Bilgi Güvenliği Mevzuatı: Kanunlar, Yönetmelikler ve Standartlar
Türkiye'de bilgi ve siber güvenliği ilgilendiren temel mevzuat tek yerde: 7545 sayılı Siber Güvenlik Kanunu, 6698 sayılı KVKK, 5651 sayılı İnternet Kanunu, ilgili yönetmelikler, genelgeler ve TS EN ISO/IEC 27001 standardı.
Bilgi güvenliği↗ yalnızca teknik bir konu değil; aynı zamanda bir uyum (mevzuat) konusudur. Bir kuruluşun hangi kanun ve düzenlemelere tabi olduğunu bilmesi, hem yasal sorumluluklarını yerine getirmesi hem de olası yaptırımlardan korunması için gereklidir. Bu rehberde, Türkiye'de bilgi ve siber güvenliği ilgilendiren temel mevzuatı derli toplu bir biçimde topladık.
Kanunlar
- 7545 sayılı Siber Güvenlik↗ Kanunu (2025): Türkiye'de siber güvenliği bütüncül bir çerçeveye kavuşturan temel kanundur. Siber Güvenlik Başkanlığı ve Siber Güvenlik Kurulu'nu kurar; kritik altyapı sektörlerini, operatörlerin güvenlik ve olay bildirimi yükümlülüklerini, yetkilendirme↗ ve denetim esaslarını düzenler. Aykırılıklar idari ve cezai yaptırımlara konu olabilir. (Resmî Kaynak)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu↗ (KVKK): Kişisel verilerin işlenmesine, korunmasına ve veri ihlali↗ bildirimine ilişkin temel kanun. (Resmî Kaynak)
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Kanunu: İnternet yayınları, içerik/yer sağlayıcı sorumlulukları ve erişim engellemeye dair düzenlemeler. (Resmî Kaynak)
- 5070 sayılı Elektronik İmza Kanunu: Güvenli elektronik imzanın hukuki niteliği ve geçerliliği. (Resmî Kaynak)
- 5237 sayılı Türk Ceza Kanunu: Bilişim sistemlerine girme, verileri yok etme/değiştirme, banka/kredi kartlarının kötüye kullanımı gibi bilişim suçları (madde 243 ve devamı). (Resmî Kaynak)
- 5846 sayılı Fikir ve Sanat Eserleri Kanunu: Yazılım dahil eserlerin telif hakları. (Resmî Kaynak)
- 4857 sayılı İş Kanunu ve 657 sayılı Devlet Memurları Kanunu: Çalışanların yükümlülükleri, gizlilik ve disiplin açısından bilgi güvenliğiyle ilişkili hükümler. (İş Kanunu — Resmî Kaynak) (DMK — Resmî Kaynak)
Yönetmelikler
Kanunların uygulanmasını ayrıntılandıran ikincil düzenlemeler; başlıca alanlar:
- Elektronik haberleşme güvenliği ve şebeke/bilgi güvenliğine ilişkin yönetmelikler.
- İnternet alan adları (".tr") yönetimine ilişkin düzenlemeler.
- Devlet arşiv hizmetleri ile gizli/hassas belgelerin korunmasına ilişkin yönetmelikler.
- KVKK kapsamında veri sorumluları sicili (VERBİS) ve ilgili usul düzenlemeleri.
Genelgeler
- 2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Genelgesi: Kamu kurumları ve kritik altyapılar için bilgi güvenliği tedbirlerini tanımlar; uygulaması Bilgi ve İletişim Güvenliği Rehberi (SGB) ile yürütülür. (Resmî Kaynak)
- 2008/17 sayılı Lisanslı Yazılım Kullanımı Genelgesi: Kamuda lisanslı yazılım kullanımı esasları. (Resmî Kaynak)
- 2023/13 sayılı Açık Kaynak Yazılımı Genelgesi: Kamuda açık kaynak çözümlerin değerlendirilmesi ve kullanımı. (Resmî Kaynak)
Rehberler ve Standartlar
- Bilgi ve İletişim Güvenliği Rehberi (SGB): Kurumların uygulaması gereken güvenlik tedbirlerini varlık/kritiklik düzeyine göre tanımlayan ulusal rehber. (Resmî Kaynak)
- TS EN ISO/IEC 27001:2022: Bilgi güvenliği yönetim sistemi (BGYS) için uluslararası standart; kurumsal güvenliğin belgelenmesi ve sürekliliği için temel çerçeve. (Resmî Kaynak)
Nereden başlamalı?
- Kapsamınızı belirleyin: Kişisel veri↗ işliyor musunuz (KVKK)? Kritik altyapı sektöründe misiniz (7545)? Kamu kurumu musunuz (2019/12)?
- Yükümlülükleri eşleştirin: Tabi olduğunuz her düzenleme için somut gereklilikleri (bildirim, kayıt, tedbir) listeleyin.
- Belgeleyin: Aldığınız tedbirleri ve süreçleri yazılı hâle getirin; denetime hazır olun.
- Resmî kaynakları takip edin: Mevzuat sık güncellenir; bağlayıcı metinler için resmî yayınları esas alın.
Not: Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Düzenlemelerin güncel ve bağlayıcı metinleri için Resmî Gazete ve ilgili kurumların resmî yayınlarını esas alın.
