Siber Güvenlik Kanunu ile Düzenlenen Suçlar

7545 sayılı Siber Güvenlik Kanunun amacı kısaca, siber uzay olarak belirlenen alanda Türkiye Cumhuriyeti’nin milli gücünü oluşturan unsurlara karşı yöneltilebilecek tehditlerin tespiti, engellenmesi ve ortadan kaldırılması, gerçekleşebilecek siber olayların muhtemel etkilerinin azaltılmasına yönelik standartların belirlenmesi, ülkenin siber güvenliğinin güçlendirilmesi için strateji ve politikaların belirlenmesidir. Bu düzenlemeler sadece kamu kurum ve kuruluşlarının siber uzayda korunmasını değil, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşların siber saldırılara karşı korunmasına yönelik düzenlemeleri de kapsamaktadır. Zira bir bankanın siber saldırılara karşı korunmaması tüm ülkeyi etkileyebilmektedir. Bu amacın yerine getirilebilmesi için Kanun, Siber Güvenlik Kurulunun kurulmasına ilişkin esasları da düzenlemiştir.

Siber Güvenlik Kanununun kapsamı ikinci maddenin ikinci fıkrası ile daraltılmıştır. Bu fıkraya göre “4/7/1934 tarihli ve 2559 sayılı Polis Vazife ve Salâhiyet Kanunu, 9/7/1982 tarihli ve 2692 sayılı Sahil Güvenlik Komutanlığı Kanunu ve 10/3/1983 tarihli ve 2803 sayılı Jandarma Teşkilat, Görev ve Yetkileri Kanunu uyarınca yürütülen istihbari faaliyetler ile 1/11/1983 tarihli ve 2937 sayılı Devlet  İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu ile 4/1/1961 tarihli ve 211 sayılı Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetler bu Kanun kapsamı dışındadır.“.

Yasada yer alan tanımlardan bazılarına kısaca değinmek, konunun anlaşılabilmesi adına faydalıdır:

• Siber Uzay: Ne şekilde olursa olsun internete, elektronik haberleşme veya bilgisayar ağlarına bağlı olan bilişim sistemlerini ve bunların birbirine bağlayan ağlardan oluşan ortamdır.
• Siber Olay: Bilişim sistemlerine veya veriye yönelik, bu sistem ve verilerin gizliliğini ortadan kaldıracak, bütünlüğünü bozacak veya erişilebilirliğinin ihlal edilmesini sebep olacak olaydır.
• Siber Saldırı: Siber olaylarla siber uzayın herhangi bir yerindeki kişi veya bilişim sistemlerine yönelik kasıtlı yapılan işlemlerdir. Dikkat edilmesi gereken husus, siber saldırının kastla gerçekleştirileceğinin tanımda yer almasıdır.
• Siber Tehdit: Siber saldırıdan önceki haldir. Siber saldırı potansiyelidir. Tanımın önemi, saldırı gerçekleşmeden de Kanunun uygulama alanı bulmasını sağlamasıdır.
• Siber Güvenlik: Siber uzayda yer alan sistemlerin ve verilerin saldırılardan korunması, siber saldırıların tespit edilmesi, tespit edilen karşı tepki ve alarm sistemlerinin devreye alınması ve gerçekleşen saldırının etkisinin ortadan kaldırılarak eski hale dönüşümün sağlanması konularındaki çalışmalardır.

Siber olaylara müdahale ekibi olarak tanımlanan ve tanımlar arasında yer alan SOME, ileride sıklıkla duyulacak kısaltmalardan biridir.

SORUMLULAR

Siber güvenlik alanında belirlenen politika ve stratejilerin yürütülmesi ile siber saldırıların önlenmesi ya da gerçekleşen saldırıların etkilerinin azaltılması hususlarında tüm kamu kurum ve kuruluşları ile gerçek ve tüzel kişiler sorumlu kılınmıştır. Dikkat edileceği üzere siber güvenlik sadece devletin sorumluluğunda değil, vatandaşı dahi özen göstermesi gereken bir alan olarak belirlenmektedir. Yasanın bir diğer amacı olan “Siber güvenlik kültürünün toplum geneline yaygınlaştırılması hedeflenir.” ifadesi, bu sorumluluğun geliştirilmesine katkı sağlamaktadır. Gerçekten de herkesin telefon ve bilgisayar sahibi olduğu, çoğunluğun bir şekilde sunucu hizmetlerinden faydalandığı, verilerin siber uzayda saklandığı bir düzende sorumluluğun sadece kamu kurumlarına bırakılması mümkün değildir. Her vatandaş ve şirket, siber güvenlik hakkında bilgi sahibi olmalı, kişisel tedbirlerini almalı, haberdar olduğu tehlikeleri ilgili kuruma bildirmelidir. Ancak bu sayede saldırılar azaltılabilir ve oluşabilecek zararlar en düşük seviyede tutulabilir. Siber Güvenlik Başkanlığının internet sitesinde bulunan siber olay bildirimi formu (https://siberguvenlik.gov.tr/ihbar) ile vatandaşlar da şüpheli durumları Başkanlığa bildirebilmektedir. Örneğin dolandırıcılık vakalarında banka ya da kurum internet sitelerinin kopyaları kullanılmaktadır. Arama motoru aramalarında veya sosyal medyada reklam veren bu kişilerin kullandığı bu sahte internet sitelerini form aracılığı ile bildirmek, mağduriyetlerin önüne geçmek için oldukça önemlidir.

