Türk Hukuku ve Avrupa Birliği Hukuku Çerçevesinde Tedarikçi Kaynaklı Siber Güvenlik Risklerinin Hukuki Yönetimi
Giriş
Dijitalleşmenin hız kazanması, bilgi ve iletişim teknolojilerinin ekonomik ve toplumsal faaliyetlerin ayrılmaz bir parçası hâline gelmesi ve kuruluşların faaliyetlerini giderek daha fazla üçüncü taraf hizmet sağlayıcılar aracılığıyla yürütmesi, siber güvenlik risklerinin kapsamını ve niteliğini önemli ölçüde değiştirmiştir. Nitekim günümüzdeki güvenlik açıklarının istismarı yoluyla gerçekleşen bilişim sistemlerine yönelik saldırılar, diğer bir ifadeyle siber saldırılar, özel hayatın gizliliğinden ticari faaliyetlerin sürdürülebilirliğine kadar uzanan geniş bir yelpazede etkisini göstermekte, dijital sistemlerdeki bir güvenlik açığı, makro düzeyde ekonomik istikrarı ve toplumsal işleyişi sekteye uğratabilecek sonuçlar doğurabilmektedir.[1]
Bu çerçevede, siber güvenlik, yalnızca kuruluşların kendi bilgi sistemlerinin korunmasıyla sınırlı bir mesele olmaktan çıkmış; bu sistemlerle doğrudan veya dolaylı olarak etkileşim içerisinde bulunan tedarikçilerin, hizmet sağlayıcıların ve alt yüklenicilerin faaliyetlerini de kapsayan bütüncül bir risk yönetimi alanına dönüşmüştür. Özellikle tedarikçilerin bilgi sistemlerinde meydana gelen güvenlik açıklarının veya siber güvenlik ihlallerinin, hizmet sundukları kuruluşların bilgi sistemlerine, operasyonel sürekliliğine ve işledikleri verilere sirayet edebilmesi, tedarikçi ilişkilerinden kaynaklanan siber güvenlik risklerinin hukuki açıdan değerlendirilmesini gerekli kılmaktadır.
Siber güvenliğin hukuk düzenleri içerisindeki öneminin giderek artmasıyla birlikte, bu alana özgü kapsamlı düzenlemelerin kabul edilmesine yönelik çalışmalar da hız kazanmıştır. Bu kapsamda Avrupa Birliği’nde (“AB”), ağ ve bilgi sistemlerinin güvenliğine ilişkin ortak bir hukuki çerçeve oluşturulması amacıyla kabul edilen 2016/1148 sayılı Şebeke ve Bilgi Güvenliği Direktifi[2], (“NIS Direktifi”) 8 Ağustos 2016 tarihinde yürürlüğe girmiştir. Bunun ötesinde, AB nezdinde siber güvenlik alanındaki düzenleyici yaklaşım, 16 Ocak 2023 tarihinde yürürlüğe giren 2022/2555 sayılı Avrupa Birliği Şebeke ve Bilgi Güvenliği Direktifi[3] (“NIS2 Direktifi” veya “Direktif”) ile daha da geliştirilmiş; düzenlemenin kapsamına giren sektörler ve kuruluşlar genişletilerek siber güvenlik risklerinin yönetimine ilişkin daha kapsamlı bir hukuki rejim oluşturulmuştur. AB’de siber güvenliğe ilişkin hukuki çerçeve bu şekilde gelişirken, Türkiye’de siber güvenlik uzun süre farklı mevzuat hükümleri ve sektörel düzenlemeler kapsamında ele alınmış, genel nitelikli ve müstakil bir kanuni düzenleme ise ancak 2025 yılında kabul edilmiştir. Bu kapsamda, 8 Ocak 2025 tarihinde yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile Siber Güvenlik Başkanlığı kurulmuş; ardından 19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu[4] (“SG Kanunu” veya “Kanun”) ile siber güvenliğe ilişkin temel ilkeler, siber güvenlik risklerinin yönetimi, kamu kurumları ile gerçek ve tüzel kişilerin yükümlülükleri başta olmak üzere kapsamlı bir hukuki çerçeve oluşturulmuştur. SG Kanun’un geniş kapsamı ve siber güvenliğin farklı sektörlerdeki faaliyetlerle doğrudan ilişkisi dikkate alındığında, önümüzdeki dönemde ikincil düzenlemeler ve idari uygulamalarla birlikte siber güvenlikten kaynaklanan hukuki yükümlülüklerin farklı faaliyet alanlarında daha belirgin hâle gelmesi beklenmektedir.
Bu gelişmeler çerçevesinde, kuruluşların siber güvenlik yükümlülüklerinin yalnızca kendi bilgi sistemlerine yönelik teknik ve organizasyonel tedbirlerle sınırlı olup olmadığı; tedarikçilerin seçilmesi, denetlenmesi ve faaliyetlerinin izlenmesi süreçlerinde hangi hukuki sorumlulukların gündeme gelebileceği önem kazanmaktadır. Zira, tedarikçi kaynaklı bir siber güvenlik ihlali, niteliğine göre yalnızca siber güvenlik mevzuatı kapsamında değil, kişisel verilerin korunmasına ilişkin düzenlemeler ve taraflar arasındaki sözleşmesel ilişki bakımından da çeşitli hukuki sonuçlar doğurabilecektir. Bu nedenle tedarikçi risklerinin yönetimi, siber güvenlik mevzuatından kaynaklanan yükümlülükler ile kişisel verilerin korunması ve sözleşme hukukundan doğan sorumlulukların birlikte değerlendirilmesini gerektiren çok boyutlu bir hukuki mesele olarak karşımıza çıkmaktadır.
