Соответствие требованиям кибербезопасности
Объём Закона № 7545, корпоративное управление, ответственность руководства, политики и обязанности SOME.
Посмотреть объём услуги
КИБЕРРИСКИ И БЕЗОПАСНОСТЬ ДАННЫХ
Право
кибербезопасности
Правовая помощь в вопросах соответствия требованиям кибербезопасности, управления инцидентами, уведомлений о нарушении данных, защиты цифровых записей и споров об ответственности.
Подготовка до инцидента, правовая координация во время инцидента
Кибербезопасность напрямую связана с непрерывностью деятельности, персональными данными, коммерческой тайной, платёжными потоками, договорами и ответственностью руководства. Юридическое бюро Güneş & Güneş помогает организациям заранее оценивать киберриски, управлять правовыми решениями и уведомлениями во время инцидента, а после инцидента — рассматривать вопросы ответственности и споров.
Закон № 7545 о кибербезопасности, Закон № 6698 о защите персональных данных (KVKK), нормы об электронных коммуникациях, платёжных услугах, банковской деятельности, рынке капитала, энергетике и иные отраслевые регулирования могут возлагать на один и тот же инцидент различные обязанности. Поэтому анализ опирается не на название инцидента, а на затронутую систему, оказываемую услугу, обрабатываемые данные, статус организации, влияние атаки, сеть договоров и актуальное регулирование соответствующего органа.
Работа объединяет задачи руководства, юридического отдела, информационной безопасности, кадровой службы, закупок и, при необходимости, внешних технических команд. Техническое установление обстоятельств, тестирование безопасности и восстановление систем выполняются компетентными техническими командами; бюро управляет правовыми аспектами полномочий, конфиденциальности, уведомлений и ответственности в этой работе.
ЕСЛИ ИДЁТ АКТИВНЫЙ КИБЕРИНЦИДЕНТ
Во время активного инцидента не откладывайте сроки.
Если продолжается киберинцидент, мошенничество с платежами или перебой в услуге, безопасным каналом сообщите ответственной технической команде и лицу, принимающему решения. Согласуйте действия до любого поспешного сброса, удаления записей, платежа или публичного заявления. Не откладывайте срочные технические меры и правовые уведомления; свяжитесь с бюро по телефону, не дожидаясь ответа на сообщение.
Телефон и контактные данныеКакая правовая поддержка вам нужна?
Превентивный комплаенс, управление активным инцидентом и работа после инцидента ведутся совместно — в зависимости от потребности.
Активный инцидент и кризисное управление
Полномочия, безопасная коммуникация, план инцидента, сохранение записей и порядок правового решения.
Посмотреть объём услугиУтечки данных и уведомления
Раздельное ведение уведомлений Совету, субъектам данных, отраслевым органам, сторонам договоров и страховщикам.
Посмотреть объём услугиДоговоры о закупках и технологиях
Облако, SaaS, услуги безопасности, тестирование на проникновение и ответственность поставщиков.
Посмотреть объём услугиСтрахование, аудит и споры
Полисы, уведомления о наступлении случая, защита по делу, возмещение и судебные способы защиты.
Посмотреть объём услугиТрансграничные и цифровые продукты
Зарубежные системы и команды, передача данных, анализ сферы применения NIS2, DORA и CRA.
Посмотреть объём услугиЧем отличаются киберинцидент, нарушение персональных данных и киберпреступление?
Один инцидент может одновременно затрагивать несколько отраслей права; однако смешение этих понятий создаёт риск неверного уведомления, неполного анализа или излишнего раскрытия.
| Понятие | Основной фокус | Типичный пример | Отдельная оценка |
|---|---|---|---|
| Киберуязвимость | Техническая или организационная слабость, которую можно использовать | Неподдерживаемый сервис, ошибочное право доступа | Уведомление, устранение и ответственное раскрытие |
| Киберинцидент | Событие, затрагивающее безопасность информационной системы или киберпространства | Вредоносное ПО, несанкционированный доступ, DDoS | Закон № 7545 и отраслевые процессы |
| Нарушение персональных данных | Незаконное получение персональных данных или нарушение их безопасности | Утечка данных клиентов, отправка файла неверному получателю | Уведомление по KVKK и процедура для субъекта данных |
| Киберпреступление | Деяние, квалифицированное как преступление в уголовном праве | Неправомерное проникновение в систему, нарушение её работы, квалифицированное мошенничество | Расследование, жалоба и защита |
| Инцидент непрерывности деятельности | Недопустимый перерыв в работе критической услуги | Выход из строя дата-центра | Непрерывность, договор и отраслевые обязанности |
| Инцидент внутренней угрозы | Злоупотребление или халатность со стороны работника или уполномоченного лица | Несанкционированный запрос, копирование данных | Трудовое право, внутреннее расследование и защита данных |
Единого срока, применимого к каждому киберинциденту, не существует. По KVKK уведомление Совету по защите персональных данных (Kişisel Verileri Koruma Kurulu) подчиняется критерию «без промедления и не позднее 72 часов» с момента, когда нарушение стало известно. Этот срок не является общим периодом ожидания для уведомлений по Закону № 7545 или для уведомлений иным адресатам.
Основание: Закон № 7545 · Уведомление KVKK
Услуги в области права кибербезопасности
Услуги сгруппированы в 12 разделов. Деятельность организации, характер инцидента и объём поручения оцениваются совместно.
Киберриски, управление и ответственность руководства
Правовая карта киберрисков
Бизнес-модель организации, критические услуги, типы данных, информационные активы, поставщики и применимое регулирование рассматриваются совместно. Существующие меры оцениваются не по наличию документов, а по фактической практике и распределению ответственности; для уязвимостей с высоким влиянием готовится матрица приоритетов и ответственных.
Модель корпоративного киберуправления
Обязанности совета директоров, высшего руководства, юридического отдела, информационной безопасности, ИТ, управления рисками, внутреннего аудита, кадровой службы и подразделения коммуникаций фиксируются в письменной форме. Процессы решений, отчётности и эскалации адаптируются к существующей структуре управления организации.
Процессы надзора со стороны совета директоров и высшего руководства
Структурируются включение киберрисков в повестку руководства, периодический набор показателей, пороги критических инцидентов, учёт инвестиционных решений и контроль корректирующих действий. Ответственность за надзор рассматривается с точки зрения Турецкого торгового кодекса (Türk Ticaret Kanunu), отраслевых норм и внутреннего распределения полномочий в компании.
Архитектура политик и процедур кибербезопасности
Устанавливается иерархия между основополагающей политикой, допустимым использованием, доступом, управлением журналами, реагированием на инциденты, резервным копированием, безопасностью поставщиков, управлением уязвимостями и документами о непрерывности деятельности. Обеспечивается, чтобы документы не противоречили друг другу и фактической технической практике.
Информационная безопасность, конфиденциальность и распределение ролей
Выявляются пересекающиеся или не назначенные обязанности между менеджером информационной безопасности, техническими операциями, ответственными за защиту данных, юридическим отделом и внутренним аудитом. Матрица ролей, должностные инструкции и план реагирования на инциденты используют одинаковую терминологию.
