Kitap tanıtımı: Şirketlerde Siber Dayanıklılık: Uyum, Sözleşmeler ve Sorumluluk
Yazar: Doç. Dr. Pelin Karaaslan & Doç. Dr. Reşit Karaaslan
11 Eylül 2026, Avrupa Birliği’nde dijital unsur içeren ürünlerin güvenliği bakımından yeni bir uygulama döneminin başlangıcı oldu. Siber Dayanıklılık Tüzüğü’nün (Cyber Resilience Act – CRA) üreticilere yüklediği bildirim yükümlülükleri bu tarihte uygulanmaya başladı. Artık kapsama giren üreticiler, ürünlerinde aktif olarak istismar edilen zafiyetleri ve ürün güvenliğini etkileyen ciddi olayları yetkili mercilere bildirmekle yükümlü. Düzenleme, öğrenmeden itibaren en geç yirmi dört saat içinde erken uyarı, yetmiş iki saat içinde ise daha kapsamlı bir bildirim yapılmasını öngörüyor. Tüzük 10 Aralık 2024’te yürürlüğe girmişti; temel yükümlülüklerinin genel uygulama tarihi ise 11 Aralık 2027. Dolayısıyla şirketler, henüz bütün hükümler uygulanmıyor düşüncesiyle hazırlıklarını erteleyemiyor.
Bildirimler, Avrupa Birliği Siber Güvenlik Ajansının (ENISA) aynı gün faaliyete geçirdiği ortak bildirim platformu üzerinden yapılıyor. Üretici tek bir başvuruyla hem ilgili üye devlette koordinatör olarak görevlendirilen siber olaylara müdahale ekibine (CSIRT) hem de ENISA’ya ulaşıyor. İlk iki bildirimi izleyen nihai raporun süresi ise olayın türüne göre farklı. Aktif olarak istismar edilen zafiyette nihai rapor, düzeltici veya hafifletici önlemin kullanılabilir hâle gelmesinden itibaren on dört gün; ciddi olayda ise yetmiş iki saatlik bildirimden itibaren bir ay içinde verilmeli. Yükümlülük yalnız bundan sonra piyasaya arz edilecek ürünleri kapsamıyor. CRA m. 69/3 uyarınca bildirim yükümlülükleri, 11 Aralık 2027’den önce piyasaya arz edilmiş olup Tüzük kapsamına giren ürünlere de uygulanıyor. Bir diğer ifadeyle yıllar önce satışa çıkarılmış bir akıllı cihaz veya yazılım için de bugünden itibaren bildirim yapılması gerekebilir.
Bu gelişme Türkiye’deki şirketleri de yakından ilgilendiriyor. AB pazarına dijital unsur içeren ürün sunan bir üreticinin Türkiye’de yerleşik olması, onu düzenlemenin kapsamı dışında bırakmıyor. Avrupa’daki müşterilerin kendi yükümlülüklerini yerine getirmek için tedarikçilerinden istedikleri bildirim, denetim ve güvenlik taahhütleri de ticari ilişkilere yansıyor. Türkiye’de 7545 sayılı Siber Güvenlik Kanunu’nun getirdiği hükümlerle birlikte düşünüldüğünde şirketler, faaliyetlerine hangi kuralların uygulanacağını ve bunların gereğini nasıl yerine getireceklerini belirlemek zorunda.
CRA bakımından, Türkiye’de yerleşik bir üretici gibi Birlik’te ana kuruluşu bulunmayan üreticilerin hangi üye devletin koordinatör CSIRT’ine başvuracağı Tüzükte ayrı bir kurala bağlanmıştır. Bu üreticiler bakımından sırasıyla en fazla ürün için görevlendirdikleri yetkili temsilcinin, en fazla ürünü piyasaya arz eden ithalatçının, en fazla ürünü piyasada bulunduran dağıtıcının ya da en fazla kullanıcının bulunduğu üye devlet esas alınıyor (CRA m. 14/7). Sürelerin kısalığı şirket içi hazırlığı da zorunlu hâle getiriyor. Yirmi dört saat, olay öğrenildikten sonra ilk kez bir araya gelen bir ekibin durumu değerlendirip karar vermesine çoğu zaman yetmez. Bilgi toplama, teknik ve hukuki değerlendirme ile bildirim kararına ilişkin iç işleyiş bu nedenle olaydan önce belirlenmiş olmalıdır.
