Kritik Altyapı Nedir ve Operatörlerin Siber Güvenlik Yükümlülükleri
Enerjiden sağlığa, finanstan ulaştırmaya: kritik altyapılar bir ülkenin can damarıdır. Türkiye’de belirlenen 15 kritik altyapı sektörü, yasal çerçeve (7545 sayılı Kanun) ve operatörlerin sorumlulukları.
Bir ülkenin günlük yaşamı; elektriğin gelmesine, suyun akmasına, bankaların çalışmasına, hastanelerin ve ulaşımın aksamadan hizmet vermesine bağlıdır. Bu hayati hizmetleri sağlayan sistemlerin siber saldırıya uğraması yalnızca bir şirketi değil, toplumun tamamını etkileyebilir; bu yüzden korunmaları ulusal bir öncelik hâline gelmiştir. Bu rehber, 7545 sayılı Siber Güvenlik↗ Kanunu’na göre kritik altyapı kavramını, sektörleri, operatörlerin yükümlülüklerini ve yaptırımları anlatır.
Kritik altyapı nedir?
Kanun, kritik altyapıyı şöyle tanımlar: işlediği bilginin ya da verinin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda can kaybına, büyük ölçekli ekonomik zarara ve güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar (m.3/1-d). Kritik kamu hizmeti ise ülke genelinde tekel ya da sınırlı ikame ile sunulan ve kesintiye uğraması hâlinde ulusal güvenlik, sosyal ve ekonomik refah, kamu düzeni veya sağlık üzerinde önemli etki yaratabilecek hizmettir (m.3/1-e).
Yasal çerçeve ve karar mercileri
7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanmıştır. Çerçevede şu yapılar öne çıkar:
- Siber Güvenlik Başkanlığı: Kritik altyapıları ve ait oldukları kurumları belirler (m.5/1-c); kamu kurum ve kuruluşları ile kritik altyapıların varlık envanterinin tutulmasını ve risk analizinin yapılmasını sağlar, varlıkların kritikliğine göre güvenlik tedbirlerini alır veya aldırır (m.5/1-ç); denetim yapar ve sonucuna göre yaptırım uygular (m.5/1-h).
- Siber Güvenlik Kurulu: Cumhurbaşkanı başkanlığında toplanır ve kritik altyapı sektörlerini belirler (m.9/4-ç).
Yani bir sektörde faaliyet göstermek, tek başına “kritik altyapı operatörü” olmak anlamına gelmez; kritik altyapıları ve kurumlarını Başkanlık belirler.
Sektörler
Hangi sektörlerin kritik altyapı sayılacağını Siber Güvenlik Kurulu belirler (m.9/4-ç); güncel sektör listesi ve kapsamı için Siber Güvenlik Başkanlığı’nın resmî duyurularına ve Resmî Gazete’ye bakın.
Operatörlerin yükümlülükleri
Kanun kapsamında bilişim sistemleri kullanarak hizmet sunan, veri toplayan ya da işleyen kuruluşların siber güvenliğe ilişkin görev ve sorumlulukları şunlardır (m.7/1):
- Başkanlığın talep ettiği veri, bilgi, belge, donanım, yazılım ve diğer katkıyı öncelikle ve zamanında iletmek.
- Milli güvenlik, kamu düzeni ve kamu hizmetinin gereği gibi yürütülmesi için mevzuatın öngördüğü tedbirleri almak; tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek.
- Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerini Başkanlıkça yetkilendirilmiş ve belgelendirilmiş uzman, üretici veya şirketlerden tedarik etmek.
- Başkanlığın geliştirdiği politika, strateji, eylem planı ve diğer düzenleyici işlemlerde yer alan hususları yerine getirmek.
Başkanlık, denetim yetkisiyle kanun kapsamındaki her türlü fiil ve işlemi denetleyebilir; kamu kurum ve kuruluşları ile kritik altyapılarda denetimler Başkanlık personelince veya refakatinde yapılır (m.8/1). Denetime tabi olanlar ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak ve gerekli altyapıyı sağlamakla yükümlüdür (m.8/4).
