7545 İkincil Düzenlemeleri ve 15 Kritik Altyapı Sektörü
Yapay zeka güvenlik yükümlülüklerinin sektör-sektör analizi — 2026 son durum

7545 İkincil Düzenlemeleri Nedir?

7545 sayılı Siber Güvenlik Kanunu, Türkiye'nin siber güvenlik yönetişimini tek çatı altında toplayan çerçeve kanundur; ancak çerçeve kanunlar tanımı gereği iskelet sunar. Kimin hangi eşiği aşınca SOME (Siber Olaylara Müdahale Ekibi) kuracağı, bir olayın kaç saat içinde bildirileceği, hangi ürün ve hizmetlerin sertifikasyona tabi olacağı gibi işletmeyi doğrudan bağlayan ayrıntılar kanunun kendi metninde değil, ona dayanılarak çıkarılacak ikincil düzenlemelerde — yani yönetmelik, tebliğ ve usul-esaslarda — belirlenir.

Kısa tanım: 7545 ikincil düzenlemeleri, kanunun soyut yükümlülüklerini (siber olay bildirimi, kritik altyapı koruması, denetim, sertifikasyon) ölçülebilir ve denetlenebilir kurallara çeviren alt-mevzuat setidir. Bir kurumun "7545'e uyumlu" olup olmadığı pratikte bu yönetmeliklerle ölçülür; ana kanun metni tek başına uyum yükümlülüğünü sayısallaştırmaz.

Bu nedenle 2026'nın kritik sorusu "kanun ne diyor" değil, "yönetmelikler çıktı mı, ne zaman çıkacak ve hangi sektörü nasıl bağlayacak" sorusudur. Yapay zeka güvenliği açısından mesele daha da keskinleşir: LLM tabanlı asistanlar, RAG sistemleri ve otonom ajanlar artık enerji, finans ve sağlık gibi sektörlerin karar akışına girdiği için, ikincil düzenlemelerin çizeceği bildirim ve müdahale rejimi doğrudan bu sistemlerin güvenlik mimarisini şekillendirecek.

5 Mayıs 2026: 15 Kritik Altyapı Sektörü İlan Edildi

5 Mayıs 2026'da Siber Güvenlik Kurulu, kanunun uygulama kapsamını belirleyen en somut adımı attı ve 15 kritik altyapı sektörünü resmen ilan etti. Bu liste, ikincil düzenlemelerin hangi kurumları öncelikli olarak bağlayacağının çerçevesini çizmesi bakımından kritiktir — çünkü kritik altyapı işletmecileri, genel yükümlülüklerin ötesinde daha ağır bildirim, denetim ve koruma sorumluluklarına tabi tutulur.

İlan edilen 15 sektör şunlardır:

1. Dijital Altyapılar
2. Dijital Hizmetler
3. Elektronik Haberleşme
4. Enerji
5. Finans
6. Gıda ve Tarım
7. İmalat Sanayi
8. Kamu Hizmetleri
9. Medya
10. Posta ve Kargo
11. Sağlık
12. Savunma Sanayii
13. Su Yönetimi
14. Ulaştırma
15. Uzay

Listeye dikkatle bakıldığında, AB'nin NIS2 direktifiyle güçlü bir örtüşme görülür; bu, Türkiye'nin uyum çerçevesini uluslararası kabul görmüş bir taksonomiye yaslama iradesinin işaretidir. Yapay zeka merceğinden bakıldığında ise sektörlerin neredeyse tamamı — dijital hizmetlerden sağlığa, finanstan medyaya — hâlihazırda üretken yapay zekayı operasyonlarına entegre etmiş veya etmekte olan alanlardır. Dolayısıyla "kritik altyapı" etiketi, aynı zamanda "kritik yapay zeka bağımlılığı" anlamına gelmeye başlamıştır.

Tespit: 19 Mart 2026 Yönetmelik Tarihi Kaçırıldı

Kanunun geçiş hükümlerine dayanan yaygın hukuki yorum, ikincil düzenlemelerin en geç 19 Mart 2026'ya kadar çıkarılmasını öngörüyordu. Bu tarih, kurumların uyum planlamasında bir çıpa olarak kullanıldı. Ne var ki 2026'nın ikinci yarısına gelindiğinde, hukuk bürolarının yayınlarında beliren "Bekleyen Mevzuat" başlıkları ve yönetmeliklerin taslak aşamasında bekliyor oluşu, bu takvimin fiilen kaçırıldığını gösteriyor.

