Şirketiniz Siber Saldırıya Uğradığında Ne Yapmalı? | KVKK ve Hukuki Süreç Rehberi
Şirketiniz Siber Saldırıya Uğradığında Ne Yapmalı?
Bir sabah ofise geldiğinizde tüm sistemleriniz kilitlenmiş, müşteri verileriniz çalınmış ve ekranınızda bir fidye mesajı belirmiş olabilir. İşte o anda atılacak yanlış bir adım; sadece itibar kaybı değil, milyonlarca liralık cezalara ve yöneticilerin şahsi sorumluluğuna yol açabilir.
Dijitalleşmenin hız kazanmasıyla birlikte şirketlerin en değerli varlıkları artık kasalarındaki nakit değil, sunucularındaki veriler haline geldi. Ancak bu dijital hazine, aynı zamanda siber korsanların da bir numaralı hedefi.
Türkiye'de şirketlerin siber saldırıya uğraması durumunda izlemesi gereken hukuki süreç, yalnızca Kişisel Verilerin Korunması Kanunu (KVKK) ile sınırlı değildir. Süreç; idari, cezai ve ticari olmak üzere üç sacayağı üzerine kuruludur. Bu rehberde, veri sızıntısı yaşayan bir şirketin atması gereken kritik adımları, yargı kararları ve güncel mevzuat ışığında detaylıca inceliyoruz.
⏰ Siber Saldırı Sonrası İlk 72 Saat: KVKK Bildirim Zorunluluğu
Bir siber saldırı gerçekleştiğinde şirket yönetimlerinin düştüğü en büyük yanılgı, olayı kendi içlerinde çözmeye çalışarak zaman kaybetmeleridir. Oysa 6698 sayılı KVKK'nın 12. maddesinin 5. fıkrası, veri sorumlusuna çok net bir yükümlülük yükler:
Kişisel verilerin kanuna aykırı olarak başkaları tarafından elde edildiğini öğrendiğiniz andan itibaren, gecikmeksizin ve en geç 72 saat içinde durumu Kişisel Verileri Koruma Kuruluna bildirmek zorundasınız. Bu süre, teknik incelemenin tamamlanmasını beklemez.
İhlalin boyutunu henüz tam olarak tespit edememiş olsanız bile, „kademeli bildirim" yoluyla süreci başlatmanız şarttır. Aksi takdirde, Kurul tarafından ağır idari para cezaları ile karşı karşıya kalırsınız.
Şirket yöneticileri genellikle „Bildirim yaparsak itibarımız zedelenir, müşteri kaybederiz" korkusuyla olayı gizleme eğilimindedir. Oysa hukuki gerçeklik tam tersini söyler: İhlali gizlemek, zararı büyütmekten ve cezayı katlamaktan başka bir işe yaramaz. Şeffaflık, kriz yönetiminin en güçlü kalkanıdır.
📢 İlgili Kişilere (Veri Sahiplerine) Bildirim Nasıl Yapılmalı?
Kurula yapılan bildirimin yanı sıra, ihlalden etkilenen kişilere de makul olan en kısa sürede bilgi verilmesi zorunludur. Bu bildirim; ihlalin kapsamını, olası etkilerini ve şirket tarafından alınan önlemleri açıkça içermelidir.
Web sitesi üzerinden genel duyuru
KVKK'nın 2020/463 sayılı kararında, etkilenen kişilere web sitesi üzerinden yapılan duyuru yeterli görülmüştür. Ancak bu yöntem, yalnızca etkinin sınırlı olduğu durumlarda tercih edilmelidir.
E-posta veya SMS ile doğrudan bilgilendirme
İhlalin boyutu büyükse ve kişilerin doğrudan zarar görme riski varsa, birebir bilgilendirme daha güvenli bir yoldur. KVKK'nın 2020/216 sayılı kararında, 65.993 kişiye e-posta ve telefonla yapılan bilgilendirme olumlu olarak değerlendirilmiştir.
Ek idari para cezası riski
KVKK'nın 2019/255 sayılı kararında görüldüğü üzere, bildirim yükümlülüğünün yerine getirilmemesi şirkete 100.000 TL ek idari para cezası olarak geri dönmüştür.
