7545 sayılı Siber Güvenlik Kanunu ile kurulan yapı, 31 Temmuz 2026 tarihli 7590 sayılı Kanunla önemli ölçüde genişledi. Bilgi Teknolojileri ve İletişim Kurumunun internet alanındaki birçok görev ve yetkisi Siber Güvenlik Başkanlığına devredildi. Bu yazı, söz konusu değişiklikleri özellikle Avrupa Birliği müktesebatı ölçütleri baz alınarak eleştirel bir şekilde değerlendirmek üzere hazırlandı.
Kısa bir kronoloji
Türkiye’nin Siber Güvenlik Kanunu çerçevesi on sekiz ay içinde iki aşamada şekillendi. İlk aşama, 12 Mart 2025’te kabul edilen ve 19 Mart 2025 tarihli Resmî Gazete’de yayımlanan 7545 sayılı Kanundur [1]. Bu Kanun, Siber Güvenlik Başkanlığını özel bütçeli bir idare olarak konumlandırdı, Siber Güvenlik Kurulunu kurdu, kritik altyapıların belirlenmesi ve denetimi ile siber güvenlik ürün ve hizmetlerinde sertifikasyon rejimini düzenledi.
İkinci aşama, 24 Temmuz 2026’da kabul edilen ve 31 Temmuz 2026 tarihli Resmî Gazete’de yayımlanan 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanundur [2]. Nükleer santral teşviklerinden sürücü belgelerine kadar çok farklı konuları içeren bu torba düzenlemenin 21, 26 ve 27. maddeleri, Türkiye’nin internet yönetişimi bakımından son yılların en kapsamlı yetki transferini gerçekleştirdi.
Tartışmanın merkezinde tek bir soru var: idari ve mali özerkliğe sahip, kurul halinde karar alan bir düzenleyici kurumun elindeki yetkilerin, doğrudan yürütmeye bağlı ve tek kişi tarafından yönetilen bir başkanlığa taşınması, kurumsal denge açısından ne anlama geliyor?
7590 Sayılı Kanun Neyi Değiştirdi
Atıfların topluca değiştirilmesi
7545 sayılı Kanuna eklenen geçici 2. madde ile, devredilen görev ve yetkiler bakımından mevzuatta Bilgi Teknolojileri ve İletişim Kurumuna ve Telekomünikasyon İletişim Başkanlığına yapılan atıflar Siber Güvenlik Başkanlığına; BTK Kuruluna, Telekomünikasyon Kuruluna ve BTK Başkanına yapılan atıflar ise Siber Güvenlik Başkanına yapılmış sayılıyor [2]. Teknik görünen bu hüküm, yıllar içinde farklı kanunlarda kurul kararına bağlanmış bir yetki kümesinin tek imzalı bir makama taşınması sonucunu doğuruyor.
5651 sayılı Kanunun muhatabının değişmesi
İçerik kaldırma ve erişim engelleme rejimini düzenleyen 5651 sayılı Kanunda [3] geçen “Kurum” ibareleri “Başkanlık” olarak değiştirildi. Sosyal ağ sağlayıcılara ilişkin ek 4. maddedeki muhatap da Başkanlık oldu. Trafik bilgisi tanımına kaynak ve hedef port bilgisi eklendi, 10. maddenin üçüncü ve beşinci fıkraları yürürlükten kaldırıldı [2].
Elektronik Haberleşme Kanununa eklenen 60/A maddesi
5809 sayılı Kanuna [4] eklenen 60/A maddesi, internet alan adlarına ilişkin strateji ve politika belirleme yetkisini Başkanlığa veriyor. Aynı madde, Anayasanın 22. maddesinde sayılan sebeplerden birine bağlı olarak gecikmesinde sakınca bulunan hâllerde, güvenlik ve istihbarat kurumlarının talebi üzerine veya re’sen tedbir belirleme yetkisi tanıyor. Karar işletmecilere, erişim sağlayıcılara, veri merkezlerine ve ilgili içerik ve yer sağlayıcılara derhâl bildiriliyor, en geç iki saat içinde uygulanıyor, yirmi dört saat içinde sulh ceza hâkiminin onayına sunuluyor ve hâkim kırk sekiz saat içinde karar vermezse tedbir kendiliğinden kalkıyor [2]. Madde ayrıca ihlal başına yirmi bin ile yüz bin lira arasında idari para cezası yetkisi içeriyor.
