuysa, Siber Güvenlik Kanunu kapsamındaki bildirimden bağımsız olarak KVKK kapsamındaki ihlal bildirimi yükümlülüğü de ayrıca devreye girer. KVKK ile ISO 27001 ilişkisini ISO 27001 ve KVKK farkı yazımızda ele aldık.

ISO 27001 Kanun Uyumunu Kanıtlar mı?

Hayır. ISO 27001 gönüllü bir yönetim sistemi standardıdır ve hiçbir yasal yükümlülüğün yerine geçmez. Ancak Kanunun getirdiği yükümlülüklerin önemli bir kısmı, ISO 27001’in sistematik olarak kurduğu süreçlere dayanır. ISO 27001 uygulayan bir işletme, bu yükümlülükleri karşılamak için gereken altyapıya büyük ölçüde sahiptir: olayları tespit edip sınıflandırabilen bir olay yönetimi süreci, yasal şartları takip eden bir mekanizma, risk temelli tedbir seçimi, tedarikçi kontrolü ve kayıt tutma.

Yükümlülüklerin ISO 27001 ile Eşleştirilmesi

Kanun kapsamındaki ihtiyaç	Destekleyen ISO 27001 unsuru
Yasal şartların ve Başkanlık düzenlemelerinin takibi	Madde 4.2 ilgili taraf şartları; Ek A 5.31 yasal, düzenleyici ve sözleşmesel şartlar
Yetkili kurumla iletişim	Ek A 5.5 yetkili kurumlarla iletişim
Siber olayların tespiti ve bildirimi	Ek A 5.24–5.28 olay yönetimi; 6.8 bilgi güvenliği olaylarının raporlanması; 8.16 izleme faaliyetleri
Zafiyetlerin tespiti ve yönetimi	Ek A 8.8 teknik açıklıkların yönetimi; 5.7 tehdit istihbaratı
Kayıtların tutulması ve istendiğinde sunulması	Ek A 8.15 kayıt tutma; 8.17 saat senkronizasyonu; 5.28 kanıt toplama
Teknik ve idari tedbirler	Madde 6.1 risk değerlendirmesi ve işleme; Ek A kontrolleri
Tedarikçi ve hizmet sağlayıcı kontrolü	Ek A 5.19–5.23 tedarikçi ilişkileri ve bulut hizmetleri
Hizmet sürekliliği	Ek A 5.29 kesinti sırasında bilgi güvenliği; 5.30 iş sürekliliği için BİT hazırlığı
Gizliliğin korunması	Ek A 5.12 bilgi sınıflandırma; 6.6 gizlilik anlaşmaları

ISO 27001 ile Hazırlığınızı Güçlendirin

Siber güvenlik yükümlülüklerinize sistematik bir altyapı kurmak için ISO 27001 belgelendirmesini planlayalım. TÜRKAK akreditasyonu kapsamında teklifimiz için kapsam bilgilerinizi iletin.

Ücretsiz Teklif Al

Olay Bildirimine Hazırlık: Pratik Adımlar

Kanunun işletmeler açısından en somut yükümlülüğü siber olay bildirimidir. Bu yükümlülüğü karşılamak için olay yönetimi sürecinizin şu soruları yanıtlayabilmesi gerekir:

Tespit: Bir siber olayı nasıl fark ediyorsunuz? İzleme, uyarı ve kayıt sistemleriniz yeterli mi?
Sınıflandırma: Hangi olaylar bildirim gerektirir? Olay ile olası olay arasındaki ayrımı nasıl yapıyorsunuz?
Karar yetkisi: Bildirim kararını kim veriyor? Gece veya hafta sonu yaşanan bir olayda bu kişiye nasıl ulaşılıyor?
Bildirim kanalları: Başkanlığa, KVKK kapsamında Kurul’a ve gerekirse sektörel düzenleyiciye bildirim nasıl ve kim tarafından yapılıyor?
Kanıt koruma: Olayla ilgili kayıtlar ve sistem görüntüleri inceleme için nasıl korunuyor?
İletişim: Müşterilere, çalışanlara ve kamuoyuna yapılacak açıklamalar nasıl koordine ediliyor?

Bu soruların cevaplarını içeren bir olay müdahale planının yılda en az bir kez tatbikatla test edilmesi önerilir. Olası saldırı türleri ve önlemler için siber saldırılardan korunma yolları yazımıza, süreklilik planlaması için ISO 22301 doküman listesi rehberimize bakabilirsiniz.

Kimler Önceliklendirmeli?

