7590 Sayılı Kanun: BTK Yetkileri Siber Güvenlik Başkanlığına Geçti, Veri Merkezleri İçin 2 Saat Kuralı
31 Temmuz'da yürürlüğe giren 7590 sayılı Kanun, BTK'nın internetle ilgili kritik yetkilerini Siber Güvenlik Başkanlığına devretti. Veri merkezleri ve barındırma sağlayıcıları artık tedbir kararlarını 2 saat içinde uygulamak zorunda.
31 Temmuz 2026'da yürürlüğe giren 7590 sayılı Kanun, BTK'nın internetle ilgili kritik yetkilerini Siber Güvenlik Başkanlığına devretti. Veri merkezleri ve yer sağlayıcılar için en somut değişiklik, tedbir kararlarının 2 saat içinde uygulanma zorunluluğu.
Ne Değişti?
TBMM'nin 24 Temmuz 2026'da kabul ettiği 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun, Resmî Gazete'de yayımlanarak 31 Temmuz'da yürürlüğe girdi. Teknoblog ve Euronews'in aktardığına göre öne çıkan değişiklikler şunlar:
Alan adları: İnternet alan adlarına ilişkin politika ve düzenleme yetkisi BTK'dan Siber Güvenlik Başkanlığına geçti.
5651 sayılı Kanun: Erişim sağlayıcı yükümlülükleri, trafik kayıtları ve ilgili teknik süreçlerdeki BTK atıfları büyük ölçüde Başkanlık olarak değiştirildi.
Trafik bilgisi tanımı genişledi: Artık yalnızca "port bilgisi" değil, kaynak ve hedef port bilgisi de trafik bilgisi kapsamında.
Doğrudan tedbir yetkisi: Gecikmesinde sakınca bulunan hâllerde Başkanlık, kendiliğinden ya da güvenlik ve istihbarat birimlerinin talebiyle tedbir kararı alabiliyor.
Varlık devri: İlgili BTK personeli, veri merkezleri, bilişim sistemleri ve kayıtlar üç ay içinde Başkanlığa devredilecek.
BTK ise lisanslama, frekans, numaralandırma ve tüketici hakları gibi sektörel düzenleme görevlerini sürdürüyor.
Veri Merkezleri ve Yer Sağlayıcılar İçin 2 Saat Kuralı
Yeni düzenlemeye göre Başkanlığın tedbir kararları; işletmeciler, erişim sağlayıcılar, veri merkezleri, içerik ve yer sağlayıcılar tarafından en geç iki saat içinde uygulanmak zorunda. Mahkeme kararı olmadan alınan tedbir 24 saat içinde sulh ceza hâkimliğinin onayına sunuluyor; hâkim 48 saat içinde karar vermezse tedbir kendiliğinden kalkıyor. Aykırılık hâlinde her ihlal için 20.000 TL ile 100.000 TL arasında idari para cezası öngörülüyor.
Konu | Önceki durum | 7590 sonrası |
|---|---|---|
Alan adı düzenlemesi | BTK | Siber Güvenlik Başkanlığı |
5651 kapsamındaki teknik süreçler | BTK | Büyük ölçüde Siber Güvenlik Başkanlığı |
Trafik bilgisi | Port bilgisi | Kaynak ve hedef port bilgisi |
Tedbir uygulama süresi | - | En geç 2 saat |
7545 Sayılı Siber Güvenlik Kanunu ile İlişkisi
Siber Güvenlik Başkanlığı, 8 Ocak 2025'te Cumhurbaşkanlığı Kararnamesiyle kuruldu. 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ise bilişim sistemleri üzerinden hizmet veren kişi ve kuruluşlara bilgi ve belge sağlama, zafiyet ve siber olayları bildirme gibi yükümlülükler getirdi. Kritik altyapı işletmecileri için düzenli zafiyet ve sızma testleri, log paylaşımı ve sertifikalı ürün kullanımı gibi ek yükümlülükler öngörülüyor.
Hukuk çevrelerinin değerlendirmelerine göre kanunun öngördüğü ikincil düzenlemelerin, yani bildirim usulleri, log yönetimi ve sertifikasyon süreçlerine ilişkin yönetmeliklerin önemli bir kısmı henüz yayımlanmadı. 7590 sayılı Kanun ise Başkanlığın kurumsal ağırlığını belirgin şekilde artırdı.
Şirketler Şimdi Ne Yapmalı?
İrtibat zincirini güncelleyin: Resmî yazışma ve tedbir kararlarının hangi kanaldan geleceğini ve kimin karşılayacağını belirleyin. 2 saatlik süre, mesai dışı saatleri de kapsar.
7/24 nöbet düzeni kurun: Barındırma veya yer sağlayıcı hizmeti veriyorsanız gece ve hafta sonu da karar uygulayabilecek bir ekip gerekli.
Log altyapınızı gözden geçirin: Trafik bilgisinin kaynak ve hedef port bilgisini de kapsaması, kayıt sistemlerinizde değişiklik gerektirebilir.
Olay bildirim prosedürü hazırlayın: 7545 sayılı Kanun kapsamındaki bildirim yükümlülükleri için kimin, neyi, ne zaman bildireceğini yazılı hâle getirin.
Sağlayıcınızı sorgulayın: Veri merkeziniz ve barındırma sağlayıcınız bu yükümlülüklere nasıl hazırlanıyor?
Sık Sorulan Sorular
7590 sayılı Kanun ne zaman yürürlüğe girdi?
Kanun, TBMM'de 24 Temmuz 2026'da kabul edildi ve Resmî Gazete'de yayımlanarak 31 Temmuz 2026'da yürürlüğe girdi.
BTK kapatıldı mı?
Hayır. BTK sektörel düzenleyici olarak lisanslama, frekans ve tüketici hakları gibi görevlerini sürdürüyor; siber güvenlikle doğrudan ilgili görevler Siber Güvenlik Başkanlığına geçti.
2 saat kuralı kimleri kapsıyor?
Düzenlemeye göre işletmeciler, erişim sağlayıcılar, veri merkezleri, içerik sağlayıcılar ve yer sağlayıcılar Başkanlığın tedbir kararlarını en geç iki saat içinde uygulamakla yükümlü.
Siber Güvenlik Kanunu'nun yönetmelikleri yayımlandı mı?
Değerlendirmelere göre ikincil düzenlemelerin önemli kısmı henüz yayımlanmadı. Güncel durum için Resmî Gazete ve siberguvenlik.gov.tr takip edilmelidir.
Olfe ile Mevzuata Hazır Altyapı
Olfe, İzmir Bornova'daki Tier III veri merkezinde 7/24 operasyon ekibi ve izleme altyapısıyla hizmet verir. Verileriniz yurt içinde, biyometrik erişim kontrollü bir tesiste barındırılır. Mevzuat değişikliklerinin altyapınıza etkisini birlikte değerlendirmek için bizimle iletişime geçin. Veri koruma tarafındaki güncel gelişmeleri ise KVKK biyometrik veri yazımızda bulabilirsiniz.
Sonuç
7590 sayılı Kanun, Türkiye'de internet ve siber güvenlik yönetiminin ağırlık merkezini Siber Güvenlik Başkanlığına taşıdı. Veri merkezleri ve barındırma sağlayıcıları için bu, daha hızlı tepki, daha net irtibat süreçleri ve daha kapsamlı kayıt yönetimi demek. Hazırlığa başlamak için ikincil düzenlemeleri beklemeye gerek yok.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Güncel mevzuat için Resmî Gazete esas alınmalıdır.