Yasal dinlemenin teknik altyapısı
7545 sayılı Kanunun 6. maddesine eklenen (i) bendi ile Başkanlık, kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlamak ve bu konuda gerekli düzenlemeleri yapmakla görevlendirildi [2]. Sektör basınında bu değişiklik, dinleme ve müdahale işlemlerinin teknik tarafının ve bu alandaki kuralların belirlenmesinin Başkanlığa geçmesi olarak yorumlandı [5].
Öncesi ve Sonrası: Yetki Devri Tablosu
| Görev / yetki alanı | Önce (BTK dönemi) | Sonra (7545 + 7590) | Dayanak |
|---|---|---|---|
| Ulusal siber olaylara müdahale koordinasyonu (USOM, SOME) | BTK bünyesinde | Siber Güvenlik Başkanlığı | 7545 m.5, Geçici m.1 |
| Kritik altyapıların belirlenmesi ve siber güvenlik denetimi | Parçalı; sektör düzenleyicileri ve BTK | Başkanlık ve Siber Güvenlik Kurulu | 7545 m.5, m.8, m.9 |
| Siber güvenlik ürün, hizmet ve uzmanlarının sertifikasyonu | Bütüncül bir rejim yok | Başkanlık | 7545 m.5, m.6 |
| Siber güvenlik şirketlerinde pay devri, birleşme ve bölünme onayı | Genel rekabet ve ticaret hukuku | Başkanlık onayı zorunlu | 7545 m.18 |
| İnternet alan adlarına ilişkin strateji, politika ve düzenleme | BTK | Başkanlık | 7590 m.21 (5809 m.60/A), m.27/3 |
| 5651 kapsamında erişim engelleme ve içerik çıkarma süreçleri | BTK | Başkanlık | 7590 m.27/2 |
| Sosyal ağ sağlayıcı yükümlülükleri (temsilci, raporlama, ek m.4) | BTK | Başkanlık | 7590 m.27/2-i |
| Trafik bilgisi tanımı ve ilgili yükümlülükler | BTK; tanım daha dar | Başkanlık; tanıma kaynak ve hedef port eklendi | 7590 m.27/2-a |
| Gecikmesinde sakınca bulunan hâllerde tedbir alma | BTK (5809 m.60/10) | Başkanlık; re’sen veya güvenlik ve istihbarat kurumlarının talebiyle, 2 saatte uygulama, 24 saatte hâkim onayı | 7590 m.21, m.27/3-f |
| Yasal dinleme ve müdahaleye teknik olanak sağlama | BTK (2016’da TİB’in kapatılmasından sonra) | Başkanlık | 7590 m.27/4-a |
| 2559 sayılı Kanunun ek 7. maddesi kapsamında muhataplık | BTK | Başkanlık | 7590 m.27/1 |
| Karar organı ve kurumsal statü | Kurul; idari ve mali özerklik, ilişkili bakanlık | Tek kişilik başkanlık; Cumhurbaşkanlığına bağlı, özel bütçeli idare | 2813 m.5; 7545 m.14, m.19/2 |
| BTK’da kalanlar | Yetkilendirme, numaralandırma, spektrum yönetimi, tarife ve piyasa düzenlemesi, tüketici hakları, posta ve elektronik imza alanındaki görevler | 5809 ve 2813 sayılı Kanunlar | |
BTK’nın Statüsü Neden Bir Ölçüt Oluşturuyordu
BTK’nın kurumsal kimliği tesadüfi değildi. Kuruluş kanunu, Kurumu kamu tüzel kişiliğini haiz ve idarî ve malî özerkliğe sahip bir yapı olarak tanımlar; görevlerini yerine getirirken bağımsız olduğunu ve hiçbir organ, makam, merci veya kişinin Kuruma emir ve talimat veremeyeceğini düzenler [6]. Kararlar kurul halinde alınır ve idari yargı denetimine tabidir.
