Kanun 19 Mart 2025'te yürürlüğe girdi; 7590 sayılı Kanunla Temmuz 2026'da değiştirildi. Siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan her gerçek ve tüzel kişi kapsamdadır (m.2). Kurumunuzun uyum durumunu 24 maddeyle ölçün; her maddenin kanun dayanağı altında belirtilmiştir.
Bu liste bilgilendirme amaçlıdır; hukuki tavsiye niteliği taşımaz ve skor hukuki uygunluk anlamına gelmez. Kurumunuza özgü yükümlülükler için hukuk danışmanınızla birlikte değerlendirin.
Puanlama (5'li ölçek): 1 Hiç uyumlu değil · 2 Zayıf · 3 Kısmen uyumlu · 4 Büyük ölçüde uyumlu · 5 Tam uyumlu
0 / 24 madde puanlandıUyum 0
1 · Yönetim ve Organizasyon
1Üst yönetime bağlı, siber güvenlikten sorumlu bir kişi/birim atanmış ve yetkileri yazılı mı?Dayanak: m.4/1-e,f · Dolaylı ilke (hesap verebilirlik)
2Yönetim kurulu / üst yönetim yılda en az bir kez siber güvenlik gündemiyle toplanıp kaynak ayırıyor mu?Dayanak: m.4/1-c,g · Dolaylı ilke (kurumsallık, sürekli gelişim)
3Kurumunuz Siber Güvenlik Kurulu'nca belirlenen kritik altyapı sektörlerinden birinde yer alıyor mu ve ek yükümlülükler değerlendirildi mi?Dayanak: m.3/1-d, m.5/1-c, m.9/4-ç · Dolaylı (kapsam belirleme)
4Siber güvenlik için yıllık bütçe ayrıldı mı ve yönetim onayına bağlı mı?Dayanak: m.4/1-c · Dolaylı ilke (süreklilik)
5Kamu kurumları ve kritik altyapılarda kullanılan siber güvenlik ürün/hizmetleri ile tedarikçi sözleşmeleri güvenlik gereksinimleri açısından gözden geçirildi mi?Dayanak: m.7/1-c, m.6/1-ı · Doğrudan (yalnız kamu ve kritik altyapı için)
2 · Teknik ve İdari Tedbirler
6Ağ ve uygulama güvenliği önlemleri (güvenlik duvarı, MFA, erişim kontrolü) güncel ve belgeli mi?Dayanak: m.7/1-b, m.4/1-ç · Doğrudan (tedbirlerin içeriği ikincil düzenlemeye bağlı)
7Veri yedekleme ve felaket kurtarma planı var mı; yedeklerin geri dönüşü düzenli test ediliyor mu?Dayanak: m.3/1-f (tanımda geri döndürme), m.7/1-b · Doğrudan (tedbir kapsamı)
8Log kayıtları tutuluyor, korunuyor ve Başkanlık talep ettiğinde sunulabiliyor mu?Dayanak: m.6/1-d, m.7/1-a · Dolaylı (talebe yanıt)
9Zafiyet ve sızma testleri düzenli yapılıyor/yaptırılıyor ve bulgular kapatılıyor mu?Dayanak: m.5/1-b (Başkanlığın yetkisi) · Kanunda dayanak yok
10Çalışanlar için farkındalık eğitimi ve oltalama simülasyonu düzenli yapılıyor mu?Dayanak: m.4/1-ğ,h · Dolaylı ilke (nitelikli insan kaynağı, kültür)
11Varlık envanteri (donanım, yazılım, veri, servis) güncel tutuluyor mu?Dayanak: m.5/1-ç (kamu ve kritik altyapı) · Doğrudan (kamu ve kritik altyapı için); diğerleri için iyi uygulama
12KVKK yükümlülükleri (VERBİS, veri envanteri) ile siber güvenlik tedbirleri tek çatı altında yönetiliyor mu?Dayanak: — (6698 sayılı KVKK) · Kanunda dayanak yok
3 · Olay Yönetimi · Bildirim
13Siber olay anında kimin ne yapacağını yazan bir olay müdahale planı var mı?Dayanak: m.3/1-f (tespit, tepki ve alarm), m.7/1-b · Dolaylı (tedbir)
14Tespit edilen zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirecek süreç ve sorumlu tanımlı mı?Dayanak: m.7/1-b · Doğrudan yükümlülük
15Olay sonrası adli bilişim incelemesi için log bütünlüğü ve kanıt zinciri prosedürü var mı?Dayanak: m.6/1-c, m.7/1-a · Dolaylı (Başkanlığın delillendirme yetkisi)
16Kriz iletişimi (müşteri, tedarikçi, kamu, basın) için onaylı şablonlar ve sözcü belirlendi mi?Kanunda doğrudan dayanak yok · iyi uygulama
4 · Belgelendirme ve Süreklilik
17Tedbirlerin belgelendiği bir bilgi güvenliği yönetim sistemi (ör. ISO 27001 BGYS) kurulu ya da kurulum planında mı?Dayanak: m.5/1-g (standartları Başkanlık kabul edebilir) · Kanunda dayanak yok