Birlik’teki düzenlemelerin arka planında verilerle izlenebilen bir tehdit ortamı bulunuyor. ENISA’nın 2025 Tehdit Görünümü raporunda 1 Temmuz 2024 ile 30 Haziran 2025 arasında yaşanan 4.875 olay incelenmiştir. Rapora göre bu olayların yaklaşık %77’sini hizmet dışı bırakma saldırıları oluştururken kuruluşlar üzerinde en ağır etkiyi fidye yazılımları doğuruyor. Sistemlere ilk erişim ise en sık oltalama ve zafiyet istismarı yoluyla sağlanmaktadır.
Siber dayanıklılığa ilişkin Birlik kuralları ürünlerle sınırlı kalmıyor. 2022/2555 sayılı NIS2 Direktifinin kapsamına enerji, ulaştırma, sağlık, dijital altyapı ve imalat gibi sektörlerde faaliyet gösteren ve kural olarak orta veya büyük ölçekli olan kuruluşlar giriyor. Bu kuruluşlar, tedarik zinciri güvenliği de dâhil olmak üzere asgari risk yönetimi tedbirlerini almak ve önemli olayları kademeli olarak bildirmekle yükümlü. NIS2’de de bildirim süreci yirmi dört saat içinde erken uyarı ve yetmiş iki saat içinde olay bildirimiyle başlıyor, bir ay içinde verilen nihai raporla tamamlanıyor. Tedbirlerin onaylanması ve uygulanmasının gözetimi ise yönetim organlarının görevleri arasında sayılmıştır (NIS2 m. 20). 2022/2554 sayılı Dijital Operasyonel Dayanıklılık Tüzüğü (DORA) 17 Ocak 2025’ten beri bankalar, sigorta şirketleri, yatırım kuruluşları, ödeme ve elektronik para kuruluşları gibi finansal kuruluşlara uygulanıyor. DORA’da bilgi ve iletişim teknolojileri (BİT) risk yönetimi, büyük BİT olaylarının bildirimi ve dayanıklılık testleri yanında finansal kuruluşun BİT hizmet sağlayıcılarıyla yapacağı sözleşmenin asgari içeriği de düzenlenmiştir (m. 30).
Türk hukukunda 19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, farklı sektörlere uygulanmak üzere çıkarılmış ilk genel siber güvenlik kanunudur. Kanun uyarınca bilişim sistemlerini kullanarak hizmet sunan, veri toplayan veya işleyen kişiler, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları Siber Güvenlik Başkanlığına “gecikmeksizin” bildirmek zorunda (m. 7/1-b). Siber Güvenlik Kurulu 5 Mayıs 2026’da dijital altyapılar, enerji, finans, imalat sanayii, sağlık ve ulaştırma dâhil on beş kritik altyapı sektörü belirledi. Bununla birlikte bir sektörün listede yer alması, o sektördeki her şirketi kritik altyapı işletmecisi hâline getirmiyor. Hangi altyapıların kritik sayılacağı, Başkanlığın ayrı bir belirlemesine bağlı. 31 Temmuz 2026’da yürürlüğe giren 7590 sayılı Kanunla Bilgi Teknolojileri ve İletişim Kurumunun internet ortamına ilişkin yetkileri Başkanlığa devredildi; Başkanlığın bilgi ve belge taleplerine uyulmaması da idari para cezası kapsamına alındı. 7545 sayılı Kanun’un m. 7/1-a, b ve c’deki yükümlülüklere aykırılık için 2026 yılında uygulanacak idari para cezası 1.254.900 TL ile 12.549.000 TL arasındadır.
