Siber Güvenlik Kanunu Teklifi TBMM'de

Teklifle, Türkiye Cumhuriyeti'nin siber uzaydaki milli gücünü meydana getiren bütün unsurlarına karşı içten ve dıştan yöneltilen mevcut ve muhtemel tehditlerin tespit ve bertaraf edilmesi, siber olayların muhtemel etkilerini azaltmaya yönelik esasların belirlenmesi, kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşların siber saldırılara karşı korunmasına yönelik gerekli düzenlemelerin yapılması, ülkenin siber güvenliğini güçlendirmek için strateji ve politikaların belirlenmesi ile Siber Güvenlik Kurulunun kurulmasına ilişkin esaslar düzenleniyor, kanunun kapsamına ilişkin genel çerçeve belirleniyor.

Buna göre, düzenleme siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğinde meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşları kapsayacak.

Polis Vazife ve Salahiyet Kanununu, Jandarma Teşkilat, Görev ve Yetkileri Kanununu uyarınca yürütülen istihbari faaliyetler ile Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu uyarınca yürütülen faaliyetler kanun kapsamı dışında tutuluyor.

Teklifle, "Barındırma", "Başkan", "Başkanlık", "Bilişim sistemleri", "Kritik altyapı", "Kritik kamu hizmeti", "Siber güvenlik", "Siber olay", "Siber saldırı", "Siber tehdit", "Siber tehdit istihbaratı", "Siber uzay", "SOME", "Varlık" ve "Zafiyet"in tanımları yapılıyor, siber güvenliğin sağlanmasındaki temel ilkeler de belirleniyor.

Buna göre, siber güvenlik, milli güvenliğin ayrılmaz bir parçası olacak. Kritik altyapı ve bilişim sistemlerinin korunması ile güvenli bir siber uzay oluşturulması temel hedef olacak.

Siber güvenlikle ilgili çalışmalar kurumsallık, süreklilik ve sürdürülebilirlik temelli yürütülecek. Siber güvenlik tedbirlerinin hizmet ve ürünlerin tüm yaşam döngüsü boyunca uygulanması esas olacak.

"ÖNCELİKLE YERLİ VE MİLLİ ÜRÜNLER TERCİH EDİLECEK"

Siber güvenliğin sağlanmasına yönelik çalışmalarda öncelikle yerli ve milli ürünler tercih edilecek. Siber güvenlik politika ve stratejilerinin yürütülmesi ile siber saldırıların önlenmesi veya etkisinin azaltılmasına yönelik gerekli tedbirlerin alınmasından tüm kamu kurum ve kuruluşları ile gerçek ve tüzel kişiler sorumlu tutulacak. Siber güvenlik süreçlerinin yürütülmesinde hesap verebilirlik esas olacak.

Siber güvenlik politika ve strateji geliştirme çalışmaları sürekli gelişim yaklaşımı ile yürütülecek. Siber güvenlik alanında nitelikli insan kaynağı kabiliyet ve kapasitesinin artırılmasına yönelik çalışmalar teşvik edilecek.

Siber güvenlik kültürünün toplum geneline yaygınlaştırılması hedeflenecek.

Hukukun üstünlüğü, temel insan hak ve hürriyetleri ile mahremiyetin korunması ilkeleri temel esas kabul edilecek.

"SİBER SALDIRILARA KARŞI KORUMA"

Teklifle, Siber Güvenlik Başkanlığının görevleri de tanımlanıyor. Buna göre, Siber Güvenlik Başkanlığı, ilgili mevzuatta yer alan görevlerin yanı sıra kritik altyapılar ve bilişim sistemlerinin siber dayanıklılığının artırılmasına, siber saldırılara karşı korunmasına, gerçekleştirilen siber saldırıların tespitine, muhtemel saldırıların önlenmesine ve etkilerinin azaltılmasına veya ortadan kaldırılmasına yönelik faaliyet yürütecek.

