Siber Güvenlik Hukuku ve
Siber Olay Müdahalesi

Siber Güvenlik Hukukî Risk Haritası

Kurumun iş modeli, kritik hizmetleri, veri türleri, bilişim varlıkları, tedarikçileri ve tabi olduğu düzenlemeler birlikte incelenir. Mevcut kontroller yalnız belge varlığına göre değil, gerçek işleyiş ve sorumluluk dağılımına göre değerlendirilir; yüksek etkili açıklar için öncelik ve sorumlu matrisi hazırlanır.

Kurumsal Siber Yönetişim Modeli

Yönetim kurulu, üst yönetim, hukuk, bilgi güvenliği, bilgi teknolojileri, risk, iç denetim, insan kaynakları ve iletişim birimlerinin görev sınırları yazılır. Karar, raporlama ve eskalasyon akışları kurumun mevcut yönetim yapısına uyarlanır.

Yönetim Kurulu ve Üst Yönetim Gözetim Süreçleri

Siber riskin yönetim gündemine taşınması, periyodik gösterge seti, kritik olay eşiği, yatırım kararlarının kaydı ve düzeltici faaliyet takibi yapılandırılır. Türk Ticaret Kanunu, sektör düzenlemeleri ve şirket içi yetki düzeni bakımından gözetim sorumluluğu incelenir.

Siber Güvenlik Politika ve Prosedür Mimarisi

Üst politika, kabul edilebilir kullanım, erişim, kayıt yönetimi, olay müdahalesi, yedekleme, tedarikçi güvenliği, zafiyet yönetimi ve iş sürekliliği belgeleri arasında hiyerarşi kurulur. Belgelerin birbiriyle ve gerçek teknik uygulamayla çelişmemesi sağlanır.

Bilgi Güvenliği, Gizlilik ve Rol Dağılımı

Bilgi güvenliği yöneticisi, teknik operasyon, veri koruma sorumluları, hukuk ve iç denetim arasında çakışan veya sahipsiz görevler belirlenir. Rol matrisi, iş tanımı ve olay müdahale planında aynı adlandırmayla kullanılır.

Dayanak: 7545 sayılı Kanun · KVKK veri güvenliği

7545 Sayılı Kanun Kapsam ve Yükümlülük Analizi

Kurumun Kanun içindeki konumu; hizmet sunumu, veri işleme, kritik altyapı bağlantısı, siber güvenlik alanında faaliyet ve ürün tedariki gibi ölçütlerle belirlenir. Bilgi sunma, tedbir alma, olay bildirimi, denetim, sertifikasyon ve geçiş hükümleri güncel düzenlemelerle birlikte incelenir.

USOM ve SOME Süreçlerinin Hukukî Yapılandırılması

Kurumsal veya sektörel SOME yükümlülüğü, iletişim kişileri, bildirim usulü ve kurum içi yetki akışı incelenir. Teknik ekip ile hukuk biriminin bildirim içeriğinde farklı sorumluluk taşıdığı açık biçimde düzenlenir. USOM üzerinden sunulan ihbar ve güvenlik içeriklerinin Siber Güvenlik Başkanlığı adresine taşınması dikkate alınarak güncel muhatap ve kanal doğrulanır.

Kritik Altyapı ve Kritik Hizmet Yükümlülükleri

Kritik kabul edilen hizmet, varlık ve tedarik bağımlılıkları belirlenir. Süreklilik, test, denetim, ürün tedariki, olay raporlaması ve erişim yetkileri bakımından özel düzenlemelerle uyum planı hazırlanır.

Sektörel Siber Güvenlik Mevzuatı Analizi

Elektronik haberleşme, bankacılık, ödeme ve elektronik para, sermaye piyasası, enerji, sağlık, sigorta ve diğer düzenlenmiş faaliyetlerdeki bilgi sistemi hükümleri ayrı bir yükümlülük tablosuna işlenir. Genel siber güvenlik planı, sektörün özel kuralını görünmez hâle getiremez.

Dayanak: 7545 sayılı Kanun · 2026 görev değişiklikleri · Güncel ihbar ve bilgi kanalı · Bankacılık düzenlemeleri · Ödeme hizmetleri düzenlemeleri

Siber Olay Müdahale Planının Hukukî İncelemesi

Olayın alınması, sınıflandırılması, teknik sınırlandırma, karar yetkisi, bildirim, iletişim, kayıt tutma ve kapanış aşamaları incelenir. Plan; hafta sonu, gece, tedarikçi kaynaklı olay ve yöneticiye ulaşılamama senaryolarını da kapsayacak biçimde yapılandırılır.

