Siber Güvenlik Kanunu Çerçevesinde Siber Güvenlik Şirketleri için Fırsatlar

19 Mart 2025 tarihinde yürürlüğe giren Siber Güvenlik Kanunu (“Kanun”) ile Türkiye’de ilk defa siber güvenlik konusunu düzenleyen kapsamlı yasal çerçeve oluşturulmuştur. Kanun ile Siber Güvenlik Başkanlığı (“Başkanlık”) kurulmuş ve Başkanlığa siber güvenlik politikalarının belirlenmesi, uygulanması ve denetlenmesi noktasında geniş yetkiler tanınmıştır.  Siber güvenlik, bir milli güvenlik meselesi olarak ele alınmakta ve hem kamu hem de özel sektörü kapsayan önemli yükümlülükler öngörülmektedir.

Aşağıda başlıklar altında siber güvenlik şirketlerinin, Kanun ile elde edeceği fırsatlar ve kendilerine getirilen yükümlülükler ele alınacaktır. 

1- Siber Güvenlik Şirketleri için Fırsatlar

Kanun, siber güvenlik alanında kamunun faaliyetlerini arttırarak, özel sektörde de çeşitli ticari fırsatlar doğurmaktadır. Kanun’a göre Başkanlık tarafından kritik altyapı sayılacak sistemler belirlenecek ve buna bağlı olarak da söz konusu sistemlerin sektöründe faaliyet gösteren şirketlere çeşitli yükümlülükler getirilecektir. AB uygulamasına da paralel olarak, Kanun çerçevesinde ilk etapta kritik altyapı kapsamına alınması öngörülen sektörlerin aşağıdaki şekilde belirleneceği değerlendirilmektedir:

1. Enerji,
2. Ulaşım,      
3. Bankacılık ve finans,
4. Sağlık,
5. Su tesisleri (içme, arıtma vb.),
6. Elektronik haberleşme ve dijital altyapılar.

 Kanun, kritik altyapılarda Başkanlığın siber güvenliğe ilişkin  denetim yapmasını, bu kapsamda sızma testleri dâhil çeşitli kontroller gerçekleştirmesini ve bu amaçla bağımsız denetçileri yetkilendirmesini öngörmektedir. Ayrıca siber güvenlik ürün veya hizmetlerinin de sertifikalandırılması zorunluluğu getirilmekte, yerli ve milli siber güvenlik ürünlerine öncelik verilmesi hüküm altına alınmaktadır. Tüm bu sebeplerle Kanunun tam olarak uygulanmaya başlaması ile bağımsız denetim hizmetlerine ve sertifikalı siber güvenlik ürün ya da hizmetlerine, kamu kurum veya kuruluşları ile kritik altyapı sektörlerinde faaliyet gösteren şirketler tarafından yoğun talep geleceği öngörülmektedir.  

2- Siber Güvenlik Şirketlerinin Yükümlülükleri

Kanun ile siber güvenlik şirketlerine özel olarak getirilmiş yükümlülükler aşağıda listelenmektedir:

1. İhracat Sınırlaması: Siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerinin yurtdışına satışına ilişkin usul ve esaslar Başkanlıkça belirlenecektir. Bu çerçevede çıkarılacak ikincil düzenlemelerle siber güvenliğe ilişkin ihracata dair ilave kurallar öngörülecektir. Bazı ihracat kalemlerinde ise Başkanlık izni gerekecektir. 
2. Yatırım Süreçlerinin Kontrolü: Yukarıda sayılan alanlarda faaliyet gösteren siber güvenlik şirketlerinin birleşme, bölünme, pay devri veya satış işlemlerinin tamamı Başkanlığa bildirilecektir. Söz konusu şirketler üzerindeki doğrudan veya dolaylı kontrol veya karar alma hakkı sağlayan işlemler, Başkanlığın onayına bağlanmıştır. Dolayısıyla bu şirketlerin yatırım süreçleri, Başkanlık denetimine geçmiştir. 
3. Faaliyet İzni: Siber güvenlik alanında faaliyet gösteren şirket, dernek, dernek federasyonu veya vakıfların, Kanun’un yürürlük tarihinden itibaren 2 yıl içerisinde Başkanlık tarafından çıkarılacak ikincil düzenlemelere uygun şekilde sertifikasyon, yetkilendirme veya belgelendirme işlemlerini tamamlamaları gerekmektedir. Bu yükümlülüğe uyum sağlayamayanların, siber güvenlik faaliyetleri durdurulacaktır.
4. Ürün ya da Hizmet Sertifikalandırması: Başkanlık, kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerini sertifikalandıracaktır. Böylelikle söz konusu yerlerde sadece sertifika sahibi ürün ya da hizmetler kullanılabilecektir.

Başkanlığın, Kanun çerçevesindeki görevlerini yerine getirebilmesi için, log kayıtları da dahil olmak üzere her türlü bilgi, belge veya veriye erişme ile bilişim sistemleri ile irtibat kurma gibi çok geniş erişim yetkileri mevcuttur. İlaveten Başkanlığın yerinde veya uzaktan denetim yapma yetkisi de bulunmaktadır. Başkanlıktan gelebilecek bu gibi taleplerin, ivedilikle yerine getirilmesi gerekmektedir.
Siber güvenlik şirketleri, tespit ettikleri siber olaylarla zafiyetleri, Başkanlığa derhal bildirmek zorundadır.

Kanunun öngördüğü adli ve idari yaptırımlar ekteki tabloda gösterilmiştir.  

3- Değerlendirme ve Öneriler

Kanun çerçevesinde siber güvenlik şirketleri için sıkı yükümlülükler öngörülmektedir. Buna karşılık ise yükümlülükleri sağlayabilen şirketlere ciddi bir faaliyet alanı açılmıştır. Mevcut durum itibarıyla, 2 yıllık geçiş dönemi içerisinde siber güvenlik şirketlerine aşağıdaki öneriler sunulmaktadır:

1. Ticari faaliyetlerin yurtdışı ve yurtiçi olmak üzere ikiye ayrılarak, yurtdışı ile yurtiçi faaliyetlerin birbirinden ayrılması (böylelikle Kanunun ihracata ilişkin kısıtlamalarının etkilerinin hafifletilebileceği düşünülmektedir),
2. Kanunun getirdiği yükümlülüklere uyum için gerekli ön çalışmaların yapılması. 

 Son olarak konuyla ilgili ikincil düzenlemelerin yakından takip edilmesi tavsiye edilmektedir.

EK: İlgili Adli ve İdari Yaptırımlar Tablosu