Siber güvenliğe ilişkin hukuki çerçevenin gelişmesi ve bu alandaki yükümlülüklerin giderek somutlaşması, kuruluşların yalnızca kendi bilgi sistemlerinin güvenliğini sağlamalarını değil, faaliyetlerini yürütürken iş birliği içerisinde oldukları üçüncü taraflardan kaynaklanabilecek siber güvenlik risklerini de dikkate almalarını gerekli kılmaktadır. Nitekim günümüzde kuruluşların bilgi teknolojileri altyapısı, yazılım, bulut bilişim ve veri işleme gibi pek çok alanda dış kaynaklardan yararlanması, tedarikçi ilişkilerini siber güvenlik risklerinin yönetimi bakımından önemli bir unsur haline getirmiştir. Bu kapsamda, tedarikçilerin seçilmesi, güvenlik yeterliliklerinin değerlendirilmesi, faaliyetlerinin denetlenmesi ve olası güvenlik ihlallerine karşı gerekli önlemlerin alınması, yalnızca teknik ve operasyonel açıdan değil, hukuki açıdan da önem arz etmektedir. Zira, tedarikçi kaynaklı bir siber güvenlik ihlali, somut olayın özelliklerine göre siber güvenlik mevzuatının yanı sıra kişisel verilerin korunması mevzuatı ve taraflar arasındaki sözleşmesel ilişki açısından da çeşitli hukuki sonuçlar doğurabilmektedir. Dolayısıyla tedarikçi risklerinin yönetimi, özellikle bu üç hukuk alanından kaynaklanan yükümlülüklerin ve söz konusu yükümlülükler çerçevesinde alınması gerekebilecek hukuki, teknik ve organizasyonel tedbirlerin bir arada değerlendirilmesini gerektiren çok boyutlu bir mesele olarak karşımıza çıkmaktadır.
Bu doğrultuda, bu çalışmada siber güvenlik ihlalleri bağlamında tedarikçi risklerinin hukuki yönetimi; siber güvenlik hukuku, kişisel verilerin korunması hukuku ve sözleşmesel risk yönetimi olmak üzere üç temel perspektiften ele alınacaktır. Bu çerçevede, (i) birinci olarak SG Kanunu ve ilgili mevzuattan kaynaklanan yükümlülükler, (ii) ikinci olarak siber güvenlik risklerinin sözleşmesel mekanizmalarla yönetilmesi, (iii) üçüncü olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu[5] (“KVK Kanunu”) kapsamında tedarikçi kaynaklı veri güvenliği riskleri ile veri sorumlusu ve veri işleyenlerin tabi olduğu hukuki sorumluluk rejimi değerlendirilecek ve devamında uygulamaya yönelik tavsiyelere yer verilecektir.
SG Kanunu ve AB Düzenlemeleri Çerçevesinde Tedarikçi Güvenliğine İlişkin Yükümlülükler
SG Kanun’un 2’nci maddesi uyarınca Kanun, siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurum ve kuruluşları ile gerçek ve tüzel kişileri kapsamaktadır. Kanun’un 3’üncü maddesinde ise “siber uzay” kavramının “doğrudan ya da dolaylı olarak internete, elektronik haberleşme veya bilgisayar ağlarına bağlı olan tüm bilişim sistemleri ve bunları birbirine bağlayan ağlardan oluşan ortam” şeklinde tanımlandığı dikkate alındığında, SG Kanun’un yalnızca doğrudan siber güvenlik alanında faaliyet gösteren kuruluşları değil, farklı sektörlerde bilişim sistemlerinden yararlanarak faaliyetlerini yürüten çok sayıda kuruluşu da ilgilendirdiği görülmektedir.
Kanun’un geniş uygulama alanının yanı sıra, Kanun kapsamındaki kuruluşların (“Kuruluş” veya “Kuruluşlar”) tedarikçi ilişkilerinden kaynaklanan siber güvenlik yükümlülüklerinin de ayrıca değerlendirilmesi gerekmektedir. Nitekim, SG Kanun’un 7/1-(c) maddesi uyarınca, Kuruluşların tedarik süreçlerine yönelik somut bir yükümlülük düzenlendiği görülmektedir. Anılan hüküm uyarınca, kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin, Siber Güvenlik Başkanlığı (“Başkanlık”) tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanlarından, üreticilerden veya şirketlerden tedarik edilmesi gerekmektedir. Bununla birlikte, tedarikçi ilişkilerinden kaynaklanabilecek siber güvenlik risklerinin yalnızca söz konusu hüküm kapsamında değerlendirilmesi yeterli olmayacaktır. Zira, SG Kanun’un 7/1-(b) maddesinde mevzuatın öngördüğü siber güvenlik tedbirlerinin alınması, 7/1-(d) maddesinde ise Başkanlık tarafından yayımlanan düzenleyici işlemlerde yer alan yükümlülüklere uyulması gerekliliği öngörülmektedir. Her ne kadar bu hükümler doğrudan tedarikçi risk yönetimine ilişkin özel bir yükümlülük içermese dahi, ilgili mevzuat ve düzenleyici işlemlerde tedarikçi güvenliğine yönelik tedbirlerin öngörülmesi halinde, söz konusu yükümlülüklerin tedarikçi ilişkileri bakımından da uygulanması gündeme gelebilecektir.