Başkanlık, bu kapsamda zafiyet ve sızma testleri ile varlıklara yönelik risk analizleri yapma veya yaptırma, siber tehditlerle mücadele etme, siber tehdit istihbaratı elde etme, oluşturma ve paylaşma ile zararlı yazılım inceleme faaliyetlerini yürütecek.

Kritik altyapılar ile ait oldukları kurumları ve konumları belirleyecek olan Siber Güvenlik Başkanlığı, kamu kurum ve kuruluşları ile kritik altyapıların veri envanteri dahil olmak üzere tüm varlıklarının envanterinin tutulmasını ve varlıklara yönelik risk analizinin gerçekleştirilmesini sağlamak, kamu kurum ve kuruluşları ile kritik altyapıların sahip olduğu varlıkların kritikliğine göre güvenlik tedbirlerini almak veya aldırmakla da sorumlu olacak.

Siber Olaylara Müdahale Ekibi (SOME) kurmak, kurdurmak ve denetlemek, SOME'lerin olgunluk seviyelerinin belirlenmesi ve artırılması için çalışmalar yapmak, siber güvenlik tatbikatları gerçekleştirerek SOME'lerin siber olay müdahale kabiliyetlerini ölçmek, diğer ülkelerin siber olaylara müdahale ekipleriyle koordinasyon kurmak, her türlü siber müdahale aracının ve milli çözümlerin üretilmesi ve geliştirilmesi amacıyla çalışmalar yapmak, yaptırmak ve bunları teşvik etmek de başkanlığın görevleri arasında yer alıyor.

"KRİTİK KAMU HİZMETLERİNİN SİBER GÜVENLİĞİ SAĞLANACAK"

Siber Güvenlik Başkanlığı, siber güvenlik alanında faaliyet gösterenlerin uyması gereken usul ve esasları da düzenleyecek.

Kamu kurum ve kuruluşları ile kritik kamu hizmetlerinin siber güvenliğini sağlamak amacıyla gerekli altyapıları kurmak, kurdurmak, işletmek, işlettirmek ve kamu kurum ve kuruluşlarına güvenli sistem ve altyapılar üzerinden barındırma hizmeti sunmak veya sunulmasını sağlamak, bu faaliyetlere yönelik uygulama usul ve esaslar, Siber Güvenlik Başkanlığı tarafından belirlenecek.

Siber güvenlik alanına ilişkin standartları hazırlamak, diğer kişi veya kuruluşlarca hazırlanan standartları tetkik etmek, bunlar hakkında mütalaa vermek, uygun bulduğunda standart olarak kabul etmek, bunları yayımlamak ve uygulanmalarını takip etmek de Siber Güvenlik Başkanlığının görevleri arasında yer alıyor.

Siber Güvenlik Başkanlığı, siber güvenlik alanına ilişkin yazılım, donanım, ürün, sistem ve hizmetlere yönelik test ve sertifikasyon işlemlerini yürütme, buna yönelik test altyapıları kurma, kurdurma ve işletme ile siber güvenlik uzmanları ve şirketlerine yönelik sertifikasyon, yetkilendirme ve belgelendirme işlemlerini ilgili kurumlarla koordineli yürütecek.

Siber güvenlik denetimini gerçekleştirecek ve sonucuna göre yaptırım uygulayacak olan Siber Güvenlik Başkanlığı, kamu kurum ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetleri ile bunları sağlayacak işletmelerin taşıması gereken niteliklere yönelik teknik kriterler belirlemek ve mevzuat düzenlemeleri yapmak, bunların denetimini yapmak ya da yaptırmak, denetimleri yapacak kuruluşların taşımaları gereken nitelikleri belirlemek, bu kuruluşları görevlendirmek, gerektiğinde görevlendirmeyi geçici olarak durdurmak ya da iptal etmekle görevli olacak.

"KAYITLAR, EN FAZLA İKİ YIL SÜREYLE ÇALIŞMAYA KONU EDİLECEK"

Teklifle, Siber Güvenlik Başkanlığının yetkileri de belirleniyor.