Olay Sınıflandırma ve Önem Derecesi Matrisi

Zafiyet, şüpheli etkinlik, doğrulanmış olay, kişisel veri ihlali ve kritik hizmet kesintisi ayrı eşiklerle tanımlanır. Gizlilik, bütünlük, erişilebilirlik, kişi sayısı, veri niteliği, yayılma ve itibar etkisi gibi ölçütlerden tekrarlanabilir bir karar yapısı oluşturulur.

Siber Olay Kriz Masası Hukukî Desteği

Aktif olay sırasında hukukî karar akışı, toplantı kaydı, bildirim takvimi, sözleşme incelemesi ve yönetim raporlaması tek dosyada yönetilir. Hukukî görüş, teknik tespit yerine geçmez; kararlar doğrulanmış teknik veriye dayanır.

Olayın İlk Aşamasında Acil Hukukî Değerlendirme

Görevlendirme ve erişilebilirlik teyidiyle olay sahibi, yetkili karar verici, teknik ekip ve güvenli iletişim kanalı belirlenir. Acil tedbirler, kayıt muhafazası, bildirim saatleri, dış hizmet sağlayıcı çağrısı ve ilk yönetim notu aynı kontrol listesinde izlenir. Olayın ilk 24 saatine ilişkin planlama, büro için kesintisiz nöbet veya belirli saatte müdahale taahhüdü anlamına gelmez.

Dayanak: 7545 sayılı Kanun · KVKK ihlal bildirimi

Bildirim, Raporlama ve İletişim Matrisi

Siber Güvenlik Başkanlığı, ilgili sektörel kurum, Kişisel Verileri Koruma Kurulu, adlî makamlar, sigortacı, sözleşme tarafı ve ilgili kişiler bakımından ayrı değerlendirme sütunları kurulur. Süre, başlangıç anı, sorumlu kişi, onay makamı ve kullanılacak kanal kayıt altına alınır.

KVKK ve Kişisel Veri İhlali Yönetimi

Siber olayın kişisel veriye etkisi, veri sorumlusu ve veri işleyen rolleri ile Kurula ve ilgili kişilere bildirim koşulları ayrı ayrı değerlendirilir. Öğrenme anı kayda alınır; kesin adlî bilişim raporu beklenerek bildirim süresi ertelenmez. Veri işleyenin veri sorumlusuna gecikmeden bilgi verme yükümlülüğü ayrıca izlenir.

Veri Güvenliği Teknik ve İdarî Tedbirlerinin Hukukî İncelemesi

Erişim kontrolü, kayıt izleme, yetki gözden geçirme, yedekleme, şifreleme, personel eğitimi, tedarikçi denetimi ve saklama uygulamalarının mevzuatla ilişkisi değerlendirilir. Teknik yeterlilik testi yetkili teknik ekipçe yapılır; hukuk bürosu yükümlülük, sorumluluk ve kayıt boyutunu yönetir.

Düzenleyici Kurum Bildirimlerinin Hazırlanması

Bildirim yükümlülüğünün doğup doğmadığı, sürenin başlangıcı, asgari içerik ve aşamalı bilgi sunma imkânı doğrulanır. İlk bildirimde doğrulanmamış kesin sonuçlardan kaçınılır; takip bildirimleri ve kapanış raporu için sorumlu ile takvim belirlenir.

İlgili Kişi, Müşteri ve Sözleşme Tarafı İletişimi

İletişimin hukukî dayanağı, hedef kitlesi, içeriği ve zamanı olayın riskine göre belirlenir. Açıklama; kişilerin kendilerini koruyabilmesi için gereken bilgiyi verirken soruşturmayı, sistem güvenliğini ve ticari sırları gereksiz biçimde açığa çıkarmaz. Kurul bildirimi, ihlalden etkilenen kişilere bildirim ve sözleşmesel müşteri bildirimi ayrı işlemler olarak kayda alınır.

Dayanak: KVKK ihlal bildirimi · İlgili kişi bildirimi · KVKK veri güvenliği

Dijital Kayıtların Muhafazası ve İnceleme Talimatı

Log, disk imajı, e-posta, kimlik doğrulama kaydı, alarm, bilet ve iletişim kayıtlarının hangi ekipçe nasıl korunacağı belirlenir. Orijinal kaynağın değiştirilmemesi, erişimlerin kaydedilmesi ve teknik inceleme kopyalarının ayrılması için yazılı talimat hazırlanır.

