Siber Güvenlik Kanunu Yürürlüğe Girdi
Geçtiğimiz günlerde gündemde olan Siber Güvenlik Kanunu nihayet RG’de yayınlanarak yürürlüğe girdi. Siber Güvenlik Başkanlığı kurularak Ülkemizin siber güvenliğe verdiği önemi bir kez daha anladık, bu Kanun ile de siber güvenlik alanında çok daha önemli bir koridor oluşturuldu. Bu yazımızda Siber Güvenlik Kanunu’nu genel hatlarıyla anlatmaya çalıştık:
Kanun Amacı:
Bu kanunun temel hedefi, Türkiye Cumhuriyeti’nin siber uzayda var olan milli gücünü oluşturan tüm unsurların içten ve dıştan gelen mevcut ve muhtemel tehditlerine karşı korunmasıdır. Ayrıca, ülke genelinde siber olayların doğurabileceği olumsuz etkilerin en aza indirilmesi için gerekli esasların belirlenmesi ve kamu kurumları, meslek kuruluşları, gerçek ve tüzel kişilerle tüzel kişiliği bulunmayan kuruluşlar için siber saldırılara karşı korunma düzenlemelerinin yapılması hedeflenmektedir. Bu bağlamda, etkili siber güvenlik stratejilerinin geliştirileceği ve yürütüleceği Siber Güvenlik Kurulunun oluşturulması için yasal çerçeve çizilmektedir.
- Milli Güç Tespiti: Türkiye’nin siber uzaydaki milli gücünü korumak ve güçlendirmek.
- Tehdit Analizi: İçten ve dıştan gelen mevcut ve muhtemel tehditleri belirleme ve bertaraf etme.
- Etkilerin Azaltılması: Siber olayların olası etkilerini azaltacak esasların geliştirilmesi için titizlikle çalışma.
- Kamu Kuruluşları Koruma: Kamu ve özel sektör kuruluşlarının siber saldırılara karşı korunmasını sağlamak için idari düzenlemelerin yapılması.
- Strateji ve Politika Geliştirme: Ülkenin siber güvenliği için uygun strateji ve politikaların belirlenmesi.
- Siber Güvenlik Kurulu: Siber güvenlik alanında koordinasyon ve yönlendirme sağlamak üzere kurulacak kurulun yapı ve işlevleri.
Siber Güvenlik Kanunu Kapsamı
Bu kanun, siber uzayda faaliyet gösteren, hizmet sunan ve siber saldırılara maruz kalabilecek tüm kamu kurum ve kuruluşları, ilgili meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği olmayan kuruluşlar için geçerlidir. Ancak belirli istihbari faaliyetler, Türk Silahlı Kuvvetleri ve diğer güvenlik güçlerinin görevleri kapsamında yürütülen işlemler bu kanunun kapsamı dışındadır. Bu maddenin amacı, siber güvenliğin sağlanmasında hangi aktörlerin sorumlu olduğunu net bir şekilde tanımlamaktır.
- Hedef Kitle: Siber uzayda faaliyet gösteren kamu kurumları, meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği olmayan kuruluşlar.
- İstihbari Faaliyetler: 2559 sayılı Polis Vazife ve Salâhiyet Kanunu, 2692 sayılı Sahil Güvenlik Komutanlığı Kanunu ve 2803 sayılı Jandarma Teşkilat Kanunu gibi kanunlarla yürütülen istihbari faaliyetlerin bu kanun dışı olması.
Tanım ve Kısaltmalar
- Barındırma: Verilerin harici veri merkezlerinde tutulması.
- Bilişim Sistemleri: Donanım, yazılım ve sistemlerin bütününü içeren tanım.
- Kritik Altyapı: Can ve mal kaybına veya büyük ekonomik zarara neden olabilecek kritik sistemler.
- Siber Güvenlik: Siber uzayda veri ve sistemlerin güvenliği ile ilgili tüm tedbirlerin alınmasını kapsar.
- Siber Olay: Bilgi sistemlerinin gizlilik, bütünlük veya erişilebilirliğini ihlal eden olaylar.
- Siber Saldırı: Bilgi sistemlerine yönelik kötü niyetli girişimler.
- Siber Tehdit: Veri güvenliğini tehdit eden potansiyel riskler.
- SOME: Siber olaylara müdahale ekipleri.
- Zafiyet: Saldırıya açık olan sistem ve süreçlerin varlığı.
Siber Güvenlik Kanunu’nda Temel İlkeler
Bu maddenin amacı siber güvenliğe dair temel ilkeleri belirlemektir. Siber güvenlik, milli güvenliğin ayrılmaz bir parçasıdır. Kritik altyapılar korunmalı ve güvenli bir siber alan oluşturulmalıdır. Ayrıca, yerli ve milli ürünler öncelikle tercih edilerek siber güvenliğin sağlanması hedeflenmektedir. Süreklilik, sürdürülebilirlik ve hesap verebilirliğin sağlanması da önemli unsurlardır. Toplumda siber güvenlik kültürünün yaygınlaştırılması amacıyla eğitim çalışmaları desteklenecektir.
