Siber Saldırıya Uğradık, Kime Bildirim Yapacağız? KVKK'nın 72 Saati, Siber Güvenlik Kanunu ve 15 Kritik Altyapı Sektörü

Kısa cevap: tek bir bildirim yetmiyor, olayın türüne göre birden fazla muhatap ve birbirinden farklı saatler işliyor. Saldırıda kişisel veriler hukuka aykırı biçimde ele geçirildiyse 6698 sayılı Kanun'un 12. maddesi devreye giriyor ve ihlali öğrendiğiniz andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapmanız gerekiyor. Aynı olay bilişim sisteminizin gizliliğini, bütünlüğünü ya da erişilebilirliğini bozduysa 7545 sayılı Siber Güvenlik Kanunu ayrıca gecikmeksizin Siber Güvenlik Başkanlığına bildirim istiyor; bu yükümlülük kişisel veri hiç etkilenmemiş olsa bile doğuyor. Üçüncü halka ilgili kişiler, yani verisi sızan müşteriler ve çalışanlar. Onlara makul olan en kısa sürede haber vermeniz gerekiyor. Sektörünüze göre BTK ya da BDDK gibi düzenleyicilere dördüncü bir bildirim eklenebiliyor. Cumhuriyet başsavcılığına yapacağınız suç duyurusu ise bunların hiçbirinin yerine geçmiyor.

İki kanunun ölçtüğü şey aynı değil. 6698 sayılı Kanun kişisel veriyi koruyor, olayın kişiler üzerindeki sonucuna bakıyor. 7545 sayılı Kanun bilişim sistemini koruyor ve siber olayı, bilişim sistemlerinin veya verinin gizlilik, bütünlük ya da erişilebilirliğinin ihlal edilmesi olarak tanımlıyor. Aradaki farkı somutlaştıralım. Üretim hattınızdaki kontrol sistemi bir saldırıyla iki gün durduysa ve ortada tek bir kişisel veri kaydı yoksa KVKK bildirimi gerekmez, Başkanlığa bildirim gerekir. Muhasebe biriminizde bir çalışan bordro dosyasını yanlış e-posta grubuna gönderdiyse tam tersi geçerli, ortada siber olay yok ama kişisel veri ihlali var. Fidye yazılımı ise klasik biçimde ikisini birden tetikliyor. Şirketlerin en sık düştüğü hata, olayı yalnızca bir kanunun penceresinden okuyup diğer bildirimi hiç gündeme almamak.

KVKK tarafındaki usulü Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı belirliyor. Kanun metnindeki en kısa süre ifadesi bu kararla 72 saate bağlandı. Sürenin başlangıcı saldırının gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği an. Bu ayrım pratikte çok işe yarıyor: aylar önce yerleşmiş bir arka kapıyı bugün fark ettiyseniz saatiniz bugün başlıyor. Haklı bir gerekçeyle 72 saat içinde bildirim yapılamadıysa gecikmenin nedenlerinin bildirimle birlikte Kurula açıklanması isteniyor. Bildirimde yer alması gereken unsurlar 18 Eylül 2019 tarihli ve 2019/271 sayılı kararla ayrıntılandırıldı; Kurumun internet sitesindeki form ihlalin ne zaman ve nasıl gerçekleştiğini, etkilenen kişisel veri kategorilerini, etkilenen kişi ve kayıt sayısını, olası sonuçlarını, alınan ve alınması planlanan tedbirleri ve irtibat kişisini soruyor. İhlal veri işleyen nezdinde gerçekleşmişse veri işleyen durumu gecikmeye yer vermeksizin veri sorumlusuna bildiriyor, Kurula bildirim yükümlülüğü yine veri sorumlusunda kalıyor. Yurt dışında yerleşik bir veri sorumlusunun ihlali Türkiye'deki ilgili kişileri etkiliyorsa aynı esaslar onun için de geçerli.

İlgili kişilere bildirimde 72 saatlik katı bir süre yok, ölçü makul olan en kısa süre. Etkilenen kişilerin iletişim adresine ulaşabiliyorsanız doğrudan bildirim yapmanız, ulaşamıyorsanız kendi internet sitenizde yayımlamak gibi uygun bir yöntem kullanmanız bekleniyor. Kurul da gerekli gördüğünde ihlali kendi internet sitesinde ilan edebiliyor ve bu ilanlar arama sonuçlarında uzun süre kalıcı olabiliyor. Bu noktada geçen yıl sonunda bir değişiklik oldu. Kurul'un 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla, Kurumun internet sitesinde yayımlanan veri ihlali bildirimlerinin azami altmış gün süreyle yayımda kalması benimsendi; ihlalden etkilenen kişilere altmış günden daha kısa sürede bildirim yapılmışsa ilan derhal kaldırılabiliyor. Kararın mantığı açık, ilgili kişilere hızlı davranan veri sorumlusunu ödüllendirmek. Uygulamadaki karşılığı da şu: müşterilerinize bir an önce yazmanız artık markanızın o sayfada ne kadar görüneceğini de belirliyor.