Siber Saldırıya Uğrayanların Alabilecekleri Destek

Siber Güvenlik Kanunu, Siber Güvenlik Başkanlığına bazı yetkiler vermektedir. Bu yetkilerden yola çıkarak siber saldırıya uğrayanların Başkanlıktan alabilecekleri destek şu şekilde belirtilebilir:

• Siber saldırılara karşı korunmak ve bu saldırıların kaynağına karşı caydırıcılık sağlanması için Başkanlıktan destek alınabilir.
• Siber olaya maruz kalanlar, yerinde veya uzaktan erişimle müdahale desteği isteyebilir.
• Siber saldırıya uğrayanlar, saldırı kaynağının tespiti için destek alabilirler.

Sorumluluklar

Siber Güvenlik Kanunu madde 2, kapsamı belirlemiştir. Buna göre siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşları Kanun kapsamındadır. Kanun bunlara bazı sorumluluklar yüklemiştir. 7’nci maddede belirlenen bu sorumluluklara göre kapsamındakiler:

a) Başkanlığın görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım, yazılım ve diğer her türlü katkıyı öncelikle ve zamanında Başkanlığa iletmek.
b) Siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirleri almak, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek.
c) Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik etmek.
ç) Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerince faaliyete başlamadan önce mevcut düzenlemeler çerçevesinde Başkanlığın onayını almak.
d) Siber olgunluğun artırılmasına yönelik Başkanlık tarafından geliştirilen politika, strateji, eylem planı ile yayımlanan diğer düzenleyici işlemlerde yer alan hususları yerine getirmek ve gerekli tedbirleri almak,

şeklinde sıralanan kurallara uymak zorundalardır.

Siber Güvenlik Kanunu Kapsamındaki Suçlar ve Cezaları

Siber Güvenlik Kanunu 16’ncı maddede, aşağıda sayılan fiilleri suç olarak tanımlamış ve cezaları belirlemiştir.