- Milli Güvenlik: Siber güvenliğin milli güvenliğin bir parçası olduğu.
- Koruma Hedefi: Kritik altyapı ve sistemlerin korunmasına öncelik verme.
- Kurumsallık ve Süreklilik: Siber güvenlik çalışmalarının sürekli ve kurumsal bir yapıda yürütülmesi gerekliliği.
- Yerlilik ve Millilik: Yerli ürünlerin tercih edilmesi.
- Sorumluluk Dağılımı: Kamu kurumları ve gerçek/tüzel kişilerin siber güvenlik politikalarını uygulamakla yükümlü olmaları.
- Hesap Verebilirlik: Süreçlerin şeffaf ve denetlenebilir olması.
- Sürekli Gelişim: Politika ve stratejilerin sürekli gelişim esasında güncellenmesi.
- Eğitim ve Bilinçlendirme: Toplumda siber güvenlik kültürünü yaygınlaştırmak.
2. Bölüm: Görev, Yetki, Sorumluluk, Denetim ve Siber Güvenlik Kurulu
Siber Güvenlik Başkanlığı’nın Görevleri
Siber Güvenlik Başkanlığı’nın görevleri arasında, siber saldırılara karşı önleyici tedbirler alma, kritik altyapıları koruma, siber tehditleri tespit etme ve bu tehditlerle mücadele etme gibi önemli görevler yer alır. Başkanlık, kamu kurumlarının veri envanterlerini tutarak risk analizleri gerçekleştirecek ve zafiyet testleri yapacaktır. Aynı zamanda, bu alanda siber olaylara müdahale ekipleri (SOME) kurmak ve bu ekiplerin olgunluk seviyelerini artıracak tatbikatlar gerçekleştirmek de görevleri arasındadır.
- Mevzuat Görevleri: İlgili mevzuat çerçevesinde görevlerini yerine getirme.
- Siber Dayanıklılığı Artırma: Kritik altyapıların dayanıklılığını artırmak için gerekli önlemleri almak.
- Zafiyet Testleri: Altyapılara yönelik güvenlik testleri ve analizler gerçekleştirme.
- Veri Envanteri: Kamu kurumlarının veri envanterlerinin tutulmasını sağlama.
- SOME Kurma: Siber olaylara müdahale ekiplerinin kurulması ve denetimi.
- Siber Güvenlik Politikaları: Ürünlerin siber güvenlik standartlarını belirleme ve denetleme.
- İşbirlikleri: Uluslararası ve ulusal düzeyde işbirlikleri oluşturma.
Yetkiler
Başkanlık, belirlediği yetkiler dâhilinde gerekli tedbirleri almak ve siber saldırılara karşı caydırıcılık sağlamakla görevlidir. Bilişim sistemlerine uygun yazılım ve donanım ürünlerinin kurulumunu sağlamanın yanı sıra, siber olay anında müdahale desteği sunma yetkisine de sahiptir. Ayrıca, kamu ve özel sektörle işbirliği içinde çalışarak uluslararası kuruluşlarla bilgi alışverişinde bulunma yetkisi bulunmaktadır.
- Görev Yetkisi Kullanma: İlgili yasalar uyarınca görev yetkilerini kullanma hakkı.
- Koruma Önlemleri: Siber saldırılara karşı müdahele sağlayacak önlemleri alma yetkisi.
- Olay Müdahale Desteği: Siber olaylar ile karşılaşan kurumlara destek verme.
- Bilgi ve Veri Alma: Gereken durumlarda bilişim sistemlerindeki verileri değerlendirme hakkı.
- Uluslararası İlişkiler: Yurt dışındaki kurumlarla işbirliği yapma yetkisi.
Sorumluluklar ve İşbirliği
- Veri İletimi: Başkanlığın talep ettiği verilerin zamanında iletilmesi.
- Zafiyet Bildirimi: Tespit edilen zafiyetlerin gecikmeden bildirilmesi.
- Ürün Temini: Güvenli siber güvenlik ürünlerinin temin edilmesi.
- Politika Uygulama: Geliştirilen strateji ve eylem planlarının uygulanması.
Denetim
- Denetim Yetkisi: Başkanlık, ilgili durumlarda inceleme yapmak için yetkilidir.
- Mahallinde İnceleme: Denetim sırasında gerekli verilerin toplama yetkisi.
- Denetim Koordinasyonu: Bağımsız denetim kuruluşlarıyla işbirliği sağlama.
Siber Güvenlik Kurulu
- Kurul Oluşumu: Cumhurbaşkanı, bakanlar ve güvenlik başkanından oluşur.