18İç denetim programı var mı; bulguların izlenmesi takip ediliyor mu?Kanunda doğrudan dayanak yok · iyi uygulama
19ISO 27001 sertifikası varsa gözetim denetimlerine hazırlık ve yıllık iç denetim düzenli yapılıyor mu?Kanunda doğrudan dayanak yok · iyi uygulama
20Uyum durumu yılda en az bir kez yeniden değerleniyor ve yönetim raporu sunuluyor mu?Dayanak: m.4/1-g, m.7/1-d · Dolaylı ilke (sürekli gelişim)
5 · Başkanlık ile İlişkiler ve Denetim
21Siber Güvenlik Başkanlığının talep ettiği veri, bilgi, belge, yazılım ve donanımı öncelikli ve zamanında iletecek yetkili kişi ve süreç tanımlı mı?Dayanak: m.7/1-a, m.6/1-ç, m.16/1 · Doğrudan yükümlülük
22Denetim için ilgili cihaz, sistem, yazılım ve donanımlar verilen sürede denetlemeye açık tutulabiliyor ve gerekli altyapı sağlanabiliyor mu?Dayanak: m.8/4 · Doğrudan yükümlülük
23Kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün/hizmetleri Başkanlıkça yetkilendirilmiş ve belgelendirilmiş kaynaklardan tedarik ediliyor mu? (Yalnızca bu kapsamdaysanız)Dayanak: m.7/1-c · Doğrudan (kapsam koşullu)
24Başkanlığın yayımladığı politika, strateji, eylem planı ve düzenleyici işlemleri izleyen ve uygulayan bir sorumlu belirlendi mi?Dayanak: m.7/1-d · Doğrudan yükümlülük (yaptırımı 16/10 kapsamında değil)
Kanundaki yaptırımlar (7545 m.16)
Yükümlülük
Yaptırım
Başkanlığın veri/bilgi/belge talebini yerine getirmeme, zafiyet ve siber olayları gecikmeksizin bildirmeme, mevzuatın öngördüğü tedbirleri almama, yetkilendirilmiş kaynaktan tedarik etmeme (m.7/1-a, b, c)
1.000.000 – 10.000.000 TL idari para cezası (m.16/10)
Denetim için cihaz, sistem, yazılım ve donanımı denetime açık tutmama, gerekli altyapıyı sağlamama (m.8/4)
100.000 – 1.000.000 TL; ticari şirketlerde yıllık brüt satış hasılatının %5'ine kadar (m.16/11)
Yetkili mercilerin istediği bilgi, belge, yazılım, veri veya donanımı vermeme ya da alınmasını engelleme (kamu kurumları hariç; m.16/1)
1–3 yıl hapis ve 500–1.500 gün adli para cezası
Siber güvenlik ürün/şirketlerine ilişkin m.18 yükümlülükleri
10.000.000 – 100.000.000 TL idari para cezası (m.16/10)
Kaynak: 7545 sayılı Siber Güvenlik Kanunu m.16 (RG 19.03.2025, 32846) ve 7590 sayılı Kanunla yapılan değişiklikler. Tutarlar mevzuat değişikliklerine tabidir; güncel metni resmî kaynaktan doğrulayın. İkincil düzenlemelerdeki (yönetmelik, Kurul kararları) ek yükümlülükler bu listede yer almaz.
Metodoloji ve referanslar
Maddeler 7545 sayılı Siber Güvenlik Kanunu metnine dayanır; her maddenin altında kanun dayanağı ve durumu belirtilmiştir. Madde ağırlığı (1–3) Rebluent yöntemidir: kanunda doğrudan yükümlülük ve idari para cezası bulunan maddeler en yüksek, dolaylı dayanaklı maddeler orta, kanunda dayanağı olmayan iyi uygulamalar en düşük ağırlıktadır. Ağırlığı yüksek bir maddede düşük puan verilirse genel seviye sınırlandırılır. Skor hukuki uygunluk anlamına gelmez; hukuki tavsiye değildir.
Sonucu görmek için kalan tüm maddeleri puanlayın; uyum radarı ve detaylı rapor burada açılacak.
Özet Sonucunuz · Uyum Radarı
Ekranda gördüğünüz bir özettir
Detaylı raporunuzu indirin
Yukarıda genel skorunuzu ve alan özetinizi görüyorsunuz. Detaylı PDF raporda bunlara ek olarak şunlar yer alır:
1Puanı düşük maddeler için somut iyileştirme önerileri ve öncelik sırası
2Her alan için skorunuza göre yorum ve önerilen destek
3Tüm maddelerin cevabınız, ağırlığı ve durumuyla madde bazlı tablosu
Raporu indirmek için formu doldurun; isterseniz kısa bir görüşmeyle sonucu birlikte yorumlayalım.
Boşluklarınızı kanıta dayalı ölçelim.
Ücretsiz Siber Güvenlik Ön Değerlendirmesi ile durumunuzu netleştirin ya da 60 dakikalık ücretsiz yönetici brifingi planlayın.