Yaptırımlar
| Fiil | Yaptırım |
|---|---|
| Görevi gereği istenen bilgi, belge, yazılım, veri veya donanımı vermemek ya da alınmasına engel olmak | Bir yıldan üç yıla kadar hapis ve adli para cezası. Hüküm, kamu kurum ve kuruluşları hariç olmak üzere uygulanır (m.16/1). |
| Kritik altyapıların korunması kapsamında görevin gereklerine aykırı hareket ederek veri ihlali↗ yaşanmasına sebebiyet vermek | Bir yıldan üç yıla kadar hapis (m.16/9). |
| m.7/1-a, b ve c’deki görev ve sorumlulukları yerine getirmemek | İdari para cezası (m.16/10). |
| Denetim sırasında cihaz, sistem ve altyapıyı denetime açık tutma yükümlülüğünü yerine getirmemek | İdari para cezası (m.16/11). |
| Sızdırılmış kişisel veya kritik kamu hizmeti verilerini izinsiz paylaşmak ya da satışa çıkarmak | Üç yıldan beş yıla kadar hapis; fiilin kamu görevlisi tarafından işlenmesi hâlinde üçte bir oranında artırım (m.16/4, 16/7). |
İdari para cezası tutarları ve güncel hâlleri için kanun metnine bakın; idari para cezalarına karşı idari yargı yoluna başvurulabilir (m.17).
Operatörler ne yapmalı? Yol haritası
- Kapsamı belirleyin: Hangi sistemleriniz kritik sayılabilir? Varlık envanteri çıkarın ve kritikliğe göre sınıflandırın.
- Olay müdahale↗ yapınızı kurun: SOME rolleri, 7/24 iletişim ve bildirim adımlarını tanımlayın.
- Temel kontrolleri sağlamlaştırın: Güçlü kimlik doğrulama↗, yama yönetimi↗, yedekleme, izleme ve erişim kontrolü↗.
- Tedarik zincirini gözden geçirin: Siber güvenlik ürün ve hizmetlerinde yetkilendirilmiş sağlayıcı şartını denetleyin.
- Resmî kaynakları izleyin: İkincil düzenlemeler ve güncel listeler için Başkanlığın duyurularını takip edin.
Endüstriyel sistemler (OT/ICS) ayrıca ele alınmalı
Enerji, su, üretim ve ulaştırma gibi sektörlerde kritik varlıklar çoğu zaman endüstriyel kontrol sistemleridir. 2019/12 sayılı Genelge, kamuda bu sistemlerin internete kapalı tutulmasını, açık olmaları zorunluysa güvenlik duvarı↗, uçtan uca tünelleme ve yetkilendirme↗ gibi önlemler alınmasını ister (m.16). Süreklilik ve emniyetin öncelikli olduğu bu ortamlar klasik BT güvenliğinden farklı ilkeler gerektirir.
Kritik altyapıda çalışıyorsanız
- Kontrol sistemlerine kaynağı belirsiz USB bellek ya da cihaz bağlamayın (Genelge m.10).
- Yetkiniz olmayan sistemlere erişmeyin; erişim yetkisi görevle sınırlıdır.
- Gördüğünüz anormallik ya da sızıntıyı paylaşmak yerine SOME’ye bildirin.
Kritik altyapı güvenliği yalnızca bir uyum yükümlülüğü değil; verdiğiniz hizmete bağımlı milyonlarca insana karşı bir sorumluluktur. En sağlam yatırım, olaydan önce yapılan hazırlıktır.
Kaynaklar ve son gözden geçirme
- 7545 sayılı Siber Güvenlik Kanunu (19 Mart 2025, Resmî Gazete 32846; 7590 sayılı Kanunla değişik hâliyle): m.3, 5, 7, 8, 9, 16, 17.
- 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi (6 Temmuz 2019, Resmî Gazete 30823): m.10, 16.
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; yükümlülüklerin bağlayıcı ayrıntıları için yürürlükteki mevzuata ve Siber Güvenlik Başkanlığı’nın resmî duyurularına başvurun.