Buna göre, Siber Güvenlik Başkanlığı, ilgili mevzuatta yer alan yetkilerinin yanı sıra Siber Güvenlik Başkanlığı, kanun kapsamındakilerin siber saldırılara karşı korunması ve bu saldırıların kaynağına karşı caydırıcılık sağlanması için gerekli tedbiri alacak veya aldıracak.

Bu kapsamda bilişim sistemlerine uygun bulunan yazılım ve donanım ürünlerinin kurulum ve entegrasyonunu sağlayabilecek, bu ürünler tarafından üretilen veya toplanan veri ve log kayıtlarını Başkanlık yönetiminde bulunan bilişim sistemlerine aktarabilecek, siber olayların tespitine yönelik gerekli yöntemi ve aracı kullanabilecek.

Başkanlık, siber olaya maruz kalanlara yerinde veya uzaktan siber olay müdahale desteği sağlayabilecek, siber uzayda bulunan veya elde ettiği veri, imaj veya log kayıtları üzerinden saldırılara ait izleri takip edebilecek, bunları inceleyerek delillendirebilecek, suç teşkil ettiği değerlendirilen bulguları adli makamlar ve diğer ilgililer ile paylaşacak, yurt içi ve yurt dışındaki paydaşlar ile koordinasyon sağlayabilecek.

Başkanlık, yürüttüğü faaliyetlerle sınırlı olmak üzere bilgi, belge, veri ve kayıtları alabilecek ve değerlendirmesini yapabilecek, bunlara ait arşivlerden, elektronik bilgi işlem merkezlerinden ve iletişim alt yapısından yararlanabilecek ve bunlarla irtibat kurabilecek.

Bu kapsamda elde edilen bilgi, belge, veri ve kayıtlar, en fazla iki yıl süreyle çalışmaya konu edilecek ve çalışma süresi sonrasında imha edilecek. Bu kapsamda talepte bulunulanlar, kendi mevzuatındaki hükümleri gerekçe göstermek suretiyle talebin yerine getirilmesinden kaçınamayacak.

Siber Güvenlik Başkanlığı, bilişim sistemlerindeki log kayıtlarını bünyesinde toplayabilecek, saklayabilecek, değerlendirebilecek, bunlar hakkında rapor hazırlayarak ilgili kurum ve kuruluşlar ile paylaşabilecek."

"ÜLKELERLE İLİŞKİ YÜRÜTÜP, BİLGİ ALIŞVERİŞİNDE BULUNABİLECEK"

Başkanlık, bakanlıklar ve diğer kamu kurum ve kuruluşları ile koordineli olarak siber güvenlik konularında ihtiyaç halinde personel tefrik edebilecek. Görev alanına giren konularda uluslararası kuruluşlar ve ülkelerle ilişkiler yürütebilecek, bilgi alışverişinde bulunabilecek, Türkiye'yi temsil edebilecek ve koordinasyonu sağlayabilecek, uluslararası kuruluşların çalışmalarına katılabilecek, alınan kararların uygulanmasını takip edebilecek ve gerekli koordinasyonu sağlayabilecek.

Kanun kapsamındaki kurum, kuruluş ve ilgili diğer gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar sınıflandırabilecek, faaliyetlerini icra ederken gerektiğinde sadece belirli bir kısmını kapsayan hükümler oluşturabilecek.

Siber Güvenlik Başkanlığı, siber güvenlik denetimi gerçekleştiren bağımsız denetçiler ve bağımsız denetim kuruluşlarını yetkilendirebilecek, yetkisini süreli veya süresiz iptal edebilecek. Başkanlık, kamu kurum ve kuruluşları ile kritik altyapıların bilişim sistemlerinde kullanılacak ve siber güvenliğe etkisi olan yazılım, donanım, ürün ve hizmetlere kullanım öncesinde uygunluk verecek.

