İnternet artık nasıl kontrol edilecek?
TBMM'de kabul edilen yeni düzenleme, bugüne dek Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) yetki alanında olan birçok başlığı Siber Güvenlik Başkanlığı'na devrediyor. Peki bu ne anlama geliyor?
Adalet ve Kalkınma Partisi'nin (AK Parti) bu ay TBMM Başkanlığı'na sunduğu 30 maddelik torba kanun teklifi, TBMM Genel Kurulu'nda kısa süre önce kabul edildi. emekli aylıklarından kamu personel rejimine kadar birçok düzenleme içeren teklif, özellikle de siber güvenlikte köklü bir dönüşüm öngörüyor.
28. maddede yer alan düzenleme, Cumhurbaşkanlığı'na bağlı Siber Güvenlik Başkanlığı'nın teşkilat yapısını doğrudan değiştirecek. Düzenlemenin amacı ise başkanlığın görev alanını genişletmek ve bazı sektörleri doğrudan kurumun görev ve denetim alanına almak.
Kamuoyunda karışık tepkiler alan teklifin, bugüne dek Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) yetki alanında olan birçok başlığı Siber Güvenlik Başkanlığı'na devredeceği anlaşılıyor.
Tartışmalar, internet sektörünü düzenleyen BTK'nın birçok yetkisinin doğrudan Cumhurbaşkanlığı altındaki kuruma geçirilmesi nedeniyle "siber güvenliğin merkezileştirilmesi" üzerine yoğunlaşıyor.
Söz konusu yasa, Türkiye'nin 2010'lardan bu yana interneti ve siber güvenliği ele alış biçimine de son şeklini veriyor.
Dijital oyun sektörü ve alan adları başkanlığın görevine geçiyor
Kanunun en çok konuşulan maddelerinden biri; dijital oyun platformlarına ilişkin siber güvenlik faaliyetlerinin artık başkanlığın yetki alanına girecek olması.
Ayrıca, teklifle birlikte Siber Güvenlik Başkanlığı’na internet alan adlarına ilişkin strateji belirleme ve düzenleme yetkisi veriliyor.
Gecikmenin sakıncalı bulunduğu durumlarda Başkanlık, güvenlik ve istihbarat kurumlarının talebi üzerine ya da resen tedbir kararı alabilecek; erişim sağlayıcıları, veri merkezleri ve ilgili içerik sağlayıcılar bu kararları iki saat içinde uygulamak zorunda olacak. Örneğin, siber saldırılar gibi acil durumlarda başkanlık, internet altyapısına ilişkin tedbir kararı alabilecek.
TBMM sayfasında "gecikmesinde sakınca bulunan haller" tek tek sayılmıyor. Ancak, "Anayasa'nın 'Haberleşme Hürriyeti' başlıklı hükmünde sayılan sebeplerden birine veya birkaçına bağlı olarak, gecikmesinde sakınca bulunan haller" ifadesi geçiyor.
Anayasa'nın 22. maddesine göre ise haberleşme hürriyeti ancak şu nedenlerle sınırlandırılabiliyor:
- Milli güvenlik
- Kamu düzeni
- Suç işlenmesinin önlenmesi
- Genel sağlık
- Genel ahlak
- Başkalarının hak ve özgürlüklerinin korunması
Bunun yanı sıra, Siber Güvenlik Başkanlığı'nın bu gibi durumlarda hangi tedbirlere başvurabileceği de açıkça belirtilmiyor. Yan, kurumun hangi durumlarda hangi önleme (örneğin, bant daraltma, DNS engellemesi, IP engellemesi, URL engellemesi gibi) başvurabileceği konusu açık bırakılıyor. Bu da sivil toplumda "sınırları belirsiz tedbir yetkisi" tartışmasına yol açtı.
Örneğin, internet kısıtlamalarını izleyen Engelli Web derneğinin konuyla ilgili bir açıklamasında, "Ayrıca bant daraltmanın bugüne kadarki tek açık yasal dayanağı olan 5809 sayılı Kanun'un 60/10. fıkrası yürürlükten kaldırılıyor. Böylece adı konmuş ve belirli bir hükme dayanan bant daraltma yetkisinin yerini, sınırları ve içeriği belirsiz 'tedbir' yetkisinin almasının önü açılıyor," ifadeleri yer aldı.
BTK'nın hangi yetkileri gidiyor?
