Siber Güvenlik Kanunu (7545): Mart 2026 Sonrası Şirketinizi Bekleyen Log Saklama ve Güvenlik Dokümantasyonu Yükümlülükleri

7545 sayılı Siber Güvenlik Kanunu nedir ve kimleri kapsıyor

7545 sayılı Siber Güvenlik Kanunu, TBMM tarafından 12 Mart 2025 tarihinde kabul edildi ve 19 Mart 2025 tarih, 32846 sayılı Resmi Gazete'de yayımlanarak ayni gün yürürlüğe girdi. Bu, Türkiye'nin siber güvenliği dagiknik tebliğ ve genelgeler yerine tek bir çatı kanun altında toplama girişimidir. Kanun, uygulamayı yürütmek üzere yeni bir Siber Güvenlik Başkanlığı ve politika düzeyinde kararlar alacak bir Siber Güvenlik Kurulu oluşturuyor.

En kritik nokta kapsam. Kanun, kamu kurumlarının yani sira gerçek ve tüzel kişileri ve tüzel kişiliğe sahip olmayan kuruluşları da kapsıyor: siber uzayda var olan, faaliyet gösteren ve hizmet sunan herkes. Pratikte bu, fiilen tüm özel şirketleri ve KOBI'leri yükümlülük alanına sokuyor. Yalnızca istihbarat, askeri ve polisiye faaliyetler kapsam dışında bırakılmıştır. Bir başka deyişle, internete bağlı bir bilişim sistemi isleten ve hizmet sunan bir şirketin "biz teknoloji şirketi değiliz" demesi artık bir muafiyet gerekçesi olmaktan çıkıyor.

Bu kanunun KVKK'dan ve vergi tarafındaki e-belge düzenlemelerinden ayrı bir rejim oldugunu vurgulamak gerekir. KVKK kişisel verinin korunmasına, e-belge mevzuatı mali kayıtlara odaklanırken, 7545 sayılı Kanun doğrudan siber güvenlik duruşunuzu, olay yönetiminizi ve bunları kanıtlayan kayıtlarınızı hedef alıyor. Yani ayni veri ucu birden fazla rejime tabi olabilir.

Log kayıtları ve dokuman standartları

Kanunun is operasyonlarını en cok etkileyecek yani log yükümlülüğüdür. Siber Güvenlik Başkanlığı, bilişim sistemlerinin log kayıtlarını toplamaya, saklamaya ve değerlendirmeye, bunlardan raporlar üretmeye yetkili kılınmıştır. Bu, kuruluşların loglarini erişilebilir, bütünlüğü bozulmamış ve gerektiğinde teslim edilebilir biçimde tutması anlamına gelir. Ancak ayrıntılı saklama suresi metinde sabitlenmemiş, ikincil mevzuata bırakılmıştır; dolayisiyla "kac yıl saklayacağız" sorusunun kesin cevabi çıkacak yönetmeliğe bağlıdır.

Kanunun zorunlu düzenleme alanlarından biri de güvenlik politikası ve dokuman standartlarıdır. Bu, doğrudan kayıt yönetimiyle ilgilidir: güvenlik politikalarınızın yazılı, surumlenmis ve denetlenebilir olması; loglarin hangi standartta tutulduğunun belgelenmesi beklenir. Bu nedenle log saklama ile dokümantasyon yükümlülüğünü tek bir mesele olarak düşünmek doğru olur:

• Loglar: sistem olaylarının zaman damgalı, değiştirilmemiş ve gerektiğinde sunulabilir kayıtları.
• Politika dokümantasyonu: güvenlik politikalarının ve dokuman standartlarının yazılı, onaylı ve güncel halleri.
• Izlenebilirlik: hangi kaydın ne zaman, hangi politikaya göre tutulduğunun gösterilebilmesi.

Siber olay bildirimi ve denetim

Ciddi bir siber olay yasayan kuruluşlar, durumu Siber Güvenlik Baskanligi'na vakit kaybetmeden bildirmek zorundadır. Bildirimin tam formatı ve suresi yine ikincil mevzuatta belirlenecektir, ancak yükümlülüğün kendisi kanun metninde açıkça yer alır. Bu, şirketlerin bir olay anında "kime, ne kadar surede, hangi bilgiyle" bildirim yapacaklarını önceden planlamaları ve bu sureci destekleyen kayıt altyapısını kurmaları gerektiğini gösterir.

Denetim boyutu da önemlidir. Başkanlık denetim yetkisine sahiptir ve denetimin engellenmesi bağımsız bir ihlal turu olarak ele alınır. Burada kritik olan, denetim anında istenen log ve politika dokümanlarını hızla ve bütünlüğünü kaybetmeden sunabilmektir; dagiknik, sürümsüz veya silinmiş kayıtlar hem bildirim hem denetim yükümlülüğünü riske atar.