Fidye yazılımı vakalarında sık duyulan bir savunma var: veriler çalınmadı, sadece şifrelendi. Bu savunma bildirim yükümlülüğünü kaldırmıyor. Siber Güvenlik Kanunu'ndaki siber olay tanımı zaten erişilebilirliğin bozulmasını da kapsıyor. KVKK tarafında ise saldırganın verilere erişip erişmediği çoğu olayda kesin olarak bilinemiyor; şifreleme yapan bir yazılımın dosyaları okuyabildiği, dolayısıyla dışarı sızdırabildiği varsayımı çok sayıda olayda gerçek çıktı. Kurumun internet sitesindeki veri ihlali duyurularının kayda değer bir bölümü fidye yazılımı vakalarına ait ve bunların birçoğunda etkilenen veri kategorileri arasında kimlik, iletişim, müşteri işlem ve özlük verileri sayılıyor. Fidyeyi ödemek de bildirimi ortadan kaldırmıyor, üstelik ödeme kararının kendisi ayrı hukuki riskler taşıyor. Yedeklerden dönüp sistemi bir günde ayağa kaldırmış olmanız ihlalin yaşanmadığı anlamına gelmez.

Siber Güvenlik Kanunu'nun kapsamı çok geniş ve bu ayrıntı gözden kaçıyor. 19 Mart 2025 tarihli Resmî Gazete'de yayımlanarak yürürlüğe giren Kanun; siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri kapsıyor. İstihbari faaliyetler ve Türk Silahlı Kuvvetlerinin kendi iç hizmetleri dışarıda bırakılmış. Dikkat edin, burada VERBİS'teki gibi çalışan sayısı ya da bilanço eşiği yok. Elli kişilik bir yazılım şirketi de, tek şubeli bir e-ticaret işletmesi de kapsamda. Bildirim kanalı tarafında bugün fiilen kullanılan yapı Ulusal Siber Olaylara Müdahale Merkezi ve SOME İletişim Portalı; Başkanlık, USOM tarafından sunulan hizmetlerin siberguvenlik.gov.tr adresi üzerinden yürütüleceğini duyurdu. Kurumsal ya da sektörel bir SOME'ye bağlıysanız zincirin ilk halkası orası.

Kritik altyapı sayılmak bu yıl somutlaştı. Cumhurbaşkanı başkanlığında 5 Mayıs 2026'da toplanan Siber Güvenlik Kurulu, on beş sektörü kritik altyapı olarak belirledi: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayi, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma, uzay. Listeye bakınca iki başlık şaşırtıyor. İmalat sanayi ve gıda ve tarım, kendisini bilişim şirketi saymayan on binlerce işletmeyi ilgilendiriyor. Kritik altyapı kapsamında olmak denetimde öncelikli sıraya girmek, siber güvenlik ürün ve hizmetlerini Başkanlıkça yetkilendirilmiş sağlayıcılardan temin etmek ve Başkanlığın yayımlayacağı politika ve rehberlerdeki tedbirleri uygulamak anlamına geliyor. Bir gıda üreticisiyseniz ya da orta ölçekli bir fabrikanız varsa bu listenin sizi kapsayıp kapsamadığını bir hukukçuya sordurmak, denetimde öğrenmekten ucuz.

İkincil mevzuat hâlâ eksik ve bu belirsizliği yanlış okumak pahalıya patlıyor. Kanun'un geçici maddesi, uygulamaya ilişkin düzenlemelerin bir yıl içinde yürürlüğe konulmasını öngörüyordu; hedef tarih 19 Mart 2026'ydı ve o tarih geçti. Siber olay bildiriminin biçimi, süresi, eşiği ve log yönetimi usulleri gibi başlıklar bugün hâlâ yönetmelikle netleşmiş değil. Buradan çıkan sonuç yükümlülüğün ertelendiği değil. Kanun 19 Mart 2025'ten beri yürürlükte ve bildirim yükümlülüğü o gün başladı, belirsiz olan yalnızca usul. Yönetmelik çıktığında geriye dönük olarak biz beklemiştik demek bir savunma oluşturmaz. Yapılacak iş sade: bir olay müdahale prosedürü yazın, kimin hangi eşikte kime bildirim yapacağını isim vererek belirleyin, USOM kaydınızı ve iletişim bilgilerinizi güncel tutun, her bildirimin tarihini ve saatini kayıt altına alın.