Siber güvenlik yazılım, donanım, ürün ve hizmetlerinin asgari güvenlik kriterlerini belirleyecek olan başkanlık, bunları sağlayacak veya tedarik edecek gerçek ve tüzel kişilere yönelik sertifikasyon, yetkilendirme ve belgelendirme süreçlerini yönetecek. Başkanlık, siber güvenlik yazılım, donanım, ürün ve hizmetlerinin belirlenecek standartlara uygun hale getirilmesini talep edebilecek. Bu talebe uyum sağlamayanların kullanılmasını önleyici tedbirler alabilecek.

Yürütülen iş ve işlemler kapsamında kişisel veriler, hukuka ve dürüstlük kurallarına uygun şekilde, doğru ve gerektiğinde güncel olmak kaydıyla, belirli, açık ve meşru amaçlarla, işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmak kaydıyla ve işlendiği amaç için gerekli olan süre kadar muhafaza edilmek üzere işlenecek.

Belirtilen yetkiler çerçevesinde elde edilecek kişisel veriler ve ticari sırlar, bu verilere erişilmesini gerektiren sebeplerin ortadan kalkması halinde resen silinecek, yok edilecek veya anonim hale getirilecek. Bu maddenin uygulanmasına ilişkin usul ve esaslar, Cumhurbaşkanı tarafından çıkarılacak yönetmelikle belirlenecek.

SORUMLULUKLAR VE İŞBİRLİĞİ

Teklifle, bilişim sistemleri kullanarak hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenlerin, siber güvenliğe ilişkin görev ve sorumlulukları da belirleniyor. Bu kapsamda görev ve sorumluluklar şöyle tanımlanıyor:

"Başkanlığın görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım, yazılım ve diğer her türlü katkıyı öncelikle ve zamanında Başkanlığa iletmek, siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirleri almak, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek.

Kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanları ve şirketlerden tedarik etmek. Sertifikasyon, yetkilendirme ve belgelendirmeye tabi siber güvenlik şirketlerince faaliyete başlamadan önce mevcut düzenlemeler çerçevesinde Başkanlığın onayını almak. Siber olgunluğun artırılmasına yönelik Başkanlık tarafından geliştirilen politika, strateji, eylem planı ile yayımlanan tavsiye ve benzeri belgelerde yer alan hususları yerine getirmek ve gerekli tedbirleri almak."

DENETİM FAALİYETİNE İLİŞKİN ESASLAR

Siber Güvenlik Başkanlığı, kanunda belirtilen görevleri ile ilgili olarak gerekli gördüğü hallerde kanunun kapsamına giren her türlü fiil ve işlemi denetleyebilecek, bu amaçla mahallinde inceleme yapabilecek veya yaptırabilecek. Denetim, bu kanun kapsamındaki kurum, kuruluş ve ilgili diğer gerçek ve tüzel kişilerin bu Kanun hükümleriyle ilgili faaliyet ve işlemlerini kapsayacak.

Denetime Başkanlık personeli, yetkilendirilmiş ve belgelendirilmiş bağımsız denetçiler ve bağımsız denetim kuruluşları yetkili olacak, bu yetki, Başkan tarafından görevlendirilenler tarafından kullanılacak.

Kamu kurum ve kuruluşları ile kritik altyapılarda denetimler, Başkanlık personelince veya refakatinde yapılacak. Başkanlık, denetim faaliyetlerine ilişkin önemlilik ve öncelik ilkeleri ile risk değerlendirmelerinde dikkate alınacak ölçütleri ve uygulama esaslarını belirleyecek.

Denetim faaliyeti, önemlilik ve öncelik ilkeleri ile risk değerlendirmeleri kapsamında oluşturulacak program uyarınca yürütülecek. Başkan, oluşturulan program dışında incelenmesi gerekli görüldüğü hususlarda program dışı denetim yaptırabilecek.

