Siber Güvenlik Kanunu Yayımlandı

SİBER GÜVENLİK KANUNU

Kanun No. 7545

Kabul Tarihi: 12/3/2025

BİRİNCİ BÖLÜM

Başlangıç Hükümleri

Amaç

MADDE 1- (1) Bu Kanunun gayesi, Türkiye Cumhuriyeti’nin siber uzaydaki ulusal gücünü meydana getiren bütün ögelerine karşı içten ve dıştan yöneltilen mevcut ve beklenen tehditlerin tespit ve bertaraf edilmesi, siber olayların beklenen tesirlerini azaltmaya yönelik temellerin belirlenmesi, kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve hukukî şahıslar ile hukuksal kişiliği bulunmayan kuruluşların siber ataklara karşı korunmasına yönelik gerekli düzenlemelerin yapılması, ülkenin siber güvenliğini güçlendirmek için strateji ve siyasetlerin belirlenmesi ile Siber Güvenlik Konseyinin kurulmasına ait asılları düzenlemektir.

Kapsam

MADDE 2- (1) Bu Kanun, siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve hukuksal bireyler ile hukuksal kişiliği bulunmayan kuruluşları kapsar.

(2) 4/7/1934 tarihli ve 2559 sayılı Polis Vazife ve Salahiyet Kanunu, 9/7/1982 tarihli ve 2692 sayılı Sahil Güvenlik Komutanlığı Kanunu ve 10/3/1983 tarihli ve 2803 sayılı Jandarma Teşkilat, Görev ve Yetkileri Kanunu uyarınca yürütülen istihbari faaliyetler ile 1/11/1983 tarihli ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu ile 4/1/1961 tarihli ve 211 sayılı Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler bu Kanun kapsamı dışındadır.

Tanım ve kısaltmalar

MADDE 3- (1) Bu Kanunda geçen;

a) Barındırma: Bilişim sistemlerinin harici bir data merkezinde bulundurulmasını,

b) Lider: Siber Güvenlik Liderini,

c) Başkanlık: Siber Güvenlik Başkanlığını,

ç) Bilişim sistemleri: Bilgi ve bağlantı teknolojileri vasıtasıyla sağlanan her türlü hizmetin, sürecin ve datanın sunumunda kullanılan donanım, yazılım, sistem ve faal yahut pasif durumda bulunan tüm öbür bileşenleri,

d) Kritik altyapı: İşlediği bilginin/verinin saklılığı, bütünlüğü yahut erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik ziyana ve güvenlik açıklarına yahut kamu nizamının bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapıları,

e) Kritik kamu hizmeti: Ulusal, toplumsal yahut ekonomik faaliyetlerin sürdürülmesi için gerekli olan ve kesintiye uğraması yahut ziyan görmesi halinde ulusal güvenlik, ülkenin toplumsal yahut ekonomik refahı, kamu nizamı yahut sıhhati ya da öbür hizmetlerin sunumu üzerinde değerli bir tesir oluşturabilecek ülke genelinde monopol yahut hudutlu ikame ile sunulan hizmeti,

f) Siber güvenlik: Siber uzayı oluşturan bilişim sistemlerinin akınlardan korunmasını, bu ortamda işlenen bilginin kapalılık, bütünlük ve erişilebilirliğinin garanti altına alınmasını, akınların ve siber olayların tespit edilmesini, bu tespitlere karşı reaksiyon ve alarm düzeneklerinin devreye alınmasını ve sonrasında yaşanan siber olay öncesi duruma geri döndürülmesini kapsayan faaliyetler bütününü,

g) Siber olay: Bilişim sistemlerinin yahut bilginin kapalılık, bütünlük yahut erişilebilirliğinin ihlal edilmesini,

ğ) Siber akın: Siber uzaydaki bilişim sistemlerinin ve bu sistemler tarafından işlenen bilginin kapalılığı, bütünlüğü yahut erişilebilirliğini ortadan kaldırmak gayesiyle, siber uzayın rastgele bir yerindeki kişi yahut bilişim sistemlerine yönelik olarak kasıtlı yapılan süreçleri,

h) Siber tehdit: Bilişim sistemlerinin, bu sistemlerde bulunan yahut bu sistemler tarafından işlenen datanın kapalılık, bütünlük yahut erişilebilirliğinin ihlal edilmesine neden olabilecek potansiyel tehlikeleri,

ı) Siber tehdit istihbaratı: Siber uzaydaki varlıklara yönelik mevcut yahut potansiyel siber tehdit ögeleri ile siber akınlar hakkında bir ortaya getirilmiş, dönüştürülmüş, tahlil edilmiş, yorumlanmış yahut zenginleştirilmiş bilgiyi,

i) Siber uzay: Direkt ya da dolaylı olarak internete, elektronik haberleşme yahut bilgisayar ağlarına bağlı olan tüm bilişim sistemlerini ve bunları birbirine bağlayan ağlardan oluşan ortamı,

j) SOME: Siber olaylara müdahale takımını,

k) Varlık: Elektronik yahut fizikî ortamlarda yer alan ve irtibat yoluyla aktarılabilen bilgiyi içeren tüm bilgi ve bilgi sürece imkanlarını, datayı kullanan yahut taşıyan çalışanı ve datayı barındıran fizikî yerleri,

l) Zafiyet: Siber uzayda yer alan varlıkların rastgele bir siber tehdit tarafından istismar edilebilecek zayıflık ve güvenlik açıklarını,

ifade eder.

Temel ilkeler

MADDE 4- (1) Siber güvenliğin sağlanmasında temel prensipler şunlardır:

a) Siber güvenlik ulusal güvenliğin ayrılmaz bir kesimidir.

b) Kritik altyapı ve bilişim sistemlerinin korunması ile inançlı bir siber uzay oluşturulması temel amaçtır.

c) Siber güvenlikle ilgili çalışmalar kurumsallık, süreklilik ve sürdürülebilirlik temelli yürütülür.