Rakamlar iki tarafta da ciddi. KVKK'da 12. maddedeki veri güvenliği yükümlülüklerinin ihlali için 2026 yılında uygulanan idari para cezası 256.357 TL ile 17.092.242 TL arasında; Kurul kararlarını yerine getirmemek 427.263 TL ile 17.092.242 TL arasında. Siber Güvenlik Kanunu'nda ise tedbir alma ve zafiyet ile siber olay bildirimi yükümlülüklerine aykırılık için kanun metninde yazılı tutar bir milyon lira ile on milyon lira arasında, denetim sırasında yükümlülüklere uymamak için yüz bin lira ile bir milyon lira arasında. Bu tutarlar her yıl yeniden değerleme oranında artırıldığı için 2026'da fiilen uygulanan rakamlar daha yüksek. Ticari şirketler bakımından cezanın yıllık brüt satış hasılatının yüzde beşine kadar uygulanabilmesi de düzenlenmiş durumda. Kanun'un 16. maddesindeki cezai hükümlerden birine ayrıca dikkat edin: beşinci fıkra, siber uzayda veri sızıntısı olmadığını bildiği hâlde halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla veri sızıntısı olduğuna yönelik gerçeğe aykırı içerik oluşturan veya bu maksatla yayan kişiler için iki yıldan beş yıla kadar hapis cezası öngörüyor. Doğrulanmamış bir sızıntı iddiasını paylaşmadan önce iki kez düşünmek gerekiyor.

Bazı sektörlerde muhatap listesi uzuyor. Elektronik haberleşme işletmecileri, kişisel veri ihlallerini kendi sektörel yönetmelikleri gereği Bilgi Teknolojileri ve İletişim Kurumuna, Kişisel Verileri Koruma Kurumuna ve etkilenen abonelere bildirmekle yükümlü; yönetmelik ayrıca ihlal gerçekleşmemiş olsa dahi ihlal riski bulunan hâllerde ilgili kişilerin bilgilendirilmesini istiyor. Bankalar, ödeme ve elektronik para kuruluşları için BDDK'nın bilgi sistemlerine ilişkin düzenlemeleri ayrı bir olay bildirimi zinciri kuruyor. Kamu kurumlarında Bilgi ve İletişim Güvenliği Rehberi'ne uyum, denetim ve gözetim faaliyetleri Siber Güvenlik Başkanlığı bünyesine geçti. Bir de 5651 tarafı var. Yer sağlayıcı ya da toplu kullanım sağlayıcı sıfatınız varsa tuttuğunuz trafik kayıtları saldırının seyrini gösteren en güçlü belge olabiliyor; olay sırasında bu kayıtların bütünlüğünü korumak yükümlülüğünüz olduğu kadar savunmanız da.

İlk yetmiş iki saatte yapılanlar sonucu belirliyor. Öğrenme anını saatiyle birlikte yazılı kayda geçirin, bu kayıt hem sürenin başlangıcını hem de iyi niyetinizi gösterir. Etkilenen sistemleri kapatmak yerine ağdan izole edin; kapatmak bellekteki delili yok eder. Log rotasyonunu geçici olarak durdurun, çünkü çoğu kurumda kayıtlar birkaç gün sonra kendiliğinden üzerine yazılıyor ve adli bilişim incelemesi başladığında geriye bakacak veri kalmıyor. Bulut ya da yazılım tedarikçiniz üzerinden gerçekleşen bir olayda sözleşmenizdeki bildirim maddesini hemen açın, çünkü Kurula karşı sorumlu olan taraf yine sizsiniz. İlgili kişilere gidecek metni önceden hazırlamak da işe yarıyor: ne oldu, hangi verileriniz etkilendi, ne yapmanızı öneriyoruz, kime ulaşabilirsiniz. Bilişim sistemine hukuka aykırı giriş ve sistemin işleyişini engelleme, verileri bozma, yok etme ya da erişilmez kılma fiilleri Türk Ceza Kanunu'nun 243 ve 244. maddelerinde ayrıca suç olarak düzenlenmiş; suç duyurusu hem soruşturmayı başlatıyor hem de olayın dışarıdan geldiğini ortaya koyuyor.

Kendi hazırlığınızı ölçmek için altı soru yeterli. Yazılı bir veri ihlali müdahale planınız var mı ve içinde Siber Güvenlik Başkanlığına bildirim adımı geçiyor mu; ihlali kimin, hangi eşikte, hangi kanaldan bildireceği isim düzeyinde belli mi; log saklama süreniz bir olayı geriye dönük inceleyebilecek kadar uzun mu; tedarikçi sözleşmelerinizde olay bildirimi için saat cinsinden bir süre yazıyor mu; ilgili kişilere gönderilecek bildirim taslağınız hazır mı; faaliyet alanınız 5 Mayıs 2026'da belirlenen on beş kritik altyapı sektöründen birine giriyor mu. Bu sorulardan üçüne birden hayır diyorsanız, ilk saldırıyı beklemeden oturup planı yazmanın tam zamanı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut durumunuzu bu başlıklarla karşılaştırıp hangi bildirimlerin sizi kapsadığını ve nereden başlamanız gerektiğini çıkarıyoruz.

Randevu Al