Bildirim yükümlülüklerinin muhatabı, süresi ve içeriği dayandıkları kurala göre değişiyor. Örneğin kişisel veri ihlallerinde Kişisel Verileri Koruma Kuruluna yapılacak bildirim için Kurul kararıyla yetmiş iki saatlik bir üst sınır kabul edilmiştir. Bu süre, ihlalden etkilenen kişilere yapılacak bildirime uygulanmaz; onlara makul olan en kısa sürede bilgi verilmelidir. Kısa süreler içinde yapılan ilk bildirimler, çoğu zaman olay hakkında henüz kesinleşmemiş bilgilere dayanıyor. NIS2’de, sırf bildirimde bulunmanın kuruluşun sorumluluğunu artırmayacağı açıkça belirtilmiştir (m. 23/1). Buna karşılık bildirimdeki maddi beyanlar, sonraki idari ve yargısal süreçlerde delil olarak kullanılabilir. Bu nedenle ilk bildirimde doğrulanmış olguların, henüz teyit edilmemiş bilgilerden açıkça ayrılması gerekir.
Türkiye’de bu konuyu şirketler bakımından ele alan yeni bir kitap yayımlandı. Doç. Dr. Pelin Karaaslan ve Doç. Dr. Reşit Karaaslan’ın kaleme aldığı “Şirketlerde Siber Dayanıklılık: Uyum, Sözleşmeler ve Sorumluluk”, Filiz Kitabevi tarafından okuyucuya sunuldu. Kitap, Türk hukukundaki düzenlemeler ile Avrupa Birliği hukukunun Türkiye’deki şirketlere etkilerini, uygulamada karşılaşılabilecek sorunlardan hareketle inceliyor.
Kitabın giriş bölümünde şu örneğe yer veriliyor: Bursa’da faaliyet gösteren, dört yüz çalışanı bulunan bir otomotiv yan sanayi üreticisi, bir cuma sabahı üretim hattını yöneten sistemlerin kilitlendiğini fark ediyor. Ekranlarda fidye isteyen bir ileti var. Üretim durduğu için o hafta Almanya’ya gönderilmesi gereken parçaların sevkiyatı da aksıyor. Bilgi işlem müdürü sistemleri yedeklerden geri yüklemeye çalışırken çalışanların kişisel verilerinin bir bölümünün dışarı aktarılmış olabileceğine ilişkin bulgular ortaya çıkıyor.
Bu sırada şirketin hukuk müşaviri birbirinden farklı sorulara cevap arıyor. Olayın Siber Güvenlik Başkanlığına bildirilmesi gerekiyor mu? Kişisel Verileri Koruma Kuruluna yapılacak bildirim için süre ne zaman başlıyor? Alman müşteriyle yapılan sözleşmedeki yirmi dört saatlik bildirim yükümlülüğü bu olayı da kapsıyor mu? Geciken sevkiyat nedeniyle ceza koşulu ödenecek mi? Sigorta poliçesi fidye yazılımından doğan zararı karşılıyor mu? Poliçe başvurusunda var olduğu söylenen bir güvenlik tedbiri gerçekte alınmamışsa bunun sonucu ne olacak? Nihayet, güvenlik bütçesine ilişkin talebi üç yıldır erteleyen yönetim kurulunun sorumluluğu doğacak mı?
Kitap, bu örnekteki soruların peşinden gidiyor. Aynı saldırı, kişisel verilerin korunmasından sözleşmeye aykırılığa, sigortadan yöneticilerin sorumluluğuna kadar birçok meseleyi birlikte gündeme getiriyor. Üstelik hukuk müşavirinin değerlendireceği hususlar saldırı günüyle sınırlı kalmıyor. Şirketin hangi yazılımı satın aldığı, tedarikçisinden hangi güvenceleri istediği, sistemlerini nasıl yedeklediği ve kendisine yapılan uyarılar üzerine ne yaptığı da önem taşıyor. Yazarlar, olaydan önce alınan kararlar ile olaydan sonra ortaya çıkan hukuki sonuçlar arasındaki bu ilişkiyi kitabın farklı bölümlerinde ele alıyor.