Adlî Bilişim Çalışmasının Hukukî Koordinasyonu

Yetkin teknik hizmet sağlayıcının kapsamı, yetkisi, gizliliği, çıktı biçimi ve teslim usulü sözleşmeyle belirlenir. İncelemenin kişisel veri, çalışan mahremiyeti, ticari sır ve olası soruşturma etkisi hukukî açıdan yönetilir.

Kurum İçi Siber Olay İncelemesi

Olayın nedeni, kontrol açığı, görev ihmali, yetki kötüye kullanımı ve tedarikçi etkisi incelenirken adil süreç, gizlilik ve amaçla sınırlılık korunur. Görüşme, tutanak, teknik bulgu ve yönetim kararı ayrı kayıt türleri olarak yönetilir.

İç Tehdit ve Çalışan Kaynaklı Olaylar

Yetki aşımı, veri kopyalama, hesabın paylaşılması, kişisel cihaz kullanımı veya kasıtlı zarar iddiası; iş hukuku, kişisel veri ve ceza hukuku sınırları içinde incelenir. İnceleme kapsamı ölçülü tutulur ve disiplin kararı doğrulanmış kayıtlara dayanır.

Dayanak: 7545 sayılı Kanun · KVKK veri güvenliği

Savcılık ve Kolluk Süreçlerinin Koordinasyonu

Suç şüphesi bulunan olaylarda başvuru, kayıt sunumu, temsil, el koyma veya inceleme talepleri ceza hukuku ekibiyle birlikte yönetilir. Ceza süreci, düzenleyici bildirim ve kurum içi iyileştirme çalışmalarını kendiliğinden durdurmaz.

Fidye Yazılımı ve Dijital Şantaj Olayları

Şifreleme, veri sızdırma tehdidi, ödeme talebi ve kamuya açıklama baskısı birlikte değerlendirilir. Yaptırım, suç gelirleri, sigorta, ödeme, kişisel veri, hizmet sürekliliği ve kayıt koruma boyutları görülmeden tek başına ödeme veya iletişim kararı verilmez.

Kurumsal E-Posta Ele Geçirme ve Ödeme Dolandırıcılığı

Sahte talimat, hesap değişikliği, yönetici taklidi ve yetkisiz havale olaylarında banka, tedarikçi, sigortacı, teknik ekip ve adlî makam süreçleri eş zamanlı planlanır. Sözleşme, yetki prosedürü ve çalışan davranışı olay sonrasında ayrıca incelenir.

Yetkisiz Erişim ve Hesap Ele Geçirme

Etkilenen hesaplar, ayrıcalıklı yetkiler, oturumlar, erişilen veri ve yapılan işlemler belirlenir. Hesap güvenliğinin yeniden kurulmasıyla birlikte kişi, kurum ve sözleşme bildirimleri bakımından hukukî sınıflandırma yapılır.

Veri Sızıntısı ve İnternette Yayımlama Olayları

Yayımlanan veya satışa çıkarılan kayıtların kuruma aidiyeti, kapsamı ve güncelliği teknik olarak doğrulatılır. İçerik kaldırma, erişim, platform bildirimi, kişisel veri, ticari sır ve adlî süreç seçenekleri birlikte ele alınır. İçerik kaldırma veya erişim tedbiri seçenekleri; içeriğin niteliği, yetkili makam ve güncel başvuru yolu üzerinden belirlenir.

DDoS ve Hizmet Erişilebilirliği Olayları

Hizmet engelleme saldırısı veya uzun kesintide, veri sızıntısından bağımsız olarak hizmet seviyesi taahhütleri, müşteri bilgilendirmesi, iş kaybı, sektör bildirimi ve tazminat talepleri incelenir. Olayın etkisi, süre ve tarafların aldığı tedbirler kayıt altına alınır; kesintinin otomatik olarak mücbir sebep oluşturduğu varsayılmaz.

Dayanak: 7545 sayılı Kanun · 2026 görev değişiklikleri

Üçüncü Taraf ve Tedarik Zinciri Siber Riski

Yazılım üreticisi, bakım şirketi, çağrı merkezi, muhasebe hizmeti, ödeme ortağı veya başka tedarikçiden doğan riskler haritalanır. Denetim, olay bildirimi, alt yüklenici, veri erişimi, iş sürekliliği ve sözleşme sona erme hükümleri birlikte düzenlenir.