Öte yandan, AB Hukukunda ise siber güvenlik risklerinin yönetimine ilişkin temel düzenlemelerden biri olan NIS2 Direktifi’nin 21’inci maddesinde, Direktif’in 3’üncü maddesi kapsamında sayılan temel ve önemli kuruluşlar[6] (essential and important entities) olarak nitelendirilen kuruluşların siber güvenlik risklerinin yönetimine yönelik uygun ve orantılı teknik, operasyonel ve organizasyonel tedbirler almaları öngörülmektedir. Direktif’in 21/2’nci maddesi kapsamında söz konusu kuruluşlar tarafından alınması gereken asgari siber güvenlik risk yönetim tedbirleri düzenlenmiş olup, bu kapsamda risk analizi, olay yönetimi ve iş sürekliliği gibi hususların yanı sıra tedarik zinciri güvenliğine de açıkça yer verilmektedir. Nitekim, Direktif’in 21/2-(d) maddesi uyarınca, “her bir kuruluş ile doğrudan tedarikçileri veya hizmet sağlayıcıları arasındaki ilişkilerin güvenliğe ilişkin boyutları da dahil olmak üzere tedarik zinciri güvenliğinin sağlanması” alınması gereken asgari siber güvenlik risk yönetimi tedbirleri arasında sayılmıştır. Bununla bağlantılı olarak, Direktif’in anılan aynı maddesinin üçüncü fıkrasında, tedarik zinciri güvenliğine yönelik uygun tedbirlerin belirlenmesinde, her bir doğrudan tedarikçinin ve hizmet sağlayıcının kendine özgü güvenlik açıklarının, tedarikçilerin ürünlerinin genel kalitesinin ve güvenli geliştirme süreçleri de dahil olmak üzere siber güvenlik uygulamalarının dikkate alınması öngörülmüştür.
Bunun yanı sıra, AB hukukunda tedarikçi kaynaklı siber güvenlik risklerinin yönetimine ilişkin yükümlülükler yalnızca NIS2 Direktifi ile sınırlı değildir. Zira, AB hukukunda dijital unsurlar içeren ürünlerin siber güvenliğine ilişkin yatay gereklilikleri düzenleyen 2024/2847 sayılı Siber Dayanıklılık Yasası[7] (“SBY”) kapsamında da tedarik zinciri güvenliğine ilişkin yükümlülüklere yer verilmiştir. Nitekim, SBY’nin 13/5’inci maddesi uyarınca, dijital unsur içeren herhangi bir ürünün üreticilerinin üçüncü taraflardan temin ettikleri bileşenleri dijital unsur içeren ürünlerine entegre ederken, söz konusu bileşenlerin ürünün siber güvenliğini tehlikeye düşürmemesi amacıyla gerekli özeni (due diligence) gösterme gereklilikleri öngörülmektedir. Bu doğrultuda, üreticilerin siber güvenliğe ilişkin yükümlülükleri yalnızca kendi geliştirdikleri ürünlerin bileşenleri ile sınırlı tutulmamakta; üçüncü taraflardan temin edilen ürün bileşenlerinden kaynaklanacak siber güvenlik risklerinin değerlendirilmesi ve yönetilmesi de gerekli tutulmaktadır.
Bu doğrultuda, NIS2 Direktifi tedarikçi ilişkilerinden kaynaklanan risklerin kuruluşların siber güvenlik risk yönetimi kapsamında ele alınmasına, SBY ise ürün ve bileşen güvenliğine odaklanmakta olup, her iki düzenleme de tedarik zinciri güvenliğini farklı perspektiflerden ele alarak AB seviyesinde bölgesel olarak birbirini tamamlayıcı nitelik taşımaktadır.
SG Kanunu ve AB Düzenlemeleri Çerçevesinde Tedarikçi Risklerinin Yönetimi ve Önleyici Tedbirler
Yukarıda izah olunduğu üzere, SG Kanun’un 7/1-(c) maddesinde öngörülen özel tedarik yükümlülüğü, kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleriyle sınırlıdır. Bu kapsamda, Kanun’un 3’üncü maddesinde tanımlanan kritik altyapılara ilişkin sektörler, Siber Güvenlik Kurulu’nun (“SG Kurulu”) 5 Mayıs 2026 tarihli toplantısında alınan kararla[8] belirlenmiş olup, enerji, finans, sağlık, elektronik haberleşme ve ulaştırma gibi alanlar kritik altyapı sektörleri olarak değerlendirilmiştir. Buna karşılık, NIS2 Direktifi’nin 21’inci maddesi, temel ve önemli kuruluşları esas alarak doğrudan tedarikçiler ve hizmet sağlayıcılarla kurulan ilişkilerden kaynaklanabilecek siber güvenlik risklerinin, belirli ürün veya hizmet türleriyle sınırlandırılmaksızın değerlendirilmesini öngörmektedir. Bu doğrultuda, NIS2 Direktifi’nin gerek yükümlülüğün muhatapları gerekse tedarik ilişkilerinin kapsamı bakımından daha geniş ve risk temelli bir yaklaşım benimsediği görülmektedir.