Başlıkta kullanılan “siber dayanıklılık” kavramı da bu düşünceyi yansıtıyor. Bir şirket, güvenlik tedbirleri almış olsa bile saldırıya uğrayabilir; hatalı bir güncelleme veya tedarikçide yaşanan kesinti nedeniyle faaliyetlerini sürdüremeyebilir. Böyle bir durumda şirketin kritik işlerini devam ettirebilmesi, kayıplarını sınırlandırabilmesi ve sistemlerini yeniden çalıştırabilmesi gerekir. Kitap, bu hazırlığın hukuki yönü üzerinde duruyor. Kimlerin karar almaya yetkili olduğu, bildirimlerin kim tarafından yapılacağı, tedarikçiden hangi desteğin istenebileceği ve olay kayıtlarının nasıl korunacağı, teknik çalışmalarla birlikte düşünülmesi gereken konular arasında yer alıyor.
Eserin Avrupa Birliği hukukuna ayrılan kısmında NIS2, CRA ve DORA inceleniyor. Bu düzenlemeler kamuoyunda çoğu zaman birlikte anılsa da aynı şirketleri, ürünleri ve faaliyetleri aynı koşullarla kapsamıyor. Türkiye’de yerleşik şirketler bakımından özellikle şu ayrım üzerinde duruluyor: Bir şirket, sunduğu ürün veya hizmet nedeniyle doğrudan AB mevzuatına tabi olabilir. Başka bir şirket, düzenlemenin doğrudan muhatabı olmadığı hâlde Avrupalı müşterisinin sözleşmeye koymak istediği güvenlik ve denetim hükümleriyle karşılaşabilir. İhale koşulları veya piyasa beklentileri de şirketin kararlarını etkileyebilir. Bu ihtimallerin her biri farklı bir hukuki değerlendirme gerektiriyor.
Türk hukukuna ilişkin incelemenin merkezinde 7545 sayılı Siber Güvenlik Kanunu bulunuyor. Yazarlar, Kanunu sektörel düzenlemeler ve kişisel verilerin korunmasına ilişkin hükümlerle birlikte değerlendiriyor. Burada da şirketin faaliyetinin ve hukuki sıfatının belirlenmesi önem taşıyor. Kanunun genel kapsamının geniş olması, kapsama giren herkesin bütün yükümlülüklere aynı koşullarla tabi olduğu anlamına gelmiyor. Eser, uygulanacak hükmün belirlenmesinde bu farklılıkları gözetiyor; ikincil düzenlemelere bağlı hususlara ve uygulama tarihlerine ayrıca dikkat çekiyor.
Finans sektörüne ilişkin açıklamalarda bankalar, ödeme ve elektronik para kuruluşları ile sermaye piyasası kuruluşları ayrı ayrı ele alınıyor. Bankalar bakımından BDDK’nın bilgi sistemleri ve elektronik bankacılık düzenlemeleri; sermaye piyasası kuruluşları ve halka açık ortaklıklar bakımından ise SPK’nın Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği inceleniyor. Ödeme ve elektronik para kuruluşlarının TCMB düzenlemelerinden doğan yükümlülüklerine de yer veriliyor. Böylece bir bankanın, bir aracı kurumun veya halka açık bir sanayi şirketinin aynı kesinti karşısında neden farklı hükümleri dikkate alması gerekebileceği açıklanıyor.