Bulut, SaaS ve Veri Merkezi Güvenlik İncelemesi

Paylaşılan sorumluluk modeli, yönetici erişimi, log erişilebilirliği, yedekleme, veri konumu, alt hizmet sağlayıcı, olay bildirimi ve çıkış planı incelenir. Hizmet sağlayıcının standart güvenlik belgesi, kurumun kendi yükümlülüğünü ortadan kaldırmaz. Yurt dışından uzaktan erişim ve inceleme için aktarım dayanağı, erişim kapsamı ve kayıt paylaşımı ayrıca değerlendirilir.

Yönetilen Güvenlik ve Teknik Hizmet Sözleşmeleri

SOC, izleme, olay müdahalesi, sızma testi, zafiyet taraması ve adlî bilişim hizmetlerinin kapsamı açıkça yazılır. Hizmet seviyesi, acil çağrı, kayıt sahipliği, gizlilik, yetki sınırı, rapor teslimi ve sorumluluk hükümleri olay senaryolarıyla test edilir.

Ticari Sözleşmelerde Siber Güvenlik Hükümleri

Asgari kontroller, uyum beyanları, olay bildirimi süresi, iş birliği, denetim, maliyet paylaşımı, sorumluluk sınırı ve fesih hakları işleme göre düzenlenir. Genel “gerekli güvenlik alınır” cümlesi, ölçülebilir sorumluluk dağılımı sağlamaz.

Dayanak: KVKK veri güvenliği · KVKK yurt dışına aktarım · Ödeme hizmetleri düzenlemeleri

İş Sürekliliği ve Felaket Kurtarma Hukukî Çerçevesi

Kritik hizmet, azami kesinti süresi, yedek çalışma yöntemi, müşteri taahhüdü ve düzenleyici eşikler sözleşmelerle birlikte değerlendirilir. Planın yalnız teknik geri yüklemeye değil, karar ve iletişim sürekliliğine de yer vermesi sağlanır.

Siber Güvenlik Tatbikatı ve Masa Başı Senaryosu

Yönetim, hukuk, teknik ekip, iletişim ve iş birimlerinin katıldığı olay senaryoları hazırlanır. Tatbikatta karar süresi, bildirim içeriği, yetki boşluğu ve tedarikçi erişimi ölçülür; sonuçlar düzeltici faaliyet planına dönüştürülür.

Eğitim, Farkındalık ve Yönetim Bilgilendirmesi

Genel çalışan eğitimi, ayrıcalıklı kullanıcı eğitimi ve yönetim kurulu bilgilendirmesi farklı içeriklerle tasarlanır. Kimlik avı, parola, taşınabilir cihaz, olay bildirimi, gizlilik ve kayıt koruma yükümlülükleri görev bazında açıklanır.

Endüstriyel Sistemler, OT ve Bağlantılı Cihazlar

Üretim hattı, enerji tesisi, tıbbi cihaz veya başka operasyonel teknoloji (OT) ve nesnelerin interneti (IoT) sistemlerinde siber olayın insan güvenliği ve hizmet sürekliliği üzerindeki etkisi değerlendirilir. Üretici, bakım yüklenicisi, işletmeci ve teknik ekip arasındaki yetki, uzaktan erişim, kayıt ve sorumluluk düzeni kurulur. Güvenli durdurma ve yeniden işletime alma kararları yetkili teknik ve operasyon ekiplerinin değerlendirmesine dayanır.

Dayanak: 7545 sayılı Kanun · Bankacılık düzenlemeleri · Ödeme hizmetleri düzenlemeleri

Zafiyet Bildirimi ve Sorumlu Açıklama Süreci

Araştırmacı veya üçüncü kişi tarafından bildirilen açığın alınması, doğrulanması, yanıtlanması ve giderilmesi için güvenli kanal ile yetki akışı kurulur. İyi niyetli bildirim ile yetkisiz erişim iddiası somut eylem ve hukukî sınırlar üzerinden ayrılır.

Sızma Testi, Güvenlik Araştırması ve Yazılı Yetki

Test yapılacak sistem, hesap, zaman aralığı, izin verilen yöntem, durdurma koşulu ve üçüncü taraf onayı yazılı kapsamda belirlenir. Test sırasında erişilen verinin korunması, raporun teslimi ve zafiyetin açıklanması düzenlenir. Araştırma veya ödül programı bulunması, kapsam dışındaki sistemlere erişim izni olarak kabul edilmez.

Dayanak: 7545 sayılı Kanun · KVKK veri güvenliği

Birleşme ve Devralmada Siber Güvenlik İncelemesi

Hedef şirketin kritik varlıkları, geçmiş olayları, açıkları, tedarikçileri, sigortası, bildirimleri ve devam eden düzeltici faaliyetleri hukukî incelemeye alınır. Kapanış öncesi ve sonrası risklerin sözleşmeye, bedel mekanizmasına ve entegrasyon planına yansıması sağlanır.