ç) Siber güvenlik önlemlerinin, hizmet ve eserlerin tüm hayat döngüsü boyunca uygulanması temeldir.

d) Siber güvenliğin sağlanmasına yönelik çalışmalarda öncelikle yerli ve ulusal eserler tercih edilir.

e) Siber güvenlik siyaset ve stratejilerinin yürütülmesi ile siber hücumların önlenmesi yahut tesirinin azaltılmasına yönelik gerekli önlemlerin alınmasından tüm kamu kurum ve kuruluşları ile gerçek ve hukuksal şahıslar sorumludur.

f) Siber güvenlik süreçlerinin yürütülmesinde hesap verebilirlik temeldir.

g) Siber güvenlik siyaset ve strateji geliştirme çalışmaları daima gelişim yaklaşımı ile yürütülür.

ğ) Siber güvenlik alanında nitelikli insan kaynağı kabiliyet ve kapasitesinin artırılmasına yönelik çalışmalar teşvik edilir.

h) Siber güvenlik kültürünün toplum geneline yaygınlaştırılması hedeflenir.

ı) Hukukun üstünlüğü, temel insan hak ve hürriyetleri ile mahremiyetin korunması unsurları temel esas kabul edilir.

İKİNCİ BÖLÜM

Görev, Yetki, Sorumluluk, Kontrol ve Siber Güvenlik Kurulu

Başkanlığın görevleri

MADDE 5- (1) Başkanlığın vazifeleri şunlardır:

a) İlgili mevzuatta yer alan misyonları yapmak.

b) Kritik altyapılar ve bilişim sistemlerinin siber dayanıklılığının artırılmasına, siber akınlara karşı korunmasına, gerçekleştirilen siber taarruzların tespitine, olası akınların önlenmesine ve tesirlerinin azaltılmasına yahut ortadan kaldırılmasına yönelik faaliyet yürütmek, bu kapsamda zafiyet ve sızma testleri ile varlıklara yönelik risk tahlilleri yapmak yahut yaptırmak, siber tehditlerle çaba etmek, siber tehdit istihbaratı elde etmek, oluşturmak ve paylaşmak, ziyanlı yazılım inceleme faaliyetleri yürütmek.

c) Kritik altyapılar ile ilişkin oldukları kurumları ve pozisyonları belirlemek.

ç) Kamu kurum ve kuruluşları ile kritik altyapıların bilgi envanteri dahil olmak üzere tüm varlıklarının envanterinin tutulmasını ve varlıklara yönelik risk tahlilinin gerçekleştirilmesini sağlamak, kamu kurum ve kuruluşları ile kritik altyapıların sahip olduğu varlıkların kritikliğine nazaran güvenlik önlemlerini almak yahut aldırmak.

d) SOME’ler kurmak, kurdurmak ve denetlemek, SOME’lerin olgunluk düzeylerinin belirlenmesi ve artırılması için çalışmalar yapmak, siber güvenlik tatbikatları gerçekleştirerek SOME’lerin siber olay müdahale kabiliyetlerini ölçmek, öbür ülkelerin siber olaylara müdahale takımlarıyla uyum kurmak, her türlü siber müdahale aracının ve ulusal tahlillerin üretilmesi ve geliştirilmesi maksadıyla çalışmalar yapmak, yaptırmak ve bunları teşvik etmek.

e) Siber güvenlik alanında faaliyet gösterenlerin uyması gereken yol ve asılları düzenlemek.

f) Kamu kurum ve kuruluşları ile kritik kamu hizmetlerinin siber güvenliğini sağlamak maksadıyla gerekli altyapıları kurmak, kurdurmak, işletmek, işlettirmek ve kamu kurum ve kuruluşlarına inançlı sistem ve altyapılar üzerinden barındırma hizmeti sunmak yahut sunulmasını sağlamak, bu faaliyetlere yönelik uygulama tarz ve asıllarını belirlemek.

g) Siber güvenlik alanına ait standartları hazırlamak, öbür kişi yahut kuruluşlarca hazırlanan standartları tetkik etmek, bunlar hakkında mütalaa vermek, uygun bulduğu takdirde standart olarak kabul etmek, bunları yayımlamak ve uygulanmalarını takip etmek.

ğ) Siber güvenlik alanına ait yazılım, donanım, eser, sistem ve hizmetlere yönelik test ve sertifikasyon süreçlerini yürütmek, buna yönelik test altyapıları kurmak, kurdurmak ve işletmek ile siber güvenlik uzmanları ve şirketlerine yönelik sertifikasyon, yetkilendirme ve belgelendirme süreçlerini ilgili kurumlarla koordineli olarak yürütmek.

h) Siber güvenlik kontrolünü gerçekleştirmek ve sonucuna nazaran yaptırım uygulamak.

ı) Kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik eser ve hizmetleri ile bunları sağlayacak işletmelerin taşıması gereken niteliklere yönelik teknik kriterler belirlemek ve mevzuat düzenlemeleri yapmak, bunların kontrolünü yapmak ya da yaptırmak, kontrolleri yapacak kuruluşların taşımaları gereken nitelikleri belirlemek, bu kuruluşları görevlendirmek, gerektiğinde görevlendirmeyi süreksiz olarak durdurmak ya da iptal etmek.

