7545 Sayılı Siber Güvenlik Kanunu: Şirketler İçin Rehber

Türkiye'de siber güvenlik artık yalnızca bilgisayarların, sunucuların ve ağ cihazlarının korunmasıyla sınırlı bir konu değil. İşletmelerin faaliyet sürekliliği, kurumsal sorumlulukları ve bilgi güvenliği yönetimi açısından da değerlendirilmesi gerekiyor.

19 Mart 2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Türkiye'deki siber güvenlik yapısına ilişkin temel hukuki çerçeveyi düzenliyor.

Peki, 7545 sayılı Siber Güvenlik Kanunu işletmeler için ne anlama geliyor? Hangi yükümlülükler önem taşıyor ve kurumlar teknik hazırlıklarına nereden başlamalı?

7545 sayılı Siber Güvenlik Kanunu nedir?

7545 sayılı Kanun; siber tehditlerin tespiti, siber olayların etkilerinin azaltılması, siber güvenlik politikalarının oluşturulması ve ilgili kurumların görev ve sorumluluklarına ilişkin hükümler içerir.

Kanunun kapsamı yalnızca büyük ölçekli şirketler veya kritik altyapı işletmecileriyle sınırlı değildir. Bununla birlikte somut yükümlülükler, ilgili hükümlere, kurumun faaliyetine ve uygulanabilir düzenlemelere göre değerlendirilmelidir.

Bu nedenle her işletme için aynı kontrol listesinin otomatik olarak geçerli olduğu varsayılmamalıdır.

Siber Güvenlik Kanunu şirketlere hangi yükümlülükleri getiriyor?

Kanunun 7. maddesinde, kapsamındaki belirli faaliyetleri yürütenlerin görev ve sorumlulukları düzenleniyor.

Bu çerçevede, uygulanabilir koşullara göre aşağıdaki konular önem kazanabilir:

Siber güvenlik tedbirleri: İlgili mevzuatta öngörülen güvenlik önlemlerinin alınması.

Zafiyet ve siber olayların bildirimi: Hizmet sunulan alanda tespit edilen zafiyetlerin ve siber olayların, ilgili hükümlere göre değerlendirilerek bildirilmesi.

Yetkili kurumlarla iş birliği: Mevzuatın öngördüğü kapsamda talep edilen bilgi ve belgelerin sağlanması.

Belgelendirme ve yetkilendirme: Özellikle kanunda tanımlanan bazı ürün, hizmet, şirket ve faaliyetler bakımından uygulanabilir yetki ve belgelendirme koşullarının değerlendirilmesi.

Bir işletmenin hangi düzenlemelere tabi olduğunun belirlenmesi, faaliyet alanı ve güncel mevzuat üzerinden yapılmalıdır.

İşletmeler teknik açıdan nereden başlamalı?

Yasal yükümlülük değerlendirmesi ile teknik güvenlik hazırlığı birbirini tamamlar.

Kurumlar aşağıdaki başlıklardan başlayabilir:

1. BT varlık envanteri

Sunucular, bilgisayarlar, ağ cihazları, firewall sistemleri, bulut hizmetleri ve kritik yazılımlar belirlenmeli; sorumluları tanımlanmalıdır.

2. Firewall ve ağ güvenliği

İnternete açık sistemler, firewall kuralları, uzaktan erişim bağlantıları ve ağ segmentasyonu gözden geçirilmelidir.

Gereksiz açık portlar, eski erişim kuralları ve güncel olmayan ağ cihazları risk oluşturabilir.

3. Güvenlik açığı yönetimi

İşletim sistemleri, sunucular, ağ cihazları ve uygulamalar düzenli olarak kontrol edilmeli; bulunan açıklar önem derecesine göre ele alınmalıdır.

Güvenlik açığı taraması ile sızma testinin farklı amaçlara hizmet ettiği unutulmamalıdır.

4. Loglama ve olay kayıtları

Kritik sistemlerde erişim, güvenlik ve olay kayıtlarının ihtiyaca uygun biçimde üretilmesi, korunması ve incelenebilir olması sağlanmalıdır.