Основание: Закон № 7545 · Безопасность данных KVKK
Закон № 7545, SOME и отраслевые обязанности
Анализ сферы действия и обязанностей по Закону № 7545
Положение организации в Законе определяется по таким критериям, как предоставление услуг, обработка данных, связь с критической инфраструктурой, деятельность в сфере кибербезопасности и поставка продукции. Обязанности по предоставлению информации, принятию мер, уведомлению об инцидентах, надзору, сертификации и переходные положения рассматриваются вместе с действующими нормами.
Правовое структурирование процессов USOM и SOME
Изучаются корпоративная или отраслевая обязанность SOME, контактные лица, порядок уведомления и внутренние потоки полномочий. Чётко определяется, что техническая команда и юридическое подразделение несут различную ответственность за содержание уведомления. Поскольку сообщения и материалы по безопасности, поступающие через USOM, передаются в адрес Президиума по кибербезопасности (Siber Güvenlik Başkanlığı), актуальный адресат и канал подтверждаются.
Критическая инфраструктура и обязанности в отношении критических услуг
Определяются услуги, активы и зависимости от поставщиков, признанные критическими. По непрерывности, тестированию, проверке, закупке продукции, отчётности об инцидентах и правам доступа по специальным нормам готовится план соответствия.
Анализ отраслевого регулирования кибербезопасности
Положения об информационных системах в области электронных коммуникаций, банковского дела, платежей и электронных денег, рынка капитала, энергетики, здравоохранения, страхования и других регулируемых видов деятельности вносятся в отдельную таблицу обязанностей. Общий план кибербезопасности не может сделать незаметным специальное правило отрасли.
Основание: Закон № 7545 · Изменения полномочий 2026 года · Актуальный канал информации · Банковское регулирование · Регулирование платёжных услуг
План реагирования на инцидент и кризисное управление
Правовая экспертиза плана реагирования на киберинцидент
Рассматриваются этапы приёма инцидента, классификации, технического сдерживания, полномочий на решения, уведомления, коммуникации, ведения записей и закрытия. План строится так, чтобы охватывать сценарии выходных и ночного времени, инциденты по вине поставщика и случаи, когда руководитель недоступен.
Классификация инцидентов и матрица степени серьёзности
Уязвимость, подозрительная активность, подтверждённый инцидент, нарушение персональных данных и перерыв критической услуги определяются отдельными порогами. На основе критериев конфиденциальности, целостности, доступности, числа лиц, характера данных, распространения и репутационного эффекта создаётся воспроизводимая структура решений.
Правовая поддержка кризисного штаба при киберинциденте
Во время активного инцидента правовой процесс решений, протокол заседаний, календарь уведомлений, анализ договоров и отчётность руководству ведутся в одном деле. Правовое заключение не заменяет техническое установление обстоятельств; решения опираются на проверенные технические данные.
Первичная правовая оценка на начальном этапе инцидента
Через подтверждение поручения и доступности определяются ответственный за инцидент, уполномоченное лицо, принимающее решения, техническая команда и безопасный канал связи. Срочные меры, сохранение записей, сроки уведомлений, обращение к внешним поставщикам услуг и первая управленческая записка отслеживаются по одному контрольному перечню. Планирование первых 24 часов инцидента не означает круглосуточной дежурной службы бюро или обязательства вмешаться в определённое время.
Основание: Закон № 7545 · Уведомление KVKK
Уведомления и управление нарушением персональных данных
Матрица уведомлений, отчётности и коммуникаций
Создаются отдельные столбцы оценки для Президиума по кибербезопасности, соответствующего отраслевого регулятора, Совета по защите персональных данных, судебных органов, страховщиков, сторон договора и субъектов данных. Фиксируются срок, момент начала, ответственное лицо, утверждающий орган и используемый канал.
KVKK и управление нарушением персональных данных
Раздельно оцениваются влияние киберинцидента на персональные данные, роли контролёра данных и обработчика данных, а также условия уведомления Совета и субъектов данных. Момент получения сведений фиксируется; срок уведомления не откладывается в ожидании окончательного судебно-технического отчёта. Обязанность обработчика немедленно информировать контролёра данных отслеживается отдельно.
Правовая проверка технических и организационных мер защиты данных
Оцениваются связь с законодательством контроля доступа, мониторинга журналов, пересмотра полномочий, резервного копирования, шифрования, обучения персонала, проверки поставщиков и практик хранения. Проверку технической достаточности проводит компетентная техническая команда; бюро управляет аспектами обязанностей, ответственности и записей.
Подготовка уведомлений регулирующим органам
Проверяется, возникла ли обязанность уведомления, момент начала срока, минимальное содержание и возможность поэтапного предоставления информации. В первичном уведомлении избегаются непроверенные окончательные выводы; для последующих уведомлений и итогового отчёта назначаются ответственный и календарь.
Коммуникация с субъектами данных, клиентами и сторонами договора
Правовое основание, целевая аудитория, содержание и время коммуникации определяются в зависимости от риска инцидента. Заявление содержит сведения, необходимые лицам для самозащиты, но без излишнего раскрытия расследования, безопасности системы и коммерческой тайны. Уведомление Совета, сообщение лицам, затронутым нарушением, и договорное уведомление клиентов учитываются как отдельные процедуры.
Основание: Уведомление KVKK · Уведомление субъекта данных · Безопасность данных KVKK
Цифровые записи, внутреннее расследование и процессы работы с персоналом
Сохранение цифровых записей и инструкция по исследованию
Определяется, какая команда и каким образом сохраняет журналы, образы дисков, электронные письма, записи аутентификации, сигналы тревоги, заявки и записи коммуникаций. Готовится письменная инструкция, чтобы исходный источник не изменялся, доступ фиксировался, а технические копии для исследования хранились отдельно.
Правовая координация цифровой криминалистики
Объём, полномочия, конфиденциальность, формат результата и порядок передачи компетентного технического поставщика услуг определяются договором. Влияние исследования на персональные данные, частную жизнь работников, коммерческую тайну и возможное расследование оценивается с правовой точки зрения.
Внутреннее расследование киберинцидента
При изучении причины, контрольного пробела, нарушения обязанностей, злоупотребления полномочиями и влияния поставщика соблюдаются справедливая процедура, конфиденциальность и ограничение цели. Беседы, протоколы, технические выводы и решения руководства ведутся как отдельные виды записей.
Внутренние угрозы и инциденты, вызванные работниками
Превышение полномочий, копирование данных, передача учётной записи, использование личных устройств или утверждение о преднамеренном ущербе рассматриваются в рамках трудового права, защиты персональных данных и уголовного права. Объём проверки остаётся соразмерным, а дисциплинарное решение опирается на проверенные записи.
Основание: Закон № 7545 · Безопасность данных KVKK
Атаки, мошенничество и перебои в услугах
Координация с прокуратурой и полицией
При инцидентах с подозрением на преступление заявления, представление записей, представительство, изъятие или запросы о проверке ведутся совместно с командой по уголовному праву. Уголовное производство само по себе не приостанавливает регуляторные уведомления и внутреннюю работу по улучшению.