🔍 Cumhuriyet Başsavcılığına Suç Duyurusu ve Delil Tespiti
Siber saldırı, Türk Ceza Kanunu'nun (TCK) 243. ve 244. maddeleri kapsamında açıkça suç teşkil eder. Şirketin „basiretli bir tacir" gibi davrandığını ispatlaması ve ileride açılabilecek tazminat davalarında elini güçlendirmesi için derhal Cumhuriyet Başsavcılığına suç duyurusunda bulunması kritik bir adımdır.
Suç duyurusu, sadece faillerin cezalandırılması için değil, aynı zamanda elektronik delillerin usulüne uygun toplanması (forensic inceleme) için de gereklidir. Log kayıtlarının, IP adreslerinin ve sistem imajlarının adli makamlar aracılığıyla mühürlenmesi, ileride „hukuka aykırı delil" tartışmalarının önüne geçer.
📋 Ticari Defterlerin Zarar Görmesi: 15 Günlük Zayi Belgesi Süresi
Siber saldırıların en yıkıcı sonuçlarından biri de şirketin dijital ortamda tuttuğu ticari defterlerin ve belgelerin şifrelenmesi veya silinmesidir. Türk Ticaret Kanunu'nun (TTK) 82. maddesinin 7. fıkrası uyarınca, böyle bir durumda tacir, durumu öğrendiği tarihten itibaren 15 gün içinde Asliye Ticaret Mahkemesinden zayi belgesi talep etmek zorundadır.
Bu 15 günlük süre hak düşürücü bir süredir. Kaçırılması halinde şirketin vergi incelemelerinde defter ibraz edememesi nedeniyle „re'sen tarhiyat" ve „kaçakçılık" suçlamalarıyla karşılaşması işten bile değildir.
Yargı, siber saldırıyı otomatik olarak bir „mücbir sebep" saymamaktadır. Hukukun korumasından yararlanabilmek için öncelikle teknik tedbirlerinizi (off-site yedekleme, güncel firewall, log yönetimi) eksiksiz almış olmanız gerekir.
💻 GİB ve İlgili İdari Makamlara Bildirim (E-Defter Süreçleri)
Eğer şirketiniz e-defter kullanıcısıysa, siber saldırı nedeniyle e-defterlerin zayi olması durumunda, Elektronik Defter Genel Tebliği uyarınca durumu öğrendiğiniz tarihten itibaren 15 gün içinde Gelir İdaresi Başkanlığına (GİB) bildirim yapmanız gerekmektedir. Bu bildirim, e-defter beratlarının yeniden oluşturulabilmesi için hayati öneme sahiptir.
🎯 Siber Saldırılarda Maddi Hukuk Sonuçları ve Risk Alanları
Bir siber saldırının şirketlere faturası sadece teknik onarım maliyetleriyle sınırlı kalmaz. Hukuki riskler üç ana başlıkta toplanır:
İdari Para Cezaları
KVKK m. 18 uyarınca veri güvenliğine ilişkin yükümlülüklerin ihlali
Tazminat Sorumluluğu
Veri sahiplerinin TBK m. 58 ve KVKK m. 14 kapsamında açacağı davalar
Yönetici Sorumluluğu
Güvenlik bütçesi ayrılmaması = özen yükümlülüğü ihlali = şahsi sorumluluk
Fidye yazılımı saldırılarında hackerlara fidye ödenmesi, hukuken "zararı azaltma çabası" olarak görülmez; aksine suçu finanse etmek olarak değerlendirilir ve şirkete hukuki bir koruma sağlamaz. Fidye ödemeyin, profesyonel destek alın.
❓ Sık Sorulan Sorular
Siber saldırıya uğradığımızda ilk kime haber vermeliyiz?
KVKK'ya 72 saat içinde bildirim yapmazsak ne olur?
Hackerlar verilerimizi şifreledi ve fidye istiyor. Ödemeli miyiz?
Ticari defterlerimiz siber saldırıda silindi, vergi cezası alır mıyız?
Siber saldırı mücbir sebep sayılır mı?
Müşterilerimiz veri sızıntısı nedeniyle bize tazminat davası açabilir mi?
Bulut sisteminde (Cloud) tuttuğumuz veriler sızarsa sorumluluk kimdedir?
⚡ Siber Saldırıda Zaman Kaybetmeyin
Saldırı anında doğru hukuki adımlar atmak, milyonlarca liralık cezalardan ve tazminat davalarından korunmanızı sağlar. Acil durumlarda profesyonel destek alın.