Siber Güvenlik Şirketleri İçin Sözleşme Yapısı ve Mevzuat Uyumu

1. Konunun Genel Çerçevesi

Siber güvenlik şirketleri; sızma testi, güvenlik operasyon merkezi (SOC) hizmeti, olay müdahalesi, danışmanlık, yazılım lisanslama ve yönetilen güvenlik hizmetleri gibi farklı hizmetler sunmaktadır. Bu hizmetler, müşterinin en hassas sistemlerine ve verilerine erişim gerektirmektedir. Bu nedenle sözleşme yapısının, hem müşterinin hem de hizmet sağlayıcının risklerini dengeli biçimde dağıtacak şekilde kurulması önem taşımaktadır.

Sözleşme ilişkisinin yanında, 7545 sayılı Siber Güvenlik Kanunu ile siber güvenlik sektörüne özgü bir düzenleyici çerçeve de oluşmuştur. Kişisel verilerin korunması mevzuatı ise hizmetin hemen her aşamasında uygulanmaktadır.

2. Hukuki Dayanak

• 6098 sayılı Türk Borçlar Kanunu: TBK m.470 vd. (eser sözleşmesi), TBK m.502 vd. (vekâlet sözleşmesi), TBK m.20-25 (genel işlem koşulları), TBK m.115 (sorumsuzluk anlaşmaları), TBK m.179 vd. (ceza koşulu)
• 6102 sayılı Türk Ticaret Kanunu: TTK m.4 (ticari davalar), TTK m.5/A (dava şartı arabuluculuk), TTK m.55 (haksız rekabet; ticari sırların korunması dâhil)
• 7545 s. Kanun (Siber Güvenlik Kanunu; RG 19.03.2025)
• KVKK m.12 (veri güvenliği; veri sorumlusu ile veri işleyenin müşterek sorumluluğu), KVKK m.9 (yurt dışına aktarım)
• TCK m.243 ve TCK m.244 (bilişim suçları; yetkisiz erişim riski bakımından)
• HMK m.17 (tacirler arasında yetki sözleşmesi)

3. Kanundaki Düzenleme

Sözleşmenin Hukuki Niteliği

Siber güvenlik hizmetleri, içeriğine göre farklı sözleşme tiplerine girebilmektedir. Belirli bir sonucun taahhüt edildiği işler (ör. bir yazılımın kurulması veya belirli bir raporun teslimi) eser sözleşmesi, özen yükümlülüğüne dayanan sürekli izleme ve danışmanlık hizmetleri ise vekâlet sözleşmesi hükümlerine daha yakın görülebilmektedir. Bu ayrım; ayıp sorumluluğu, sözleşmenin sona erdirilmesi ve ücretin hak edilmesi bakımından sonuç doğurmaktadır. Uygulamada çoğu sözleşme karma nitelik taşımaktadır.

Sorumluluğun Sınırlandırılması

Siber güvenlik hizmetlerinde hiçbir sistemin tamamen güvenli kılınamayacağı kabul edilmektedir. Bu nedenle sözleşmelerde sorumluluğun sınırlandırılması önemli bir yer tutmaktadır. Ancak TBK m.115 uyarınca borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşmalar kesin olarak hükümsüzdür. Standart sözleşmelerde yer alan sınırlama hükümleri ayrıca TBK m.20-25 kapsamındaki genel işlem koşulları denetimine tabi olabilmektedir.

Siber Güvenlik Kanunu

7545 sayılı Kanun, siber güvenlik ürün, sistem ve hizmetlerinin sertifikasyonu ile bu alanda faaliyet gösteren şirketlerin yetkilendirilmesine ilişkin bir çerçeve getirmektedir. Kamu kurumları ve kritik altyapı işletmecilerinin bu ürün ve hizmetleri yetkilendirilmiş veya sertifikalı sağlayıcılardan temin etmesi öngörülmektedir. Kanun ayrıca siber güvenlik şirketlerinin birleşme, bölünme ve pay devri işlemlerinin bildirimini ve kontrol değişikliği doğuran işlemlerde Başkanlık onayını aramaktadır. Ayrıntılı usuller ikincil düzenlemelerle belirlenmektedir; güncel düzenlemenin dikkate alınması gerekmektedir.

