Son güncelleme: 2026-06-20
Yasal Uyarı: Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Şirketler, KVKK, sektöre özgü düzenlemeler ve sözleşmesel yükümlülüklerin nihai yorumu için bir hukuk danışmanına başvurmalıdır.
2026'nın ilk yarısı, Türkiye'de sadece sıradan bir "uyum güncellemesi" dönemi değildi.
Siber güvenlik ve GRC ekipleri için büyük resim net: beklentiler giderek daha operasyonel hale geliyor.
Düzenleyici kurumlar artık sadece bir şirketin politikalarının olup olmadığını sormuyor. Bunun yerine sistemlerin nasıl kullanıldığına, kullanıcıların nasıl doğrulandığına, çalışanların nasıl izlendiğine, yapay zeka araçlarının kişisel verileri nasıl işlediğine, olayların nasıl tespit edildiğine ve bir sorun yaşandığında kurumların ne olduğunu kanıtlayıp kanıtlayamadığına giderek daha fazla odaklanıyorlar.
Türkiye'de kullanıcıları bulunan yabancı SaaS şirketleri, Türk KOBİ'leri, perakendeciler, sağlık hizmeti sağlayıcıları, kamu sektörü tedarikçileri ve ISO 27001 hazırlığı yapan kuruluşlar için bu güncellemeler, pratik bir eylem planına dönüştürülmeye değer.
2026'nın ilk yarısındaki en önemli siber güvenlik yönetişimi gelişmelerinden biri, Mayıs ayındaki Siber Güvenlik Kurulu toplantısıydı.
Kurul, aşağıdakiler dahil olmak üzere 15 kritik altyapı sektörü belirledi:
Bu durum, kuruluşlara siber güvenlik yönetişimi, dayanıklılık beklentileri ve kamu-özel sektör koordinasyonunun nerede daha sıkı hale gelebileceğine dair daha net bir sinyal vermektedir.
Şirketiniz doğrudan bu sektörlerden birinde yer almasa bile, bu sektörlerdeki şirketlere yazılım, altyapı, bulut hizmetleri, destek, veri işleme veya yönetilen hizmetler sağlıyorsanız yine de etkilenebilirsiniz.
Şirketinizin şu durumlardan hangisinde olduğunu haritalandırın:
Bu eşleştirme; tedarikçi risk, olay müdahale ve uyumluluk planlarınızın bir parçası haline gelmelidir.
2026'nın ilk yarısı, Türkiye'nin Siber Güvenlik Başkanlığı'nın pratik anlamda yapılandığını da gösterdi.
Kamu portalı ve olayla ilgili kanallar; siber olay bildirimleri, CVE ile ilgili başvurular, kötü amaçlı bağlantı kayıtları, güvenlik bildirimleri ve halkla iletişim kanalları dahil olmak üzere daha görünür hale geldi.
Ayrıca savunma, güvenlik, istihbarat, dijital dönüşüm ve teknoloji geliştirme ile bağlantılı belirli Siber Güvenlik Başkanlığı alımları için özel tedarik prosedürleri getirildi.
Bu, Türkiye'nin siber güvenlik çerçevesinin "kurumsal yapılanma" aşamasından operasyonel yetkinlik aşamasına geçtiğinin bir işaretidir.
Şirketler için temel mesele sadece yasanın var olup olmadığı değildir. Pratik sorular şunlardır:
Olay müdahale planınızı Türkiye'ye özgü bir bildirim matrisi ile güncelleyin.
En azından şunları tanımlayın:
Türkiye, Mayıs 2026'da nükleer tesisler için bir siber güvenlik yönetmeliği yayımladı.
Yönetmelik; siber güvenlik planlaması, dijital varlık yönetimi, risk yönetimi, tedarik zinciri güvenliği, olay müdahalesi, eğitim, denetim ve raporlama gibi alanları kapsamaktadır.
Bu durum doğrudan yüksek riskli bir sektörü etkilese de, verilen mesaj diğer düzenlemeye tabi veya kritik sektörler için de oldukça değerlidir: Siber güvenlik beklentileri artık daha resmi, belgelenebilir ve denetlenebilir hale geliyor.
Bu yapı aynı zamanda olgun kuruluşların ISO 27001, NIST tarzı kontroller veya sektöre özel risk programları aracılığıyla hâlihazırda oluşturuyor olmaları gereken sistemlerle de örtüşmektedir.
