Cumhurbaşkanı başkanlığındaki Siber Güvenlik Kurulu, 5 Mayıs 2026'da 15 sektörü "kritik altyapı" ilan etti. Kapsam netleşti; ama o sektörlerin tam olarak ne yapması gerektiğini belirleyecek alt düzenlemeler hâlâ Resmî Gazete'de değil. Kurum kapsama girdi, kural gelmedi. Bu boşluk, kurumlar için bir mola değil, hazırlık penceresidir: çünkü iki yükümlülük eşikten bağımsız olarak bugün yürürlükte.
Kurul, 7545 sayılı Kanun'un verdiği yetkiyle 15 sektörü kritik altyapı ilan etti. Bu sektörlerde faaliyet gösteren kurumlar artık yalnızca genel siber yükümlülüklere değil, kritik altyapıya özgü sıkı bir uyum rejimine hazırlanmak zorunda.
→ Siber Güvenlik Başkanlığı · Kamuoyu BilgilendirmesiKaynak: Siber Güvenlik Kurulu 1 No'lu Kararı, 5 Mayıs 2026
Kritik altyapı ilan edilmek, kurumun risk profilini bir gecede değiştirir: tedarik, sertifikasyon, denetim ve olay bildirimi yükümlülükleri gündeme gelir. Ancak her sektörün operasyonel yükümlülük metinleri, eşikleri ve alt kırılımları henüz yayımlanmadı. Buradaki tuzak, "kural çıkınca bakarız" rahatlığı.
Ayrıca tedarik yükümlülüğü (Madde 7) aktif: kritik altyapılar siber güvenlik ürün ve hizmetini yalnızca Başkanlıkça yetkilendirilmiş kaynaklardan almalı; ihlalde 1 milyon TL'den 10 milyon TL'ye kadar idari para cezası. Yetkili tedarikçi listesi henüz açık olmasa da, kurumların tedarik zincirini şimdiden haritalaması gerekiyor.
Kaynak: 7545 sayılı Siber Güvenlik Kanunu · Md. 7 · Siber Güvenlik Kurulu 05.05.2026 KararıBelirsizlik, hazırlıksızlık için mazeret değil, avantaj penceresidir. Alt düzenleme çıktığında uyum süresi kısa olacak; bugün envanterini çıkaran kurum, rakibinden aylarca önde başlar. "Kural yok" demek "sorumluluk yok" demek değil.
Türkiye'de yapay zeka için tek bir yatay kanun yerine, mevcut kanunları AI ile ilişkilendiren çoklu teklifler yolu izleniyor. TBMM'de üç ayrı teklif var; en kapsamlısı deepfake ve içerik şeffaflığına odaklanıyor.
Öne çıkan yükümlülükler: yapay zeka ile üretilen içeriklere açık, görünür ve silinemez "Yapay Zeka Tarafından Üretilmiştir" etiketi; kişilik hakkını ihlal eden ya da kamu güvenliğini tehdit eden AI içeriğine 6 saat içinde müdahale; ayrımcı veri setiyle model eğitiminin veri güvenliği ihlali sayılması; 10 milyon TL'ye varan idari para cezası. AI yönetişimi artık KVKK ile iç içe.
Kaynak: TBMM · Yapay Zeka Kanun Teklifleri · TCK ve 5651 DeğişiklikleriKişilik hakkını ihlal eden ya da kamu güvenliğini tehdit eden yapay zeka içeriğinin kaldırılması için öngörülen azami süre 6 saat. İçerik sağlayıcı ile AI geliştiricisi bu yükümlülükten müştereken sorumlu; ihlalde 10 milyon TL'ye kadar ceza.
→ TBMM · 5651 sayılı Kanun Değişiklik TeklifiKişisel Verileri Koruma Kurulu'nun 2026/347 sayılı İlke Kararı (Resmî Gazete, 24 Mart 2026), yaygın bir kötü uygulamayı bitiriyor: açık rıza metni ile aydınlatma metni artık ayrı ayrı düzenlenmeli. Tek bir metinde "hem bilgilendirildim hem rıza veriyorum" yaklaşımı hukuka aykırı.
Bu, KVKK'nın iki sayıdır sürdürdüğü çizginin devamı: rıza, gerçek ve özgür bir irade olmalı. Web formları, üyelik akışları ve İK süreçlerindeki birleşik metinleri kullanan her kurum, bugün bir uyum açığı taşıyor.
Kaynak: KVKK İlke Kararı 2026/347 · Resmî Gazete 24.03.2026 · No. 33203Geçen sayı dawn raid protokolünü işledik; bu hafta Rekabet Kurulu'nun güncel kararları o çerçeveyi pekiştiriyor. Unmaş, Tahsildaroğlu ve ETİ kararlarında ortak sonuç net: yerinde inceleme sırasında silinen veri adli bilişimle geri getirilse bile, silme fiili "incelemenin engellenmesi" sayılır ve ceza kesilir.
ETİ kararında ayrıca farklı bir ceza sebebi öne çıktı: uzmanların gelişi ile incelemeye başlanması arasında bir saatlik gecikme, "incelemenin geciktirilmesi" olarak değerlendirildi. Yani sadece silmek değil, oyalamak da cezalandırılıyor.
Kaynak: Rekabet Kurulu · Unmaş, Tahsildaroğlu, ETİ Kararları · 4054 sayılı Kanun Md. 16Kurul'un mesajı tek cümle: veri geri gelse bile niyet cezalandırılır. Dawn raid hazırlığında tek kural yeter: hiçbir şeyi silme, hiçbir şeyi geciktirme. Bu refleks, kriz anında değil bugün eğitilir.