Yetkiler

MADDE 6- (1) Başkanlık, vazifelerini yerine getirirken aşağıdaki yetkileri kullanır:

a) İlgili mevzuatta yer alan yetkileri kullanmak.

b) Bu Kanun kapsamındakilerin siber taarruzlara karşı korunması ve bu taarruzların kaynağına karşı caydırıcılık sağlanması için gerekli önlemi alır yahut aldırır. Bu kapsamda bilişim sistemlerine uygun bulunan yazılım ve donanım eserlerinin heyetim ve entegrasyonunu sağlayabilir, bu eserler tarafından üretilen yahut toplanan data ve log kayıtlarını Başkanlık idaresinde bulunan bilişim sistemlerine aktarabilir, siber olayların tespitine yönelik gerekli usulü ve aracı kullanabilir.

c) Bu Kanun kapsamındakilerden siber olaya maruz kalanlara yerinde yahut uzaktan siber olay müdahale takviyesi sağlayabilir, siber uzayda bulunan yahut elde ettiği data, imaj yahut log kayıtları üzerinden taarruzlara ilişkin izleri takip edebilir, bunları inceleyerek delillendirebilir, cürüm teşkil ettiği bedellendirilen bulguları isimli makamlar ve öbür ilgililer ile paylaşır, yurt içi ve yurt dışındaki paydaşlar ile uyum sağlayabilir.

ç) Bu Kanun kapsamındakilerden, yürüttüğü faaliyetlerle sonlu olmak üzere bilgi, doküman, data ve kayıtları alabilir ve değerlendirmesini yapabilir, bunlara ilişkin arşivlerden, elektronik bilgi süreç merkezlerinden ve irtibat altyapısından yararlanabilir ve bunlarla irtibat kurabilir. Bu kapsamda elde edilen bilgi, evrak, bilgi ve kayıtlar, en fazla iki yıl mühletle çalışmaya husus edilir ve çalışma mühleti sonrasında imha edilir. Bu kapsamda talepte bulunulanlar, kendi mevzuatındaki kararları münasebet göstermek suretiyle talebin yerine getirilmesinden kaçınamazlar.

d) Bilişim sistemlerindeki log kayıtlarını bünyesinde toplayabilir, saklayabilir, kıymetlendirebilir. Bunlar hakkında rapor hazırlayarak ilgili kurum ve kuruluşlar ile paylaşabilir.

e) Başkanlık, bakanlıklar ve başka kamu kurum ve kuruluşları ile koordineli olarak siber güvenlik bahislerinde muhtaçlık halinde işçi tefrik edebilir.

f) Misyon alanına giren mevzularda milletlerarası kuruluşlar ve ülkelerle bağlar yürütebilir, bilgi alışverişinde bulunabilir, ülkemizi temsil edebilir ve uyumu sağlayabilir, memleketler arası kuruluşların çalışmalarına katılabilir, alınan kararların uygulanmasını takip edebilir ve gerekli uyumu sağlayabilir.

g) Bu Kanun kapsamındaki kurum, kuruluş ve ilgili başka gerçek ve hukukî bireyler ile hükmî kişiliği bulunmayan kuruluşları sınıflandırabilir, faaliyetlerini icra ederken gerektiğinde yalnızca makul bir kısmını kapsayan kararlar oluşturabilir.

ğ) Siber güvenlik kontrolü gerçekleştiren bağımsız denetçiler ve bağımsız kontrol kuruluşlarını yetkilendirebilir, yetkisini vadeli yahut süresiz iptal edebilir.

h) Kamu kurum ve kuruluşları ile kritik altyapıların bilişim sistemlerinde kullanılacak ve siber güvenliğe tesiri olan yazılım, donanım, eser ve hizmetlere dair kriterler ile Başkanlığa yapılacak bildirimlere ait tarz ve asılları belirler.

ı) Siber güvenlik yazılım, donanım, eser ve hizmetlerinin minimum güvenlik kriterlerini belirler. Bunları sağlayacak yahut tedarik edecek gerçek ve hukuksal bireylere yönelik sertifikasyon, yetkilendirme ve belgelendirme süreçlerini yönetir. Siber güvenlik yazılım, donanım, eser ve hizmetlerinin belirlenecek standartlara uygun hale getirilmesini talep edebilir, bu talebe ahenk sağlamayanların kullanılmasını önleyici önlemler alabilir.

(2) Bu Kanun uyarınca yürütülen iş ve süreçler kapsamında şahsî datalar; hukuka ve dürüstlük kurallarına uygun biçimde, yanlışsız ve gerektiğinde aktüel olmak kaydıyla, muhakkak, açık ve yasal emellerle, işlendiği maksatla temaslı, hudutlu ve ölçülü olmak kaydıyla ve işlendiği hedef için gerekli olan mühlet kadar koruma edilmek üzere işlenir. Bu Kanunda belirtilen yetkiler çerçevesinde elde edilecek şahsî bilgiler ve ticari sırlar; bu bilgilere erişilmesini gerektiren sebeplerin ortadan kalkması halinde resen silinir, yok edilir yahut anonim hale getirilir.

(3) Bu unsurun uygulanmasına ait adap ve asıllar Cumhurbaşkanı tarafından çıkarılacak yönetmelikle belirlenir.

Sorumluluklar ve iş birliği

MADDE 7- (1) Bu Kanun kapsamında yer alan ve bilişim sistemleri kullanmak suretiyle hizmet sunan, bilgi toplayan, işleyen ve gibisi faaliyet yürütenlerin siber güvenliğe ait vazife ve sorumlulukları şunlardır:

a) Başkanlığın vazife ve faaliyetleri kapsamında talep ettiği her türlü data, bilgi, evrak, donanım, yazılım ve öteki her türlü katkıyı öncelikle ve vaktinde Başkanlığa iletmek.

b) Siber güvenliğe yönelik olarak ulusal güvenlik, kamu sistemi yahut kamu hizmetinin gereği üzere yürütülmesi emeliyle mevzuatın öngördüğü önlemleri almak, hizmet sundukları alanda tespit ettikleri zafiyet yahut siber olayları gecikmeksizin Başkanlığa bildirmek.

c) Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik eser, sistem ve hizmetleri Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden yahut şirketlerden tedarik etmek.