Nükleer sektörün dışında kalan kuruluşlar dahi şu temel sorulara yanıt verip veremediklerini gözden geçirmelidir:
KVKK, Ocak 2026'da kamu kurum ve kuruluşlarında yabancı menşeli iletişim uygulamalarının kullanımı hakkında bir kamuoyu duyurusu yayımladı.
Asıl mesele sadece "hangi uygulamanın kullanıldığı" değildi. Sorun, resmi, gizli, kritik veya kişisel verilerin kamu sektörü iletişimi için uygun olmayabilecek kanallar üzerinden paylaşılıp paylaşılmadığıydı.
Bu durum doğrudan kamu kurumlarını hedef alsa da, çıkarılacak ders çok daha kapsamlıdır.
Birçok özel şirket de operasyonel iş akışlarını gayriresmi mesajlaşma grupları üzerinden yürütüyor. İK belgeleri, müşteri verileri, ekran görüntüleri, faturalar, olay detayları ve kimlik belgeleri; erişim kontrolü, saklama kuralları, denetlenebilirlik veya veri işleme incelemesi olmaksızın genellikle WhatsApp benzeri kanallar üzerinden dolaşıyor.
Bir iletişim kanalı politikası oluşturun.
Ayırın:
Bu, basit ancak genellikle göz ardı edilen bir GRC kontrolüdür.
Haziran 2026'da KVKK, biyometrik devam takibi hakkında bir ilke kararı yayımladı.
Bu karar önemlidir çünkü biyometrik veriler özel nitelikli kişisel verilerdir. KVKK; ölçülülük, gereklilik, veri minimizasyonu, çalışan-işveren arasındaki güç dengesizliği ve daha az müdahaleci alternatiflerin mevcut olup olmadığı gibi konuları vurguladı.
Biyometrik sistemler genellikle kolaylık sağladığı için tercih edilir: parmak iziyle giriş, yüz tanıma, iris tarama veya diğer devam takip araçları.
Ancak kolaylık, gereklilik ile aynı şey değildir.
Çalışan takibinde, işveren ile çalışan arasındaki güç dengesizliği, açık rızayı özellikle hassas hale getirir. Bir şirket, biyometrik devam takibi için temel gerekçe olarak rızaya dayanmadan önce dikkatli olmalıdır.
Biyometrik devam takip veya giriş sistemleri kullanıyorsanız şunları gözden geçirin:
Mümkün olan durumlarda şifreli giriş kartları, PIN tabanlı sistemler, RFID/NFC kartlar veya gözetimli manuel devam takip yöntemleri gibi alternatifleri değerlendirin.
KVKK, Haziran 2026'da iş yerleri ile apartman ve sitelerdeki kamera sistemlerine ilişkin kamuoyu duyuruları yayımladı.
Temel mesaj: kamera görüntüleri kişisel veri işleme faaliyetidir.
Bu, CCTV sistemlerinin hukuki bir amaç, yasal dayanak, ölçülülük, şeffaflık, veri güvenliği ve saklama disiplini ile ilişkilendirilmesi gerektiği anlamına gelir.
Birçok kuruluş, kameraları yalnızca fiziksel bir güvenlik meselesi olarak ele alıyor.
Ancak KVKK perspektifinden bakıldığında, CCTV şunları da etkiler:
Her bir CCTV sistemi için şunları belgeleyin:
İzlemenin orantısız veya aşırı müdahaleci olacağı alanlarda kamera kullanımından kaçının.
Mart 2026'da KVKK, aydınlatma metinleri ve açık rıza konusunda bir ilke kararı yayımladı.
Bu karar, çok yaygın bir uyumluluk hatasına odaklanıyor: bilgilendirme metnini açık rıza beyanıyla karıştırmak veya gizlilik bildiriminin kendisi onay gerektiriyormuş gibi kullanıcılardan bunu "onaylamalarını" istemek.
Gizlilik bildirimi ve açık rıza farklı işlevlere sahiptir.
Gizlilik bildirimi, kişiyi veri işleme süreçleri hakkında bilgilendirir. Açık rıza ise belirli veri işleme faaliyetleri için kullanılabilecek hukuki dayanaklardan yalnızca biridir.