Bu tasarım, 2000’li yılların başında telekomünikasyon piyasasının rekabete açılmasıyla birlikte, politika yapıcı ile düzenleyicinin ayrılması yaklaşımı üzerine kurulmuştu. Bu yaklaşım aynı zamanda bir AB uyum tercihiydi.
AB müktesebatı ne söylüyor
Düzenleyici otorite bağımsızlığı: EECC
Avrupa Elektronik Haberleşme Kanunu olarak bilinen 2018/1972 sayılı Direktif, ulusal düzenleyici otoritelerin bağımsız ve nesnel hareket etmesini, şeffaf ve hesap verebilir biçimde çalışmasını ve görevlerinin icrasında başka hiçbir organdan talimat almamasını zorunlu kılar [7]. Aynı Direktif, otorite başkanının açık ve şeffaf bir seçim usulüyle en az üç yıllık bir görev süresi için atanmasını; görev süresi içinde ancak atanmadan önce ulusal hukukta belirlenmiş şartları artık taşımaması hâlinde görevden alınabilmesini; görevden alma kararının kamuoyuna açıklanmasını, gerekçelendirilmesini ve maddi ve hukuki yönlerden yargı denetimine tabi olmasını öngörür [7].
Burada bir nüansı atlamamak gerekir. AB hukukunda düzenleyici bağımsızlığı esas olarak elektronik haberleşme piyasasının düzenlenmesi için aranır. İçerik denetimi, adli süreçler ve ulusal güvenlik bu direktifin kapsamı dışındadır. Dolayısıyla “erişim engelleme yetkisi mutlaka bağımsız bir kurumda olmalıdır” sonucu doğrudan EECC’den çıkarılamaz. Ancak alan adı yönetimi ve işletmecilere yönelik idari yaptırımlar gibi başlıklar, açık biçimde piyasa düzenlemesiyle iç içedir. Bu başlıkların özerk bir kurumdan yürütmeye doğrudan bağlı bir birime taşınması, uyum başlığı altında izahı gereken bir tercihtir.
Merkezileşme sorun değil, denetimsizlik sorundur: NIS2
Siber güvenliğin tek çatı altında toplanması AB’de de yaygın bir tercihtir. 2022/2555 sayılı NIS2 Direktifi, üye devletlerin ulusal yönetişim yapılarındaki farklılıkları gözeterek bir veya birden fazla yetkili otorite belirlemesine izin verir ve bu otoritelerin görevlerini etkin biçimde yerine getirebilmesi için yeterli kaynağa sahip olmasını ister [8]. Belçika’da CCB hem ulusal siber güvenlik otoritesi hem ulusal CSIRT olarak görevlendirilmiştir.
Dolayısıyla Türkiye’nin tek bir ulusal otorite kurma tercihi, AB pratiğine aykırı değildir. Ayrışma, merkezileşmeye eşlik eden güvence katmanında ortaya çıkar. NIS2’nin mimarisinde yetkili otoritenin denetim ve yaptırım işlevi ile CSIRT’in operasyonel işlevi ayrı ayrı tanımlanır, olay bildirim rejimi güven esasına dayandırılır ve koordineli zafiyet açıklama süreci ayrı bir madde ile düzenlenir. Avrupa modelinde yetki yoğunlaştıkça denetim de ağırlaştırılır.
Gizli tedbirlerde bağımsız denetim: ABAD ve AİHM içtihadı
AB müktesebatının bu tartışmadaki en doğrudan ölçütü, temel haklara ilişkin içtihattır. Avrupa Birliği Adalet Divanı, Tele2, La Quadrature du Net ve Prokuratuur kararlarında trafik ve konum verilerine erişimin bir mahkeme ya da talepte bulunan makamdan bağımsız bir idari merci tarafından önceden denetlenmesini şart koşmuştur. Prokuratuur kararının kilit vurgusu tam olarak budur: denetleyen, talep edenden bağımsız olmalıdır.
