Giriş

Şirketlerin giderek daha sık karşılaştığı siber saldırılar, bilişim sistemlerine yetkisiz erişim sağlanması, kullanıcı hesaplarının ele geçirilmesi, verilerin silinmesi veya değiştirilmesi, fidye yazılımlarıyla sistemlerin şifrelenmesi ve ağ altyapısının ya da sunucuların erişilemez hâle gelmesi gibi ciddi sonuçlar doğurabilmektedir. Ancak şirketlerin kurumsal yapıları, iç iletişim süreçleri veya bilgi teknolojileri (“IT”) birimlerinin öncelikle saldırının teknik etkilerini gidermeye odaklanması nedeniyle, olayın tespit edilmesiyle şirket yönetiminin durumdan haberdar olması ve gerekli adımların atılması arasında zaman geçebilmektedir. Bu gecikme, operasyonel risklerin yanı sıra şirketlerin hukuki yükümlülüklerini de doğrudan etkileyebilmektedir.

19 Mart 2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu (“Kanun”), bilişim sistemleri üzerinden hizmet sunan, veri toplayan veya işleyenlere, tespit ettikleri siber olayları ve güvenlik zafiyetlerini Siber Güvenlik Başkanlığına (“Başkanlık”) gecikmeksizin bildirme yükümlülüğü getirmiştir. Bildirim yükümlülüğünün ihlali ise şirketler bakımından 10.000.000 TL’ye kadar idari para cezasıyla sonuçlanabilecektir.

Dolayısıyla bir siber saldırının ardından yalnızca bilişim sistemlerinin güvenliğinin sağlanması ve saldırının etkilerinin giderilmesi yeterli değildir. Olayın IT birimleri tarafından gecikmeksizin şirket yönetimine aktarılması, etkilenen sistemlerin ve olası risklerin belirlenmesi, bildirim yükümlülüğünün hukuki açıdan değerlendirilmesi ve gerektiğinde Başkanlığa bildirim yapılması da önem taşımaktadır.

Siber Saldırı Sonrasında Bildirim Yükümlülüğü ve Kapsamı

Kanun uyarınca, bilişim sistemleri kullanarak hizmet sunan, veri toplayan, işleyen veya benzeri faaliyetlerde bulunanlar, hizmet sundukları alanda tespit ettikleri zafiyetleri veya siber olayları gecikmeksizin Başkanlığa bildirmekle yükümlüdür. Kanun’da siber olay, bilişim sistemlerinin veya verinin gizliliğinin, bütünlüğünün ya da erişilebilirliğinin ihlal edilmesi olarak tanımlanmaktadır. Bu çerçevede, şirket sistemlerine yetkisiz erişim sağlanması, kurumsal hesapların ele geçirilmesi, verilerin silinmesi veya değiştirilmesi, fidye yazılımı nedeniyle sistemlerin kilitlenmesi ya da dijital hizmetlerin kesintiye uğraması bildirim yükümlülüğü doğurabilecektir. Üstelik bildirim yükümlülüğü yalnızca gerçekleşmiş saldırıları kapsamamakta; hizmet sunulan alanda tespit edilen güvenlik zafiyetlerinin de taşıdıkları risk ve muhtemel etkileri dikkate alınarak Başkanlığa bildirilmesi gerekmektedir.

Siber Saldırının Başkanlığa Bildirilmesinde Süre ve Usul

Kanun’da bildirim için belirli bir saat veya gün sınırı öngörülmemiş; tespit edilen zafiyetlerin ve siber olayların Başkanlığa “gecikmeksizin” bildirilmesi gerektiği belirtilmiştir. Bu ifade, olayın tespit edilmesinin ardından gerekli ön değerlendirmenin mümkün olan en kısa sürede yapılmasını ve bildirimin haklı bir neden olmaksızın ertelenmemesini gerektirmektedir. Saldırının kaynağının belirlenememesi, zararın henüz hesaplanamaması veya teknik incelemenin devam etmesi, tek başına bildirimin geciktirilmesini haklı kılmayacaktır. Bu nedenle bildirimin, olayın tespit tarihi ve saati, etkilenen sistemler, mevcut veya muhtemel etkiler ve alınan ilk önlemler belirtilerek Başkanlığa ispat edilebilir şekilde iletilmesi uygun olacaktır.

Siber Saldırı Sonrasında Muhafaza Edilmesi Gereken Kayıt ve Belgeler

Siber olayın ardından Başkanlık tarafından olayın kaynağına, gerçekleşme biçimine, etkilediği sistemlere ve alınan güvenlik önlemlerine ilişkin bilgi ve belgeler talep edilebilecektir. Bu nedenle şirketlerin sunucu, güvenlik duvarı, ağ trafiği ve kullanıcı erişim kayıtlarını; kaynak ve hedef IP adreslerini, şüpheli oturumları, zararlı yazılım bulgularını ve teknik inceleme raporlarını muhafaza etmeleri önem taşımaktadır. Ayrıca olay öncesinde erişim yetkilendirmesi, güvenlik duvarı, çok faktörlü doğrulama, düzenli yedekleme, sistem güncellemeleri ve güvenlik açıklarının takibi gibi koruma tedbirlerinin uygulanmış ve kayıt altına alınmış olması, Başkanlık nezdinde yürütülecek inceleme sürecinde şirketlerin gerekli önlemleri aldıklarını ortaya koyabilmeleri bakımından önemlidir.

Bildirim Yükümlülüğüne Aykırılık Hâlinde İdari Para Cezası Riski

Bildirime tabi bir siber olayın veya güvenlik zafiyetinin Başkanlığa bildirilmemesi ya da bildirimin geciktirilmesi, şirketler bakımından kayda değer bir idari para cezası riski doğurmaktadır. Nitekim Kanun’da, bildirim yükümlülüğüne aykırı hareket edilmesi hâlinde 1.000.000 TL ile 10.000.000 TL arasında idari para cezası uygulanacağı düzenlenmiştir.

Değerlendirme

Şirket kayıtlarının, müşteri bilgilerinin ve ticari verilerin büyük ölçüde dijital ortamlarda tutulduğu günümüzde, siber saldırılar her ölçekte şirketin karşılaşabileceği somut bir risk hâline gelmiştir. Bu nedenle, bir siber saldırının ardından yalnızca bilişim sistemlerinin yeniden işler hâle getirilmesi yeterli olmayıp olayın hukuki boyutunun da gecikmeksizin değerlendirilmesi gerekmektedir.

Siber olayın Başkanlığa bildirilmemesi veya geç bildirilmesi, saldırının neden olduğu operasyonel ve mali kayıplara ek olarak şirketleri yüksek tutarlı idari para cezalarıyla karşı karşıya bırakabilecektir. Bu kapsamda, gerekli bildirimlerin zamanında yapılması ve ilgili kayıtların muhafaza edilmesi önem taşımaktadır. Olayın kişisel veri sızıntısına yol açması hâlinde ise kişisel verilerin korunmasına ilişkin mevzuat kapsamında doğabilecek yükümlülüklerin ayrıca değerlendirilmesi gerekmektedir.

Bu konudaki detaylı sorularınız için ekibimizle iletişime geçebilirsiniz.