Kritik altyapı işletenler: Enerji, su, ulaştırma, haberleşme, finans ve sağlık sektörlerindeki kuruluşlar en kapsamlı yükümlülüklerle karşı karşıyadır.
Kamuya hizmet verenler: Kamu kurumlarına yazılım, barındırma, ağ veya güvenlik hizmeti verenler, hem Kanun hem de Bilgi ve İletişim Güvenliği Rehberi şartlarıyla karşılaşır. Rehberle ilişkiyi Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001 yazımızda anlattık.
Siber güvenlik ürün ve hizmeti sunanlar: Kamu ve kritik altyapı müşterilerine hizmet vermek için Başkanlığın yetkilendirme ve belgelendirme kurallarını takip etmeleri gerekir.
Bilişim sistemleri üzerinden hizmet veren tüm işletmeler: E-ticaret, yazılım ve dijital hizmet sağlayıcılar, olay bildirimi başta olmak üzere genel yükümlülüklerin kapsamındadır.

Sektörel düzenlemelerin ISO 27001’i doğrudan şart koştuğu alanlara bir örnek olarak araç şarj istasyonları için ISO 27001 zorunluluğu yazımıza göz atabilirsiniz.

Hazırlık Yol Haritası

Kapsam analizi: İşletmenizin Kanun ve ikincil düzenlemeler açısından hangi kategoride yer aldığını (kamu, kritik altyapı, hizmet sağlayıcı, genel) belirleyin.
Yasal şartlar kaydı: Kanunu, Başkanlık düzenlemelerini ve sektörel düzenlemeleri yasal şartlar listenize ekleyin ve takip sorumlusu atayın.
Olay yönetimini güncelleyin: Bildirim kriterlerini, karar yetkisini, bildirim kanallarını ve kanıt koruma adımlarını prosedüre ekleyin.
Varlık ve risk değerlendirmesini güncelleyin: Kritik hizmetleri destekleyen sistemleri ve tedarikçileri yeniden değerlendirin.
Tedarikçi sözleşmelerini gözden geçirin: Siber olay bildirimi, kayıt saklama ve denetim hakkı maddelerini ekleyin.
Kayıt tutma altyapısını kontrol edin: Kritik sistemlerin kayıtlarının yeterli sürede, bütünlüğü korunarak ve zaman senkronizasyonu sağlanarak tutulduğundan emin olun.
Tatbikat yapın: Bir siber olay senaryosuyla bildirim sürecini uçtan uca test edin.
Yönetim sistemine bağlayın: Tüm bu adımları ISO 27001 yönetim sisteminizin iç tetkik ve yönetimin gözden geçirmesi döngüsüne dahil edin.

ISO 27001 belgelendirme süreci için ISO 27001 belgesi sayfamıza bakabilirsiniz.

Sık Sorulan Sorular

Siber Güvenlik Kanunu ne zaman yürürlüğe girdi?

7545 sayılı Siber Güvenlik Kanunu TBMM’de 12 Mart 2025’te kabul edildi ve 19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girdi.

Siber Güvenlik Kanunu kimleri kapsar?

Kanun kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsayacak şekilde geniş tutulmuştur. Kritik altyapı işletenler için ek yükümlülükler öngörülmüştür.

Siber olaylar ne zaman bildirilmelidir?

Kanun, kapsamındaki kurum ve kişilerin tespit ettikleri siber olayları ve zafiyetleri gecikmeksizin Siber Güvenlik Başkanlığı’na bildirmesini öngörür. Bildirimin usul ve ayrıntıları ikincil düzenlemelerle belirlenmektedir.

ISO 27001 belgesi Siber Güvenlik Kanunu’na uyumu kanıtlar mı?

Hayır. ISO 27001 gönüllü bir standarttır ve yasal yükümlülüklerin yerine geçmez. Ancak olay yönetimi, risk yönetimi, yasal şartların takibi, tedarikçi kontrolü ve kayıt tutma gibi yükümlülükleri karşılamak için sistematik bir altyapı sağlar.

Kişisel veri içeren bir siber olayda hangi bildirimler yapılır?

Siber Güvenlik Kanunu kapsamındaki bildirimin yanında, kişisel veriler etkilenmişse KVKK kapsamında Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere ihlal bildirimi yapılması gerekir. Sektörel düzenleyicilere bildirim yükümlülüğü de bulunabilir.

Siber güvenlik hizmetlerini herhangi bir firmadan almak mümkün mü?

Kanun, kamu kurumları ve kritik altyapılar için siber güvenlik ürün ve hizmetlerinin Başkanlıkça yetkilendirilmiş veya belgelendirilmiş tedarikçilerden temin edilmesine ilişkin kurallar getirir. Bu kural tüm işletmeler için genel bir zorunluluk değildir; kapsam ikincil düzenlemelerle belirlenir.