Yasanın en dikkat çekici yönlerinden biri de BTK'nın siber güvenlik alanındaki temel operasyonel yetkilerinin önemli bir bölümünü kaybetmesine neden olması.
Kanun, BTK'yı ortadan kaldırmıyor; ancak siber güvenlikle doğrudan ilgili görevleri yeni kurulan Siber Güvenlik Başkanlığı'na devrediyor. Böylece BTK, elektronik haberleşme sektörünün düzenleyicisi olarak varlığını sürdürecek.
TBMM'nin resmi açıklamasına göre şu alanlardaki yetkiler Siber Güvenlik Başkanlığı'nda tek çatı altında toplanacak:
- Alan adı (domain) yönetimine ilişkin yetkiler
- İnternet altyapısının yönetimine ilişkin siber güvenlik görevleri
- İletişimin tespiti ve analizi kapsamında siber güvenliğin ayrılmaz parçası kabul edilen görevler
- Siber Güvenlik Kanunu, Elektronik Haberleşme Kanunu ve ilgili diğer kanunlarda BTK'ya verilen ve siber güvenlikle bağlantılı olan görevler.
BTK'da bu görevleri yerine getirmek için kullanılan bilgi işlem altyapıları, veri merkezleri, yazılımlar, taşınırlar, araç ve ekipmanlar, elektronik kayıtlar, dokümanlar, hak ve yükümlülükler ile bu faaliyetleri yürüten personel de üç ay içinde Siber Güvenlik Başkanlığı'na devredilecek.
BTK'nın devam edecek görev başlıkları ise şu şekilde: Elektronik haberleşme sektörünün düzenlenmesi, mobil operatörlerin ve internet servis sağlayıcılarının yetkilendirilmesi, frekans tahsisi, spektrum yönetimi, numaralandırma, tüketici hakları, rekabet düzenlemeleri ve haberleşme sektörüne yönelik denetimler.
Erişim engeli kararlarını kim alacak?
Türkiye'de sosyal platformlarda veya internet sitelerinde içeriği erişime engelleme yetkisi; sulh ceza hâkimlikleri, bazı durumlarda Cumhurbaşkanı kararı ve yine bazı durumlarda (örneğin 8/A kapsamındaki acil durumlar) BTK Başkanı'na ait.
Bu kurumlar, erişim engeli veya bant daraltma kararlarının hukuki dayanağını oluşturmaya devam ediyor. Yeni kanunda bu konuda açık bir değişiklik yapılmadı. "Siber Güvenlik Başkanı tek başına bir platformu kapatabilir," şeklinde açık bir hüküm de gelmedi.
Öte yandan, yeni kanun; kararı veren makamı değil ama o kararın uygulanmasını sağlayan teknik altyapıyı açıkça Siber Güvenlik Başkanlığı'na devrediyor.
Bu da yetkinin merkezileşmesi eleştirilerini beraberinde getiriyor. Engelli Web derneği, konuyla ilgili bir açıklamasında şu ifadelere yer veriyor:
"Türkiye'de bugüne kadar erişim engelleme ve diğer İnternet müdahalelerinde kullanılan operasyonel altyapı, piyasa düzenleyicisi bir kurumdan alınarak doğrudan güvenlik ve istihbarat mimarisiyle iç içe geçmiş bir yapıya aktarılıyor.
Erişim engelleme, içerik çıkarma ve bant daraltma yetkilerinin aynı güvenlik kurumu etrafında merkezileştirilmesi, denetimsiz bir 'uçtan uca sansür ve gözetim omurgası' oluşturma riskini beraberinde getiriyor."
En kritik değişiklik: 'Atıf değiştirme' maddesi
Diğer yandan, 5651 sayılı kanunda karar verme yetkisi BTK Başkanı'nda. Ancak yeni düzenlemeyle birlikte, BTK'nın bu kararları uygulayan teknik altyapısı başka bir kuruma devredilmiş oluyor.