ç) Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerince faaliyete başlamadan evvel mevcut düzenlemeler çerçevesinde Başkanlığın onayını almak.

d) Siber olgunluğun artırılmasına yönelik Başkanlık tarafından geliştirilen siyaset, strateji, hareket planı ile yayımlanan başka düzenleyici süreçlerde yer alan konuları yerine getirmek ve gerekli önlemleri almak.

(2) Başkanlık, bu Kanunda belirtilen faaliyetlerin yürütülmesinde kamu kurum ve kuruluşları, gerçek ve hükmî bireyler ile hukuksal kişiliği bulunmayan kuruluşlarla iş birliği içerisinde çalışır.

Denetim

MADDE 8- (1) Başkanlık, bu Kanunda belirtilen vazifeleri ile ilgili olarak gerekli gördüğü hallerde Kanunun kapsamına giren her türlü fiil ve süreci denetleyebilir; bu hedefle mahallinde inceleme yapabilir yahut yaptırabilir. Kontrol, bu Kanun kapsamındaki kurum, kuruluş ve ilgili öteki gerçek ve hukuksal şahısların bu Kanun kararlarıyla ilgili faaliyet ve süreçlerini kapsar. Kontrole Başkanlık işçisi, yetkilendirilmiş ve belgelendirilmiş bağımsız denetçiler ve bağımsız kontrol kuruluşları yetkilidir. Bu yetki, Lider tarafından görevlendirilenler tarafından kullanılır. Kamu kurum ve kuruluşları ile kritik altyapılarda kontroller, Başkanlık işçisince yahut refakatinde yapılır.

(2) Başkanlık, kontrol faaliyetlerine ait değerlilik ve öncelik unsurları ile risk değerlendirmelerinde dikkate alınacak ölçütleri ve uygulama temellerini belirler. Kontrol faaliyeti, değerlilik ve öncelik prensipleri ile risk değerlendirmeleri kapsamında oluşturulacak program uyarınca yürütülür. Lider, oluşturulan program dışında incelenmesi gerekli görülen konularda program dışı kontrol yaptırabilir.

(3) Mülki amirler, kolluk kuvvetleri ve öbür kamu kurumlarının amir ve memurları inceleme yahut kontrolle görevlendirilenlere her türlü kolaylığı göstermek ve yardımda bulunmakla yükümlüdürler.

(4) Kontrolle görevlendirilenler; yürüttükleri kontrol faaliyetleriyle sonlu olarak elektronik ortamdaki bilginin, evrakların, elektronik altyapının, aygıt, sistem, yazılım ve donanımlarının incelenmesi, bunlardan kopya, dijital suret yahut örnek alınması, mevzuyla ilgili yazılı yahut kelamlı açıklama istenmesi, gerekli tutanakların düzenlenmesi, tesislerin ve işletiminin incelenmesi mevzularında yetkilidir. Kontrole tabi tutulanlar, ilgili aygıt, sistem, yazılım ve donanımları verilen müddetlerde denetlemeye açık tutmak, kontrol için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli tedbirleri almak zorundadır.

(5) Ulusal güvenlik, kamu tertibi, cürüm işlenmesinin yahut siber hücumların önlenmesi emeliyle hakim kararı üzerine yahut gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısının yazılı buyruğu ile konutta, işyerinde ve kamuya açık olmayan kapalı alanlarda arama yapılabilir, uzun periyodik hizmet aksamasına yol açmayacak ve kesintisiz halde kopya çıkarma ve el koyma süreci gerçekleştirilebilir. Çıkarılan kopyanın bir nüshası ilgilisine teslim edilir ve bu konu tutanağa geçirilerek imza altına alınır. Bu süreçlerin yapılabilmesi için makul sebeplerin oluştuğunun münasebetleriyle birlikte gösterilmesi gerekir. Hakim kararı olmaksızın yapılan arama ve gerçekleştirilen kopya çıkarma ve el koyma süreçleri yirmidört saat içinde vazifeli hakimin onayına sunulur. Hakim, kararını kırksekiz saat içinde açıklar; aksi halde çıkarılan kopyalar ve tahlili yapılan metinler derhal imha edilir ve el koyma zaten kalkar. Yetkilendirilmiş bilgi merkezi işletmecilerinin bilgi merkezlerinde yalnızca hakim kararıyla arama, kopya çıkarma ve el koyma süreci yapılabilir. Bu fıkra kapsamına giren talepler bakımından Ankara sulh ceza hakimliği yetkili ve vazifelidir. Fakat kamu kurum ve kuruluşları bakımından hakim kararı aranmaz.

Siber Güvenlik Kurulu

MADDE 9- (1) Siber Güvenlik Kurulu; Cumhurbaşkanı, Cumhurbaşkanı Yardımcısı, Adalet Bakanı, Dışişleri Bakanı, İçişleri Bakanı, Milli Savunma Bakanı, Sanayi ve Teknoloji Bakanı, Ulaştırma ve Altyapı Bakanı, Milli Güvenlik Kurulu Genel Sekreteri, Milli İstihbarat Teşkilatı Başkanı, Savunma Sanayii Başkanı ve Siber Güvenlik Liderinden oluşur. Cumhurbaşkanının katılmadığı hallerde Heyete Cumhurbaşkanı Yardımcısı başkanlık eder.

(2) Konsey toplantılarına üyeler dışında, gündemin özelliğine nazaran ilgili bakan ve kişiler de çağrılarak bilgi ve görüş alınabilir.

(3) Heyet, misyonları kapsamında gerekli görmesi halinde kurul ve çalışma kümeleri oluşturabilir. Kurul ve çalışma kümeleri, Şuranın misyon alanına giren konularda teknik seviyede çalışmalar yapar ve karar teklifleri oluşturur. Kurul ve çalışma kümesi toplantılarına görüşlerinden faydalanmak üzere alanında uzman şahıslar davet edilebilir.