Программы-вымогатели и цифровой шантаж
Совместно оцениваются шифрование, угроза утечки данных, требование платежа и давление с целью публичного раскрытия. Никакое решение о платеже или коммуникации не принимается только на основании требования без учёта санкций, доходов от преступления, страхования, платежа, персональных данных, непрерывности услуги и сохранения записей.
Компрометация корпоративной почты и платёжное мошенничество
В случаях поддельных поручений, изменения реквизитов счёта, выдачи себя за руководителя и несанкционированных переводов процессы банка, поставщика, страховщика, технической команды и судебных органов планируются одновременно. Договор, порядок утверждения полномочий и поведение работников анализируются отдельно после инцидента.
Несанкционированный доступ и захват учётной записи
Определяются затронутые учётные записи, привилегированные полномочия, сессии, доступные данные и совершённые операции. После восстановления безопасности учётных записей проводится правовая квалификация уведомлений лицам, учреждениям и сторонам договора.
Утечка данных и публикация в интернете
Технически подтверждаются принадлежность, объём и актуальность опубликованных или выставленных на продажу записей. Рассматриваются совместно варианты удаления контента, ограничения доступа, уведомления платформы, персональные данные, коммерческая тайна и судебный процесс. Варианты удаления контента или ограничения доступа определяются по характеру контента, компетентному органу и действующему порядку обращения.
DDoS и доступность услуг
При атаках типа отказа в обслуживании или длительных перебоях независимо от утечки данных рассматриваются обязательства по уровню сервиса, информирование клиентов, потери бизнеса, отраслевые уведомления и требования о возмещении. Фиксируются влияние инцидента, его продолжительность и меры, принятые сторонами; перебой не считается автоматически форс-мажором.
Основание: Закон № 7545 · Изменения полномочий 2026 года
Договоры с поставщиками, облачными и защитными сервисами
Киберриск третьих лиц и цепочки поставок
Картируются риски, возникающие от производителя программного обеспечения, компании по обслуживанию, колл-центра, бухгалтерской услуги, платёжного участника или иного поставщика. Аудит, уведомление об инциденте, субподрядчики, доступ к данным, непрерывность деятельности и положения о прекращении договора регулируются совместно.
Анализ облака, SaaS и дата-центра
Рассматриваются модель разделённой ответственности, административный доступ, доступность журналов, резервное копирование, местоположение данных, субпоставщики, уведомление об инциденте и план выхода. Стандартный документ поставщика о безопасности не снимает собственной обязанности организации. Для удалённого доступа и проверки из-за рубежа отдельно оцениваются основание передачи, объём доступа и передача записей.
Договоры об управляемой безопасности и технических услугах
Объём SOC, мониторинга, реагирования на инцидент, тестирования на проникновение, сканирования уязвимостей и цифровой криминалистики прямо прописывается в договоре. Уровень обслуживания, экстренные вызовы, владение записями, конфиденциальность, пределы полномочий, передача отчётов и положения об ответственности проверяются на сценариях инцидентов.
Киберзащитные положения в коммерческих договорах
Минимальные меры контроля, заявления о соответствии, срок уведомления об инциденте, сотрудничество, аудит, распределение расходов, пределы ответственности и права на расторжение устанавливаются в соответствии с обработкой данных. Общая фраза «будут приняты необходимые меры безопасности» не обеспечивает измеримого распределения ответственности.
Основание: Безопасность данных KVKK · Трансграничная передача KVKK · Регулирование платёжных услуг
Непрерывность деятельности, промышленные системы и учения
Правовые рамки непрерывности деятельности и аварийного восстановления
Критическая услуга, максимально допустимое время простоя, альтернативный способ работы, обязательство перед клиентами и регуляторные пороги оцениваются вместе с договорами. Обеспечивается, чтобы план учитывал не только техническое восстановление, но и непрерывность решений и коммуникации.
Учение по кибербезопасности и сценарий «за круглым столом»
Готовятся сценарии инцидентов с участием руководства, юридического отдела, технической команды, коммуникаций и бизнес-подразделений. В ходе учения измеряются время решения, содержание уведомления, пробелы в полномочиях и доступ поставщика; результаты превращаются в план корректирующих действий.
Обучение, осведомлённость и информирование руководства
Общее обучение работников, обучение привилегированных пользователей и информирование совета директоров строятся на различном содержании. Фишинг, пароли, переносные устройства, сообщение об инциденте, конфиденциальность и обязанность сохранения записей объясняются по ролям.
Промышленные системы, OT и подключённые устройства
Оценивается влияние киберинцидента на безопасность людей и непрерывность услуг в производственных линиях, энергетических объектах, медицинских устройствах или иных системах операционных технологий (OT) и интернета вещей (IoT). Устанавливается порядок полномочий, удалённого доступа, записей и ответственности между производителем, подрядчиком по обслуживанию, оператором и технической командой. Решения о безопасной остановке и возврате в эксплуатацию опираются на оценку компетентных технических и операционных команд.
Основание: Закон № 7545 · Банковское регулирование · Регулирование платёжных услуг
Раскрытие уязвимостей и полномочия на тестирование безопасности
Сообщение об уязвимости и ответственное раскрытие
Устанавливаются безопасный канал и поток полномочий для приёма, проверки, ответа и устранения уязвимости, сообщённой исследователем или третьим лицом. Добросовестное сообщение и утверждение о несанкционированном доступе различаются на основании конкретных действий и правовых границ.
Тестирование на проникновение, исследование безопасности и письменное разрешение
В письменном объёме определяются испытуемая система, учётная запись, период, допустимые методы, условие остановки и согласие третьей стороны. Регулируются защита данных, полученных во время теста, передача отчёта и раскрытие уязвимости. Наличие программы исследований или вознаграждения за ошибки не признаётся разрешением на доступ к системам за пределами объёма.
Основание: Закон № 7545 · Безопасность данных KVKK
Корпоративные операции, полномочия на продукты и услуги
Проверка кибербезопасности при слиянии и поглощении
Критические активы целевой компании, прошлые инциденты, уязвимости, поставщики, страхование, уведомления и продолжающиеся корректирующие действия подлежат правовой проверке. Риски до и после закрытия сделки отражаются в договоре, механизме цены и плане интеграции.
Киберзаявления, заверения и положения о возмещении
В инвестиционных и корпоративных сделках ясно прописываются уровень осведомлённости, период и порог существенности киберзаявлений. Для известных инцидентов, продолжающихся проверок, влияния третьих лиц и обязанности уведомления после закрытия готовятся специальные положения.
Порядок утверждения продуктов и услуг в сфере кибербезопасности
Проверяется по действующему регулированию, подлежат ли продукт, услуга и деятельность сертификации, документированию, одобрению или экспортной лицензии. Отдельно оцениваются требования к уведомлению и одобрению при передаче долей, слиянии, разделении и изменении контроля компаний кибербезопасности. Дата разрешения или соответствия не рассчитывается только от первой даты опубликования Закона; соответствующий подзаконный акт и переходное положение проверяются на дату операции.
Основание: Закон № 7545 · Изменения полномочий 2026 года
Страхование, аудит и споры об ответственности
Полис киберстрахования и заявление о страховом случае
Проверяются определение инцидента в полисе, период ожидания, исключения, одобренный поставщик услуг, выкуп, прерывание деятельности, нарушение данных и расходы на защиту. В момент инцидента уведомление страховщика и привлечение технических и юридических услуг осуществляются в соответствии с условиями полиса.