Kanun ayrıca bir veri isleme yükümlülüğü de getiriyor: kişisel veriler ve ticari sırlar, erişim gerekçesi sona erince silinmeli, yok edilmeli veya anonimlestirilmelidir. Yani sinirsiz saklama da bir çözüm değildir; saklama ve imha dengesini politika dokumantasyonunuzla birlikte tanımlamanız beklenir.

Cezalar (2026 yeniden değerleme notuyla)

Kanun, kademeli ve ağır bir yaptırım rejimi öngörüyor. Kanuni taban aralıklar şöyledir:

• Zafiyet veya olay bildirmeme ya da sertifikalı urun kullanmama: 1.000.000 ile 10.000.000 TL.
• Izinsiz sinir ötesi satış veya birlesme/devralma: 10.000.000 ile 100.000.000 TL.
• Denetimin engellenmesi: 100.000 ile 1.000.000 TL.

Ticari şirketler için denetim engelleme cezası, bağımsız denetimden geçmiş yıllık finansallara göre brüt satış hasılatının yüzde 5'ine kadar çıkabilir; bu, ciroya endeksli oldugu için büyük şirketlerde nominal tabandan cok daha yüksek bir tutara işaret edebilir. Cezai yaptırımlar da kademelidir: istenen bilgiyi vermeme 1 ila 3 yıl, izinsiz faaliyet 2 ila 4 yıl, veri sızdırma 3 ila 5 yıl, sahte ihlal içeriği yayımlama 2 ila 5 yıl hapis cezasını gerektirebilir.

Önemli bir uyarı: bu tutarlar kanundaki taban araliklardir. Idari para cezalarının her yıl yeniden değerleme oranıyla güncellenmesi olağandır ve 2026 için uygulanan yeniden değerlemeyle oluşan tam TL tutarları dogrulanamamistir. Bu nedenle yukarıdaki rakamları kanuni taban olarak okuyun, güncel olarak uygulanan tutarları resmi kaynaktan teyit edin ve bütçe planlamasında yeniden değerlemenin tabanı yukarı çektiğini varsayın.

19 Mart 2026 yönetmelik takvimi ve şirketlerin yapması gerekenler

Kancanın can alici noktası takvim. Kanun, tüm uygulama yönetmeliklerinin Kanunun yürürlüğe girmesinden itibaren bir yıl içinde, yani 19 Mart 2026 tarihine kadar çıkarılmasını öngörmüştür. Burada ihtiyatlı olmak gerekiyor: 2025 sonu kaynaklarında bu yönetmeliklerin henüz taslağı dahi yayımlanmamıştı. Dolayisiyla "yonetmelikler cikti" demek yerine, bunların 19 Mart 2026 tarihine kadar çıkarılması gerektiğini söylemek ve güncel yayım durumunu eyleme geçmeden önce mutlaka resmi kaynaktan doğrulamak doğru yaklaşımdır.

Sira, devam senaryosunu da ayni ihtiyatla ele almak gerekir: eğer yönetmelikler 19 Mart 2026'da yürürlüğe girdiyse, siber güvenlik sektöründeki firmaların bir yıl içinde, yani 19 Mart 2027'ye kadar sertifikasyonu tamamlaması, aksi halde faaliyetten men ile karsilasmasi beklenir. Bu, özellikle siber güvenlik hizmeti veren sağlayıcılar için somut bir takvim baskısıdır.

Yönetmeliklerin kesin saklama sureleri ve bildirim formatları açıklığa kavuşana kadar, şirketler beklemek yerine altyapılarını hazırlayabilir:

• Hangi bilişim sistemlerinin log ürettiğinin ve bu loglarin nerede, nasıl tutulduğunun envanterini çıkarın.
• Güvenlik politikası ve dokuman standartlarınızı yazılı, surumlenmis ve onaylı hale getirin; bunlar hem zorunlu düzenleme alanı hem denetim malzemesidir.
• Loglarin bütünlüğünü ve zaman damgasını koruyan, gerektiğinde hızla teslim edilebilir bir saklama düzeni kurun.
• Ciddi olay durumunda kimin, hangi surede, hangi bilgiyle Başkanlığa bildirim yapacağını tanımlayan bir is akışı hazırlayın.
• Saklama ve imha dengesini netleştirin: erişim gerekçesi biten kişisel veri ve ticari sırlar için silme, yok etme veya anonimleştirme adımlarını politikaya bağlayın.

Özetle 7545 sayılı Kanun, siber güvenliği soyut bir BT meselesinden, kanıtlanabilir kayıtlar ve surumlenmis politikalar üzerine kurulu bir uyum disiplinine dönüştürüyor. Kesin sureler yönetmeliklerle gelecek olsa da, log bütünlüğü, dokümantasyon standardı ve olay bildirimine hazırlık bugünden inşa edilmesi gereken temellerdir.