(4) Konseyin misyonları şunlardır:

a) Siber güvenlikle ilgili siyaset, strateji, hareket planı ve öbür düzenleyici süreçlere yönelik kararları almak, alınan kararların tamamından yahut bir kısmından istisna tutulacak kurum ve kuruluşları belirlemek.

b) Başkanlık tarafından hazırlanan siber güvenlik alanına ait teknoloji yol haritasının ülke çapında uygulanmasına yönelik kararlar almak.

c) Siber güvenlik alanında teşvik verilecek öncelikli alanları belirlemek, siber güvenlik alanındaki insan kaynağının geliştirilmesine yönelik karar almak.

ç) Kritik altyapı dallarını belirlemek.

d) Başkanlık ile kamu kurum ve kuruluşları ortasında meydana gelebilecek ihtilaflar hakkında karar almak.

(5) Konseyin sekretarya hizmetleri Başkanlık tarafından yürütülür. Heyet, kurul ve çalışma kümelerinin çalışma yöntem ve asılları Cumhurbaşkanı tarafından çıkarılacak yönetmelikle belirlenir.

ÜÇÜNCÜ BÖLÜM

Personele Ait Hükümler

Sözleşmeli uzman işçi istihdamı

MADDE 10- (1) Başkanlıkta siber güvenliğin sağlanması ile ilgili vazifeleri yürütmek üzere sayısı Cumhurbaşkanınca belirlenecek kontratlı uzman işçi çalıştırılabilir. Bu işçinin nitelikleri, atanma kaideleri üzere istihdamlarına ait konular ile bunlara verilecek her türlü ödemeler dahil net fiyatlar, 14/7/1965 tarihli ve 657 sayılı Devlet Memurları Kanununun 4 üncü unsurunun (B) bendine nazaran çalıştırılanlar için uygulanmakta olan mukavele fiyat tavanının beş katını aşmamak üzere Siber Güvenlik Kurulu tarafından ilgililerin yürüteceği vazifeler göz önüne alınarak tespit edilir. Bu fıkra kapsamındaki işçi, 31/5/2006 tarihli ve 5510 sayılı Toplumsal Sigortalar ve Genel Sıhhat Sigortası Kanununun 4 üncü hususunun birinci fıkrasının (a) bendi kapsamında sigortalı sayılır. Kanunlardaki özel kararlar gizli kalmak kaydıyla, bu statüde çalıştırılma, mukavele bitiminde kamu kurum ve kuruluşlarında rastgele bir konum, takım yahut statüde çalışma açısından kazanılmış hak teşkil etmez.

(2) Başkanlıkta; süreksiz olarak görevlendirilenler de dahil olmak üzere, misyon alan tüm çalışana 7/4/2021 tarihli ve 7315 sayılı Güvenlik Soruşturması ve Arşiv Araştırması Kanunu uyarınca güvenlik soruşturması ve arşiv araştırması birlikte yapılır.

Zorunlu hizmet yükümlülüklerinin devri

MADDE 11- (1) Başkanlıkta istihdam edilen işçiden ilgili mevzuatı kapsamında öteki kamu kurum ve kuruluşlarına karşı mecburî hizmet yükümlülüğü bulunanların Başkanlıkta geçen hizmet mühletleri, ilgili kamu kurum ve kuruluşunun da muvafakati alınmak kaydıyla, kelam konusu yükümlülük müddetlerinden düşülür.

Yasak hükümler

MADDE 12- (1) Başkanlıkta takımlı yahut kontratlı statüde misyon yapanlardan Başkanlık ile rastgele bir nedenle ilişiği kesilenler Başkanlıktan muvafakat almadan iki yıl mühletle yurt içi yahut yurt dışında siber güvenlik alanında resmi yahut özel öteki hiçbir misyon alamaz ve bu alanda ticaretle uğraşamaz, özgür meslek faaliyetinde bulunamaz ve bilhassa bu dalda faaliyet gösteren bir şirkette hissedar yahut yönetici olamaz.

(2) Başkanlıktaki vazife ve faaliyetler kapsamında edinilen bilgi, evrak ve gibisi her türlü bilginin, Başkanlıkça yetki verilen durumlar hariç olmak üzere, radyo, televizyon, internet, toplumsal medya, gazete, mecmua, kitap ve öbür tüm medya araçları ile her türlü yazılı, görsel, işitsel ve elektronik kitle bağlantı araçları vasıtasıyla yayımlanması yahut açıklanması yasaktır.

Sır saklama yükümlülüğü

MADDE 13- (1) Başkanlık tarafından yürütülen misyon ve faaliyetler kapsamında edinilen kamuya, ilgililere ve üçüncü şahıslara ilişkin saklılık taşıyan bilgiler, şahsî bilgiler, ticari sırlar ve bunlara ilişkin dokümanlar mevzuat gereği yetkili kılınan mercilerden diğerine açıklanamaz, gerçek ve hukuksal şahısların menfaatine kullanılamaz.

DÖRDÜNCÜ BÖLÜM

Gelir ve Muafiyetler

Başkanlığın gelirleri

MADDE 14- (1) Başkanlığın gelirleri;

a) Genel bütçeden yapılacak Hazine yardımlarından,

b) Başkanlığın faaliyetlerinden elde edilen gelirlerden,

c) Başkanlık tarafından verilen idari para cezalarından elde edilen gelirlerden,

ç) Kanun ve kararnamelerle kurulu bulunan ve kurulacak olan fonların gelirlerinden Cumhurbaşkanı kararıyla yüzde 10’una kadar aktarılacak fiyatlardan,

d) Öteki gelirlerden,

oluşur.