Yukarıda yer verilen düzenlemeler ışığında, Türk hukuku bakımından SG Kanun’un 7/1-(c) maddesi kapsamına giren tedarik faaliyetlerinde, anılan hükümde öngörülen yükümlülüklere uyulması gerektiği hususunda herhangi bir tereddüt bulunmamaktadır.
Bununla birlikte, tedarikçi ilişkilerinden kaynaklanabilecek siber güvenlik riskleri yalnızca kritik altyapılarda veya özel düzenlemelere tabi sektörlerde faaliyet gösteren kuruluşlarla sınırlı değildir. Nitekim, üçüncü taraf hizmet sağlayıcılarının hizmet alan konumundaki tarafların bilişim sistemlerine erişim sağlaması veya bu sistemler üzerinden hizmet sunması durumunda, söz konusu sağlayıcıların maruz kalabileceği siber güvenlik ihlalleri, hizmet alan kuruluşların da faaliyetlerini, bilgi sistemlerini ve veri güvenliğini önemli ölçüde olumsuz etkileyebilecektir.
Bu sebeple, Türk hukuku bakımından, SG Kanunu kapsamında açık bir tedarikçi risk yönetimi yükümlülüğüne tabi olmayan Kuruluşlar bakımından tedarikçi kaynaklı risklerin değerlendirilmesi ve bunların azaltılmasına yönelik teknik, organizasyonel ve sözleşmesel tedbirlerin alınması önem taşımaktadır. Bu kapsamda, tedarikçilerin siber güvenlik yeterliliklerinin değerlendirilmesi, alınması gereken teknik ve organizasyonel güvenlik tedbirlerinin, güvenlik ihlallerine ilişkin bildirim yükümlülüklerinin ve hizmet alan Kuruluşun tedarikçi üzerindeki denetim haklarının sözleşmelerde açıkça düzenlenmesi önerilebilecektir. Hatta, SG Kanun’un uygulama alanı dışında kaldığı değerlendirilebilecek kuruluşlar bakımından dahi, üçüncü taraflardan bilişim sistemleri aracılığıyla ürün veya hizmet temin edilmesi, tedarikçi kaynaklı siber güvenlik risklerini gündeme getirebileceğinden, söz konusu risklerin azaltılmasına yönelik, teknik, organizasyonel ve sözleşmesel güvencelerin sağlanması önem taşımaktadır.
Nitekim, AB Siber Güvenlik Ajansı (“ENISA”) tarafından yayımlanan ve bağlayıcı bir hukuki düzenleme olmayıp iyi uygulama önerileri içeren “Tedarik Zinciri Siber Güvenliğine İlişkin İyi Uygulamalar (Good Practices for Supply Chain Cybersecurity)”[9] başlıklı kılavuzun (“ENISA Kılavuzu”) 3.2. bölümünde, tedarikçilerin belirlenmesi ve sınıflandırılması, tedarikçi kaynaklı risklerin değerlendirilmesi, bu risklerin azaltılmasına yönelik tedbirlerin uygulanması ve tedarikçi performansının düzenli olarak izlenmesi gibi iyi uygulama örneklerine yer verilmiştir. Söz konusu tedbirlerin, Türk ve AB siber güvenlik mevzuatı kapsamında açık bir tedarikçi risk yönetimi yükümlülüğüne tabi olmayan kuruluşlar tarafından, ihtiyatlı bir risk yönetimi perspektifi kapsamında da benimsenmesi mümkündür. Bununla birlikte, ENISA Kılavuzu’nda bu tedbirlerin öncelikle hizmet alan kuruluş açısından kritik nitelik taşıyan bilişim ve iletişim teknolojileri ürün, sistem ve hizmetlerine uygulanması; kritik niteliğin belirlenmesinde ise hizmetin kuruluşun faaliyetlerine etkisi, işlenen bilgilerin değeri ve iş sürekliliğine ilişkin gerekliliklerin dikkate alınması önerilmektedir. Bu doğrultuda, tedarikçi risklerinin hizmet alan kuruluşun ihtiyaçları ve temin edilen ürün veya hizmetlerin kritikliği esas alınarak yönetilmesi uygun olacaktır.