Avrupa İnsan Hakları Mahkemesi de Roman Zakharov, Szabó ve Vissy ile Big Brother Watch kararlarında, iletişimin denetlenmesinde harici, tercihen yargısal ve mümkünse önceden yapılan bir denetimi güvencelerin merkezine yerleştirmiştir. Türkiye özelinde Ahmet Yıldırım kararı, geniş kapsamlı engellemenin öngörülebilir bir yasal çerçeveye ve etkili bir yargısal güvenceye bağlanması gerektiğini ortaya koymuştur [9]. Venedik Komisyonunun 5651 sayılı Kanuna ilişkin görüşü de benzer bir hat izler ve erişim engelleme usullerinde demokratik toplumda gereklilik ölçütünün açıkça aranmasını önerir [10].
Bu ölçütler ışığında 60/A maddesine ilişkin üç soru işareti öne çıkıyor. Birincisi, tedbirin içeriği tanımlı değil; türü, kapsamı, azami süresi ve derecelendirmesi belirtilmemiş. İkincisi, güvenlik ve istihbarat kurumlarının talebi ile Başkanlığın kararı arasındaki bağımsızlık mesafesi düzenlenmemiş. Üçüncüsü, denetim sonradan ve azami kırk sekiz saat gecikmeyle gerçekleşiyor; internette bu süre, bir haber akışının ya da bir kriz anının tamamına denk gelebilir.
Kurumsal tasarımdaki rol çatışması
Hukuki tartışmanın yanında, uygulamada çalışanların gördüğü bir tasarım sorunu var. Aynı kurum standart belirliyor, sertifikasyon veriyor, denetim yapıyor, ceza kesiyor, zafiyet ve olay bildirimlerini topluyor, yasal dinlemenin teknik zeminini kuruyor ve tedbir uyguluyorsa, en az üç gerilim doğar.
Zafiyet gerilimi: Savunma amacıyla zafiyetin kapatılması ile teknik kabiliyetin korunması arasındaki tercih, kurum içinde çözülemez. AB pratiğinde bu, koordineli zafiyet açıklama süreçleriyle yönetilir. Türkiye’de böyle bir kamuya açık çerçeve henüz yok.
Güven ve bildirim gerilimi: Bildirim rejiminin işlemesi güvene bağlıdır. Bildirimi alan kurum aynı zamanda ceza kesen ve istihbari taleplere aracılık eden kurumsa, özel sektörde bildirim isteği azalabilir. Bu, doğrudan bir siber güvenlik maliyetidir.
Denetleyen ve denetlenen gerilimi: 7545, kamu kurumları bakımından arama ve kopya alma işlemlerinde hâkim kararı aranmayacağını düzenliyor [1]. Kritik altyapıların önemli bölümü kamu tüzel kişiliğine sahip olduğuna göre bu istisnanın kapsamı dar değil.
Buna gizlilik rejimi ekleniyor. Kanun, Başkanlıktaki faaliyetler kapsamında edinilen bilgi ve belgelerin yetki verilmediği sürece yayımlanmasını yasaklıyor; ayrıca sızıntı olmadığını bildiği hâlde panik yaratmak veya hedef göstermek amacıyla gerçeğe aykırı içerik üretenler için hapis cezası öngörüyor [1]. Asılsız sızıntı iddialarının piyasada yarattığı tahribat gerçektir ve bu hükümlerin meşru bir amacı vardır. Buna karşılık kastın ispatı pratikte kolay değildir; bu tür düzenlemelerin iyi niyetli güvenlik araştırmacıları üzerinde caydırıcı bir etki bırakmaması için ikincil mevzuatta güvenli liman tanımlanması yerinde olur.