Muafiyetler

MADDE 15- (1) Başkanlığın muhtaçlıkları kapsamında yurt dışından ithalat yahut hibe yoluyla sağlanacak her türlü gereç, araç, gereç, makine, aygıt ve sistemleri ve bunların araştırma, geliştirme, eğitim, üretim, modernizasyon ve yazılımı ile üretim, bakım ve tamirlerinde kullanılacak yedek kesimler, hammadde materyal ile bedelsiz olarak dış kaynaklardan alınan yardım materyalleri nedeniyle yapılacak süreçler gümrük vergisinden, fon ve fotoğraflardan, harçlardan, bu süreçler nedeniyle düzenlenen kağıtlar damga vergisinden istisnadır. Bu istisna, Başkanlık ismine yurt dışına tamir, modernizasyon, bakım, mahrece iade, değişim amacıyla kati çıkış, süreksiz çıkış, bedelsiz ithalat ve giriş süreçlerinde de uygulanır.

(2) Başkanlığın vazifelerinin yürütülmesi sırasında gereksinim duyduğu her türlü materyal, araç, gereç, makine, aygıt ve sistemlerin ithalatında ve yurt dışına çıkış etaplarında, kamu kurum ve kuruluşlarından, gerçek ve hukukî şahıslardan alınması gereken müsaade ve uygunluk dokümanı aranmaz.

(3) Kamu kurum ve kuruluşları ile öteki kurum ve kuruluşlar, bu Kanunda yazılı misyonların yerine getirilmesi sırasında muhtaçlık duyulan hallerde, kullanımlarında bulunan ve müsadere edilen her türlü gereç, ekipman, teçhizat ve aygıtı, öbür kanunların bu mevzudaki düzenlemelerine bakılmaksızın Başkanlığa süreksiz olarak tahsis edebilir yahut bedelsiz devredebilirler.

BEŞİNCİ BÖLÜM

Cezai Kararlar ve İdari Para Cezalarının Uygulanması

Cezai kararlar ve idari para cezaları

MADDE 16- (1) Kamu kurum ve kuruluşları hariç olmak üzere bu Kanunla yetkilendirilen mercilerin ve kontrol vazifelilerinin misyon ve yetkileri kapsamında istedikleri bilgi, doküman, yazılım, data ve donanımı vermeyenler yahut bunların alınmasına mani olanlar bir yıldan üç yıla kadar mahpus ve beşyüz günden binbeşyüz güne kadar isimli para cezası ile cezalandırılır.

(2) Bu Kanun uyarınca alınması gerekli onay, yetki yahut müsaadeleri almaksızın faaliyet yürütenler iki yıldan dört yıla kadar mahpus ve bin günden ikibin güne kadar isimli para cezası ile cezalandırılır.

(3) Sır saklama yükümlülüğünü yerine getirmeyenlere dört yıldan sekiz yıla kadar mahpus cezası verilir.

(4) Siber uzayda data sızıntısı nedeniyle daha evvel yer alan ferdî yahut kritik kamu hizmeti kapsamına giren kurumsal bilgileri, bireylerin yahut kurumların müsaadesi olmaksızın fiyatlı yahut fiyatsız halde erişime açan, paylaşan yahut satışa çıkaranlara üç yıldan beş yıla kadar mahpus cezası verilir.

(5) Siber uzayda data sızıntısı olmadığını bildiği halde halk ortasında telaş, endişe ve panik yaratmak ya da kurumları yahut şahısları amaç göstermek maksadıyla siber güvenlikle ilgili bilgi sızıntısı olduğuna yönelik gerçeğe karşıt içerik oluşturanlara yahut bu gayeyle bu içerikleri yayanlara iki yıldan beş yıla kadar mahpus cezası verilir.

(6) Türkiye Cumhuriyeti’nin siber uzaydaki ulusal gücünü meydana getiren ögelerine yönelik olarak siber hücumda bulunan yahut bu atak sonucunda elde ettiği her türlü bilgiyi siber uzayda bulunduranlara fiil daha ağır bir cezayı gerektiren öbür bir cürüm oluşturmadığı takdirde sekiz yıldan oniki yıla kadar mahpus cezası verilir. Bu taarruz sonucunda elde ettiği her türlü datayı siber uzayda yayan, öbür bir yere gönderen yahut satışa çıkaranlara on yıldan onbeş yıla kadar mahpus cezası verilir.

(7) Üstteki fıkralara nazaran verilecek ceza cürmün kamu vazifelisi tarafından işlenmesi halinde üçte bir oranında, birden fazla kişi tarafından işlenmesi halinde yarı oranında ve bir örgütün faaliyeti çerçevesinde işlenmesi halinde yarısından iki katına kadar artırılır.

(8) 12 nci unsura ters davrananlara üç yıldan beş yıla kadar mahpus cezası verilir.

(9) Bu Kanundan kaynaklanan vazife ve yetkilerini berbata kullananlara yahut kritik altyapıların siber hücumlara karşı korunması kapsamında misyonunun gereklerine alışılmamış hareket etmek suretiyle data ihlali yaşanmasına sebebiyet verenlere bir yıldan üç yıla kadar mahpus cezası verilir.

(10) 7 nci hususun birinci fıkrasının (b) ve (c) bentlerindeki vazife ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar, 18 inci unsurdaki vazife ve sorumluluklarını yerine getirmeyenlere ise on milyon Türk lirasından yüz milyon Türk lirasına kadar idari para cezası verilir.

(11) 8 inci unsurun dördüncü fıkrasındaki yükümlülüklerini yerine getirmeyenlere, yüzbin Türk lirasından bir milyon Türk lirasına kadar, bu yükümlülüklerin ticari şirketlerce yerine getirilmemesi halinde yüzbin Türk lirasından az olmamak üzere bağımsız kontrolden geçmiş yıllık finansal tablolarında yer alan brüt satış hasılatının yüzde 5’ine kadar idari para cezası verilir.