5. Yedekleme ve iş sürekliliği

Yedekleme sistemlerinin çalışıyor olması kadar, verilerin geri yüklenebilirliğinin test edilmesi de önemlidir.

6. Yetki yönetimi

Yönetici hesapları, uzaktan erişim, çok faktörlü kimlik doğrulama ve çalışan yetkileri düzenli olarak değerlendirilmelidir.

Siber Güvenlik Kanunu, KVKK ve ISO 27001 aynı şey mi?

Hayır. Bu düzenlemeler ve standartlar farklı amaçlara hizmet eder.

7545 sayılı Siber Güvenlik Kanunu, kanunda tanımlanan siber güvenlik alanındaki konuları ve yükümlülükleri düzenler.

KVKK, kişisel verilerin korunmasına ilişkin yükümlülükleri içerir.

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulmasına ve geliştirilmesine yönelik uluslararası bir standarttır.

Bir kurumun ISO 27001 sertifikasına sahip olması tek başına bütün yasal gerekliliklerini yerine getirdiği anlamına gelmez. Benzer şekilde KVKK uyumluluğu da bütün siber güvenlik risklerinin ortadan kalktığını göstermez.

5651 sayılı Kanun kapsamındaki loglama yükümlülüğüyle ilişkisi nedir?

5651 sayılı Kanun ve ilgili düzenlemeler, belirli faaliyetler ve yükümlü grupları bakımından internet erişimi ve trafik bilgilerinin tutulması gibi konuları düzenler.

7545 sayılı Kanun ile 5651 sayılı Kanun aynı mevzuat değildir.

İşletmeler, hangi tür logları hangi hukuki gerekçeyle, hangi süreyle ve hangi teknik yöntemle saklamak zorunda olduklarını faaliyetleri üzerinden ayrıca değerlendirmelidir.

Her işletmenin bütün loglar için aynı saklama yükümlülüğüne sahip olduğu varsayılmamalıdır.

Siber güvenlik hazırlığı için ilk kontrol listesi

Kurumunuzda şu soruları yanıtlayabiliyor musunuz?

1. İnternete açık sistemlerimizin güncel listesi var mı?
2. Firewall ve VPN yapılandırmalarımız en son ne zaman incelendi?
3. Kritik sistemlerin güvenlik güncellemeleri takip ediliyor mu?
4. Bir olay gerçekleştiğinde kimin hangi işlemi yapacağı tanımlandı mı?
5. Olay kayıtları güvenilir ve erişilebilir biçimde korunuyor mu?
6. Yedeklerden geri dönüş testi yapıldı mı?
7. Hukuki yükümlülüklerimiz güncel mevzuata göre değerlendirildi mi?

Bu sorular, teknik ve yönetsel eksiklerin belirlenmesi için başlangıç noktası oluşturabilir.

RelGen Teknoloji ile siber güvenlik ve uyumluluk hazırlığı

RelGen Teknoloji; işletmelerin BT altyapısı, ağ güvenliği, firewall yapılandırmaları, güvenlik açığı yönetimi, loglama, yedekleme ve bilgi güvenliği süreçlerinin teknik açıdan değerlendirilmesine yardımcı olur.

Amaç, mevcut sistemleri ve çalışma süreçlerini inceleyerek iyileştirme gerektiren alanların belirlenmesi ve uygulanabilir bir teknik yol haritası oluşturulmasıdır.

7545 sayılı Kanun veya diğer düzenlemeler kapsamındaki hukuki yükümlülüklerin kesin olarak belirlenmesi gerektiğinde, değerlendirme ilgili hukuk uzmanlarının görüşüyle birlikte yapılmalıdır.

RelGen Teknoloji ile iletişime geçerek kurumunuzun BT güvenliği ve teknik hazırlık ihtiyaçlarını değerlendirebilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş veya mevzuata tam uyum garantisi niteliğinde değildir. Güncel mevzuat ve uygulanabilir yükümlülükler ayrıca kontrol edilmelidir.