Siber Beyan, Tekeffül ve Tazmin Hükümleri

Yatırım ve şirket işlemlerinde siber güvenlik beyanlarının bilgi düzeyi, dönem ve önemlilik sınırı açık yazılır. Bilinen olay, devam eden inceleme, üçüncü taraf etkisi ve kapanış sonrası bildirim yükümlülüğü için özel hükümler hazırlanır.

Siber Güvenlik Ürün ve Hizmetlerinde Yetkilendirme Süreçleri

Ürün, hizmet ve faaliyetin sertifikasyon, belgelendirme, onay veya ihracat iznine tabi olup olmadığı güncel düzenlemelerle incelenir. Siber güvenlik şirketlerinin pay devri, birleşme, bölünme ve kontrol değişikliği işlemleri için bildirim ve onay gereklilikleri ayrıca değerlendirilir. İzin veya uyum tarihi, yalnız Kanunun ilk yayım tarihinden hareketle hesaplanmaz; ilgili ikincil düzenleme ve geçiş hükmü işlem tarihinde kontrol edilir.

Dayanak: 7545 sayılı Kanun · 2026 görev değişiklikleri

Siber Sigorta Poliçesi ve Hasar Bildirimi

Poliçenin olay tanımı, bekleme süresi, istisna, onaylı hizmet sağlayıcı, fidye, iş durması, veri ihlali ve savunma gideri hükümleri incelenir. Olay anında sigortacıya bildirim ile teknik ve hukukî hizmet alımı poliçe şartlarıyla uyumlu yürütülür.

Denetim, İnceleme ve Düzeltici Faaliyet Planı

Kurum içi denetim, bağımsız teknik değerlendirme veya kamu denetimi bulguları ortak bir risk kaydına alınır. Bulgular için sorumlu, süre, kabul ölçütü ve kapanış kaydı belirlenir; yalnız belge güncellemesiyle teknik açık kapatılmış sayılmaz.

Olay Sonrası Sorumluluk, Uyuşmazlık ve Sürekli İyileştirme

Sözleşme ihlali, tazminat, sigorta, çalışan, yönetici, tedarikçi ve ceza sorumluluğu seçenekleri olay kayıtları üzerinden incelenir. Kök neden ve öğrenilen dersler politika, sözleşme, eğitim, bütçe ve teknik kontrol değişikliklerine bağlanarak kapanış raporu hazırlanır.

İdarî Yaptırımlar ve Yargısal Başvurular

Denetim bulgusu, bilgi talebi, savunma istemi, para cezası veya faaliyetle ilgili idarî işlem dosya bazında incelenir. Yetki, gerekçe, ölçülülük, tebligat, başvuru yolu ve süreler doğrulanarak savunma ve gerektiğinde dava stratejisi hazırlanır. Başvuru yapılmasının işlemi kendiliğinden durdurup durdurmadığı ayrıca değerlendirilir.

Dayanak: 7545 sayılı Kanun · 2026 görev değişiklikleri

Sınır Ötesi Siber Olay Koordinasyonu

Farklı ülkelerdeki sistem, veri sahibi, grup şirketi, müşteri veya hizmet sağlayıcı nedeniyle doğan paralel yükümlülükler ülke bazında haritalanır. Yabancı hukuk görüşü, ilgili ülkede yetkili hukukçu aracılığıyla temin edilir; bildirimlerin birbiriyle çelişmemesi sağlanır. AB bağlantısında NIS2, DORA ve ürün özelindeki CRA yükümlülükleri; faaliyet, muhatap ve ilgili ülke bakımından ayrı incelenir. AB müşterisine hizmet verilmesi, bu rejimlerin tümünü kendiliğinden aynı biçimde uygulanır hâle getirmez.

Dijital Ürünler ve AB Siber Dayanıklılık Tüzüğü

AB pazarına sunulan dijital unsurlu ürünlerde üretici ve diğer ekonomik aktör rolleri, istisnalar, zafiyet yönetimi ve ürün güvenliği olayları CRA kapsamında incelenir. Bildirim hükümlerinin 11 Eylül 2026, temel yükümlülüklerin ise 11 Aralık 2027 itibarıyla uygulanması ayrıştırılır. Ürün ve olay kapsamı doğrulanarak yabancı hukukçu ve teknik ekiple birlikte bildirim ve uyum planı hazırlanır.

Dayanak: KVKK yurt dışına aktarım · AB NIS2 · AB DORA · AB CRA