- Toplantılar: Gündeme göre ilgili kişilerin toplantılara davet edilmesi.
- Komisyon Oluşturma: Gerekli görüldüğünde teknik çalışma grupları oluşturma yetkisi.
- Kurul Görevleri: Siber güvenlikle ilgili politikaları belirleme ve uygulama.
3. Bölüm: Personele İlişkin Hükümler
Sözleşmeli Uzman Personel İstihdamı
- Uzman Personel Alımı: Siber güvenlik alanında uzman personel istihdamı.
- İstihdam Koşulları: Çalışma koşulları ile ilgili düzenlemeler.
Zorunlu Hizmet Yükümlülüklerinin Devri
- Hizmet Sürelerinin Düşülmesi: Başkanlıkta geçen sürelerin diğer kamu kurumlarından düşülmesi.
Yasak Hükümler
- Yasaklı Faaliyetler: Başkanlıkla ilişiği kesilenlerin siber güvenlik alanında görev almasının yasak olması.
Sır Saklama Yükümlülüğü
- Gizlilik Yükümlülüğü: Görev sırasında edinilen bilgilerin gizli tutulması.
- Bölüm: Gelir ve Muafiyetler
Başkanlığın Gelirleri
- Hazine Yardımları: Genel bütçeden alınan yardımlar.
- Faaliyet Gelirleri: Başkanlığın kendi faaliyetlerinden elde ettiği gelirler.
- İdari Para Cezaları: Verilen cezaların gelir olarak kaydedilmesi.
- Diğer Gelirler: İlgili fonlardan elde edilen gelirler.
Muafiyetler
- İthalat İstisnaları: Başkanlığın malzeme ve donanım ithalatında gümrük vergisi muafiyeti.
- Bölüm: Cezai Hükümler ve İdari Para Cezalarının Uygulanması
Cezai Hükümler
- Cezalar: Bilgi, belge veya yazılımlarını vermeyen kişiler için hapis ve para cezası.
- İzin Almadan Çalışma:** Yetki ve izin almadan faaliyet yürütenler için ağır cezalar.
- Veri Sızıntısı: Kişisel verilerin izinsiz paylaşılması durumunda hapis cezaları.
- Yanlış Bilgilendirme: Yanlış içerik üretenler için cezai yaptırımlar.
- Siber Saldırı: Siber uzaya yönelik saldırılar için ağır hapis cezası.
İdari Para Cezalarının Uygulanması
- Savunma Hakkı: İdari para cezası verilirken ilgilinin savunmasının alınması.
- Birden Fazla Kabahat: Aynı kabahatin birden fazla yapılması durumunda tek ceza uygulanması.
6. Bölüm: Çeşitli ve Son Hükümler
Siber Güvenlik Ürünleri ve Şirketleri
- Yurt Dışına Satış: Siber güvenlik ürünlerinin yurt dışına satışında onay gerekliliği.
- Şirket İşlemleri: Siber güvenlik şirketlerinin birleşme ve devri durumlarında Başkanlığa bildirilmesi.
Uyum, Geçiş Düzenlemeleri (GEÇİCİ MADDE 1)
- Devir İşlemleri: Mevcut siber güvenlik varlıklarının devri.
- Atama Süreçleri: Daha önceki kurumlarda çalışanların yeni pozisyonlarına atanması.
Yürürlük
- Yürürlüğe Giriş: Kanunun yayımından itibaren yürürlüğe girmesi.
Sonuç
Sonuç olarak çok ayrıntılı ve daha çok yerlilik ve millilik amacını taşıyan bu Kanun’un, hem özel sektörü hem de devlet nezdinde siber güvenliğin gelişimini sağlayacağını düşünmekteyiz.
Yazarın tüm Blog yazılarına bağlantıdan ulaşabilirsiniz.
Yazarın “Siber Güvenlik Başkanlığı” hakkındaki yazısını bağlantıdan okuyabilirsiniz.
Hukuk ve Bilişim Dergisinin son sayısına buradan ulaşabilirsiniz.
Yazar: Av. Ali ERŞİN (LL.M.)
Hukuk ve Bilişim Dergisi Genel Koor.
Mail: av.ersinali@gmail.com
Ankara Barosu’na kayıtlı avukattır. Selçuk Üniversitesi Hukuk Fakültesi’nden 2019 yılında mezun olmuştur. Hukuk ve teknoloji alanlarında çalışmalar yürütmekte olup, Hukuk ve Bilişim Dergisi ile Blog’un genel koordinatörlük ve editörlük görevlerini yürütmektedir. Anadolu Üniversitesi S.B.E. Özel Hukuk Anabilim Dalından “Metaverse Dünyasında Fikri Hakların Korunması” konulu yüksek lisans tezi ile mezun olmuştur.