Siber Güvenlik Kanunu Dijital Güvenlik Sağlayabilecek mi?

Dijital çağın hızla gelişen teknolojisi, veri güvenliği endişelerini de beraberinde getirirken, Türkiye’deki yurttaşların kişisel verilerinin korunması bir süredir kamuoyunda tartışılan önemli konular arasında yer alıyor. 8 Ocak 2025’te yayımlanan Cumhurbaşkanlığı Kararnamesi ile Siber Güvenlik Başkanlığı kuruldu. Kurumun yasal çerçevesini oluşturmak üzere hazırlanan Siber Güvenlik Kanunu Teklifi, aynı ay TBMM Milli Savunma Komisyonunda kabul edilerek kısa süre sonra Genel Kurula taşındı. Teklif 12 Mart 2025'te Genel Kurul'da kabul edildi ve 7545 sayılı Siber Güvenlik Kanunu olarak yürürlüğe girdi.

Kanun teklifinin gerekçesinde Siber Güvenlik Başkanlığının kurulması; dijitalleşmeyle birlikte artan siber tehditlere karşı ulusal ölçekte etkin ve merkezi bir mücadele yürütülmesi, çatı mevzuat eksikliğinden kaynaklanan koordinasyon sorunlarının giderilmesi, kritik altyapılar ile kamu kurumlarının siber güvenlik seviyelerinin yükseltilmesi ve caydırıcı denetim mekanizmalarının güçlendirilmesi gibi nedenlere dayandırıldı. Başkanlığın kurulmasıyla siber güvenlik ekosisteminin güçlendirilmesi ve uluslararası alanda örnek oluşturacak bir yapının kurulması hedeflendi.

7545 sayılı Siber Güvenlik Kanunu, Başkanlığın görev ve yetkilerini de belirliyor. Siber Güvenlik Başkanlığı, kritik altyapıların siber dayanıklılığını artırmak, siber saldırıları tespit etmek ve önlemek, zafiyet ve sızma testleri yapmak veya yaptırmak, Siber Olaylara Müdahale Ekiplerini (SOME) kurmak ve denetlemek, kamu kurumları ile kritik altyapıların veri envanterini tutmak ve güvenlik tedbirleri aldırmakla görevlendirildi. Kanun ayrıca Başkanlığa siber güvenlik standartlarını belirleme, ürün ve hizmetleri test etme ve sertifikalandırma görevleri veriyor.

Kanunla Başkanlığa siber saldırılara karşı koruma tedbirleri alma veya aldırma, gerektiğinde kurum ve kuruluşlardan veri ve log kayıtlarını talep ederek inceleme yapma, siber olaylara yerinde veya uzaktan müdahale etme, yazılım ve donanımların entegrasyonunu sağlama, denetim süreçlerinde hâkim kararıyla veya gecikmesinde sakınca bulunan hâllerde yetkili emirle arama ve el koyma, uluslararası işbirliği yürütme ve siber güvenlik alanındaki ürünlerin kullanımını onaylama veya sınırlandırma gibi geniş yetkiler verildi.

Kanun teklifinin Milli Savunma Komisyonunda görüşülmeye başlamasıyla Başkanlığın uygulama alanları ve yetkileri de tartışma konusu oldu. Teklifin yasalaşmasının ardından da süren tartışmalarda, Başkanlığa tanınan yetkilerin kişisel verilerin korunması, özel hayatın gizliliği ve basın özgürlüğü açısından yaratabileceği risklere dikkat çekiliyor.

Özellikle başkanlığın yetkilerini belirleyen 6. maddenin (1) numaralı fıkrasının (b), (c), (ç) ve (d) bentlerinde, başkanlığın veri kayıtlarını toplama, saklama ve değerlendirme yetkilerine ilişkin hükümler bulunuyor. Bu ifadelere yönelik yapılan eleştiriler ise siber güvenlik adı altında yurttaşların gözetlenebileceği ve kişisel verilerin izlenebileceği konusuna odaklanıyor.

