Siber Güvenlik Hukuku: Veri İhlali Sorumluluğu ve Saldırı Müdahalesi
Türkiye'de siber güvenlik mevzuatı, veri ihlali sonrası hukuki yükümlülükler, saldırı araçlarının hukuki sınırı ve şirketlerin siber risk yönetimi çerçevesi.
Siber güvenlik ve hukuk
Siber güvenlik hukuku; dijital sistemlere yapılan saldırıları, veri ihlallerini ve bu ihlallerin sonuçlarını düzenleyen kurallar bütünüdür. Türkiye'de tek bir "Siber Güvenlik Kanunu" yoktur; mevzuat birçok kanuna dağılmıştır.
Temel yasal çerçeve
| Mevzuat | Konu |
|---|---|
| TCK m.243-245 | Bilişim suçları (yetkisiz erişim, sistem sabotajı) |
| 6698 sayılı KVKK | Kişisel veri ihlali bildirimi |
| 5651 sayılı Kanun | İnternet içerik düzenlemesi, URL engelleme |
| BTK düzenlemeleri | Elektronik haberleşme güvenliği |
| 5809 sayılı EHK | Operatör güvenlik yükümlülükleri |
Bilişim suçları — TCK m.243-245
Sisteme izinsiz girme (m.243)
Bir bilişim sistemine yetkisiz olarak girmek veya kalmak suçtur. Ceza: 1 yıla kadar hapis.
Sisteme girişte zarar verilmişse ceza artırılır.
Sistemi engelleme, bozma ve veri yok etme (m.244)
DDoS saldırısı, sistem sabotajı, verilerin silinmesi:
- 2-4 yıl hapis (temel suç),
- Banka, kamu sistemi hedefliyse ceza artırılır.
Banka hesabı dolandırıcılığı (m.245)
Başkasının bilişim sistemi aracılığıyla menfaat edinme: 3-7 yıl hapis.
Veri ihlali sonrası yükümlülükler
KVKK kapsamında veri ihlali durumunda:
- 172 saat içinde Kişisel Verileri Koruma Kurumu'na (KVKK) bildirim,
- 2İlgili kişilere makul sürede bildirim,
- 3Olay müdahale raporu ve adli analiz,
- 4Önleyici tedbirler belgesi.
Bildirimin yapılmaması veya gecikmesi idari yaptırım gerektirir.
Penetrasyon testi (pentest) ve hukuki sınır
Siber güvenlik uzmanları, sistemlerin güvenlik açıklarını bulmak için penetrasyon testi yapar. Hukuki sınır nettir:
- Yetkili pentest: Sistem sahibinin yazılı izniyle yapılır; suç oluşturmaz,
- Yetkisiz pentest: TCK m.243 kapsamında suç; "iyiniyetle yaptım" savunması geçmez.
Pentest sözleşmeleri; kapsam, süre ve erişim izinlerini açıkça tanımlamalıdır.
Bug bounty programları
Şirketlerin güvenlik açığı keşfeden araştırmacılara ödül verdiği bug bounty programları, yetkili güvenlik araştırmasının meşru bir biçimidir. Program kapsamı dışında yapılan araştırma yine de hukuki risk taşır.
Şirketlerin siber risk yönetimi
Hukuki perspektiften şirketlerin alması gereken önlemler:
- 1ISO 27001 veya eşdeğer güvenlik politikası,
- 2Veri ihlali müdahale planı (hazır şablonlarla değil, kuruma özgü),
- 3Çalışan eğitimi (phishing farkındalığı),
- 4Satıcı/tedarikçi güvenlik sözleşmeleri (DPA),
- 5Siber sigorta poliçesi.
KVKK kapsamında kişisel veri işleyen her kurum bu önlemleri almakla yükümlüdür.
Pratik vakalar
Vaka 1: Hastane veri ihlali
Bir hastanede fidye yazılımı saldırısı sonucu 200.000 hasta kaydı sızdı.
- KVKK'ya 72 saatte bildirim yapıldı; Kurul soruşturma başlattı,
- Hastane teknik önlem eksikliği nedeniyle 1.200.000 TL idari ceza aldı,
- Saldırıya ilişkin TCK kapsamında savcılığa suç duyurusunda bulunuldu.
Vaka 2: Yetkisiz pentest
Güvenlik araştırmacısı X, izinsiz olarak bir e-ticaret sitesinin veritabanına girdi ve açıkları buldu. Şirkete "iyiniyetle" bildirdi; ancak şirket şikâyetçi oldu.
- TCK m.243 kapsamında dava açıldı; "iyiniyet" savunması kabul edilmedi,
- X hapis cezası aldı (ertelenmiş).
Sık yapılan 5 hata
1. Pentest öncesi yazılı yetkilendirme almamak — sözlü veya e-posta onayı yeterli değil; noter veya imzalı kapsamlı yetkilendirme belgesi şart.
2. Veri ihlalini 72 saatte bildirmemek — KVKK kurumu 72 saat içinde bilgilendirilmeli; gecikmek tarhiyatı artırır.
3. Siber sigortayı atlamak — büyük saldırılarda teknik kurtarma maliyeti, müşteri bildirimleri ve avukat masrafları sigorta olmadan şirketi tehdit eder.
4. Tedarikçi güvenliğini değerlendirmemek — en büyük veri ihlallerinin önemli kısmı tedarikçi zincirinden gelmektedir; DPA ve teknik denetim zorunlu.
5. Bug bounty kapsamını belirsiz bırakmak — kapsam dışı sistemlere giren araştırmacı TCK kapsamına girdiğinden, program şartları hukuki danışmanlıkla hazırlanmalıdır.
Kapanış
Siber güvenlik hukuku; teknik ve hukuki uzmanlığın birleştiği, hızla gelişen bir alandır.
Teknoloji Hukuku alanında dilekçe üretmek veya içtihat aramak ister misiniz?
Hukuk Asistanı'nı Dene →Yasal Uyarı: Bu yazı yalnızca bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. İçerik Hukuk Asistanı tarafından oluşturulmuştur; aktarılan Yargıtay kararları özet niteliğindedir, resmi karar metinleri için ilgili mahkeme kayıtlarını esas alınız. Spesifik hukuki durumunuz için lütfen bir avukattan görüş alınız.
Bu konuda dilekçe oluşturmak ister misiniz?
Dilekçe üretimi, Yargıtay içtihat araması, sözleşme analizi ve KVKK uyum kontrolleri — Türk avukatlar için tasarlanmış yapay zeka platformu.