KVK Kanunu ve AB Genel Veri Koruma Tüzüğü (“GVKT”) Çerçevesinde Tedarikçi Kaynaklı Risklerin Yönetimi ve Önleyici Tedbirler
Tedarikçi ilişkilerinden kaynaklanan siber güvenlik risklerinin yönetimi, siber güvenlik mevzuatının yanı sıra kişisel verilerin korunması hukuku bakımından da önem taşımaktadır. Nitekim, üçüncü taraf hizmet sağlayıcılardan temin edilen bilişim ürün ve hizmetleri kapsamında kişisel verilerin işlenmesi veya bu verilere erişim sağlanması, tedarikçi kaynaklı siber güvenlik ihlallerinin aynı zamanda kişisel veri güvenliği ihlallerine yol açması riskini de beraberinde getirmektedir. Zira, bu noktada, tedarikçi ilişkilerinin kişisel verilerin korunması hukuku bakımından değerlendirilmesinde, hizmet sağlayıcı tedarikçilerin sundukları hizmetin niteliğine bağlı olarak hizmet alan kuruluşlar adına kişisel veri işleme faaliyetleri gerçekleştirdikleri görülmekte ve bu kapsamda tedarikçinin hizmet alan veri sorumlusu tarafın verdiği yetkiye dayalı olarak veri işleyen olarak konumlandırılmaları söz konusu olabilmektedir. Bununla birlikte, tedarikçinin ilgili veri işleme faaliyetinin amaç ve esaslı vasıtalarını kendisinin belirlediği durumlarda veri sorumlusu olarak nitelendirilmesi de mümkün olacaktır.
Bu noktada belirtmek gerekir ki, KVK Kanun’un 12/2’nci maddesi uyarınca, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, veri sorumlusu ile veri işleyen, kişisel veri güvenliğinin sağlanmasına yönelik gerekli teknik ve idari tedbirlerin alınmasından müştereken sorumludur. GVKT kapsamında ise veri sorumlusu ile veri işleyenin veri güvenliğine ilişkin sorumlulukları farklı bir sistematikte düzenlenmiştir. Nitekim, GVKT’nin 32’nci maddesinin lafzında, KVK Kanun’un 12/2. maddesinden farklı olarak, veri sorumlusu ile veri işleyenin gerekli güvenlik tedbirlerinin alınmasından müştereken sorumlu olduğuna ilişkin bir hükme yer verilmemiş; bunun yerine, her iki tarafın da uygun teknik ve organizasyonel tedbirleri almakla yükümlü olduğu düzenlenmiştir. Bununla birlikte, GVKT’nin 82/4’üncü maddesinde, aynı kişisel veri işleme faaliyetine birden fazla veri sorumlusu veya veri işleyenin dahil olması ve söz konusu tarafların GVKT’nin 82’nci maddesi kapsamında meydana gelen zararlardan sorumlu tutulabilmeleri halinde, ilgili kişinin uğradığı zararın tamamının tazmin edilmesini sağlamak amacıyla müşterek ve müteselsil sorumlulukları öngörülmüştür. Şüpheye mahal vermemek adına, söz konusu sorumluluk, yalnızca veri güvenliğinin sağlanmasına yönelik gerekli tedbirlerin alınmamasından kaynaklanan zararlarla sınırlı olmayıp, GVKT’ye aykırı kişisel veri işleme faaliyetlerinden doğan zararları da kapsamaktadır.
Bununla birlikte, GVKT’nin 28/3’üncü maddesinde, veri sorumlusu ile veri işleyen arasındaki ilişkinin bağlayıcı bir sözleşme veya hukuki işlemle düzenlenmesi açıkça zorunlu tutulmuş ve söz konusu düzenlemenin içermesi gereken asgari unsurlar madde metni kapsamında belirtilmiştir. Bu kapsamda, veri güvenliğine ilişkin teknik ve organizasyonel tedbirlerin alınması, kişisel veri ihlallerinin bildirilmesine ve ilgili kişi haklarının kullanılmasına ilişkin yükümlülüklerin yerine getirilmesinde veri sorumlusuna destek sağlanması ile veri sorumlusunun denetim hakları gibi hususların sözleşmesel olarak düzenlenmesi gerekliliği öngörülmüştür.
Türk hukukunda ise KVK Kanunu kapsamında veri sorumlusu ile veri işleyen arasındaki sözleşmelerin içermesi gereken zorunlu unsurlara ilişkin açık bir düzenleme bulunmamakla birlikte, Kişisel Verileri Koruma Kurumu (“KVK Kurumu”) tarafından yayımlanan Kişisel Veri Güvenliği Rehberi (Teknik İdari Tedbirler) (“Veri Güvenliği Rehberi”)[10] kapsamında, veri sorumlusu ile veri işleyenler arasında sözleşme akdedilmesi ve bu sözleşmelerde kişisel veri güvenliğinin sağlanmasına yönelik belirli hükümlere yer verilmesi tavsiye edilmektedir. Buna karşılık, GVKT’nin 28’inci maddesinde veri sorumlusu ile veri işleyen arasındaki ilişkinin belirli asgari unsurları içeren bağlayıcı bir sözleşme veya hukuki işlemle düzenlenmesi zorunlu tutulmuştur.
Bununla birlikte, GVKT’de öngörülen zorunlu sözleşmesel unsurların ve Veri Güvenliği Rehberi’nde yer verilen tavsiyelerin ötesinde, tedarikçi kaynaklı veri güvenliği risklerinin etkin biçimde yönetilebilmesi amacıyla taraflar arasındaki sözleşmelerde ilave hükümlere yer verilmesi de faydalı olacaktır. Bu kapsamda, kişisel veri ihlallerinin bildirilmesine ilişkin somut sürelerin, ihlal sonrasında alınacak düzeltici tedbirlerin ve tarafların bu süreçteki iş birliği yükümlülüklerinin ayrıntılandırılması, ayrıca sözleşmesel yükümlülüklerinin ihlalinden doğabilecek zararların tazmini, taraflar arasındaki rücu ilişkisi, cezai şart ve haklı nedenle fesih gibi hukuki mekanizmaların açıkça düzenlenmesi, tedarikçi kaynaklı risklerin önlenmesine ve gerçekleşen ihlallerin hukuki sonuçlarının yönetilmesine önemli düzeyde katkı sağlayacaktır.