Аудит, проверка и план корректирующих действий
Выводы внутреннего аудита, независимой технической оценки или государственной проверки заносятся в общий реестр рисков. Для каждого вывода определяются ответственный, срок, критерии приёмки и запись о закрытии; техническая уязвимость не считается закрытой только потому, что обновлены документы.
Ответственность после инцидента, споры и постоянное улучшение
На основе записей об инциденте рассматриваются варианты ответственности по нарушению договора, возмещению, страхованию, работникам, руководителям, поставщикам и уголовной ответственности. Первопричины и выводы связываются с изменениями политик, договоров, обучения, бюджета и технических контролей, и готовится итоговый отчёт.
Административные санкции и судебные обращения
Выводы проверки, запросы информации, требования дать объяснения, административный штраф или административный акт, связанный с деятельностью, рассматриваются по каждому делу. Проверяются компетенция, мотивировка, соразмерность, вручение документов, порядок обжалования и сроки; затем готовятся защита и при необходимости стратегия судебного иска. Отдельно оценивается, приостанавливает ли подача обращения сам акт.
Основание: Закон № 7545 · Изменения полномочий 2026 года
Трансграничные инциденты и безопасность цифровых продуктов
Координация трансграничных киберинцидентов
Параллельные обязанности, возникающие из систем, субъектов данных, групповых компаний, клиентов или поставщиков услуг в разных странах, картируются по странам. Зарубежное правовое заключение получается через юриста, допущенного к практике в соответствующей стране, и обеспечивается согласованность уведомлений. В связи с ЕС обязанности по NIS2, DORA и продуктовому CRA оцениваются отдельно с учётом деятельности, адресата и соответствующей страны. Оказание услуг клиенту из ЕС не делает все эти режимы автоматически применимыми одинаковым образом.
Цифровые продукты и Регламент ЕС о киберустойчивости
Для цифровых продуктов, выводимых на рынок ЕС, в рамках CRA рассматриваются роли производителя и других экономических операторов, исключения, управление уязвимостями и инциденты безопасности продукта. Различаются применение положений об уведомлениях с 11 сентября 2026 года и основных обязанностей с 11 декабря 2027 года. План уведомления и соответствия готовится совместно с зарубежным юристом и технической командой после проверки объёма продукта и инцидента.
Основание: Трансграничная передача KVKK · ЕС NIS2 · ЕС DORA · ЕС CRA
Руководство по сфере действия, уведомлениям и управлению инцидентами
Заранее определяется, кто будет принимать решения, когда начнётся каждый срок и какую запись нужно сохранить.
Анализ организаций и деятельности в сфере действия Закона № 7545
Закон № 7545 о кибербезопасности создаёт широкие рамки для лиц и организаций, которые оказывают услуги с использованием информационных систем, собирают данные, обрабатывают их или ведут сходную деятельность. Закон предусматривает такие обязанности, как своевременное предоставление запрошенных сведений и записей, принятие мер, предусмотренных законодательством, незамедлительное уведомление о выявленных в сфере услуг уязвимостях или киберинцидентах и соблюдение опубликованных политик и регуляторных актов. Критическая инфраструктура, общественная услуга, поставщики продуктов или услуг и отраслевая классификация могут порождать дополнительные правила.
| Сфера проверки | Ключевой вопрос | Правовой результат |
|---|---|---|
| Статус организации | Какую услугу организация оказывает, кому и через какие системы? | Общий или отраслевой набор обязанностей |
| Информационные активы | Какие сети, приложения, базы данных и внешние сервисы критичны? | Приоритет мер, записей и непрерывности |
| Типы данных | Есть ли персональные данные, коммерческая тайна, финансовые или государственные данные? | Отдельные режимы защиты и уведомлений |
| Отрасль | Есть ли электронные коммуникации, финансы, энергетика, здравоохранение или иная регулируемая сфера? | Специальный орган и технические критерии |
| Структура закупок | У кого закупаются облако, дата-центр, программное обеспечение и услуги безопасности? | Договорная обязанность уведомления и право аудита |
| Трансграничная связь | Находятся ли система, команда, данные или клиент в другой стране? | Анализ иностранного права и множественных уведомлений |
| Влияние инцидента | Затронуты ли конфиденциальность, целостность, доступность или непрерывность услуги? | Класс инцидента, срочность и ответственность |
Сфера действия по Закону не определяется только размером компании или числом работников. Конкретные обязанности проверяются на актуальной основе через статус организации, критичность, деятельность, решения Президиума и подзаконные акты.
Основание: Закон № 7545 · Изменения полномочий 2026 года
Адресат уведомления, момент начала и срок
Единого срока уведомления для всех киберинцидентов не существует. Уведомления органам, лицам, сторонам договора и страховщикам оцениваются отдельно. Уведомление одному адресату не заменяет иных обязанностей.
| Возможный адресат | Вопрос, запускающий оценку | Подход к сроку | Основной результат |
|---|---|---|---|
| Президиум по кибербезопасности | Выявлены ли уязвимость или киберинцидент в сфере услуги; к какому классу относится организация? | Правило «без промедления» и действующий порядок проверяются отдельно | Первичное технико-правовое уведомление об инциденте |
| Отраслевой регулятор | Применяется ли специальное правило об информационных системах или уведомлении об инцидентах? | Применяются отраслевые начало срока и канал | Отраслевое уведомление и отчёт о последующих действиях |
| Совет по защите персональных данных | Получили ли посторонние лица персональные данные незаконным путём? | Без промедления, не позднее 72 часов с момента, когда нарушение стало известно; мотивированное объяснение задержки | Форма уведомления о нарушении и поэтапное обновление |
| Контролёр данных (для обработчика) | Получили ли посторонние лица персональные данные, обрабатываемые обработчиком, незаконным путём? | Немедленное уведомление контролёра данных без какого-либо промедления | Первичная информация об инциденте и последующие обновления |
| Субъекты данных | Кто затронут нарушением; какие данные и последствия? | Как можно скорее после определения затронутых лиц | Ясное, простое и содержащее указания уведомление |
| Прокуратура или полиция | Есть ли подозрение в преступлении, продолжающийся вред или потребность в срочной защите? | Оценка по деянию, заявлению и срочности | Пакет заявления и представления записей |
| Страховщик | Возникли ли убыток или расход, покрываемые полисом? | Действуют сроки извещения и предварительного одобрения, указанные в полисе | Уведомление о страховом случае и одобрение услуги |
| Клиент и сторона договора | Предусматривает ли договор положения об инциденте, перерыве или уведомлении о данных? | Часовой или дневной срок и содержание по договору | Договорное уведомление |
| Иностранный орган | Затронуты ли субъекты данных, организация или услуга в другой стране? | Отдельная проверка с юристом соответствующей страны | Уведомление по странам |
Матрица уведомлений — не статичная таблица. Её необходимо обновлять при передаче полномочий, принятии подзаконного акта, решении организации, переоценке или изменении договора. В активном инциденте первая задача — запустить все сроки отдельно на одной и той же временной шкале инцидента и зафиксировать их.