Bu gecikme teknik bir ayrıntı değildir; uyum stratejisi açısından üç somut sonuç doğurur:

• Belirsizlik penceresi uzuyor. Kurumlar, kesin eşikleri (bildirim süresi, SOME zorunluluğu için büyüklük kriterleri) bilmeden yatırım kararı vermek zorunda kalıyor.
• Geriye dönük risk birikiyor. Yönetmelikler yürürlüğe girdiğinde geçmişe etkili bir denetim baskısı oluşabilir; "henüz yönetmelik yoktu" savunması, temel özen yükümlülüğünü ortadan kaldırmaz.
• Hazırlık avantajı fiyatlanıyor. Beklenen çerçeveye göre şimdiden envanter, bildirim akışı ve güvenlik kontrolü kuran kurumlar, yönetmelik çıktığında sıfırdan başlamak zorunda kalmayacak.

AltaySec'in değerlendirmesi, bu belirsizlik penceresini pasif bekleme değil, "beklenen yükümlülüğe göre hazırlık" için kullanmanın rasyonel strateji olduğu yönündedir — özellikle yapay zeka sistemleri gibi güvenlik açığı yüzeyini hızla genişleten bileşenlerde.

24 Temmuz 2026 Torba Kanun: SGB Yetkileri Genişledi

İkincil düzenlemeler gecikirken, kanun koyucu farklı bir kanaldan hareket etti. 3 Temmuz 2026'da TBMM'ye sunulan ve 24 Temmuz 2026'da Genel Kurul'da kabul edilen yaklaşık 30 maddelik torba kanunla, internet alan adı yönetimi, internet altyapısı ve elektronik haberleşmeye ilişkin bir dizi yetki Siber Güvenlik Başkanlığı'na (SGB) devredildi. Bu, Başkanlığın operasyonel ağırlığını belirgin biçimde artıran bir hamledir.

Önemli bir netleştirme: Bu torba kanun, sıklıkla iddia edildiğinin aksine, tek başına yeni bir sertifikasyon zorunluluğu veya bağımsız bir bildirim rejimi getirmez. Sertifikasyon ve olay bildirimi yükümlülükleri 7545 ana kanunun ve onun ikincil düzenlemelerinin konusudur. 24 Temmuz kanununun ağırlık merkezi, internet altyapısı, alan adı ve e-haberleşme üzerindeki yönetsel yetkilerin SGB'ye geçmesidir. İki düzenlemeyi karıştırmak, uyum planlamasında yanlış önceliklendirmeye yol açar; bu ayrımı net tutmak GRC ekipleri için kritiktir.

Yine de yönetişim açısından yön nettir: SGB, hem çerçeve kanunun hem de altyapı yetkilerinin toplandığı merkezi otorite haline geliyor. Yapay zeka güvenliği bakımından bu, ileride LLM tabanlı hizmetlerin — özellikle elektronik haberleşme ve dijital hizmet katmanında çalışanların — denetim ufkuna girmesinin zeminini hazırlar.

Sektör-Sektör AI/Siber Yükümlülük Eşlemesi (Beklenen)

Aşağıdaki tablo, 15 kritik altyapı sektörünün her biri için AltaySec'in analitik projeksiyonudur. Bu bir resmî yükümlülük listesi değildir; ikincil düzenlemeler henüz yayımlanmadığı için tablo, kanunun ruhu, NIS2 örtüşmesi ve sektörlerin yapay zeka bağımlılığı temelinde "beklenen" yük ağırlığını gösterir. Yönetmelikler çıktığında bu projeksiyon güncellenmelidir.

Tablonun ortak paydası şudur: neredeyse her sektörde risk, klasik ağ güvenliğinden yapay zeka karar katmanına kayıyor. Bir enerji santralinin OT güvenlik duvarı sağlamken, o santrali yöneten LLM asistanının prompt injection'la manipüle edilmesi yepyeni ve düzenlemelerce henüz açıkça ele alınmamış bir yüzeydir.

AI Güvenlik Merceği: Yükümlülükler Pratikte Ne Anlama Geliyor?