Sonuç
Sonuç olarak, tedarikçi kaynaklı siber güvenlik risklerinin hukuki yönetimi, yalnızca ilgili mevzuattan doğan yükümlülüklerin yerine getirilmesiyle sınırlı olmayıp, tedarikçi ilişkilerinin bütüncül ve risk temelli bir yaklaşımla ele alınmasını gerektirmektedir. Türk hukukunda SG Kanunu ile öngörülen yükümlülükler ve kişisel verilerin korunmasına ilişkin düzenlemeler, tedarikçi risklerinin yönetilmesi bakımından önemli bir hukuki çerçeve oluştururken, NIS2 Direktifi başta olmak üzere AB düzenlemeleri, tedarik zinciri güvenliğinin daha kapsamlı ve sistematik biçimde ele alınmasına yönelik bir yaklaşım ortaya koymaktadır. Bu doğrultuda, Kuruluşların yalnızca açık kanuni yükümlülüklerle yetinmeyerek, tedarikçilerin seçiminden sözleşmesel ilişkilerin sona ermesine kadar uzanan süreçte siber güvenlik ve kişisel veri güvenliği risklerini değerlendirmeleri, uygun teknik ve organizasyonel tedbirleri sözleşmesel güvencelerle desteklemeleri ve tedarikçilerin bu yükümlülüklere uyumunu düzenli olarak denetlemeleri gerekmektedir. Böylelikle, tedarikçi kaynaklı güvenlik ihlallerinin önlenmesinin yanı sıra, olası ihlallerin kişisel veriler üzerindeki etkilerinin ve bunlardan doğabilecek hukuki risklerin azaltılması da mümkün olabilecektir.
- Mehmet Bedii Kaya (2025), Siber Güvenlik Hukuku, s.3.
- Avrupa Birliği Genelinde Ağ ve Bilgi Sistemlerinin Yüksek Düzeyde Ortak Güvenliğinin Sağlanmasına Yönelik Tedbirler Hakkında 2016/1148 Sayılı Direktif, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016L1148 (Erişim Tarihi: 20.10.2026)
- Avrupa Birliği Genelinde Yüksek Düzeyde Ortak Siber Güvenliğin Sağlanmasına Yönelik Tedbirler Hakkında 2022/2555 Sayılı Direktif, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32022L2555 (Erişim Tarihi: 20.10.2026)
- Siber Güvenlik Kanunu, https://mevzuat.gov.tr/mevzuat?MevzuatNo=7545&MevzuatTur=1&MevzuatTertip=5 (Erişim Tarihi 20.10.2026).
- Kişisel Verilerin Korunması Kanunu, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5 (Erişim Tarihi: 20.10.2026).
Direktif’in uygulanması bakımından, aşağıda belirtilen kuruluşlar temel kuruluşlar (essential entities) olarak kabul edilir
(a) 2003/361/EC sayılı Tavsiye Kararı’nın Ek’inin 2. maddesinin birinci fıkrasında orta ölçekli işletmeler için öngörülen üst sınırları aşan ve bu Direktif’in Ek I’inde belirtilen kuruluş türlerinden birine dahil olan kuruluşlar;
(b) Büyüklüklerine bakılmaksızın, nitelikli güven hizmeti sağlayıcıları, üst düzey alan adı sicil operatörleri ve alan adı sistemi (DNS) hizmet sağlayıcıları;
(c) 2003/361/EC sayılı Tavsiye Kararı’nın Ek’inin 2. maddesi uyarınca orta ölçekli işletme niteliğinde olan kamuya açık elektronik haberleşme şebekesi sağlayıcıları veya kamuya açık elektronik haberleşme hizmeti sağlayıcıları;
(d) Bu Direktif’in 2. maddesinin ikinci fıkrasının (f) bendinin (i) alt bendinde belirtilen kamu idaresi kuruluşları;
(e) Bu Direktif’in 2. maddesinin ikinci fıkrasının (b) ila (e) bentleri uyarınca, üye devletler tarafından temel kuruluş olarak belirlenen ve Ek I veya Ek II’de belirtilen kuruluş türlerinden birine dahil olan diğer kuruluşlar;
(f) Bu Direktif’in 2. maddesinin üçüncü fıkrasında atıfta bulunulan, (AB) 2022/2557 sayılı Direktif uyarınca kritik kuruluş (critical entity) olarak belirlenen kuruluşlar;
(g) İlgili üye devletin bu yönde düzenleme yapmış olması hâlinde, söz konusu üye devlet tarafından 16 Ocak 2023 tarihinden önce (AB) 2016/1148 sayılı Direktif veya ulusal mevzuat uyarınca temel hizmet operatörü (operator of essential services) olarak belirlenmiş kuruluşlar.
- AB Siber Güvenlik Yasası, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202402847 (Erişim Tarihi: 20.10.2026).