Mülki amirler, kolluk kuvvetleri ve diğer kamu kurumlarının amir ve memurları inceleme veya denetimle görevlendirilenlere her türlü kolaylığı göstermek ve yardımda bulunmakla yükümlü olacak.

"BAŞKANIN YAZILI EMRİ İLE ARAMA YAPILABİLECEK"

Denetimle görevlendirilenler, yürüttükleri denetim faaliyetleriyle sınırlı olarak elektronik ortamdaki verinin, belgelerin, elektronik altyapının, cihaz, sistem, yazılım ve donanımlarının incelenmesi, bunlardan kopya, dijital suret veya örnek alınması, konuyla ilgili yazılı veya sözlü açıklama istenmesi, gerekli tutanakların düzenlenmesi, tesislerin ve işletiminin incelenmesi konularında yetkili olacak.

Denetime tabi tutulanlar, ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almak zorunda olacak.

Hakim kararı üzerine veya gecikmesinde sakınca bulunan hallerde Başkanın yazılı emri ile konutta, iş yerinde ve kamuya açık olmayan kapalı alanlarda arama yapılabilecek ve kopya çıkarma ve el koyma işlemi gerçekleştirilebilecek.

Hakim kararı olmaksızın yapılan arama ve gerçekleştirilen kopya çıkarma ve el koyma işlemleri 24 saat içinde görevli hakimin onayına sunulacak. Hakim, kararını 48 saat içinde açıklayacak, aksi halde çıkarılan kopyalar ve çözümü yapılan metinler derhal imha edilecek ve el koyma kendiliğinden kalkacak. Bu fıkra kapsamına giren talepler bakımından Ankara sulh ceza hakimliği yetkili ve görevli olacak ancak kamu kurum ve kuruluşları bakımından hakimlik kararı aranmayacak.

SİBER GÜVENLİK KURULU

Teklifle, Siber Güvenlik Kurulu'nun kimlerden oluşacağı da düzenleniyor. Buna göre Siber Güvenlik Kurulu, Cumhurbaşkanı, Cumhurbaşkanı Yardımcısı, Adalet Bakanı, Dışişleri Bakanı, İçişleri Bakanı, Milli Savunma Bakanı, Sanayi ve Teknoloji Bakanı, Ulaştırma ve Altyapı Bakanı, Milli Güvenlik Kurulu Genel Sekreteri, Milli İstihbarat Teşkilatı Başkanı, Savunma Sanayii Başkanı ve Siber Güvenlik Başkanından oluşacak.

Cumhurbaşkanının katılmadığı hallerde Kurula, Cumhurbaşkanı Yardımcısı başkanlık edecek. Kurul toplantılarına üyeler dışında, gündemin özelliğine göre ilgili bakan ve kişiler de çağrılarak bilgi ve görüş alınabilecek. Kurul, görevleri kapsamında gerekli görmesi halinde komisyon ve çalışma grupları oluşturabilecek. Komisyon ve çalışma grupları, Kurulun görev alanına giren hususlarda teknik düzeyde çalışmalar yapacak ve karar önerileri oluşturacak.

Komisyon ve çalışma grubu toplantılarına, görüşlerinden faydalanmak üzere alanında uzman kişiler davet edilebilecek. Kurulun görevleri ise şöyle:

"Siber güvenlikle ilgili politika, strateji, eylem planı ve diğer düzenleyici işlemlere yönelik kararları almak, alınan kararların tamamından veya bir kısmından istisna tutulacak kurum ve kuruluşları belirlemek. Başkanlık tarafından hazırlanan siber güvenlik alanına ilişkin teknoloji yol haritasının ülke çapında uygulanmasına yönelik kararlar almak. Siber güvenlik alanında teşvik verilecek öncelikli alanları belirlemek, siber güvenlik alanındaki insan kaynağının geliştirilmesine yönelik karar almak. Kritik altyapı sektörlerini belirlemek. Başkanlık ile kamu kurum ve kuruluşları arasında meydana gelebilecek ihtilaflar hakkında karar almak."

