Şirketler Siber Güvenlik Kanunu’na ne kadar hazır? 

Kişisel ve kurumsal verilerin günümüz ekonomisindeki değeri her geçen gün artarken, bu verilerin korunması da kritik bir öncelik haline geliyor. Özellikle dijitalleşmenin hız kazandığı bu dönemde, bir siber saldırı durumunda şirketler, müşteri bilgileri ve ticari sırların açığa çıkmasıyla, yalnızca operasyonel ve finansal risklerle değil aynı zamanda müşteri güveninin sarsılması, marka itibarının zedelenmesi ve yasal yaptırımlarla birlikte ağır sonuçlarla karşılaşabiliyor.

Mevcut ve muhtemel siber tehditlerin tespit ve bertaraf edilmesi, siber olayların muhtemel etkilerini azaltmaya yönelik esasların belirlenmesi, siber saldırılara karşı korunmaya yönelik gerekli düzenlemelerin yapılması, strateji ve politikaların belirlenmesi ve siber güvenliğe ilişkin teşkilatın kurulması amacıyla 12/3/2025 tarihinde Resmi Gazete’de yayımlanarak Siber Güvenlik Kanunu yürürlüğe girdi. Kanun’un uygulamasına ilişkin düzenlemelerin ise bir yıl içinde yürürlüğe alınması planlanıyor.

Bu doğrultuda kanun kapsamına, doğrudan ya da dolaylı olarak internete, elektronik haberleşme veya bilgisayar ağlarına bağlı olarak (siber uzayda) varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar dahil olmak üzere bu düzenleme herkes için geçerli olacak.

Kanun, siber güvenliği bir “ulusal güvenlik” meselesi olarak ele alırken, temel siber güvenlik ilkeleri dahilinde hem kamunun hem de özel sektörün katılımını zorunlu kılan düzenlemelerle, ülke çapında siber saldırılara müdahaleden öteye götürerek siber güvenlik uyumunun sağlanması hedefleniyor.

Kanun, şirketlere çeşitli yükümlülükler getirirken; bu yükümlülükler arasında, mevzuat kapsamında öngörülen tedbirlerin alınması ve hizmet sundukları alanda tespit edilen zafiyetlerin veya siber olayların gecikmeksizin Başkanlık’a bildirilmesi, talep edilen bilgi ve belgelerin sunulması, belirlenen politika, strateji ve eylem planı gibi belgelerde yer alan gerekliliklerin yerine getirilmesi yer alıyor. Kanun’a aykırı eylemler için 1.000.000 TL’den 100.000.000 TL’ye kadar veya brüt satış hasılatının %1’i ile vergi öncesi kârın %20’sinden yüksek olanına kadar değişen idari para cezaları öngörülüyor. Ayrıca kişisel veya kurumsal verilerin sızdırılması ve sızdırılan verilen yayılması başta olmak üzere suç teşkil eden eylemler için de 1 yıldan 15 yıla kadar hapis cezası verilebilecek.

Bu bağlamda, şirketlere ve özellikle yönetim kurullarına siber güvenlik alanında uyumun sağlanması için büyük sorumluluklar düşüyor. Hem teknik hem yönetimsel alanda gerekli önlemlerin alınması, politika ve prosedürlerin oluşturulması, varlık envanterlerinin hazırlanması ve siber olaylara müdahale ekiplerinin kurulması gerekiyor. Ayrıca, akdedilen sözleşmelerin mevzuata uyumlu hale getirilmesi ve periyodik denetimlerin yapılması da önem taşıyor.

Dolayısıyla, şirketler açısından siber güvenlik alanında gerekli önlemlerin alınması ve mevzuata uyum çalışmalarının titizlikle yürütülmesi, yalnızca idari para cezası veya hapis gibi yaptırımlardan kaçınmak açısından değil; aynı zamanda kurumsal itibarın korunması, müşteri güveninin sürdürülmesi ve uzun vadeli iş sürekliliği için de kritik öneme sahiptir. Bu çerçevede, siber güvenlik uyumunun sağlanması, sürdürülebilir büyüme stratejisinin temelini oluşturarak şirketlere uzun vadede rekabet avantajı sağlayacağı için siber güvenlik yatırımları yalnızca bir yükümlülük değil, stratejik bir gereklilik olarak değerlendirilmelidir.

* Av. Tuğçe Gültekin'in Capital Dergisi için hazırladığı makaleden alınmıştır.