- 5 Mayıs 2026 tarihli Siber Güvenlik Kurulu Toplantısı Hakkında Açıklama, https://www.iletisim.gov.tr/turkce/haberler/detay/siber-guvenlik-kurulu-cumhurbaskani-erdogan-baskanliginda-toplandi-05-05-26 (Erişim Tarihi: 21.10.2026)
- Avrupa Birliği Siber Güvenlik Ajansı (ENISA) tarafından yayımlanan “Tedarik Zinciri Siber Güvenliğine İlişkin İyi Uygulamalar” (Good Practices for Supply Chain Cybersecurity) başlıklı kılavuz, s.21-22, https://www.enisa.europa.eu/sites/default/files/publications/Good%20Practices%20for%20Supply%20Chain%20Cybersecurity.pdf (Erişim Tarihi: 21.10.2026)
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), https://kvkk.gov.tr/SharedFolderServer/CMSFiles/7512d0d4-f345-41cb-bc5b-8d5cf125e3a1.pdf, (Erişim Tarihi 21.10.2026).
Bu makalenin tüm hakları saklıdır. Kaynak gösterilmeksizin veya Erdem & Erdem’in yazılı izni alınmaksızın bu makale kullanılamaz, çoğaltılamaz, kopyalanamaz, yayımlanamaz, dağıtılamaz veya başka bir suretle yayılamaz. Kaynak gösterilmeksizin veya Erdem & Erdem’in yazılı izni alınmaksızın oluşturulan içerikler takip edilmekte olup, hak ihlalinin tespiti halinde yasal yollara başvurulacaktır.
Diğer İçerikler
Küreselleşen dünya ekonomisi, dijitalleşmenin hız kazanması, uluslararası şirket yapılanmalarının yaygınlaşması ve teknolojik araçların iş süreçlerine giderek daha fazla entegre olması neticesinde, kişisel verilerin sınır ötesi dolaşımı kaçınılmaz ve süreklilik arz eden bir olgu haline geldi…
Kasım 2025'te Avrupa Komisyonu ("Komisyon"), AB'nin mevcut dijital düzenlemelerini sadeleştirmeyi amaçlayan kapsamlı bir çalışma olan AB Dijital Omnibus Tüzük Teklifi'ni ("Dijital Omnibus"/ “Taslak”) onaya sundu. Dijital Omnibus, AB hukuku kapsamında bireylere…
2020 tarihli Avrupa Veri Stratejisi’nin bir parçası olarak tasarlanan verilere adil erişim ve kullanım konusunda uyumlaştırılmış kurallar hakkındaki Tüzük (Veri Yasası veya Yasa), veriye erişimi ve verinin kullanımını rekabetçi ve adil bir ortamda en üst seviyeye taşıyarak AB’nin veri ekonomisinde sıçrama yapmasını hedeflemektedir.
Eylül 2025’te Avrupa Birliği Adalet Divanı (“ABAD”), Single Resolution Board (SRB) v. European Data Protection Supervisor (EDPS) davasında , AB veri koruma rejimi kapsamında yeni bir karar verdi...
Türkiye’de son dönemde özellikle perakende mağazalarda, ürün ve hizmet sunumları sırasında ilgili kişilere SMS yoluyla doğrulama kodu gönderilmesi ve bu yolla kişisel verilerin işlenmesi giderek yaygınlaşmıştır. Kişisel Verileri Koruma Kurulu’na (“Kurul”) intikal eden şikâyetlerde; ödeme yapma, kayıt açma...
Günümüzde iş sağlığı ve güvenliği, işyeri düzeninin sağlanması, iç denetim mekanizmalarının işletilmesi ve olası suistimallerin önlenmesi gibi gerekçelerle işverenler tarafından güvenlik kamerası sistemleri yaygın biçimde kullanılmaktadır...
Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin yurt dışına aktarımı konusunda belirli kurallar öngörse de, uygulamada yaşanan bazı zorluklar nedeniyle yurt dışına aktarım kurallarının etkin işleyişi zamanla sınırlanmıştı...
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), 95/46/EC Sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi esas alınarak hazırlanmış ve 2016 yılında yürürlüğe girmiştir. Anılan direktif ise, Avrupa Birliği Veri...
Genellikle bir çalışan işten ayrıldığında, çalışanın kurumsal e-posta hesabı kapatılmaz ve işverenin bu hesaba erişimi hemen engellenmez. Tam aksine, bu e-posta hesabı, iş ilişkisinin sona ermesinden sonra bir süre aktif tutulur; e-posta arşivi ve yeni gelen iletiler, ayrılan çalışanın yöneticisi veya farklı bir çalışma...
Günümüz dünyasında artık pek çok ürün ve hizmeti bulunduğumuz yerden tek bir tık ile e-ticaret platformları aracılığıyla satın alma imkanına sahibiz. Bu alışverişler sırasında, siparişin alınması, yönetimi ve teslimi, sipariş sonrası bilgilendirme, reklam ve pazarlama gibi çeşitli nedenlerle kişisel verilerimiz...
Genetik verilerin işlenmesi, sadece genetik veri sahiplerini değil, kişinin genetik olarak irtibatlı olduğu kişileri etkileyebilecek niteliğe sahiptir. Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından Ekim 2023’te yayımlanan “Genetik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber” (“Rehber”)...
