Bu rehber kimler için?
Genel bilgilendirmedir. Somut olayda belgeler, özel hükümler ve güncel resmî metinler ayrıca değerlendirilmelidir.
Kaynak ve inceleme kaydına git ↓İlk saatlerde öncelik
Saldırının sürdüğünden şüpheleniliyorsa olay sorumlusunu belirleyin; etkilenen hesap, cihaz ve ağ bağlantılarını uzman ekip aracılığıyla sınırlayın. Sistemleri gelişigüzel silmek veya yeniden kurmak kanıtları kaybettirebilir. Olay saatini, kim tarafından nasıl fark edildiğini, alınan her teknik kararı ve eldeki logların kopyalarını kayda geçirin. İş sürekliliği için temiz yedek ve alternatif hizmet planı oluşturun.
Ne etkilendiğini doğrulayın
Hangi hesaplar, sunucular, müşteriler, çalışanlar ve tedarikçiler etkilendi? Veriler okunmuş, kopyalanmış, değiştirilmiş veya yalnız erişilemez hale mi gelmiş? İlk varsayımlar yerine log, erişim kaydı, yedek ve uzman incelemesiyle doğrulanan bulguları ayırın. Delil kopyalarının bütünlüğü ve bunlara kimlerin eriştiği kayıt altına alınmalıdır. Olayın suç şüphesi taşıması halinde kolluk veya savcılık başvurusu ayrıca değerlendirilebilir.
Siber güvenlik bildirimi ile kişisel veri ihlalini ayırın
7545 sayılı Siber Güvenlik Kanunu m. 7/1(b), kapsamındaki kurum, kuruluş ve kişilerin hizmet sundukları alanda karşılaştıkları siber olay veya zafiyetleri Siber Güvenlik Başkanlığına gecikmeksizin bildirmesine ilişkin yükümlülük düzenler. Kapsam ve uygulanacak bildirim kanalı olay özelinde kontrol edilmelidir. Bu metindeki “gecikmeksizin” ifadesi, her olaya uygulanacak genel bir 72 saat süresi değildir. Sektör düzenlemeleri veya sözleşmeler ayrıca bildirim gerektirebilir. Başkanlığın güncel bildirim usulü ve kanalı ile kurumun sektörüne özgü bildirim kuralları olay anında ayrıca teyit edilmelidir; 2026 tarihli geçiş hükmü nedeniyle önceki ikincil düzenlemeler de ilgili olduğu ölçüde uygulanabilir.
KVKK Kuruluna ne zaman bildirim gerekir?
6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun Kurula ve ilgili kişilere bildirimini düzenler. Kurulun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapar; haklı nedenle bu süre aşıldıysa gecikmenin nedenini bildirir ve henüz tamamlanamayan bilgileri gecikmeksizin aşamalı sunar. Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede onlara bilgi verir. Veri işleyen, durumu veri sorumlusuna gecikmeksizin bildirir. Her siber saldırı kişisel veri ihlali anlamına gelmez; ancak belirsizlik varken araştırmayı ve öğrenme zamanının kaydını ertelemeyin.
Bildirim ve iletişim planı
Kurum içi olay ekibi teknik bulgular, etkilenen veri kategorileri, riskler ve alınan tedbirleri tek bir olay kaydında toplamalıdır. Düzenleyici makam, ilgili kişiler, sözleşme tarafları ve sigorta için farklı koşullar olabilir; yanlış kesinlik içeren bir açıklama yerine doğrulanmış bilgi ve sonraki güncelleme planı kullanılmalıdır. Kolluğa yapılan başvuru, varsa düzenleyici makama veya ilgili kişilere bildirim yükümlülüğünün yerine geçtiği varsayılmamalıdır.
Toparlanma ve tekrarın önlenmesi
Erişim anahtarlarını güvenli süreçle yenileyin, açığı kapatın, temiz yedekten dönüşü doğrulayın ve izlemeyi sürdürün. Olay sonrası incelemede ilk erişim nedeni, yayılma yolu, yedeklerin durumu, bildirim kararları ve kalıcı düzeltmeler yazılı hale getirilmelidir. Kurumun türü ve işlediği veri nedeniyle ek sektör kuralları bulunabilir; bunlar ayrıca kontrol edilmelidir.