15 sektörün kritik altyapı ilan edilmesi, tedarik zincirini de kapsama sokuyor. Kritik altyapıya hizmet veren her tedarikçi, kendisi kritik altyapı olmasa bile müşterisinin uyum yükümlülüğü üzerinden denetlenebilir hale geliyor. Bu, AB'nin DORA rejimindeki üçüncü taraf riski mantığının Türkiye'ye yansıması.
Sonuç: siber güvenlik artık yalnızca BT biriminin değil, satın alma, hukuk ve iş sürekliliği ekiplerinin ortak sorumluluğu. İş sürekliliği planı (BCP) olmayan bir kritik altyapı, tek bir tedarikçi kesintisinde hizmetini durdurabilir.
Kaynak: 7545 sayılı Kanun · Tedarik Yükümlülüğü · DORA Md. 28-44 ParalelliğiSiber Güvenlik Kurulu'nun 5 Mayıs 2026'da kritik altyapı ilan ettiği sektör sayısı. Enerji, finans, sağlık, telekom ve savunmadan uzaya kadar geniş bir kapsam.
Kaynak · Siber Güvenlik Kurulu 05.05.2026Hem siber güvenlik tedarik yükümlülüğü ihlalinde hem de AI deepfake yükümlülüğü ihlalinde öngörülen üst idari para cezası seviyesi.
Kaynak · 7545 sayılı Kanun & AI TeklifiSiber güvenlik şirketleri için sertifikasyon son tarihi (19 Mart). Tamamlamayan şirket sektörde faaliyet gösteremez : yaklaşık 9 ay kaldı.
Kaynak · 7545 sayılı Kanun Geçici Md. 1KVKK'nın açık rıza ile aydınlatma metninin ayrı düzenlenmesini zorunlu kılan İlke Kararı numarası. Resmî Gazete: 24 Mart 2026.
Kaynak · KVKK İlke Kararı 2026/347Kritik altyapı kapsamında olup olmadığı bilinmiyor. Siber olay bildirim süreci yok.
"Alt düzenleme çıkınca bakarız" yaklaşımı. Eşiksiz yükümlülükler bile işletilmiyor.
Kapsam netleşti, olay bildirimi kuruldu, tedarikçi envanteri çıkarılıyor.
SOME yapısı, log yönetimi ve tedarikçi denetimi işliyor. BCP test ediliyor.
Siber dayanıklılık kurul gündeminde. Tedarik zinciri ve sertifikasyon proaktif yönetiliyor.
Nedir? Kritik altyapı ilan edilmesine rağmen, alt düzenlemeler çıkmadığı için hazırlığı ertelemek. "Metin gelince başlarız" refleksi.
Kurumsal etki: İki yükümlülük (iş birliği + olay bildirimi) zaten aktif; ihlalde ceza var. Alt düzenleme çıktığında tanınacak uyum süresi kısa olacak. Bekleyen kurum, son anda panik moduna girer.
Temel gerçek: Kapsama girmek bir statü değil, bir sorumluluktur. Kuralın gecikmesi, sorumluluğu geciktirmez.
Kurumunuzun siber güvenlik uyum hazırlığını beş soruda ölçün: (1) 15 kritik altyapı sektöründen birinde faaliyet gösteriyor musunuz? (2) Bir siber olayı ya da zafiyeti Başkanlığa bildirecek yazılı bir süreciniz var mı? (3) Siber güvenlik ürün ve hizmetlerinizi hangi tedarikçilerden aldığınızı listeleyebiliyor musunuz? (4) SOME (Siber Olaylara Müdahale Ekibi) yapınız ve log yönetiminiz bir denetimi geçirir mi? (5) Kritik bir tedarikçiniz kesintiye uğrasa, iş sürekliliği planınız devreye girer mi? Üç "hayır", acil bir hazırlık ihtiyacına işarettir.
15 sektörün kritik altyapı ilan edildiği 5 Mayıs 2026 kararı. Kapsam ve tedarik yükümlülüğü için temel referans : siberguvenlik.gov.tr
Deepfake etiketleme, 6 saat müdahale ve ayrımcı veri seti hükümleri. AI yönetişiminin Türkiye ayağı : tbmm.gov.tr
Açık rıza ile aydınlatma metninin ayrı düzenlenmesi zorunluluğu. Her web formunu etkiler : Resmî Gazete 24.03.2026
Silinen verinin geri gelmesi cezayı kaldırmaz; geç başlatma ayrı ceza sebebi. Dawn raid içtihadının güncel hali.
Geçen sayı: yerinde incelemede ilk yarım saat, KVKK biyometrik karar, DORA ve MASAK. Bu sayının arka planı.
The Governance'ı ekibinizle paylaşın, LinkedIn'de kaydedin ve sayfamızı takip edin. Kurumsal risk ve teknoloji yönetişiminde Türkiye'nin en nitelikli bültenini birlikte büyütelim.
Bu hafta üç ayrı gelişme aynı cümleyi kurdu: kapsam netleşiyor, kural gecikiyor, ama sorumluluk bugün başlıyor. Siber Güvenlik Kurulu 15 sektörü kritik ilan etti ama yükümlülük metni yok; AI mevzuatı şekilleniyor ama henüz taslak; KVKK rıza-aydınlatma ayrımını netleştirdi. Ortak ders: hazırlık, kuralın çıkmasını beklemez. The Governance bu gelişmeleri haber olarak değil, kararlarınızı etkileyen gündem maddeleri olarak ele alır. Sorular için her zaman açığım.