Основание: Закон № 7545 · Уведомление KVKK · Уведомление субъекта данных · Актуальный канал информации
Примерный план инцидента с первых часов до 72 часов
Эти временные интервалы — пример организации работы; они не являются установленным законом сроком ожидания или обязательством бюро вмешаться. Действия и уведомления, которые необходимо выполнить без промедления, начинаются без ожидания соответствующего этапа. Завершение окончательного технического отчёта не откладывает уведомление об известном нарушении.
Первые 0–2 часа: полномочия и безопасная коммуникация
- Назначаются ответственный за инцидент, технический руководитель, руководитель по правовым вопросам и лицо руководства, принимающее решение.
- Вместо электронной почты или канала обмена сообщениями, которые могли быть скомпрометированы, открывается проверенный альтернативный канал.
- Техническая команда принимает немедленные меры для ограничения продолжающегося вреда.
- Фиксируются системное время, первый сигнал тревоги, первое осознание инцидента и время первого решения.
- Оценивается риск ротации журналов, автоматического удаления и замены устройства.
- Проверяются пороги вызова поставщиков, страховщика и внешней технической поддержки.
Первые 2–6 часов: проверка инцидента и объём
- Составляется первичный перечень активов для затронутых учётных записей, устройств, приложений, данных и услуг.
- Техническая команда сообщает, продолжается ли инцидент, вероятность распространения и влияние на критические услуги.
- Влияние на персональные данные, коммерческую тайну, платежи, работников и общественные услуги оценивается в отдельных столбцах.
- Объём технической проверки и полномочия на доступ оформляются в письменном виде.
- Сроки первичных уведомлений вносятся в календарь по закону, отрасли, договору, страхованию и стране.
- Для руководства готовится краткая записка о состоянии, отличающая проверенные сведения, неопределённость и принятые меры.
Первые 6–24 часа: решения и первичные уведомления
- Класс инцидента и степень серьёзности временно утверждаются и могут быть обновлены по новой информации.
- Подтверждается, что уведомления, которые необходимо сделать без промедления, уже начаты; они обновляются новыми выводами.
- В уведомлении чётко отделяются проверенные факты, предположения, неизвестные обстоятельства и дата следующего обновления.
- Вопрос о необходимости заявления клиентам или общественности решается с учётом защиты людей и безопасности операций.
- Решения высокого влияния — выплата выкупа, платёж, восстановление систем или связь с атакующим — привязываются к письменной правовой и технической оценке.
- Решение, ответственный и срок каждого совещания добавляются в запись об инциденте.
Первые 24–72 часа: углубление и поэтапная отчётность
- По техническим выводам сужаются или расширяются затронутые данные и группы лиц.
- Когда возникают условия уведомления по KVKK, соблюдается верхний предел 72 часа, отсчитываемый с момента, когда нарушение стало известно; это не откладывается до данного этапа.
- Сведения, не вошедшие в первичное уведомление, дополняются поэтапно без промедления.
- Для уведомления субъектов данных готовятся затронутая группа, риск, рекомендуемые защитные шаги и канал коммуникации.
- Обновляются отчёты о последующих действиях для отраслевых органов, страховщика и сторон договора.
- Решения о непрерывности деятельности, восстановлении из резервной копии, сбросе паролей и повторном открытии доступа фиксируются с технической проверкой.
- Назначаются ответственные за разбор после инцидента, споры и корректирующие действия.
Этот порядок не является готовым шаблоном для каждого инцидента. В первые часы безопасность людей, критическая общественная услуга или продолжающийся финансовый ущерб может требовать более быстрых действий. Правовой процесс используется не для задержки технического реагирования, а для того, чтобы реагирование выполнялось уполномоченными, соразмерными и документированными средствами в соответствии со множественными обязанностями.
Основание: Закон № 7545 · Уведомление KVKK
Распределение ролей в группе реагирования на инцидент
В зависимости от размера организации обязанности могут совмещаться; полномочия на решения и ответственный за ведение записей должны быть очевидны.
| Роль | Основная обязанность | Ответственность за решение и записи |
|---|---|---|
| Высшее руководство | Решение о влиянии на бизнес, ресурсах, услуге и публичном заявлении | Запись о полномочиях и окончательном решении |
| Информационная безопасность / техническая команда | Выявление, ограничение, устранение и восстановление | Запись технической хронологии и выводов |
| Юридический отдел | Анализ обязанностей, уведомлений, договоров и ответственности | Запись правового решения и матрицы сроков |
| Непрерывность деятельности | Критические операции и альтернативный порядок работы | Запись о перерыве и восстановлении |
| Ответственные за защиту персональных данных (KVKK) | Влияние на персональные данные и субъектов данных | Запись оценки нарушения данных |
| Отдел кадров | Процесс работы с работниками, внутренними угрозами и коммуникацией | Запись соразмерной проверки и дисциплинарных мер |
| Корпоративные коммуникации | Согласованность внутренних и внешних сообщений | Запись утверждённого заявления и версии |
| Управление поставщиками | Привлечение внешних поставщиков услуг | Запись договорного уведомления и ответа |
| Внешний поставщик технических услуг | Техническая проверка в рамках договора | Запись метода, доступа и передачи |
Один и тот же человек может выполнять несколько ролей; однако технические выводы, правовая оценка и управленческие решения должны храниться как отдельные записи. Окончательные полномочия не должны оставаться неясными.
Вопросы, на которые нужно ответить до инцидента
Эффективная правовая структура создаётся до инцидента. Организация, которая не знает своих информационных активов и критических услуг, не определила полномочия на решения между руководством и технической командой, имеет договоры с поставщиками без положений об уведомлении и сотрудничестве или не установила сроки хранения записей, сталкивается в момент инцидента с технической и правовой неопределённостью.
- Какие системы и услуги считаются критическими?
- Кто классифицирует инцидент, кто проводит правовую оценку и кто принимает окончательное решение?
- Какие органы, стороны договора, страховщик или субъекты данных информируются в каждом инциденте?
- Кто уполномочен на техническую проверку и как сохраняются записи проверки?
- В какой срок поставщики, облачные провайдеры и групповые компании предоставят информацию?
- Как будет найден баланс между продолжением деятельности и сохранением записей?
- При каких порогах и в каком содержании будет осуществляться отчётность совету директоров?
- Кем и по какому графику будут контролироваться корректирующие действия после инцидента?
Ответы на эти вопросы должны подтверждать друг друга не только в политическом документе, но и в договорах, описаниях должностей, технических процедурах, плане обучения, матрице уведомлений и записях учений.
Контрольный перечень для договора с поставщиком и сервисом безопасности
Общее обязательство по безопасности само по себе не определяет, кто и что будет делать во время инцидента.
- Определены ли объём услуги, критические системы и обязанности сторон?
- Ясны ли время обнаружения инцидента, экстренные вызовы и сроки уведомления?
- Указаны ли субподрядчики, местонахождение данных и доступ из-за рубежа?
- Есть ли письменное разрешение владельца системы, необходимое для проверки и тестирования?
- Определён ли порядок доступа к журналам и выводам, их защиты, передачи и хранения?