İkincil düzenlemeler yayımlandığında beklenen üç temel yükümlülük — siber olay bildirimi, SOME kurulumu ve güvenlik kontrolü/denetim — yapay zeka sistemleri söz konusu olduğunda klasik BT'den farklı bir olgunluk gerektirir:

• Olay bildirimi: Bir LLM'in sistem promptunu sızdırması veya yetkisiz bir eyleme ikna edilmesi, ağ ihlaliyle aynı ciddiyette bir "siber olay" mıdır? Bildirim rejimi kurulurken kurumların, yapay zeka özelinde neyin bildirilebilir olay sayıldığını önceden tanımlaması gerekir. Bu tanım yoksa, olay sessizce geçer.
• SOME ve müdahale: Geleneksel SOME/SOC ekipleri log ve ağ trafiğine bakar; oysa bir prompt injection saldırısı çoğu zaman geçerli bir HTTP isteği içinde, doğal dille gelir. AltaySec, bu boşluğu LLM-farkında SOC mimarisi olarak ele almaktadır.
• Runtime kontrol: Denetlenebilir bir güvenlik kontrolü için, model çıktısının ve girdisinin çalışma anında filtrelenmesi gerekir. AltaySec'in bu katmandaki ürünü olan Guardian (LLM güvenlik duvarı), tam da bu bildirim-ve-koruma yükümlülüğünü teknik olarak karşılamaya yönelik konumlanır: şüpheli girdileri engeller ve olay kaydı üretir.

AltaySec'in kendi ölçüm çalışmalarında — açık kaynaklı guardrail-arena ve Türkçe red-team veri seti AltayDuel üzerinden — tekrar eden bir bulgu, Türkçe girdilerin İngilizce eşdeğerlerine göre birçok savunma katmanı tarafından daha yüksek oranda kaçırıldığıdır. Bu, yerel bir düzenleme çerçevesinin neden yerel dilde test edilmiş savunma gerektirdiğinin somut gerekçesidir. (Bu, AltaySec'in kendi ölçümüdür; dış-genel bir istatistik olarak sunulmamalıdır.)

Kurumların Şimdi Yapması Gerekenler

Yönetmelikler gecikirken bekleyen kurumlar risk biriktiriyor; hazırlananlar avantaj biriktiriyor. Beklenen çerçeveye göre atılabilecek, düzenlemeden bağımsız olarak zaten iyi güvenlik hijyeni olan adımlar:

1. Kritik altyapı statünüzü belirleyin. 15 sektörden hangisine (veya tedarikçisi olarak dolaylı kapsama) girdiğinizi netleştirin.
2. Yapay zeka envanteri çıkarın. Hangi LLM, RAG ve ajan sistemlerinin hangi veriye ve yetkiye eriştiğini haritalayın — güvenlik sınırlarıyla birlikte.
3. Bildirim akışını önceden tanımlayın. Yapay zeka özelinde "bildirilebilir olay" kriterinizi yazılı hale getirin; yönetmelik çıktığında ince ayar yaparsınız, sıfırdan başlamazsınız.
4. Runtime savunma katmanı kurun. Girdi/çıktı filtreleme ve olay loglaması sağlayan bir LLM güvenlik duvarı, hem koruma hem de denetlenebilir kanıt üretir.
5. Türkçe test edin. Savunmanızı yalnızca İngilizce payload'larla değil, yerel dil ve morfoloji istismarlarıyla da doğrulayın.

7545'in ikincil düzenlemeleri gecikmiş olsa da yön bellidir: merkezi bir otorite, kritik altyapıda ölçülebilir güvenlik ve hesap verebilirlik istiyor. Yapay zeka bu altyapının içine çoktan yerleşti. Uyumu bir yönetmelik yayım tarihine değil, bugünden başlayan bir mimari olgunluğa bağlamak, hem regülasyon hem de gerçek tehdit karşısında en savunulabilir konumdur.

Kaynaklar

• 7545 sayılı Siber Güvenlik Kanunu — Mevzuat Bilgi Sistemi
• Vergide Gündem — Kritik Altyapı Sektörleri ve Siber Güvenlik Kanunu Değerlendirmesi
• Forseti Hukuk — Siber Güvenlik Kanunu Bekleyen İkincil Düzenlemeler
• T.C. İletişim Başkanlığı — Siber Güvenlik Kurulu Duyuruları
• Euronews Türkçe — Siber Güvenlik Başkanlığı Yetki Genişlemesi (Temmuz 2026)
• ENISA — NIS2 Directive Sektörel Kapsam
• NIST AI Risk Management Framework (AI RMF 1.0)
• OWASP Top 10 for LLM Applications

İlgili Yazılar

• 7545 Sayılı Kanun ve Yapay Zeka Güvenliği
• Türkiye Yapay Zeka Düzenlemeleri 2026
• Kurumsal AI Yönetişim Komitesi Kurulması
• EU AI Act Uyum Rehberi