4. Uygulamada Süreç

1. Çerçeve sözleşme ve iş emri yapısı: Genel hükümler bir çerçeve sözleşmede, her projenin kapsamı, süresi ve ücreti ayrı iş emirlerinde düzenlenmektedir.
2. Kapsamın tanımlanması: Test edilecek sistemler, IP aralıkları, test zamanları ve kapsam dışı bırakılan alanlar yazılı olarak belirlenmektedir.
3. Yazılı yetkilendirme: Sızma testi ve benzeri hizmetlerde, test edilecek sistemler üzerinde tasarruf yetkisi bulunan kişiden yazılı izin alınmaktadır. Müşterinin üçüncü kişilerden (ör. bulut hizmet sağlayıcısı) alması gereken izinler de kontrol edilmektedir.
4. Hizmet seviyesi (SLA): Müdahale süreleri, erişilebilirlik oranları, raporlama sıklığı ve hizmet seviyesine uyulmaması hâlinde uygulanacak indirimler düzenlenmektedir.
5. Veri işleme sözleşmesi: Hizmet sırasında kişisel verilere erişilmekteyse, veri işleyen sıfatıyla yükümlülükler, alt veri işleyenler ve ihlal bildirimi ayrıca düzenlenmektedir.
6. Gizlilik ve fikrî mülkiyet: Test bulguları, raporlar, kullanılan araçlar ve geliştirilen yazılımlar üzerindeki haklar ile gizlilik yükümlülüğünün süresi belirlenmektedir.
7. Sorumluluk ve sigorta: Sorumluluk üst sınırı, dolaylı zararların durumu ve mesleki sorumluluk sigortası düzenlenmektedir.
8. Mevzuat uyum kontrolü: Şirketin 7545 sayılı Kanun kapsamında yetkilendirme veya sertifikasyon yükümlülüğü bulunup bulunmadığı ve ortaklık yapısındaki değişikliklerin bildirim veya onay gerektirip gerektirmediği değerlendirilmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Tacirler arasındaki siber güvenlik hizmet sözleşmelerinden doğan uyuşmazlıklar, TTK m.4 kapsamında ticari dava niteliğinde olup asliye ticaret mahkemesinde görülmektedir. Konusu para olan alacak ve tazminat talepleri için TTK m.5/A uyarınca dava açılmadan önce arabulucuya başvurulması dava şartıdır. Tacirler, HMK m.17 uyarınca yazılı bir yetki sözleşmesiyle belirli bir yer mahkemesini yetkili kılabilmekte; taraflar uyuşmazlığı tahkime de götürebilmektedir.

Siber Güvenlik Kanunu kapsamındaki yetkilendirme, denetim ve yaptırımlarda yetkili merci Siber Güvenlik Başkanlığı'dır. Başkanlığın idari işlemlerine karşı idari yargı yoluna başvurulabilmektedir. Kişisel verilere ilişkin konularda Kişisel Verileri Koruma Kurulu yetkilidir. Yetkisiz erişim iddiası hâlinde ise Cumhuriyet başsavcılığı ve ceza mahkemeleri devreye girmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Müşteri sözleşmelerinde, kişisel veri ihlalinin müşteriye bildirilmesi için kısa ve net bir süre öngörülmelidir; müşterinin Kurul'a 72 saat içinde bildirim yükümlülüğü bu süreye bağlıdır.
• Siber Güvenlik Kanunu kapsamındaki bildirimler gecikmeksizin yapılmaktadır; ikincil düzenlemelerdeki usuller takip edilmelidir.
• Ayıp ihbarı ve sözleşmeden doğan taleplerin zamanaşımı süreleri, sözleşmenin niteliğine göre farklılık göstermektedir.
• Sözleşme sona erdiğinde müşteri verilerinin iadesi veya imhası ile erişim yetkilerinin kapatılması bir çıkış planıyla düzenlenmelidir.
• Yurt dışındaki bir grup şirketi veya altyapı sağlayıcısı kullanılmaktaysa, KVKK m.9 kapsamındaki aktarım kuralları uygulanmaktadır.
• Kamu kurumları ve kritik altyapı işletmecileriyle yapılan sözleşmelerde, sektörel düzenlemeler ve Başkanlığın belirlediği şartlar ayrıca dikkate alınmalıdır.

7. Sonuç

Siber güvenlik şirketleri için sözleşme yönetimi, hizmetin teknik niteliği ile hukuki risklerin birlikte değerlendirilmesini gerektirmektedir. Kapsamın, yetkilendirmenin ve sorumluluk sınırlarının açık biçimde yazılı hâle getirilmesi, uyuşmazlık ihtimalini azaltmaktadır. 7545 sayılı Kanun ile oluşan yeni düzenleyici çerçeve ise şirketlerin kuruluş, faaliyet ve ortaklık yapısı kararlarında dikkate alınması gereken bir unsur hâline gelmiştir.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Siber Güvenlik ve Bilişim Hukuku