- Кто предоставляет сведения в уведомлениях компетентным органам и субъектам данных?
- Соответствуют ли положения о перебоях, резервном копировании, возврате и плане выхода рабочему процессу?
- Есть ли положения о конфиденциальности, передаче данных и предотвращении излишнего обмена данными?
- Ясны ли вопросы ущерба, пределов ответственности, страхования и расходов третьих лиц?
- Определены ли владелец корректирующего действия, дата его завершения и критерии приёмки?
Основание: Безопасность данных KVKK · Трансграничная передача KVKK · Регулирование платёжных услуг
Потребности в кибербезопасности по отраслям
Осуществление отраслевой деятельности не означает, что каждая организация автоматически относится к той же критической инфраструктуре или категории уведомлений. Специальные нормы и конкретная деятельность оцениваются совместно.
Технологии, программное обеспечение и цифровые услуги
События SaaS и облака, доступ к системам клиентов, договоры о безопасности, закупка программного обеспечения и обязанности в отношении цифровых продуктов.
Посмотреть сектор «Технологии, программное обеспечение и цифровые услуги»Банковское дело и финансы
Информационные системы, безопасность платежей, аутсорсинг, перебои и отраслевые уведомления; в связи с ЕС — сфера DORA.
Посмотреть сектор «Банковское дело и финансы»Здравоохранение, фармацевтика и медицинские изделия
Данные пациентов, персональные данные особой категории, медицинские изделия, удалённый доступ и непрерывность медицинских услуг.
Посмотреть сектор «Здравоохранение, фармацевтика и медицинские изделия»Энергетика и инфраструктура
Критическая услуга, операционные технологии, удалённое обслуживание, доступ поставщиков, перебои и координация инцидентов.
Посмотреть сектор «Энергетика и инфраструктура»Производство и промышленность
Производственные линии, подключённые устройства, коммерческая тайна, поставщики автоматизации, остановка услуг и цифровые продукты на рынке ЕС.
Посмотреть сектор «Производство и промышленность»Розничная торговля, дистрибуция и франчайзинг
Маркетплейс, POS, данные клиентов и дилеров, захват учётной записи, платёжные инструкции и инциденты в цепочке поставок.
Посмотреть сектор «Розничная торговля, дистрибуция и франчайзинг»Транспорт, логистика и авиация
Системы эксплуатации и диспетчеризации, инфраструктура бронирования, данные о грузах и клиентах, внешние услуги и последствия перебоев.
Посмотреть сектор «Транспорт, логистика и авиация»Туризм и гостиничный бизнес
Система управления отелем, каналы бронирования, данные гостей и платежей, поставщики услуг и непрерывность деятельности.
Посмотреть сектор «Туризм и гостиничный бизнес»
Как мы ведём ваше дело?
Поручение, порядок коммуникации, ответственные лица и объём работ определяются в письменной форме.
Первичная консультация и определение объёма
При первом контакте выясняются инцидент или потребность в соответствии, статус организации, срочность, критические услуги и полномочия на решения. На этом этапе не запрашивается обширный пакет документов; в активном инциденте собирается только минимум сведений, необходимых для безопасной оценки.
Поручение, конфиденциальность и порядок коммуникации
Определяются объём услуги, ответственная команда, канал связи, при необходимости доверенность и пределы полномочий внешней технической поддержки. Обеспечивается, чтобы чувствительные записи не отправлялись через обычную форму связи с бюро или по небезопасной электронной почте.
Законодательство, договоры и карта ролей
Закон № 7545, KVKK, отраслевые правила, полисы и коммерческие договоры рассматриваются совместно. Уточняются внутренний ответственный за решения, роли контролёра данных и обработчика данных, поставщик и возможная связь с зарубежной страной.
План работы по инциденту или соответствию
В активном инциденте готовится матрица сроков и уведомлений; в превентивной работе — план рисков и корректирующих действий. Для каждой задачи определяются ответственный, целевая дата, зависимость и критерий приёмки.
Координация с техническими командами при чётко определённом объёме работ
Техническое выявление и тестирование проводятся компетентными поставщиками услуг. Бюро управляет юридически уполномоченным доступом, персональными данными, конфиденциальностью, договорами, уведомлениями, ответственностью и отношениями с учреждениями; оно не составляет технического заключения о компетентности.
Исполнение, контроль и закрытие
Контролируются уведомления, решения руководства, изменения договоров и корректирующие действия. При закрытии фиксируются открытые вопросы, повторное тестирование, обучение, обновление политик и дата следующего пересмотра.
Из Антальи — правовые услуги по всей Турции
Юридическое бюро Güneş & Güneş основано в Кемере 18 марта 1999 года адвокатом Умутом Гюнешем и с 2007 года в Анталье оказывает удалённые или, в зависимости от потребностей дела, выездные правовые услуги и координацию по делам на всей территории Турции. При необходимости организуется сотрудничество с местными коллегами и техническими поставщиками услуг.
Скорость реакции во время инцидента зависит от ролей и порядка записей, существующих до него. Поэтому политика, договоры, матрица уведомлений и учения строятся с учётом управления инцидентом и возможных споров после него.
В каждом инциденте проверенные сведения, предположения и неизвестные обстоятельства разделяются. Уведомления и заявления не содержат большей определённости, чем позволяют факты, и версионируются по мере поступления новой информации. Изменяемые сроки и процедуры учреждений проверяются в день инцидента по официальному источнику.
Возможна коммуникация на турецком, английском, немецком и русском языках. По делам за рубежом координируются выбор адвоката, допущенного к практике в соответствующей стране, объём поручения, движение документов, отслеживание процесса и информирование. Зарубежное правовое заключение и местное представительство осуществляются юристом, допущенным в той стране; объём координации, ответственность и гонорар определяются отдельно.
Первая консультация: какие сведения нужны?
Для первой консультации не обязательно иметь все записи в готовом виде. После оформления поручения и создания безопасного канала передачи в зависимости от характера дела могут быть запрошены следующие сведения:
Для первичной связи
- Деятельность организации и то, речь ли идёт о превентивном соответствии или об активном инциденте.
- Дата и время обнаружения инцидента и система или услуга, которые, как считается, затронуты.
- Краткие сведения о продолжающемся риске, перерыве или предстоящем сроке уведомления и подачи заявления.
- Уполномоченное лицо, принимающее решения, и технический контакт, с которым можно безопасно связаться.