İdari para cezalarının uygulanması

MADDE 17- (1) İdari para cezalarının uygulanmasından evvel ilgilinin savunması alınır. Savunma istendiğine ait yazının bildiri tarihinden itibaren otuz gün içinde savunma verilmemesi halinde, ilgilinin savunma hakkından feragat ettiği kabul edilir.

(2) Bu Kanunda tanımlanan kabahatlerden birinin idari yaptırım kararı verilinceye kadar birden çok işlendiğinin tespit edilmesi halinde ilgili gerçek yahut hukukî şahsa tek idari para cezası verilir ve verilecek ceza iki katını aşmayacak formda artırılarak uygulanır. Kabahatin işlenmesi nedeniyle bir menfaat temin edilmesi yahut ziyana sebebiyet verilmesi halinde verilecek idari para cezasının ölçüsü bu menfaat yahut zararın üç katından az beş katından fazla olamaz.

(3) Başkanlık tarafından verilen idari para cezaları, bildirim tarihinden itibaren bir ay içinde ödenir. Bu mühlet içinde ödenmeyen ve mutlaklaşan idari para cezaları, Kurumun bildirimi üzerine 21/7/1953 tarihli ve 6183 sayılı Amme Alacaklarının Tahsil Tarzı Hakkında Kanun kararlarına nazaran vergi dairelerince tahsil edilir.

(4) Tahsil edilen idari para cezalarının yüzde ellisi Başkanlık bütçesine, yüzde ellisi genel bütçeye gelir kaydedilir. Başkanlığın tahsil ettiği idari para cezalarından ayrılan genel bütçe hissesi; vergi dairesince tahsil edilen idari para cezalarından ayrılan Başkanlık hissesi, tahsilatı takip eden ay sonuna kadar aktarılır.

(5) Bu Kanun uyarınca verilen idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir.

ALTINCI BÖLÜM

Çeşitli ve Son Hükümler

Siber güvenlik eserleri ve şirketleri

MADDE 18- (1) Siber güvenlik eser, sistem, yazılım, donanım ve hizmetlerin yurt dışına satışı, Başkanlıkça belirlenecek adap ve asıllara uygun olarak yapılır. Bu yordam ve temellerde yer alacak müsaadeye tabi eserlerin yurt dışına satışında Başkanlık onayı alınır.

(2) Siber güvenlik eser, sistem, yazılım, donanım ve hizmetleri üreten şirketlerin birleşme, bölünme, hisse zamanı yahut satış süreçleri Başkanlığa bildirilir. Bu süreçler kapsamında gerçek yahut hükmî şahıslara münferiden yahut birlikte şirket üzerinde direkt yahut dolaylı denetim hakkı yahut karar alma yetkisi sağlayan süreçler Başkanlık onayına tabidir.

(3) Başkanlık onayı alınmaksızın gerçekleştirilen süreçler tüzel bir geçerlilik kazanmaz. Başkanlık, bu husus kapsamında yapılacak süreçlerle ilgili olarak kurum ve kuruluşlardan bilgi ve evrak talep edebilir.

(4) Bu unsurun uygulanmasına ait konular Başkanlık tarafından yayımlanacak metot ve asıllar ile belirlenir.

Değiştirilen ve yürürlükten kaldırılan hükümler

MADDE 19- (1) 27/6/1989 tarihli ve 375 sayılı Kanun Kararında Kararnamenin ek 34 üncü unsurunun üçüncü fıkrasına aşağıdaki cümle eklenmiştir.

“Siber Güvenlik Başkanı, mali ve sosyal hak ve yardımlar ile emeklilik hakları bakımından, bu fıkrada belirtilen adap ve temeller çerçevesinde bakanlık müsteşarına denk kabul edilir.”

(2) 10/12/2003 tarihli ve 5018 sayılı Kamu Mali İdaresi ve Denetim Kanununa ekli (II) sayılı Cetvelin “B) Özel Bütçeli Başka İdareler” kısmına aşağıdaki satır eklenmiştir.

“46) Siber Güvenlik Başkanlığı”

(3) 4/5/2007 tarihli ve 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Kabahatlerle Çaba Edilmesi Hakkında Kanunun 10 uncu hususunun altıncı fıkrası aşağıdaki formda değiştirilmiştir.

“(6) Kurum, vazifeleri kapsamında, içerik, yer, erişim sağlayıcılar ve ilgili başka kurum ve kuruluşlarla uyum sağlar, gerekli önlemlerin aldırılması konusunda faaliyet yürütür ve gereksinim duyulan çalışmaları yapar.”

(4) 5/11/2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanununun;

a) 5 inci unsurunun birinci fıkrasının (h) bendi yürürlükten kaldırılmış ve (ı) bendi aşağıdaki halde değiştirilmiştir.

“ı) Bakanlığın yürüttüğü misyonlar kapsamındaki data ve sistemlerin barındırılacağı bilgi merkezleri ve dataların transferi için gerekli altyapıları kurmak, kurdurmak, işletmek, işlettirmek, bu merkezlere yönelik siyaset, strateji ve amaçları belirlemek, hareket planlarını hazırlamak, aksiyon planlarını izlemek ve tüm bu faaliyetlere yönelik uygulama metot ve asıllarını belirlemek, suram, uygulama ve işletim süreçlerini planlamak, yürütmek ve koordine etmek.”

b) 6 ncı hususunun birinci fıkrasının (v) bendi aşağıdaki biçimde değiştirilmiştir.