Öte yandan Kurulun sekretarya hizmetleri, Siber Güvenlik Başkanlığı tarafından yürütülecek. Kurul, komisyon ve çalışma gruplarının çalışma usul ve esasları Cumhurbaşkanı tarafından çıkarılacak yönetmelikle belirlenecek.

Teklifle, Siber Güvenlik Başkanlığında sözleşmeli uzman personel istihdam yöntemi ile ücretlerine ilişkin esaslar da belirleniyor.

TBMM Başkanlığına sunulan Siber Güvenlik Kanunu Teklifi ile Siber Güvenlik Başkanlığında kadrolu veya sözleşmeli statüde görev yaparken herhangi bir nedenle ilişiği kesilenler, Başkanlıktan muvafakat almadan 2 yıl süreyle yurt içi veya yurt dışında siber güvenlik alanında resmi veya özel başka hiçbir görev alamayacak, bu alanda ticaretle uğraşamayacak, serbest meslek faaliyetinde bulunamayacak ve özellikle bu sektörde faaliyet gösteren bir şirkette hissedar veya yönetici olamayacak.

Başkanlıktaki görev ve faaliyetler kapsamında edinilen bilgi, belge ve benzeri her türlü verinin, Siber Güvenlik Başkanlığınca yetki verilen durumlar hariç, radyo, televizyon, internet, sosyal medya, gazete, dergi, kitap ve diğer tüm medya araçlarıyla her türlü yazılı, görsel, işitsel ve elektronik kitle iletişim araçları vasıtasıyla yayımlanması veya açıklanması yasak olacak.

Başkanlık tarafından yürütülen görev ve faaliyetler kapsamında edinilen kamuya, ilgililere ve üçüncü kişilere ait gizlilik taşıyan bilgi, kişisel veri, ticari sır ve bunlara ait belgeler mevzuat gereği yetkili kılınan mercilerden başkasına açıklanamayacak, gerçek ve tüzel kişilerin menfaatine kullanılamayacak.

Başkanlığın gelirleri, genel bütçeden yapılacak hazine yardımlarından, Başkanlığın faaliyetlerinden elde edilen gelirlerden, Başkanlık tarafından verilen idari para cezalarından elde edilen gelirlerden, kanun ve kararnamelerle kurulu bulunan ve kurulacak olan fonların gelirlerinden Cumhurbaşkanı kararıyla yüzde 10'una kadar aktarılacak tutarlardan ve diğer gelirlerden oluşacak.

Başkanlığın ihtiyaçları kapsamında yurt dışından ithalat veya hibe yoluyla sağlanacak her türlü malzeme veya hizmet alımı ile bedelsiz olarak dış kaynaklardan alınan yardım malzemeleri nedeniyle yapılacak işlemler gümrük vergisinden, fon ve resimlerden, harçlardan, bu işlemler nedeniyle düzenlenen kağıtlar damga vergisinden istisna olacak.

Kamu kurum ve kuruluşları ile diğer kurum ve kuruluşlar, Kanunda yazılı görevlerin yerine getirilmesi sırasında ihtiyaç duyulan hallerde, kullanımlarında bulunan ve müsadere edilen her türlü malzeme, ekipman, teçhizat ve cihazı, diğer kanunların bu konudaki düzenlemelerine bakılmaksızın Başkanlığa geçici olarak tahsis edilebilecek veya bedelsiz devredebilecek.

CEZAİ HÜKÜMLER VE İDARİ PARA CEZALARININ UYGULANMASI

Kamu kurum ve kuruluşları hariç olmak üzere Kanunla yetkilendirilen mercilerin ve denetim görevlilerinin görev ve yetkileri kapsamında istedikleri bilgi, belge, yazılım, veri ve donanımı vermeyenler veya bunların alınmasına engel olanlar 1 yıldan 3 yıla kadar hapis ve 500 günden 1500 güne kadar adli para cezası ile cezalandırılacak.