Записи, которые могут быть рассмотрены после поручения
- Корпоративная структура, деятельность и перечень критических услуг
- Соответствующий раздел реестра информационных активов и потоков данных
- Актуальное описание архитектуры сети, приложений и внешних сервисов
- Политики кибербезопасности, реагирования на инциденты и непрерывности деятельности
- Хронология инцидента, записи сигналов тревоги и заявок
- Соответствующие журналы, заголовки электронных писем, записи доступа и аутентификации
- Проверенные первичные выводы технической команды
- Категории данных, группы лиц и роли контролёра данных и обработчика данных
- Договоры с облачными, программными, дата-центровыми, защитными и сервисными поставщиками
- Договоры с клиентами и положения о уведомлении об инцидентах
- Полис киберстрахования и порядок заявления о страховом случае
- Ранее составленные отчёты о проверках, тестировании и корректирующих действиях
- Решения совета директоров, комитета по рискам или высшего руководства
- Проекты заявлений организации, клиентам, субъектам данных или общественности
- Связи с зарубежными странами, групповыми компаниями и трансграничной передачей данных
Передача ограничивается целью и осуществляется поэтапно. Не включайте в первое сообщение бюро пароли, закрытые ключи, полные журналы, резервные копии систем, сообщения атакующего или излишние персональные данные. Записи запрашиваются только для правовой оценки, в необходимом объёме и после определения объёма и способа безопасной передачи. Ознакомьтесь с нашим подходом к конфиденциальности и информационной безопасности. Узнайте о безопасной передаче документов.
Объём услуг, гонорар и контакты
Гонорар определяется в зависимости от деятельности организации, систем и договоров, подлежащих проверке, объёма инцидента, затронутых стран, уведомлений и стадии возможного спора. Объём и гонорар превентивной консультации, поддержки при инциденте и сопровождения судебного дела согласовываются в письменной форме. Расходы технических поставщиков, цифровой криминалистики, перевода, судебные пошлины и иные расходы третьих лиц раскрываются отдельно.
Ответ на ваш запрос на консультацию будет направлен в течение 48 часов. Это не срок реагирования на активный киберинцидент или его урегулирования. В экстренных случаях подтвердите доступность и поручение по телефону. Технические меры защиты и уведомления не следует откладывать в ожидании этого ответа. Одно лишь направление сообщения бюро не создаёт адвокатских отношений.
Часто задаваемые вопросы
Что такое право кибербезопасности?
Это совокупность норм закона, отраслевых регулирований, договоров, правил управления и разрешения споров, касающихся предотвращения киберрисков, управления инцидентами и определения ответственности после инцидента. Оно не заменяет технические услуги безопасности, а создаёт правовые рамки для технических процессов.
Кому применяется Закон о кибербезопасности № 7545?
Закон содержит положения для широкого круга лиц, которые оказывают услуги с использованием информационных систем, собирают и обрабатывают данные и ведут сходную деятельность. Конкретные обязанности определяются деятельностью организации, её классификацией, связью с критической инфраструктурой и действующими подзаконными актами.
Одинаковы ли обязанности в области кибербезопасности для каждой компании?
Нет. Помимо общих принципов, отрасль, критичность услуги, тип данных, связь с государством, деятельность с продуктами или услугами и решения регулятора могут порождать разные обязанности.
Отвечает ли за кибербезопасность только отдел информационных технологий?
Нет. Технические меры выполняются техническими командами, однако надзор руководства, бюджет, закупки, договоры, персональные данные, работники и решения об уведомлениях относятся к ответственности различных подразделений.
В чём разница между киберинцидентом и нарушением персональных данных?
Киберинцидент — более широкое понятие, затрагивающее информационную систему и её безопасность. Нарушение персональных данных касается незаконного получения персональных данных посторонними лицами или нарушения их безопасности по соответствующему закону; одно и то же событие может обладать обоими признаками.
Должна ли каждая кибератака уведомляться по KVKK?
Нет. DDoS-атака или системный инцидент без какого-либо влияния на персональные данные может не порождать уведомления по KVKK; тем не менее может потребоваться уведомление по Закону № 7545 или отраслевое уведомление. Технический объём и влияние на данные проверяются отдельно.
Является ли каждое нарушение персональных данных кибератакой?
Нет. Отправка электронного письма не тому адресату, утрата документа или несанкционированное распространение работником могут составлять нарушение персональных данных без какой-либо внешней атаки.
Кого нужно проинформировать первым при киберинциденте?
Безопасным каналом следует проинформировать технического руководителя, руководителя по правовым вопросам и уполномоченного высшего руководителя, указанных во внутреннем плане реагирования организации. Порядок внешних уведомлений определяется инцидентом и матрицей обязанностей организации.
Существует ли 72-часовой срок уведомления для всех киберинцидентов?
Нет. 72 часа применяются к уведомлению Совета по защите персональных данных о некоторых нарушениях персональных данных согласно решению Совета № 2019/10. Другие органы и договоры могут предусматривать иной срок или критерий «без промедления».
С какого момента начинаются 72 часа по KVKK?
Срок начинается с момента, когда контролёр данных узнал о нарушении персональных данных. Время первого технического сигнала тревоги и момент получения сведений могут не совпадать; оба этих момента и проведённая оценка должны быть зафиксированы. Подготовка окончательного отчёта или получение одобрения руководства не начинает срок заново для уже известного нарушения.
Можно ли сделать уведомление до того, как станут известны все сведения?
В практике KVKK, когда все сведения не могут быть предоставлены одновременно, информация может передаваться поэтапно и без промедления. По другим уведомлениям также проверяется действующий порядок соответствующего органа; непроверенные сведения не записываются как установленный факт.
Нужно ли немедленно сбрасывать систему при киберинциденте?
Не всегда. Приоритетом является прекращение продолжающегося вреда; однако неконтролируемый сброс может уничтожить технические следы и записи. Сдерживание и восстановление должны выполняться компетентной технической командой по плану инцидента.
Юридически возможна ли выплата выкупа?
Единого общего ответа нет. Платёж необходимо оценивать с точки зрения санкций, доходов от преступления, страхования, уголовного права, договоров, безопасности данных и того, действительно ли платёж решит проблему. Организация не должна опираться исключительно на требование злоумышленника как на основание решения.
Нужно ли обращаться в прокуратуру при каждом инциденте?
Не каждая техническая ошибка является преступлением. При подозрении на преступление, продолжающемся вреде, захвате учётной записи, шантаже или мошенничестве оцениваются варианты заявления и срочной защиты; зависимость от жалобы и сроки проверяются по конкретному деянию.
Что означают USOM и SOME?
USOM — Национальный центр реагирования на киберинциденты, SOME — Группа реагирования на киберинциденты. Для заявлений и материалов по безопасности на USOM используется адрес Президиума по кибербезопасности. Обязанность SOME организации, адресат и канал уведомления определяются действующим регулированием.
Обязана ли каждая компания создавать корпоративную SOME?
Единая обязанность создания не может предполагаться для каждой компании. Обязанность SOME определяется отраслью, решением компетентного органа и характером организации. Даже при отсутствии обязанности создания полезно заранее определить полномочия, коммуникацию и порядок ведения записей на случай инцидента.
Кто должен сохранять журналы и записи об инцидентах?
Сохранение осуществляют технические уполномоченные организации или письменно назначенный технический поставщик услуг способом, не нарушающим целостность. Доступ, копирование, передача и этапы проверки должны фиксироваться.
Можно ли проверить устройство или электронную почту работника?
Проверка должна проводиться в рамках законной цели работодателя, предварительного информирования, политики рабочего места, соразмерности, частной жизни и норм о персональных данных. Неограниченная проверка, выходящая за рамки цели, неуместна.
Отвечает ли организация за инцидент у поставщика облачных услуг?
Ответственность автоматически не переходит к поставщику полностью. Совместно рассматриваются роли в данных, договоры, выбор поставщика организацией и надзор за ним, общая техническая структура и отраслевые правила.