Başkanlığın denetim alanlarının belirlendiği 8. maddenin (4) ve (5) numaralı fıkraları da dikkat çekiyor. (4) numaralı fıkrada, denetimle görevli kişilerin denetim faaliyetiyle sınırlı olarak elektronik ortamdaki veri, belge, elektronik altyapı, cihaz, sistem, yazılım ve donanımları inceleyebileceği; bunlardan kopya veya dijital suret ya da örnek alabileceği belirtiliyor. (5) numaralı fıkrada ise hakim kararı üzerine veya gecikmesinde sakınca bulunan hallerde Siber Güvenlik Başkanının yazılı emriyle konut ve işyerlerinde arama yapılabilmesi ve el koyma yetkisi tanınıyor. “Gecikmesinde sakınca görülen haller” ifadesi ise, normalde bir mahkeme kararı veya daha uzun bir prosedür gerektiren arama ve el koyma gibi adli tedbirlerin, acil bir durumdan dolayı bekletilmesinin telafisi mümkün olmayan bir zarara yol açabileceği durumlar için kullanılıyor.

Teklifin 16. maddesinin (5) numaralı fıkrasında başlangıçta, veri sızıntısı olmadığı hâlde bu yönde “algı oluşturanlara” iki yıldan beş yıla kadar hapis cezası verilmesi öngörülüyordu. “Algı oluşturmak” ifadesi, muğlaklığı gidermek amacıyla Milli Savunma Komisyonunda değiştirildi. Kanunlaşan düzenlemeye göre, veri sızıntısı olmadığı halde halk arasında endişe, korku ve panik yaratmak veya kurumları ya da kişileri hedef almak amacıyla veri sızıntısı yapılmış gibi içerik oluşturanlara veya bu içerikleri yayanlara iki yıldan beş yıla kadar hapis cezası verilebilecek. Fakat yapılan değişiklik eleştirileri gidermedi.

Bu değişikliğin ardından, Türkiye Gazeteciler Sendikası (TGS) söz konusu düzenlemenin gazetecileri susturmak için muğlak bir suç tanımı içerdiğini ve gerçek veri sızıntılarının kamuoyuyla paylaşılmasını engelleyebileceğini belirtti. TGS ayrıca, kanun teklifinin 8. maddesiyle gecikmesinde sakınca görülen hâllerde Siber Güvenlik Başkanının yazılı emriyle konut ve işyerlerinde arama ve el koyma yapılabilmesinin gazetecilerin haber kaynaklarına ve veri güvenliğine doğrudan bir tehdit oluşturabileceğini savunuyor.

İfade Özgürlüğü Derneği de düzenlemeyi ifade özgürlüğü, kişisel verilerin korunması ve özel hayatın gizliliği gibi temel hakları tehlikeye attığı gerekçesiyle eleştiriyor. Dernek, belirsiz kavramların ve geniş yetkilerin keyfî uygulamalara zemin hazırlayabileceğini vurgularken kanunun kapsamlı biçimde gözden geçirilmesi ve daha şeffaf denetim mekanizmaları kurulması gerektiğine dikkat çekiyor.

Kanunun özellikle 6. maddesinin (b), (c), (ç) ve (d) bentleri ile (2) numaralı fıkrası ve Madde 8’in (4) ve (5) numaralı fıkraları, kişisel verilerin toplanması, saklanması ve incelenmesi bakımlarından bireysel veri ihlali olasılığını artırabilecek ifadelere sahip. İlgili yönetmelik ve alt düzenlemelerin bu konuyu nasıl sınırlandırıp denetleyeceği, kişisel verilerin korunması ve özel hayatın gizliliği açısından büyük önem taşıyor.

Bu endişeler ve yetkilerin denetimine ilişkin tartışmalar sürerken, 24 Temmuz 2026’da kabul edilen yeni bir düzenlemeyle Siber Güvenlik Başkanlığının yetki alanı daha da genişletildi. 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun’un 21, 26 ve 27. maddeleriyle, BTK’nın internet ve iletişim altyapısına ilişkin bazı görev ve yetkileri Siber Güvenlik Başkanlığına devrediliyor. Düzenleme, Resmî Gazete’de yayımlandığı tarihte yürürlüğe girecek.