Günümüzde ekonomik faaliyetlerin küresel ölçekte yürütülmesi, şirketlerin günlük faaliyetleri sırasında çok sayıda kişisel verinin uluslararası alanda aktarılmasına neden olmaktadır. Bu nedenle, ulusal ve uluslararası birçok veri mevzuatı gibi 6698 sayılı Kişisel Verilerin Korunması Kanunu da...
Avrupa Birliği Adalet Divanı ("Adalet Divanı"), Case-300/21 sayılı ve 4 Mayıs 2023 tarihli kararında[i], GDPR'ın 82. maddesinde düzenlenen Avrupa Birliği Genel Veri Koruma Tüzüğü'nün ("GDPR") ihlaline ilişkin tazminat hakkını değerlendirdi. Adalet Divanı, GDPR'ın tek başına ihlal edilmesinin manevi zararın tazminini...
6698 sayılı Kişisel Verileri Koruma Kanunu (“KVKK”) ile kişisel veri, veri sorumlusu, veri işleyen ve ilgili kişi gibi birçok kavrama ilişkin tanımlar getirilir. Bu kavramların anlaşılması ve yorumlanması bakımından ikincil mevzuat, Kişisel Verileri Koruma Kurumu rehberleri ile Kişisel Verileri Koruma Kurulu...
Covid-19 pandemisi ve son dönemde yaşanan teknolojik gelişmeler tüm sektörlerin dijital dönüşümünü önemli ölçüde hızlandırdı. Ancak özellikle finans sektöründeki hızlı değişim (mobil bankacılık, e-ticaret, temassız ödemeler vb.) müşteriler için hayatı son derece kolaylaştırmakla birlikte bazı riskleri de...
Akıllı saatler özellikle son on yılda hayatımızı değiştirdi. Kol saati olarak paketlenen bu giyilebilir bilgisayarlar, en temel özelliklerinden olan zamanı göstermenin yanında gelen çağrıların cevaplanmasını, mesajlara dönüş yapabilmeyi ve sosyal medya bildirimlerine saniyeler içinde göz atmayı sağlar...
Kişisel Verileri Koruma Kurumu (“Kurum”), 16.06.2022 tarihinde Sadakat Programlarının Kişisel Verilerin Korunması Mevzuatı Kapsamında İncelenmesine İlişkin Rehber Taslağı’nı (“Rehber Taslağı”) yayınladı. Rehber Taslağı henüz bağlayıcı değildir. 16.07.2022’ye kadar kamuoyu tarafından iletilmiş görüşlerin...
Almanya Federal Kartel Ofisi (“Bundeskartellamt”) Meta’yı (eski adıyla Facebook) daha önce kullanıcıların kişisel verilerini toplamak ve işlemek suretiyle sosyal ağ pazarındaki hâkim durumunu kötüye kullandığı gerekçesiyle sorumlu tutmuş, Meta ve bağlı şirketlerine tedbir uygulayarak söz konusu davranışlardan...
Günlük hayatın önemli bir parçası olan bankalar yürüttükleri faaliyetler gereği, yoğun olarak kişisel veri işleme faaliyetleri gerçekleştirmektedir. Bu kapsamda, Kişisel Verileri Koruma Kurumu, Türkiye Bankalar Birliği iş birliğinde, Kişisel Verilerin Korunmasına İlişkin Bankacılık Sektörü İyi Uygulama Rehberi...
Avrupa Birliği (“AB”) Üye Devletleri’nde toplu davalara ilişkin usul kuralları yeknesak değildir. Avrupa Parlamentosu tüketici haklarını iyileştirmek ve bu alanda Üye Devlet uygulamalarını yakınlaştırmak için, Toplu Tazminat Direktifi'ni (“Direktif”) kabul etmiştir. Direktif’in etkisiyle, veri koruma da...
Şubat 2020'de Avrupa Komisyonu (“Komisyon”), dijital dönüşüm ve politikasına ilişkin daha geniş bir girişimin parçası olarak “Avrupa Veri Stratejisi”ni yayımladı. Kendisini veri ekonomisinde lider rolünde tanımlayan Avrupa Birliği (“AB”), bu tebliğ ile Avrupa'nın küresel rekabet gücünü ve veri egemenliğini...
Amacı Sosyal Güvenlik Kurumu’nca (“SGK”) görev ve yetkileri kapsamında elde edilen verilerin işlenmesinde uyulacak usul ve esasları belirlemek olan Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik (“Yönetmelik”) 19.02.2022 tarihli ve...
Çin Halk Cumhuriyeti Kişisel Verilerin Korunması Kanunu (“ÇKVK”) 20 Ağustos 2021 tarihinde 13. Ulusal Halk Kongresi Daimî Komitesi 30. Toplantısı’nda kabul edilmiş olup; ÇKVK Madde 74 uyarınca, 1 Kasım 2021 tarihinde yürürlüğe girmiştir...
Günümüzde, verinin bazı şirketler için en değerli malvarlığı unsurlarından ve en önemli kaynaklardan biri haline geldiği konusunda şüphe yoktur. Nitekim büyük ölçekte veri toplama, işleme ve analiz etme yetisi iş dünyasının...