Şirketler bunları belirsiz tek bir metinde birleştirdiklerinde, hukuki ve operasyonel risk oluştururlar.
Tüm müşteri, çalışan, tedarikçi ve web sitesi formlarınızı gözden geçirin.
Şunları kontrol edin:
Bu durum özellikle SaaS platformlarına kayıt formları, pazarlama formları, çerez bildirimleri, İK formları ve e-ticaret ödeme süreçleri için büyük önem taşır.
KVKK, Şubat 2026'da sadakat kartları, telefon numaraları ve doğrulama mekanizmaları hakkında bir ilke kararı yayımladı.
Perakende sektöründe yaygın olan bu sorun, müşterinin telefon numarasının veya sadakat kartı numarasının uygun bir doğrulama yapılmadan kullanılmasıydı; bu durum, üçüncü kişilerin başkasına ait avantajlara veya verilere erişmesine ya da bunları kullanmasına olanak tanıyabiliyordu.
Bu, KVKK'nın günlük ürün ve müşteri deneyimi tasarımına dahil olmaya başladığının iyi bir örneğidir.
Uyumluluk sorunu yalnızca gizlilik bildiriminin metniyle ilgili değildir. Aynı zamanda işlem akışıyla da ilgilidir.
Perakendeciler, e-ticaret şirketleri, pazar yerleri ve sadakat programı operatörleri şunları gözden geçirmelidir:
Birçok şirket için bu konu; hukuk, ürün, CRM, güvenlik ve mağaza operasyonları birimlerinin ortak sorumluluğundadır.
Mart 2026'da KVKK, temsilci yapay zeka üzerine bir doküman yayımladı.
Temsilci yapay zeka sistemleri, daha yüksek bir özerklik derecesiyle çok adımlı görevleri yerine getirebilir. Bu sistemler kişisel verileri daha az öngörülebilir yollarla toplayabildiği, çıkarımda bulunabildiği, birleştirebildiği, saklayabildiği veya aktarabildiği için yeni gizlilik ve yönetişim soruları ortaya çıkarmaktadır.
Birçok şirket halihazırda yapay zeka asistanları, destek botları, satış otomasyonu, İK araçları, kodlama temsilcileri ve iş akışı otomasyonu ile denemeler yapıyor.
Risk sadece yapay zeka modeli değildir. Risk, tüm iş akışıdır:
Bir yapay zeka yönetişim kaydı oluşturun.
Her bir yapay zeka aracı veya temsilcisi için şunları belgeleyin:
Yapay zeka yönetişimi; KVKK, GDPR, tedarikçi riski, güvenlik mimarisi ve kurum içi kabul edilebilir kullanım politikaları ile bağlantılı olmalıdır.
Türkiye'deki 2026 ihlal bildirimlerinde birkaç tekrarlayan model öne çıktı:
Örnekler arasında sağlık sistemleri, çevrimiçi eğitim, perakende, konaklama ve bulut/hizmet sağlayıcı ortamlarını içeren olaylar yer aldı.
Genel model, tek bir ihlalden çok daha önemlidir.
Birçok kuruluş hala büyük ölçüde temel farkındalık eğitimlerine veya tek seferlik güvenlik incelemelerine güveniyor. Ancak yaşanan olaylar, daha güçlü operasyonel kontrollere duyulan ihtiyacı gözler önüne seriyor.
Gerçek ihlal etkisini azaltan kontrollere öncelik verin:
ISO 27001 hazırlığı için bunlar sadece teknik kontrollerden ibaret değildir. Aynı zamanda risk işleme, tedarikçi yönetimi, olay yönetimi, varlık yönetimi, erişim kontrolü ve iş sürekliliğini de etkilerler.
2026'nın ilk yarısı üç pratik eğilime işaret ediyor.
Siber Güvenlik Kurulu, Siber Güvenlik Başkanlığı, kritik altyapı sektörleri ve sektöre özgü kurallar, Türkiye'de siber yönetişimin daha resmi bir yapıya kavuştuğunu gösteriyor.
Kuruluşlar; dayanıklılık, raporlama, yerel koordinasyon ve denetlenebilirlik konularına daha fazla vurgu yapılmasını beklemelidir.
2026'nın ilk yarısındaki KVKK gelişmeleri sadece hukuki belgelerle sınırlı kalmadı.