Kitabın önemli bir bölümünü şirket yönetimi ve sözleşmeler oluşturuyor. Yönetim organlarının siber riskler hakkında bilgi edinmesi, gerekli kaynakları ayırması ve alınan tedbirleri izlemesi, şirketler hukukundaki özen ve gözetim yükümlülükleri bakımından inceleniyor. Güvenlik işlerinin uzmanlara bırakılması hâlinde yönetimin görevlerinin nasıl devam edeceği de ele alınan sorular arasında. Yazarlar, sorumluluk değerlendirmesinde yönetim kurulu üyelerinin kusurunun ve zararla nedensellik bağının ayrı ayrı araştırılması gerektiğini belirtiyor. Kararların, uyarıların ve yapılan işlemlerin belgelendirilmesi bu noktada önem kazanıyor.
Sözleşmelere ilişkin açıklamalar ise uygulayıcının karşılaşabileceği somut meselelere ayrılmış. Yazılımın güvenlik güncellemelerini kim sağlayacak? Destek süresi ne kadar olacak? Tedarikçi, öğrendiği bir zafiyeti müşterisine ne zaman bildirecek? Alt yüklenicinin sebep olduğu olaydan kim sorumlu tutulacak? Hizmet sona erdiğinde verilere erişim ve iş sürekliliği nasıl sağlanacak? Kitap, bu soruları farklı sözleşme türleri bakımından değerlendiriyor. Bankaların dışarıdan aldığı bilgi teknolojisi hizmetlerinde denetim yetkisinin ve hizmet sürekliliğinin nasıl güvence altına alınacağı da bu incelemenin bir parçası. Tarafların riskleri aralarında paylaştırırken emredici hükümleri ve genel işlem koşulu denetimini gözetmesi gerektiği açıklanıyor.
Kitap, yazılım ve teknoloji sözleşmelerini fikrî mülkiyet hakları bakımından da inceliyor. Güvenlik incelemesi amacıyla kaynak koda erişilmesi, yazılımın test ortamına kopyalanması veya bir güvenlik yamasının uygulanması, lisans sözleşmesinde tanınan yetkilerin kapsamıyla doğrudan ilgilidir. Yazarlar, şirketin ihtiyaç duyduğu bu müdahaleleri hangi yetkilere dayanarak yapabileceğini açıklıyor. Ayrıca ticari sırların ve know-how’ın bir siber olayda açığa çıkmasının hukuki sonuçlarını değerlendiriyor.
Sorumluluk, yaptırımlar, sigorta ve uyuşmazlık çözümüne ilişkin bölümler, girişteki örneğin olay sonrasına uzanan sorularını tamamlıyor. Halka açık şirketler bakımından olayın kamuyu aydınlatma boyutu da ele alınıyor: Yaşanan saldırı veya kesinti hangi koşullarda Kamuyu Aydınlatma Platformunda açıklanmalı, açıklamanın ertelenmesi ne zaman mümkün olmalı? Kitabın son kısmında kontrol listeleri, örnek sözleşme hükümleri ve kurumsal belge örnekleri bulunuyor. On üç ekte ise kapsam inceleme akışlarına, formlara ve terimler sözlüğüne yer veriliyor. Yazarlar bu belgelerin şirketin faaliyetlerine ve risklerine göre uyarlanması gerektiğini özellikle belirtiyor.
Kitap, sonuç bölümünde siber dayanıklılığın hazırlanan belge sayısıyla ölçülemeyeceğini vurguluyor. Şirketin hangi hükme neden tabi olduğunu bilmesi, yükümlülüklerini yerine getirmesi ve aldığı kararları gerektiğinde belgeleyebilmesi esas alınıyor. Girişteki üretici örneğine dönüldüğünde çalışmanın cevap aradığı soru da açıklık kazanıyor: Sistemlerin durduğu o cuma sabahına şirket hukuken ne kadar hazır? Eser, bu soruyu şirket yöneticileri, hukukçular ve teknik uzmanların birlikte değerlendirebileceği somut meseleler üzerinden tartışmaya açıyor.
Kitabı satın almak için: https://www.filizkitabevi.com/doc/1278