7545 Sayılı Siber Güvenlik Kanunu KOBİ'leri Nasıl Bağlıyor?

Şirketinizde tespit edilen bir siber saldırıyı resmi olarak kime, ne kadar sürede bildirmeniz gerektiğini biliyor musunuz? 19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu’ndan bu yana cevap değişti; üstelik kanun, sandığınızdan çok daha fazla şirketi bağlıyor. “Bu bizi ilgilendirmez, biz kritik altyapı işletmecisi değiliz” diyen KOBİ’lerin çoğu, kanunun kapsam maddesini hiç okumamış oluyor.

Kanun ne getirdi, kimi kapsıyor

7545 sayılı kanun, TBMM’de 12 Mart 2025’te kabul edildi ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete’de yayımlanarak aynı gün yürürlüğe girdi. Kanunla birlikte Cumhurbaşkanlığı’na bağlı yeni bir kurum kuruldu: Siber Güvenlik Başkanlığı. USOM’un uzun yıllardır yürüttüğü zararlı bağlantı listesi ve olay müdahale görevleri de bu Başkanlığa devredildi.

Asıl kritik nokta kapsam maddesinde (madde 2). Kanun, istihbarat faaliyetleri ve askeri hizmetler hariç, “siber uzayda faaliyet gösteren, hizmet sunan” kamu kurumlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği olmayan kuruluşları kapsıyor. Yani bir bilgi sistemi üzerinden hizmet veren ya da veri işleyen her şirket bu tanımın içine giriyor; 10 kişilik bir muhasebe bürosu da, 200 kişilik bir üretim tesisi de.

KOBİ’ler için üç temel yükümlülük

Kanunun 7. maddesi, kapsama giren kurum ve şirketlere doğrudan sorumluluk yüklüyor. Pratikte üç başlıkta topluyorum:

Yükümlülük	Kanun maddesi	Ne anlama geliyor
Bildirim	Madde 7/1-b,c	Tespit edilen zafiyet veya siber olayı gecikmeksizin Siber Güvenlik Başkanlığı’na bildirmek
Denetime açıklık	Madde 8	Başkanlığın istediği hallerde sistem ve işlemleri inceleme, açıklama isteklerine cevap verme
Altyapıyı hazır tutma	Madde 8	Denetim için gerekli teknik altyapıyı çalışır durumda bulundurmak

Kanunda bildirim için net bir saat sınırı yok; “gecikmeksizin” ifadesi kullanılıyor. Bu, KVKK’daki 72 saatlik veri ihlali bildirim süresinden farklı bir yükümlülük; ikisi birbirinin yerine geçmiyor, ikisi de ayrı ayrı işletiliyor.

Cezalar hafife alınacak gibi değil

Madde 16, uymayanlar için hem idari para cezası hem de bazı ağır ihlallerde hapis cezası öngörüyor. Bildirim ve işbirliği yükümlülüğünü (madde 7/1-b,c) yerine getirmeyenlere 1 milyon TL’den 10 milyon TL’ye kadar idari para cezası kesilebiliyor. Denetim için gerekli altyapıyı sağlamayanlara ise 100 bin TL’den 1 milyon TL’ye kadar, bazı hallerde ticari şirketlerde brüt satış hasılatının yüzde 5’ine kadar ceza uygulanabiliyor. Sır saklama yükümlülüğünün ihlali ya da yetkisiz faaliyet yürütme gibi daha ağır fiillerde kanun hapis cezasına da yer veriyor. 20 kişilik bir işletme için 1 milyon TL, yıllık BT bütçesinin kat kat üzerinde bir rakam; bu maddeyi “bizi bulmaz” diye görmezden gelmek riskli.

USOM entegrasyonunuz hâlâ çalışıyor mu

Kanunun getirdiği değişikliklerden biri de teknik tarafta yaşandı. USOM’un kötü amaçlı bağlantı listesi 1 Haziran 2026’dan itibaren klasik .txt dosyası paylaşımını bıraktı, artık yalnızca API üzerinden veriliyor. Firewall’unuz ya da güvenlik ürününüz bu listeyi eskiden .txt indirerek besliyorsa, entegrasyon büyük ihtimalle sessizce durdu; kimse size hata mesajı göstermeyecek, sadece koruma güncel kalmayı bırakacak. Sophos, FortiGate gibi ürünlerde bu entegrasyonu kontrol etmek birkaç dakikanızı alır ama gözden kaçması kolay bir kalemdir.

Şimdi ne yapmalı

Büyük bir uyum projesine girmeden önce üç adım yeterli bir başlangıç:

• Şirketinizin bir siber olayı kime, nasıl bildireceğini yazılı hale getirin; bu bilgi bir kişinin kafasında değil, prosedürde durmalı.
• Firewall ve güvenlik ürünlerinizin USOM/Siber Güvenlik Başkanlığı beslemesini API üzerinden mi yoksa artık çalışmayan eski yöntemle mi aldığını sağlayıcınıza sorun.
• Denetim istendiğinde hangi log ve kayıtları gösterebileceğinizi önceden gözden geçirin; olay anında sistemi düzenlemeye çalışmak işi zorlaştırır.

Sık sorulan sorular

7545 sayılı kanun KVKK’nın yerini mi alıyor? Hayır. KVKK kişisel veri işlemeyi düzenler, 7545 sayılı kanun ise bilgi sistemlerinin siber güvenliğini. Bir veri ihlali hem KVKK’ya hem de duruma göre Siber Güvenlik Başkanlığı’na bildirim gerektirebilir; ikisi ayrı yükümlülük.

Sadece bulut tabanlı sistemler kullanan bir KOBİ de kapsama giriyor mu? Kanun kapsamı “bilişim sistemleri üzerinden hizmet sunan veya veri işleyen” tanımına dayanıyor; sunucunun kendi ofisinizde ya da bulutta olması bu tanımı değiştirmiyor.

Bildirim yapmazsam hemen ceza mı kesilir? Denetim ve inceleme süreci işletilir, ceza otomatik kesilmez. Ama yükümlülüğü hiç bilmemek, denetim sırasında savunma yapmayı zorlaştırır.

Bu kanunla ilgili hazırlığı MSP sağlayıcım mı yapmalı, ben mi? Teknik tarafı (USOM beslemesi, log toplama, olay tespiti) sağlayıcınız yönetebilir; ama bildirim prosedürünü onaylamak ve sorumluyu belirlemek şirketin kendi kararı olmalı.

Firewall’unuzun USOM beslemesini API’ye taşıyıp taşımadığından emin değilseniz ya da olay bildirim sürecinizi yazılı hale getirmek isterseniz bize ulaşın; mevcut güvenlik altyapınızı 7545 sayılı kanun açısından birlikte gözden geçirelim.