Какие положения должны содержаться в договорах о кибербезопасности?
Минимальные меры контроля, доступ, журналы, срок уведомления об инциденте, сотрудничество, субподрядчики, аудит, непрерывность, возврат данных, ответственность и положения о расторжении должны быть написаны в соответствии с обработкой данных. Положения должны быть измеримыми и исполнимыми.
Может ли совет директоров нести ответственность за киберинцидент?
Могут возникнуть неделегируемые обязанности совета, обязанность надзора, осведомлённость о риске, принятые решения и — в зависимости от сектора компании — ответственность. Ответственность оценивается не только по факту наступления инцидента, но и по разумным шагам управления и реагирования.
Покрывает ли киберстрахование все убытки?
Нет. Полис может содержать определение инцидента, исключения, франшизу, период ожидания, заявления о безопасности, требование предварительного одобрения и суб-лимиты. До инцидента проверяется объём покрытия, а во время инцидента — условия извещения.
Проводит ли юридическое бюро тестирование на проникновение или техническую цифровую криминалистику?
Нет. Техническое тестирование, мониторинг, восстановление систем и цифровая криминалистика выполняются в этой сфере компетентными поставщиками услуг. Бюро управляет правовыми рамками поручения и аспектами уведомлений, ответственности и споров в отношении результатов.
Какие сведения нужны для первой консультации?
Деятельность организации, время обнаружения инцидента, предполагаемая затронутая услуга или система, продолжающийся риск, технический контакт и лицо, уполномоченное принимать решения, обычно достаточны для первичной оценки. Подробные записи запрашиваются поэтапно после установления поручения и порядка безопасной передачи.
Дает ли 24–72-часовой план право ждать с уведомлением?
Нет. План является примерной последовательностью работ. Уведомления и защитные меры, которые должны выполняться без промедления, не откладываются. По KVKK 72 часа также являются верхним пределом; не требуется, чтобы все сведения или окончательный технический отчёт были готовы.
Когда обработчик данных должен информировать контролёра данных?
Если персональные данные, обрабатываемые обработчиком, получены посторонними лицами незаконным путём, контролёр данных должен быть проинформирован без какого-либо промедления. Также применяются договорные положения о срочном уведомлении и сотрудничестве.
Применяются ли NIS2, DORA и CRA к каждой турецкой компании?
Нет. Оцениваются вид деятельности, продукты или услуги, выводимые на рынок ЕС, роль организации, исключения и регулирование соответствующей страны. Договоры поставки также могут создавать отдельные обязанности. Для CRA различаются дата начала уведомлений — 11 сентября 2026 года — и общая дата применения — 11 декабря 2027 года.
Нужно ли отправлять логи инцидента или пароли в форму связи с бюро?
Нет. При первом обращении достаточно сведений об организации, времени обнаружения инцидента, затронутой услуге, продолжающемся риске и безопасном контакте. Пароли, ключи, полные журналы и резервные копии не отправляются. Объём необходимых записей и способ безопасной передачи определяются после поручения.
Связанные правовые услуги
Защита персональных данных
Обработка данных, нарушения данных, права субъектов данных и процессы передачи.
Киберпреступления и онлайн-мошенничество
Заявления о преступлении, расследование, представительство и цифровые доказательства.
Цифровые технологии и ИИ
Правовые рамки новых технологий и цифровой деятельности.
Программное обеспечение, SaaS и облако
Договоры о программном обеспечении, уровне услуг и облаке.
Корпоративное управление и комплаенс
Ответственность руководства, внутренний контроль и внутренняя проверка.
Экономические преступления и корпоративные расследования
Уголовно-правовое измерение действий работников и руководителей.
Страховое и перестраховочное право
Полисы, уведомления о страховых случаях, объём покрытия и страховые споры.
Договорное право
Закупки, обязательства по безопасности и договорная ответственность.
Слияния и поглощения
Проверка до инвестиции, закрытие сделки и распределение рисков.
Международная координация
Координация дел и проверка по странам с зарубежными юристами.
Электронная торговля и платформы
Отношения с платформами, онлайн-продажи, контент и потребительские процессы.
Удаление контента из интернета и право на забвение
Пути удаления утёкшего или опубликованного контента, ограничения доступа и уведомления платформ.
Безопасность и ответственность за продукцию
Требования безопасности и ответственность производителя для программных и подключённых продуктов.
Другие связанные отрасли
Законодательство и официальные источники
Эта страница носит общий информационный характер. Техническое содержание инцидента, роль организации, применимое законодательство и договоры должны оцениваться совместно. Страница не содержит правового заключения по конкретному делу и не обещает результата. Дата проверки источников: 4 октября 2026 года.
- Закон № 7545 о кибербезопасности (откроется в новой вкладке)
Текст, принятый Великим национальным собранием Турции; сфера действия, ответственность, надзор и правила деятельности. Рассматривается вместе с последующими изменениями.
- Закон № 7590: положения о полномочиях и переходные положения (откроется в новой вкладке)
Положения о передаче полномочий по законам № 7545 и № 5651 и о сохранении действующих подзаконных актов.
- Уведомление о нарушении персональных данных: решение № 2019/10 (откроется в новой вкладке)
Момент получения сведений, уведомление Совета, поэтапное предоставление сведений и обязанность обработчика информировать.
- Уведомление субъекта данных: решение № 2019/271 (откроется в новой вкладке)
Минимальное содержание уведомления лица, затронутого нарушением.
- Обязанности по безопасности данных (откроется в новой вкладке)
Совместное рассмотрение технических и организационных мер, надзора и ответственности.
- Передача персональных данных за рубеж (откроется в новой вкладке)
Механизмы передачи при обмене с зарубежными техническими командами, групповыми компаниями и облачными сервисами.
- Передача услуг USOM Президиуму по кибербезопасности (откроется в новой вкладке)
Официальное объявление, перенаправляющее сообщения, CVE и материалы по безопасности на адрес Президиума.
- Регулирование BDDK об информационных системах (откроется в новой вкладке)
Официальный перечень нормативных актов об информационных системах банков и услугах электронного банкинга.
- Законодательство TCMB о платёжных системах и услугах (откроется в новой вкладке)
Официальный перечень нормативных актов о правилах информационных систем платёжных организаций и организаций электронных денег.
- Директива NIS2 (откроется в новой вкладке)
Европейская комиссия: сфера действия, сектора и внедрение на уровне стран. Предлагаемые поправки не смешиваются с действующим правилом.
- DORA: исполнительные и дополняющие акты (откроется в новой вкладке)
Операционная устойчивость финансовых организаций, обязанности по инцидентам и третьим лицам.
- Регламент о киберустойчивости (CRA): сфера действия и даты применения (откроется в новой вкладке)
Продукты с цифровыми элементами; положения об уведомлениях с 11 сентября 2026 года и основные обязанности с 11 декабря 2027 года.
Давайте оценим ваши киберриски и правовые потребности
Вы можете поделиться данными об организации, потребности в соответствии или кратким описанием инцидента через безопасный контакт. Объём проверки и дальнейшие шаги мы определим на первой консультации.