• Bilgi, belge, yazılım, veri ve donanımı vermeyenler veya bunların alınmasına engel olma suçu: “Kamu kurum ve kuruluşları hariç olmak üzere bu Kanunla yetkilendirilen mercilerin ve denetim görevlilerinin görev ve yetkileri kapsamında istedikleri bilgi, belge, yazılım, veri ve donanımı vermeyenler veya bunların alınmasına engel olanlar bir yıldan üç yıla kadar hapis ve beşyüz günden binbeşyüz güne kadar adli para cezası ile cezalandırılır.“.
• Alınması gerekli onay, yetki veya izinleri almaksızın faaliyet yürütme suçu: “Bu Kanun uyarınca alınması gerekli onay, yetki veya izinleri almaksızın faaliyet yürütenler iki yıldan dört yıla kadar hapis ve bin günden ikibin güne kadar adli para cezası ile cezalandırılır.“
• Sır saklama yükümlülüğünü yerine getirmeme suçu: Sır saklama yükümlülüğünü yerine getirmeyenlere dört yıldan sekiz yıla kadar hapis cezası verilir.
• Kişisel veya kurumsal verileri erişime açma, verme, satma, paylaşma suçu: “Siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz şekilde erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası verilir.“
• Gerçeğe aykırı şekilde, veri sızıntısı olduğuna yönelik içerik oluşturma, içerik yayınlama suçu: “Siber uzayda veri sızıntısı olmadığını bildiği halde halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla siber güvenlikle ilgili veri sızıntısı olduğuna yönelik gerçeğe aykırı içerik oluşturanlara veya bu maksatla bu içerikleri yayanlara iki yıldan beş yıla kadar hapis cezası verilir.“
• Siber saldırıda bulunma veya saldırı neticesinde elde ettiği veriyi siber uzayda bulundurma, yayma, gönderme, satışa çıkarma suçu: “Türkiye Cumhuriyeti’nin siber uzaydaki milli gücünü meydana getiren unsurlarına yönelik olarak siber saldırıda bulunan veya bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda bulunduranlara fiil daha ağır bir cezayı gerektiren başka bir suç oluşturmadığı takdirde sekiz yıldan oniki yıla kadar hapis cezası verilir. Bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaranlara on yıldan onbeş yıla kadar hapis cezası verilir.“
• Cezayı ağırlaştırıcı neden: “Yukarıdaki fıkralara göre verilecek ceza suçun kamu görevlisi tarafından işlenmesi halinde üçte bir oranında, birden fazla kişi tarafından işlenmesi halinde yarı oranında ve bir örgütün faaliyeti çerçevesinde işlenmesi halinde yarısından iki katına kadar artırılır.“
• Başkanlıkta görev alanlarla ilgili sınırlama kuralına uymamak: “12 nci maddeye aykırı davrananlara üç yıldan beş yıla kadar hapis cezası verilir.“. Fırkada belirtilen 12’nci madde, Başkanlıkta görev yapanların, 2 yıl süreyle, Başkanlıktan izin almadan siber güvenlik alanında çalışamayacaklarını, ticaretle uğraşamayacaklarını, bu sektörde çalışan şirketlerde hissedar veya yönetici olamayacaklarını düzenlemektedir. Ayrıca madde, Başkanlıkça yetki verilmedikçe, Başkanlıkta görev yapanların edindikleri bilgi, belge ve benzeri verileri medya veya iletişim araçlarıyla yayımlanmasını veya açıklanmasını yasaklamaktadır.
• Kanun kapsamındaki görev ve yetkilerin kötüye kullanılma ve ihmali suçu: “Bu Kanundan kaynaklanan görev ve yetkilerini kötüye kullananlara veya kritik altyapıların siber saldırılara karşı korunması kapsamında görevinin gereklerine aykırı hareket etmek suretiyle veri ihlali yaşanmasına sebebiyet verenlere bir yıldan üç yıla kadar hapis cezası verilir.“
• 7’nci maddenin birinci fıkrasının b ve c bentlerini ihlal suçu: “7 nci maddenin birinci fıkrasının (b) ve (c) bentlerindeki görev ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar …. idari para cezası verilir.“. Fıkrada belirtilen 7’nci maddenin birinci fıkrasının b ve c bentleri şu şekildedir: “b) Siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirleri almak, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek. c) Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik etmek.“
• 18’inci maddedeki görev ve sorumlulukları yerine getirmeme suçu: “18 inci maddedeki görev ve sorumluluklarını yerine getirmeyenlere ise on milyon Türk lirasından yüz milyon Türk lirasına kadar idari para cezası verilir.“
• 8’inci maddenin 4’üncü fıkrasına muhalefet suçu: “8 inci maddenin dördüncü fıkrasındaki yükümlülüklerini yerine getirmeyenlere, yüzbin Türk lirasından bir milyon Türk lirasına kadar, bu yükümlülüklerin ticari şirketlerce yerine getirilmemesi halinde yüzbin Türk lirasından az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablolarında yer alan brüt satış hasılatının yüzde 5’ine kadar idari para cezası verilir.“. Fıkrada belirtilen madde 8/4 fıkrası: “Denetimle görevlendirilenler; yürüttükleri denetim faaliyetleriyle sınırlı olarak elektronik ortamdaki verinin, belgelerin, elektronik altyapının, cihaz, sistem, yazılım ve donanımlarının incelenmesi, bunlardan kopya, dijital suret veya örnek alınması, konuyla ilgili yazılı veya sözlü açıklama istenmesi, gerekli tutanakların düzenlenmesi, tesislerin ve işletiminin incelenmesi konularında yetkilidir. Denetime tabi tutulanlar, ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almak zorundadır.“

İdari Para Cezalarının Uygulanmasında Usul

Siber Güvenlik Kanunu madde 17’ye göre idari para cezası uygulanmadan önce ilgilinin savunması alınmalıdır. İlgilinin, tebliğden itibaren 30 gün içinde savunmasını sunması mümkündür. Sürenin geçirilmesi, savunma hakkından feragat anlamına gelir.

İdari yaptırım kararı verilmeden önce ilgilinin birden çok kabahat işlediği belirlenirse, tek idari para cezası verilir ancak bu ceza 2 katına kadar artırılabilir. İşlenen kabahat ile ilgili menfaat temin etmiş veya zarara sebebiyet vermişse, verilecek idari para cezasının miktarı bu menfaat veya zararın üç katından az beş katından fazla olamaz.

İdari para cezası Başkanlık tarafından verilir ve tebliğden itibaren bir ay içinde ödenir. Ödenmezse, 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun hükümlerine göre vergi dairelerince tahsil edilir.

İdari para cezalarına karşı idari yargıda dava açılabilir.