“v) İnternet alan isimleri ve Kurum misyonları mevzularında Cumhurbaşkanı ve Bakanlık tarafından verilen misyonları yerine getirmek.”

c) 60 ıncı unsurunun onbirinci fıkrası ile ek 1 inci ve ek 2 nci unsurları yürürlükten kaldırılmıştır.

Uyum, geçiş düzenlemeleri ve kuruluş işlemleri

GEÇİCİ UNSUR 1- (1) Bilgi Teknolojileri ve İletişim Kurumu Başkanlığına ve Dijital Dönüşüm Ofisine ilişkin ve münhasıran ulusal siber güvenlik faaliyetleri kapsamında kullanılan her türlü taşınır, bilgi süreç altyapısı ve sistemler, taşıt, araç, gereç ve gereç, fiziki ve elektronik ortamdaki her türlü kayıt ve doküman ile başka her türlü varlık envanteri ile mezkür Başkanlık ve Ofis tarafından kelam konusu faaliyetlerin yürütülmesinden doğan her türlü borç ve alacaklar, hak ve yükümlülükler, Siber Güvenlik Başkanlığına bu Kanunun yayımından itibaren altı ay içerisinde devredilir.

(2) Bilgi Teknolojileri ve İletişim Kurumu Başkanlığının ve Dijital Dönüşüm Ofisinin takım ve konumlarında bulunan işçiden ulusal siber güvenlik faaliyetleri kapsamında çalışanlar, taleplerinin bulunması ve Siber Güvenlik Başkanlığınca uygun görülmesi halinde Başkanlıkta görevlendirilebilirler. Bunlardan talepte bulunan ve Başkanlıkça uygun görülenler mevcut takım yahut durum unvanları ve tahsil durumları dikkate alınarak bu Kanunun yayımından itibaren dokuz ay içerisinde Başkanlıkta durumlarına uygun takım yahut durumlara atanabilirler. Bu fıkra kapsamında ataması yapılan çalışanın evvelki kurumlarında yahut takımlarında geçirdikleri mühletler yeni kurumlarında yahut takımlarında geçirilmiş sayılır. Bu fıkra kapsamında ataması yapılan çalışandan mali hakları konusunda haklarında 375 sayılı Kanun Kararında Kararnamenin süreksiz 10 uncu unsuru yahut ilgili öteki mevzuat kararları uygulananlar hakkında anılan düzenlemelerin uygulanmasına devam edilir. Dijital Dönüşüm Ofisinden bu fıkra kapsamında ataması yapılan çalışana, iş mevzuatına nazaran rastgele bir tazminat ve yıllık müsaade fiyatı ödenmez. Bu çalışanın evvelce kıdem tazminatı ödenmiş müddetleri hariç kıdem tazminatına hak kazanacak biçimde geçmiş olan hizmet mühletleri, ilgisine nazaran emekli ikramiyelerinin yahut iş sonu tazminatının hesabında dikkate alınır. Ayrıyeten, bu çalışana bu fıkraya nazaran atanmadan evvel ek tediye yahut ikramiye ödenmiş olması halinde ödenen fiyatların atamanın yapıldığı tarihten sonraki çalışılmayan günlere tekabül eden kısmı geri alınır.

(3) Bilgi Teknolojileri ve İletişim Kurumu Başkanlığının ve Dijital Dönüşüm Ofisinin ulusal siber güvenlik faaliyetleri ile ilgili yapılmış olan kontratlar, açılmış ve açılacak olan davalar ve icra süreçlerinde ikinci fıkradaki atama süreçlerinin tamamlanması tarihi prestijiyle Başkanlık taraf sıfatını kazanır, mevcut dava evrakları ve icra takiplerine ait evraklar Başkanlığa devredilir.

(4) Siber güvenlik alanında faaliyet icra eden dernek, derneklerden oluşan federasyonlar, vakıflar ile ticaret şirketleri, altıncı fıkrada belirtilen düzenlemelerin yürürlüğe girmesinden itibaren bir yıl içerisinde Başkanlığın belirlediği unsur ve temeller çerçevesinde sertifikasyon, yetkilendirme ve belgelendirme süreçlerini tamamlamakla yükümlüdürler. Bu yükümlülüğün yerine getirilmemesi halinde siber güvenlik alanında faaliyette bulunulamaz. Bu mühlet sonunda kelam konusu yükümlülüklerini yerine getirmeyen dernek, vakıf ve federasyonların hükmî kişiliklerine, Başkanlığın talebi üzerine 22/11/2001 tarihli ve 4721 sayılı Türk Uygar Kanununun ilgili kararlarına nazaran mahkeme kararıyla son verilir ve mahkeme tarafından yargılama sürecinde gerekli önlemler alınır. Ticaret şirketleri ise tıpkı mühlet içinde yükümlülüklerini yerine getirmediği takdirde ticaret unvanlarında ve faaliyet bahislerinde yer alan siber güvenliğe ait ibareleri şirket kontratlarından çıkarır yahut ticaret sicilinden terkin edilmeleri maksadıyla tasfiye süreçlerini başlatır.

(5) 19 uncu hususun üçüncü ve dördüncü fıkraları uyarınca yürürlükten kaldırılan kararlar kapsamında faaliyet gösteren kurumlar Başkanlığın teşkilatlanmasının tamamlanmasına kadar anılan kararlar çerçevesinde misyonlarını yürütmeye devam ederler.

(6) Bu Kanunun uygulanmasına ait düzenlemeler, bir yıl içinde yürürlüğe konulur. Bu düzenlemeler yürürlüğe girinceye kadar mevcut düzenlemelerin bu Kanuna alışılmamış olmayan kararlarının uygulanmasına devam olunur.

Yürürlük

MADDE 20- (1) Bu Kanun yayımı tarihinde yürürlüğe girer.

Yürütme

MADDE 21- (1) Bu Kanun kararlarını Cumhurbaşkanı yürütür.

Kaynak: Memurlar