Siber Saldırıya Uğrayan Firmaların Hukuki Destek İhtiyacı

Siber Saldırıya Uğrayan Firmaların Hukuki Yol Haritası ve Kriz Yönetimi

Dijital ekonominin merkezinde yer alan işletmeler için siber güvenlik, teknik bir gereklilik olmanın ötesinde, hukuki bir varoluş mücadelesidir. Şirketlerin sahip olduğu ticari sırlar ve müşteri veri tabanları, siber saldırganların birincil hedefi konumundadır. Bir siber saldırı (Ransomware, veri sızıntısı vb.) neticesinde sistemlerin şifrelenmesi veya verilerin yetkisiz erişime açılması, şirketler için sadece teknik bir aksama değil, aynı zamanda ağır mali ve hukuki yaptırımları tetikleyen bir krizdir. Bilişim Hukuku ve Kişisel Verilerin Korunması Hukuku çerçevesinde, saldırı sonrası yönetim süreci, idari para cezalarından ve tazminat yükümlülüklerinden kurtulmak adına kritik öneme sahiptir.

1. Krizin İlk Safhası: "72 Saat Kuralı" ve İdari Bildirimler

Siber saldırı sonucunda kişisel verilerin ihlal edildiği tespit edildiği andan itibaren, hukuki bildirim süreleri işlemeye başlar.

• KVKK Bildirimi: 6698 sayılı KVKK m. 12/5 ve Kurul ilke kararları uyarınca; veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapmalıdır. Bu sürenin geçirilmesi, bağımsız bir idari para cezası sebebidir.

• İlgili Kişilere Bildirim: Verileri çalınan veya sızdırılan gerçek kişilere (müşteri, çalışan, tedarikçi) "en kısa sürede" bildirim yapılması yasal zorunluluktur. Şeffaflık ilkesi gereği yapılan bu bildirim, ileride açılacak tazminat davalarında kusur oranını etkileyen bir unsurdur.

2. Adli Bilişim ve Delil Güvenliği

Siber saldırı anında sistemlere format atılması veya sunucuların sıfırlanması, saldırının dijital ayak izlerini yok ederek şirketi hukuken savunmasız bırakabilir.

• Delil Tespiti: Saldırganların kullandığı IP adresleri, sızma yöntemi ve sistemdeki log kayıtları, TCK m. 243-244 uyarınca yürütülecek savcılık soruşturmasında temel delildir.

• İspat Yükü: Müşteriler veya iş ortakları tarafından ikame edilecek tazminat davalarında; şirketin "gerekli teknik ve idari tedbirleri" aldığını ispat edebilmesi için sistemlerin adli bilişim (forensic) yöntemleriyle incelenmiş olması gerekir.

3. Fidye Yazılımları (Ransomware) ve Hukuki Riskler

Sistemlerin şifrelenerek kripto varlık talep edilmesi durumunda (Fidye Yazılımı), ödeme yapılması hukuki ve finansal açıdan riskler barındırır.

• Finansal ve Yasal Denetim: Hackerlara yapılan ödemeler faturalandırılamadığı için şirket muhasebesinde "açıklanamayan gider" veya "örtülü kazanç aktarımı" riski doğurur.

• Terörün Finansmanı Riski: ödemenin yapıldığı cüzdanların uluslararası yaptırım listelerindeki yapılarla bağlantılı olması durumunda, şirket yönetimi ciddi bir yasal denetim altına girebilir.

4. Cumhuriyet Başsavcılığına Suç Duyurusu

Siber saldırı, bir suç vakasıdır. Şirketin mağduriyetinin tescili ve çalınan verilerle işlenebilecek ikincil suçlardan (örn: Dolandırıcılık) sorumlu tutulmaması için İstanbul Anadolu Cumhuriyet Başsavcılığı veya yetkili mercilere suç duyurusunda bulunulmalıdır. Bu müracaat, şirketin "basiretli tacir" olarak üzerine düşen yasal yükümlülükleri yerine getirdiğinin bir kanıtıdır.

5. Sözleşme Yönetimi ve Siber Sigorta Süreçleri

Saldırı sonrasında şirketin mevcut ticari bağları incelenmelidir:

• Mücbir Sebep (Force Majeure): Veri sızıntısı veya sistem durması nedeniyle yerine getirilemeyen edimlerde, ticari sözleşmelerdeki "mücbir sebep" maddelerinin siber saldırıları kapsayıp kapsamadığı analiz edilmelidir.

• Rücu Hakları: Eğer siber güvenlik hizmeti bir dış sağlayıcıdan (outsource) alınıyorsa ve saldırı bu sağlayıcının ihmali (güncelleme eksikliği, güvenlik açığı) nedeniyle gerçekleşmişse, ödenen cezalar ve zararlar için hizmet sağlayıcıya karşı rücu (yansıtma) süreci işletilebilir.

• Siber Sigorta: Sigorta poliçeleri kapsamında hasar tazmini için poliçedeki ihbar sürelerine riayet edilmelidir.

Sıkça Sorulan Sorular

Siber saldırıyı gizli tutmanın cezai yaptırımı nedir? İhlali gizlemek, KVKK Kurulu tarafından "ağır kusur" olarak nitelendirilir ve idari para cezasının üst sınırdan uygulanmasına neden olur. Ayrıca, verileri sızan kişilerin uğradığı zararın artması durumunda manevi tazminat yükümlülüğü katlanabilir.

Saldırı sonrası çalışanın ihmali varsa ne yapılmalıdır? Eğer ihlal bir çalışanın ağır ihmali (örn: Şifre paylaşımı, yasaklı yazılım kullanımı) sonucu doğmuşsa, iş sözleşmesi çerçevesinde disiplin süreci işletilebilir. Ancak bu sürecin geçerli olabilmesi için çalışana daha önce gerekli siber güvenlik eğitimlerinin verildiğinin ispatlanması gerekir.

Savcılık başvurusu tek başına yeterli midir? Hayır. Savcılık başvurusu ceza hukuku boyutudur. İdari boyut için KVKK bildirimi, hukuk boyutu için ise zarar tespit davası ve ihtiyati tedbir süreçleri eş zamanlı yürütülmelidir.

---

Yasal Uyarı (Disclaimer): Bu içerik, siber saldırıya uğrayan firmaların hukuki yol haritası ve kriz yönetimi süreçleri hakkında genel bilgilendirme amacıyla hazırlanmıştır. Bilişim Hukuku ve Şirketler Hukuku; adli bilişim incelemeleri, teknik veri analizi ve kısa hak düşürücü süreleri içeren dinamik bir alandır. Her siber kriz, kendi teknik parametreleri ve sözleşmesel yükümlülükleri çerçevesinde özel olarak değerlendirilmelidir. Yanlış kurgulanan bir kriz yönetimi veya eksik bildirim, telafisi güç maddi zararlara ve idari yaptırımlara yol açabilir. Bu nedenle, siber saldırı sonrası yönetim süreçlerinde bir hukukçu rehberliğinde yürütülen süreçlerle hukuki destek alınması tavsiye edilir.

Kartal Bankacılık Avukatı

---