Kanun uyarınca alınması gerekli onay, yetki veya izinleri almaksızın faaliyet yürütenler 2 yıldan 4 yıla kadar hapis ve 1000 günden 2 bin güne kadar adli para cezası ile cezalandırılacak.

Sır saklama yükümlülüğünü yerine getirmeyenlere veya Kanundan kaynaklanan görev ve yetkilerini kötüye kullananlara 4 yıldan 8 yıla kadar hapis cezası verilecek.

Siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz şekilde erişime açan, paylaşan veya satışa çıkaranlara 3 yıldan 5 yıla kadar hapis cezası verilecek.

Siber uzayda veri sızıntısı olmadığı halde veri sızıntısı yapılmış gibi bu yönde algı oluşturmak suretiyle kurumları veya şahısları hedef almaya yönelik faaliyet yürütenlere 2 yıldan 5 yıla kadar hapis cezası verilecek.

Türkiye Cumhuriyetinin siber uzaydaki milli gücünü meydana getiren unsurlarına yönelik siber saldırı gerçekleştiren veya bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda bulunduranlara, daha ağır bir cezayı gerektiren başka bir suç oluşturmadığı takdirde 8 yıldan 12 yıla kadar hapis cezası verilecek. Bu saldırı neticesinde elde ettiği her türlü veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaranlara 10 yıldan 15 yıla kadar hapis cezası verilecek.

Yukarıdaki fıkralara göre verilecek ceza, suçun kamu görevlisi tarafından işlenmesi halinde üçte bir oranında, birden fazla kişi tarafından işlenmesi halinde yarı oranında ve bir örgütün faaliyeti çerçevesinde işlenmesi halinde yarısından 2 katına kadar artırılacak.

Başkanlıkta görev yapanlara ilişkin yasak hükümlerine aykırı davrananlara 3 yıldan 5 yıla kadar hapis cezası verilecek.

Kritik altyapıların siber saldırılara karşı korunması kapsamında görevinin gereklerine aykırı hareket etmek suretiyle veri ihlali yaşanmasına sebebiyet verenlere 1 yıldan 3 yıla kadar hapis cezası verilecek.

Bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan, işleyen ve benzeri faaliyet yürütenlerin, siber güvenliğe yönelik olarak milli güvenlik, kamu düzeni veya kamu hizmetinin gereği gibi yürütülmesi amacıyla mevzuatın öngördüğü tedbirleri almak, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmeyenler ile kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlık tarafından yetkilendirilen ve belgelendirilen siber güvenlik uzmanları ve şirketlerden tedarik etmeyenlere 1 milyon liradan 10 milyon liraya kadar para cezası verilecek.

Milli güvenlik ve kamu kaynaklarının verimli kullanımı amacıyla kamu kurum ve kuruluşları ve kritik altyapıların bilişim sistemlerinde, yeni tedarik sözleşmeleri kapsamında kullanılacak siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerin yurt dışına satışı veya bunları üreten şirketlerin bölünme, birleşme, pay devri veya satış işlemlerinin onayına ilişkin usul ve esaslar ilişkin görev ve sorumluluklarını yerine getirmeyenlere 10 milyon liradan 100 milyon liraya kadar idari para cezası verilecek.

Denetime tabi tutulanların, ilgili cihaz, sistem, yazılım ve donanımları verilen sürelerde denetlemeye açık tutmak, denetim için gerekli altyapıyı temin etmek ve çalışır vaziyette tutmak için gerekli önlemleri almalarına ilişkin yükümlülüklerini yerine getirmeyenlere, 100 bin liradan 1 milyon liraya kadar, bu yükümlülüklerin ticari şirketlerce yerine getirilmemesi halinde 100 bin liradan az olmamak üzere bağımsız denetimden geçmiş yıllık finansal tablolarında yer alan brüt satış hasılatının yüzde 1'i ile vergi öncesi karının yüzde 20'sinden yüksek olanına kadar idari para cezası verilecek.