Düzenlemenin en kapsamlı bölümlerinden birini, internet yayınlarını ve erişimin engellenmesi süreçlerini düzenleyen 5651 sayılı Kanun’da yapılan değişiklikler oluşturuyor. Kanunun içerik, yer ve erişim sağlayıcıların yükümlülükleri, Erişim Sağlayıcıları Birliğiyle yürütülen işlemler, içeriğin çıkarılması ve erişimin engellenmesi kararları ile sosyal ağ sağlayıcılarına ilişkin pek çok hükmünde BTK ifadesi Siber Güvenlik Başkanlığı ile değiştiriliyor. Böylece internet yayınlarına ilişkin bildirim, denetim, yaptırım ve erişim engelleme süreçlerindeki idari görevlerin önemli bir bölümü Başkanlığın sorumluluğuna geçiyor.

Elektronik Haberleşme Kanunu’na eklenen yeni maddeyle internet alan adlarına ilişkin strateji ve politikaları belirleme ve düzenleme yapma yetkisi de Siber Güvenlik Başkanlığına veriliyor. Başkanlık, gecikmesinde sakınca bulunan durumlarda güvenlik ve istihbarat kurumlarının talebi üzerine veya kendiliğinden alınması gereken tedbirleri belirleyebilecek. İşletmeciler, erişim sağlayıcılar, veri merkezleri ile ilgili içerik ve yer sağlayıcılar, kendilerine bildirilen kararı en geç iki saat içinde uygulamakla yükümlü olacak. Kararın 24 saat içinde sulh ceza hakiminin onayına sunulması gerekiyor. Hakim 48 saat içinde karar vermezse tedbir kendiliğinden kalkacak.

Yetki devri yalnızca mevzuattaki kurum isimlerinin değiştirilmesiyle sınırlı değil. BTK’nın devredilen görevleri kapsamında kullandığı bilgi işlem altyapıları, sistemler, veri merkezi, taşıtlar, kayıtlar, belgeler, sözleşmeler, haklar ve yükümlülükler üç ay içinde Siber Güvenlik Başkanlığına aktarılacak. Siber Güvenlik Kanunu’na eklenen yeni hükümle Başkanlığa, yetkili kurumlar tarafından yürütülen yasal dinleme ve müdahale işlemlerine teknik olanak sağlama ve bu konuda düzenleme yapma görevi de veriliyor. Yeni düzenleme, BTK’nın yetkilerini tamamen ortadan kaldırmıyor. BTK, elektronik haberleşme işletmecilerinin yetkilendirilmesi, frekans ve spektrum yönetimi, erişim ve arabağlantı düzenlemeleri ile elektronik haberleşme sektörünün denetlenmesi gibi görevlerini sürdürmeye devam edecek. Fakat internet alan adları, internet yayınlarına ilişkin birçok idari işlem, erişimin engellenmesi süreçleri ve iletişimin teknik olarak izlenmesine imkan sağlayan altyapılar Siber Güvenlik Başkanlığının yetki alanına girecek.

Başkanlığın kuruluş aşamasında tartışma konusu olan veri toplama, log kayıtlarını saklama ve bilişim sistemlerini denetleme yetkilerine yenilerinin eklenmesi, bu yetkilerin hangi sınırlar içinde ve nasıl denetleneceğine ilişkin soru işaretlerini de beraberinde getiriyor.

Özet: Yeni düzenlemeyle BTK yetkileri Siber Güvenlik Başkanlığına devrediliyor

Bu yetki devri, internet alanındaki idari denetimin önemli bir bölümünü Siber Güvenlik Başkanlığında toplarken, Başkanlığın genişleyen yetkilerinin hangi mekanizmalarla denetleneceği sorusunu da daha önemli hale getiriyor.