Şu alanları etkiledi:
Bu, gizlilik uyumluluğunun hukuk, BT, güvenlik, ürün, İK, pazarlama, satın alma ve operasyon birimlerini kapsaması gerektiği anlamına gelir.
Politikalar faydalıdır ancak yeterli değildir.
Şirketlerin kanıta ihtiyacı vardır:
Uygulamada, birçok uyumluluk programının başarısız olduğu nokta burasıdır.
2026'nın ilk yarısındaki gelişmeler, düzenleyici kurumların yalnızca belgelerin varlığına değil, sistemlerin gerçekte nasıl işlediğine odaklandığını gösteriyor.
GDPR şablonları faydalı olabilir ancak Türk KVKK gereklilikleri, VERBİS beklentileri, terminoloji ve yerel otorite uygulamaları ayrı bir inceleme gerektirir.
Çalışan takibinde sadece pratiklik zayıf bir gerekçedir. Gereklilik, ölçülülük ve alternatif yöntemler esastır.
Mesajlaşma uygulamaları, ekran görüntüleri, paylaşımlı sürücüler, bulut yedekleri ve tedarikçi portalları, resmi süreçlerin dışında kalan kişisel verileri sıklıkla barındırır.
Bir veri ihlali sonrasında kurumun hızlıca gerçeklere ihtiyacı vardır: Ne oldu, ne zaman oldu, kimin verisi etkilendi, hangi sistemler ve tedarikçiler dahil, hangi güvenlik önlemleri alındı ve neler yapıldı?
Kooch Cybersecurity & Compliance, şirketlerin mevzuat güncellemelerini pratik kontrollere dönüştürmesine yardımcı olur.
İlgili hizmetlerimiz şunlardır:
Amaç, bir klasörde öylece duran belgeler oluşturmak değil. Amaç; gerçek operasyonlara, denetimlere, müşteri sorularına ve olaylara karşı ayakta kalabilecek bir uyumluluk sistemi inşa etmektir.
Uygulanabilirlik; şirketin faaliyetlerine, sektörüne, rolüne ve gelecekteki ikincil mevzuata bağlıdır. Ancak kritik sektörlerin dışındaki şirketler bile; düzenlemeye tabi sektörlere teknoloji, bulut, siber güvenlik, yönetilen hizmetler veya veri işleme desteği sağlıyorlarsa bu çerçeveyi takip etmelidir.
Türkiye'deki bireylerle bağlantılı kişisel verileri işliyorlarsa, Türk kullanıcılara hizmet sunuyorlarsa, Türkçe dilinde operasyon yürütüyorlarsa, Türkçe pazarlama faaliyetleri yapıyorlarsa veya Türk ticari müşterilerle çalışıyorlarsa KVKK kapsamındaki yükümlülüklerini değerlendirmeleri gerekebilir. Kesin değerlendirme, hukuk danışmanları ile gözden geçirilmelidir.
Genel bir ifadeyle yasak değil. Ancak KVKK'nın 2026 tarihli ilke kararı, biyometrik devam takip sistemlerinin özellikle çalışanlar bağlamında önemli riskler taşıdığını açıkça ortaya koymaktadır. Şirketler; bu sistemleri kullanmadan önce gereklilik, ölçülülük, alternatifler, hukuki dayanak ve güvenlik önlemlerini değerlendirmelidir.
CCTV bazı iş yeri bağlamlarında kullanılabilir ancak hukuka uygun, ölçülü, şeffaf, amaçla sınırlı, güvenli olmalı ve yalnızca gerektiği sürece saklanmalıdır. Kamera konumları, görüş açısı, erişim hakları, bilgilendirme tabelaları ve aydınlatma metinleri gözden geçirilmelidir.
Bir yapay zeka envanteri oluşturarak başlayın. Hangi araçların kişisel veri işlediğini, hangi verilerin girildiğini, verilerin nerede barındırıldığını, günlük kayıtlarına kimlerin erişebildiğini, tedarikçilerin verileri eğitim için kullanıp kullanmadığını ve işlemler yapılmadan önce insan denetiminin gerekip gerekmediğini belirleyin.
Bu makale 30 Haziran 2026'dan sonra ve yeni ikincil düzenlemeler, Siber Güvenlik Başkanlığı rehberleri, KVKK kararları veya önemli ihlal bildirimleri yayımlandığında güncellenmelidir.