İDARİ PARA CEZALARININ UYGULANMASI

İdari para cezalarının uygulanmasından önce ilgilinin savunması alınacak. Savunma istendiğine ilişkin yazının tebliğ tarihinden itibaren 30 gün içinde savunma verilmemesi halinde, ilgilinin savunma hakkından feragat ettiği kabul edilecek.

Kanunda tanımlanan kabahatlerden birinin idari yaptırım kararı verilinceye kadar birden çok işlendiğinin tespit edilmesi halinde ilgili gerçek veya tüzel kişiye tek idari para cezası verilecek ve verilecek ceza 2 katını aşmayacak şekilde artırılarak uygulanacak. Kabahatin işlenmesi nedeniyle bir menfaat temin edilmesi veya zarara sebebiyet verilmesi halinde verilecek idari para cezasının miktarı bu menfaat veya zararın 3 katından az, 5 katından fazla olamayacak.

Başkanlık tarafından verilen idari para cezaları, tebliğ tarihinden itibaren 1 ay içinde ödenecek. Bu süre içinde ödenmeyen ve kesinleşen idari para cezaları, Kurumun bildirimi üzerine Amme Alacaklarının Tahsil Usulü Hakkında Kanun hükümlerine göre vergi dairelerince tahsil edilecek. Tahsil edilen idari para cezalarının yüzde 50'si Başkanlık bütçesine, yüzde 50'si genel bütçeye gelir kaydedilecek.

Başkanlığın tahsil ettiği idari para cezalarından ayrılan genel bütçe payı; vergi dairesince tahsil edilen idari para cezalarından ayrılan Başkanlık payı, tahsilatı takip eden ay sonuna kadar aktarılacak.

Kamu destekleriyle kurulan, geliştirilen veya desteklenen siber güvenlik ürün, sistem, yazılım, donanım ve hizmetlerin yurt dışına satışı ile bunları üreten şirketlerin bölünme, birleşme, pay devri veya satış işlemleri, Başkanlığın uygun görüşüne tabi olacak.

Siber Güvenlik Başkanı, mali ve sosyal hak ve yardımlar ile emeklilik hakları bakımından bakanlık müsteşarına denk kabul edilecek.

UYUM, GEÇİŞ DÜZENLEMELERİ VE KURULUŞ İŞLEMLERİ

Teklifle, Bilgi Teknolojileri ve İletişim Kurumu (BTK) Başkanlığına ait ve münhasıran ulusal siber güvenlik faaliyetleri kapsamında kullanılan her türlü taşınır, bilgi işlem alt yapısı ve sistemler, taşıt, araç, gereç ve malzeme, fiziki ve elektronik ortamdaki her türlü kayıt ve doküman ile diğer her türlü varlık envanteri ile mezkur Başkanlıkça söz konusu faaliyetlerin yürütülmesinden doğan her türlü borç ve alacaklar, hak ve yükümlülükler, Siber Güvenlik Başkanlığına bu Kanunun yayımından itibaren 6 ay içerisinde devredilecek.

BTK Başkanlığının kadro ve pozisyonlarında bulunan personelden ulusal siber güvenlik faaliyetleri kapsamında çalışanlar, taleplerinin bulunması ve uygun görülmesi halinde Siber Güvenlik Başkanlığınca görevlendirilebilecek.

Siber güvenlik alanında faaliyet icra eden dernek, derneklerden oluşan federasyon ve vakıflar ile ticaret şirketleri, Kanunun yayımından itibaren 1 yıl içerisinde Başkanlığın belirlediği ilke ve esaslar çerçevesinde sertifikasyon, yetkilendirme ve belgelendirme işlemlerini tamamlamakla yükümlü olacak. Yükümlülüğün yerine getirilmemesi halinde siber güvenlik alanında faaliyette bulunulamayacak.