Hangi bilgi, hangi kaynağa dayanıyor?
Kaynaklar, kapsam ve güncellik notları aşağıda gösterilir.
- 7545 sayılı Siber Güvenlik Kanunu kabul edilen metni — TBMM ↗
m. 2, 7/1(b); kabul tarihi 12.03.2025 · Kaynak kaydı: 2026-10-10
- Kapsam ve siber olay/zafiyet bildirim yükümlülüğü
TBMM kabul metni; olay tarihindeki yürürlük, bildirim kanalı ve sektörel yükümlülükler ayrıca kontrol edilir.
- KVKK — Kişisel Veri İhlali Bildirimi, Kurul kararı 2019/10 ↗
6698 m. 12/5 ve 2019/10 sayılı karar açıklaması · Kaynak kaydı: 2026-10-10
- Veri sorumlusu için Kurula 72 saat, ilgili kişilere makul en kısa süre, veri işleyen bildirimi
72 saat, veri sorumlusunun ihlali öğrenmesinden başlar; her siber olay için genel kural değildir.
- Ulaştırma ve Altyapı Bakanlığı — Kurumsal SOME Rehberi ↗
Olay müdahalesi ve delil/koordinasyon akışı · Kaynak kaydı: 2026-10-10
- Olay müdahalesi, koordinasyon ve kayıt tutma için operasyonel rehber
Eski operasyonel rehber; güncel evrensel bildirim süresi veya kanalı kaynağı değildir.
- Emniyet Genel Müdürlüğü — Siber Suçlarla Mücadele ↗
Kurumsal birim sayfası · Kaynak kaydı: 2026-10-10
- Suç şüphesinde kolluk başvurusu için resmî kurum
Kolluk başvurusu, bağımsız düzenleyici bildirimlerin yerine geçmez.
- 7590 sayılı Kanun — TBMM kabul metni ↗
m. 26; 7545 geçici m. 2 ve m. 6/1, m. 16/10 değişiklikleri; kabul 24.07.2026 · Kaynak kaydı: 2026-10-10
- Devredilen yetkilerde ikincil düzenleme çıkana dek mevcut düzenlemelerin ilgili ölçüde sürmesi; m. 7/1(b) bu metinde değişmedi
TBMM kabul metni; olay anındaki yürürlük, bildirim kanalı ve sektörel düzenleme ayrıca kontrol edilmeli.
Kaynak kontrol tarihi: 10.10.2026. Mevzuat ve uygulama değişebileceğinden işlem tarihinde güncel resmî metinler ile somut olayın koşulları kontrol edilmelidir.
Sorumluluk reddi ve kullanım beyanı
Bu yayın genel bilgilendirme amaçlıdır; kişiye veya dosyaya özgü hukuki görüş, hukuki hizmet ya da sonuç garantisi değildir. Mevzuat ve uygulama değişebilir; somut olayın özellikleri ayrıca değerlendirilmelidir.
İçeriği okumak, video izlemek, belge oluşturmak veya aracı kullanmak avukatlık ilişkisi kurmaz. Süreli işlemler için bu siteden yanıt veya randevu onayı beklemeyin. Bu beyan emredici mevzuattan doğan ve hukuken sınırlandırılamayan yükümlülükleri ortadan kaldırmaz.
Yayın ve kullanım ilkeleri ↗MESLEKİ VE İLETİŞİM BİLGİLERİ
Av. Mertcan Turan
İzmir Barosu · Sicil 17004 · Bornova, İzmir
Bu bölüm yalnız kimlik ve iletişim bilgisi sunar. İçeriğin okunması avukatlık ilişkisi kurmaz; sonuç veya hizmet taahhüdü içermez.
Mertcan Turan Hukuk ve Danışmanlık OfisiBornova · İzmir