Düzenlemeyi Savunan Görüşler
Tartışmanın dengeli kurulabilmesi için karşı argümanların da aktarılması gerekir. Komisyon görüşmelerinde Siber Güvenlik Başkanı, gecikmesinde sakınca bulunan durumlarda idarenin önce tedbir alıp sonra yargı onayına sunması uygulamasının yıllardır mevzuatta bulunduğunu, 5809 sayılı Kanunun 60. maddesindeki yetkinin BTK’den alınıp Başkanlığa aktarıldığını ve yeni bir yetki ihdas edilmediğini belirtti. Aynı savunmada idari kararların yirmi dört saat içinde hâkim onayına sunulacağı ve hâkimin süresinde karar vermemesi hâlinde tedbirin kendiliğinden kalkacağı vurgulandı [11].
İkinci savunma hattı operasyoneldir. Siber saldırılar dakikalarla ölçülür; aktif sömürülen bir zafiyetin ya da bir komuta kontrol altyapısının engellenmesi için uzun bir sürecin beklenmesi gerçekçi değildir. Parçalı yetki dağılımı, olay anında koordinasyon kaybı üretir. NIS2’nin tek yetkili otorite modeline izin vermesi de bu gerçekliğin kabulüdür [8]. Üçüncü savunma kapasiteye ilişkindir: ulusal ölçekte siber savunma, piyasa düzenlemesinden farklı bir uzmanlık ve bütçe esnekliği gerektirir.
Bu argümanlar tek tek ele alındığında ikna edicidir. Zayıfladıkları nokta bir araya geldikleri yerdir. Operasyonel hız gerekçesi, alan adı politikası veya sosyal ağ denetimi gibi acil olmayan yetkilerin de aynı çatıya taşınmasını açıklamaz. Kapasite gerekçesi, karar organının kuruldan tek kişiye indirilmesini gerektirmez. Yetki genişlemesi olmadığı savunması ise doğru olmakla birlikte, aynı yetkinin özerk bir kurumdan doğrudan yürütmeye bağlı bir birime taşınmasının kurumsal ağırlığını değiştirmez. Sivil toplum tarafında da bu noktaya odaklanan itirazlar dile getirildi [12].
AB müktesebatına uyumu güçlendirecek başlıklar
Tedbir kavramının tanımlanması. İkincil mevzuatta tedbir türleri sayılmalı, her tür için azami süre belirlenmeli, en az müdahaleci aracın seçilmesi zorunlu kılınmalı ve ülke geneli kesintiler kapsam dışında bırakılmalıdır. Bu, ölçülülük ilkesinin somutlaşmış hâlidir.
Önceden denetim mekanizması. Nöbetçi sulh ceza hâkimliği modeliyle, gerçekten acil olmayan hâllerde ön onay aranması, ABAD içtihadının aradığı bağımsız ön denetim ölçütüne yaklaşmayı sağlar.
Şeffaflık raporu. Yıllık olarak alınan tedbir sayısı, gerekçe kategorileri, hâkim tarafından onaylanma ve reddedilme oranları ile ortalama tedbir süresi yayımlanmalıdır. Operasyonel sır ifşa edilmeden hesap verebilirlik üretilebilir.
İşlevsel ayrım. CSIRT ve olay müdahale işlevi ile tedbir ve yasal dinleme altyapısı işlevi ayrı birimlerde, ayrı raporlama hatlarında ve ayrı erişim yetkileriyle yürütülmelidir. NIS2 mimarisinin temel mantığı budur.
Koordineli zafiyet açıklama politikası. Bildirim ve yayımlama takvimi belli, iyi niyetli araştırmacıya güvenli liman tanıyan bir çerçeve yayımlanmalıdır.
Parlamenter denetim. Gizlilik gerektiren alanlarda kapalı oturum yapabilen ve düzenli bilgilendirme alan bir komisyon yapısı, Avrupa’da yaygın kullanılan standart bir araçtır.
Kapsamdaki kurum ve şirketlerin bugün yapması gerekenler
Muhatabı güncelleyin. Erişim engelleme, içerik kaldırma, temsilci atama, trafik bilgisi saklama ve talep karşılama süreçlerinde muhatabın Siber Güvenlik Başkanlığı olduğu varsayılarak iç prosedürler yenilenmelidir. Geçiş döneminde iş bölümünün ikincil mevzuatla netleşmesi beklenmelidir [13].
