Ön not: artan riskler ve sorumluluk
Küresel ve yerel düzeyde siber saldırıların işletme faaliyetlerine verdiği zararlar büyüyor. Türkiye’de veri ihlalleri, iş sürekliliği bozulması ve itibar kaybı gibi sonuçlar yöneticilerin ve yönetim kurullarının hukuki sorumluluğunu ön plana çıkarmıştır. Bu yazıda yönetim kurullarının yükümlülükleri, pratik önlemler ve ihlal sonrası hukuki risk azaltımı ele alınacaktır.
Yönetim kurulunun yükümlülük çerçevesi
Yönetim kurulu, şirketin genel risk yönetimi politikasını belirlemek ve gözetmekle yükümlüdür. Siber güvenlik bağlamında bu, aşağıdaki somut adımları gerektirir:
- Kurumsal siber risk değerlendirmelerinin periyodik olarak yapılması ve sonuçların kayıt altına alınması.
- İlgili kaynakların (bütçe, personel, dış hizmet) tahsis edilmesi.
- İç kontrol mekanizmalarının ve olay müdahale planlarının onaylanması.
- KVKK ve ilgili düzenlemelere uyumun sağlanması için gözetim yapılması.
Özen yükümlülüğü ve ibraz edilebilirlik
Yöneticiler açısından kritik mesele, alındığı iddia edilen önlemlerin belgelendirilebilmesidir. Mahkemeler veya idari makamlar, alınan önlemlerin uygunluğunu incelerken prosedürlerin uygulanıp uygulanmadığına bakacaktır. Bu nedenle politika onay tutanakları, denetim raporları ve tedarikçi denetimleri gibi belgeler hayati önem taşır.
İhlal sonrası icraat: zamanlama ve şeffaflık
Olay meydana geldikten sonra hızlı, koordineli ve mevzuata uygun bir müdahale gereklidir. Uygulanabilir unsurlar şunlardır:
- Olayın sınıflandırılması ve etkilediği veri türlerinin tespiti.
- Yetkili kurumlara ve etkilenen ilgililere bildirim yükümlülüklerinin yerine getirilmesi.
- Hukuki ve teknik inceleme ekiplerinin ataması ile adli izleme zincirinin korunması.
- İç ve dış iletişim stratejisinin belirlenmesi: müşteri, düzenleyici, yatırımcı bilgilendirmeleri.
Tazminat ve idari yaptırımlar: beklenen unsurlar
İhlal sonucunda doğabilecek tazminat talepleri; veri sahiplerinin zararları, sözleşmesel ihlaller ve iflas gibi sonuçları kapsayabilir. Ayrıca KVKK kapsamındaki idari yaptırımlar ve veri koruma yükümlülüklerinin ihlali halinde uygulanabilecek cezalar riski vardır. Yönetim kurulu üyelerinin bireysel sorumluluğu, ihmal veya kasıt bulunduğunda gündeme gelebilir. Bu nedenle ihlal anı ve öncesine dair kayıtların korunması ve yönetim kararlarının gerekçelendirilmesi savunma açısından önemlidir.
Pratik öneriler: uygulanabilir bir kontrol listesi
- Yönetim kurulu seviyesinde siber güvenlik komitesi veya sorumlusu atanması.
- Periyodik siber tatbikatlar ve üçüncü taraf denetimleri.
- Olay yanıt planlarının güncellenmesi ve her raporda yönetim kuruluna sunulması.
- Siber sigorta kapsamının değerlendirilmesi ve poliçe limitlerinin iş riskiyle uyumlandırılması.
Sonuç ve uygulama adımı
Türkiye’de şirket yönetim kurulları için siber güvenlik, stratejik bir risk yönetimi konusu haline gelmiştir. Alınacak önlemler hem hukuki sorumluluğun azaltılmasına hem de olay sonrası operasyonel toparlanmaya katkı sağlar. Av. Burak Şahin (Şahin Hukuk) olarak önerimiz, hukuki ve teknik değerlendirmelerin birlikte yürütülmesi ve yönetim seviyesinde düzenli raporlamanın sağlanmasıdır.
Yazar: Av. Burak Şahin — Şahin Hukuk. Türkiye uygulamalarına odaklı pratik rehber.
Bu yazı genel hukuki bilgilendirme ve değerlendirme amacıyla hazırlanmıştır. Somut uyuşmazlıklar güncel mevzuat ve olayın özellikleri dikkate alınarak ayrıca değerlendirilmelidir.