İki saatlik uygulama süresine hazır olun. Mesai dışı saatler dâhil kesintisiz ulaşılabilir bir irtibat noktası, karar yetkisi tanımlı bir nöbet düzeni ve önceden test edilmiş uygulama prosedürü gerekir.
Bildirim süreçlerini belgeleyin. Hangi olayın bildirime tabi olduğu, kimin karar verdiği, hangi kanalın kullanıldığı ve kayıtların nasıl tutulduğu yazılı olmalıdır. Belgelenmemiş bir süreç, yükümlülüğün yerine getirildiğini ispat etmeye yetmez.
Sertifikasyon takvimini takip edin. Siber güvenlik alanında faaliyet gösteren şirketler için yetkilendirme ve belgelendirme yükümlülüğü ile pay devri onay rejimi, yatırım ve ortaklık süreçlerinde erken aşamada dikkate alınmalıdır.
Tedarik zincirini tarayın. Kamu kurumları ve kritik altyapılar, yetkilendirilmiş ve belgelendirilmiş sağlayıcılardan tedarik yapmakla yükümlüdür. Mevcut sözleşmelerin bu ölçüte göre gözden geçirilmesi ertelenmemelidir.
Sonuç Bâbından
Türkiye’nin bir ulusal siber güvenlik otoritesine ihtiyaç duyduğu konusunda ciddi bir itiraz yok. Parçalı yapının maliyeti uzun süredir konuşuluyordu ve Siber Güvenlik Kanunu bu boşluğu doldurma iddiasıyla geldi. Çekince kurumun varlığına değil, kurulan dengeye ilişkin.
AB müktesebatının verdiği mesaj açıktır: yetkinin tek elde toplanması kabul edilebilir, ancak yoğunlaşan yetki, ağırlaşan denetimle dengelenir. EECC düzenleyici bağımsızlığını, NIS2 işlevsel ayrımı ve güven esaslı bildirimi, ABAD ile AİHM içtihadı ise bağımsız ve mümkünse önceden yapılan denetimi öne çıkarır. 7590 ile yetki tarafı belirgin biçimde ağırlaştı; denetim tarafında ise mevcut şablon korundu.
Bu asimetri kalıcı olmak zorunda değil. Tedbir tanımının netleştirilmesi, şeffaflık raporlaması, işlevsel ayrım ve etkili parlamenter denetim, kurumu zayıflatmadan güveni onarabilecek araçlardır. Siber güvenliğin uzun vadeli dayanağı teknik kabiliyet kadar, o kabiliyetin denetlenebilir olduğuna dair kamusal güvendir.
Şunlara Göz Atabilirsiniz
- 7545 sayılı Siber Güvenlik Kanunu, Resmî Gazete, 19.03.2025, Sayı 32846. Bağlantı
- 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun, Resmî Gazete, 31.07.2026, Sayı 33326. Bağlantı · Ekler
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun. Bağlantı
- 5809 sayılı Elektronik Haberleşme Kanunu. Bağlantı
- Teknoblog, BTK’nın internet yetkileri Siber Güvenlik Başkanlığına geçti. Bağlantı
- 2813 sayılı Bilgi Teknolojileri ve İletişim Kurumunun Kuruluşuna İlişkin Kanun. Bağlantı
- Directive (EU) 2018/1972, European Electronic Communications Code. Bağlantı
- Directive (EU) 2022/2555, NIS2. Bağlantı
- AİHM, Ahmet Yıldırım / Türkiye, Başvuru No. 3111/10. Bağlantı
- Venedik Komisyonu, CDL-AD(2016)011, Opinion on Law No. 5651. Bağlantı
- Komisyon görüşmelerine ilişkin haber. Bağlantı
- Linux Kullanıcıları Derneği açıklaması. Bağlantı
- Euronews, Siber Güvenlik Başkanlığının yetkileri genişliyor. Bağlantı
- 7545 sayılı Kanunun güncel metni, Mevzuat Bilgi Sistemi. Bağlantı