Bunun pratikte nasıl bir iş bölümünün yapılacağı konusunda karışıklık yaratmaması için ikincil düzenlemeler gerekebilir. TBMM'nin kabul ettiği metne göre, ikincil düzenlemeler yapılana kadar kurumlar birbirinin yerine geçebilir:
"Siber Güvenlik Başkanlığına devredilen görev ve yetkiler bakımından Siber Güvenlik Başkanlığı tarafından ikincil düzenlemeler çıkarılana kadar mevcut düzenlemelerin uygulanmasına devam edilecek ve bu düzenlemelerde Bilgi Teknolojileri ve İletişim Kurumuna ve Telekomünikasyon İletişim Başkanlığına yapılan atıflar Siber Güvenlik Başkanlığına, Bilgi Teknolojileri ve İletişim Kuruluna, Telekomünikasyon Kuruluna, Bilgi Teknolojileri ve İletişim Kurumu Başkanına ve Telekomünikasyon İletişim Başkanına yapılan atıflar Siber Güvenlik Başkanına yapılmış sayılacak."
Ancak bu durum, yalnızca kurum adının değişmesi değil, ilgili görev bakımından karar merciinin de değişmesi anlamına gelebilir.
Yine de kanun metninde açıkça, erişime engelleme yetkisinin Siber Güvenlik Başkanlığı'na devredileceği yönünde bir ifade mevcut değil.
Neden Siber Güvenlik Başkanlığı?
2012-2024 arasında Türkiye'de siber güvenlik yetkileri; BTK, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi, USOM ve çeşitli bakanlıklar arasında dağılmış durumdaydı.
Yeni modelde ise tek koordinasyon merkezi oluşturmak, kritik altyapıları tek elden korumak, siber saldırılara daha hızlı müdahale etmek, NATO ve birçok ülkedeki ulusal siber güvenlik ajanslarına benzer merkezi bir yapı kurmak mümkün hale gelecek.
Eleştiriler de internet politikalarıyla ilgili diğer konu başlıklarından ziyade, yetkinin merkezileşmesi üzerinde yoğunlaşıyor.
Kısa tarihçe: Türkiye'de siber güvenlik politikaları nasıl dönüştü?
2010'lu yılların başına kadar Türkiye'de siber güvenlik faaliyetleri büyük ölçüde farklı kamu kurumlarının kendi sorumluluk alanlarında yürüttüğü çalışmalardan oluşuyordu.
BTK, TÜBİTAK BİLGEM, Emniyet Genel Müdürlüğü, MİT ve Türk Silahlı Kuvvetleri kendi ihtiyaçları doğrultusunda siber güvenlik kapasitesi geliştirirken, ulusal ölçekte tehditleri koordine eden merkezi bir yapı yoktu.
Artan siber saldırılar ve kritik altyapılara yönelik riskler nedeniyle hükümet, bu alanda kurumsal bir yönetişim modeli oluşturma ihtiyacı duydu.
Bu doğrultuda ilk büyük adım, 11 Haziran 2012 tarihli ve 2012/3842 sayılı Bakanlar Kurulu Kararı ile atıldı.
"Ulusal Siber Güvenlik Çalışmalarının Yürütülmesi, Yönetilmesi ve Koordinasyonuna İlişkin Karar" kapsamında Türkiye'de ilk kez merkezi bir siber güvenlik yönetim modeli oluşturuldu.
Kararla birlikte Siber Güvenlik Kurulu kuruldu; dönemin Ulaştırma, Denizcilik ve Haberleşme Bakanlığı koordinatör kurum olarak belirlendi, BTK ise teknik yürütücü görevini üstlendi. Kurulun temel görevi ulusal siber güvenlik politikalarını belirlemek, kritik altyapıları tespit etmek ve kurumlar arasındaki koordinasyonu sağlamaktı.
Stratejinin en önemli çıktılarından biri ise Ulusal Siber Olaylara Müdahale Merkezi (USOM) oldu.
BTK bünyesinde kurulan USOM'un görevi yalnızca siber saldırılara müdahale etmek değildi, zararlı yazılım analizi yapmak, tehdit istihbaratı üretmek, oltalama (phishing) alan adlarını tespit etmek, DDoS saldırılarını izlemek, kamu kurumlarını erken uyarılarla bilgilendirmek ve uluslararası bilgisayar olaylarına müdahale ekipleriyle (CERT) koordinasyon sağlamak da görevleri arasındaydı. Kurum kısa sürede ulusal siber tehdit olaylarına müdahale merkezi haline geldi.
2018'de ise Cumhurbaşkanlığı Hükümet Sistemi'ne geçilmesinin ardından koordinasyon mekanizmasında da değişiklik yaşandı. Cumhurbaşkanlığı bünyesinde kurulan Dijital Dönüşüm Ofisi, kamu kurumlarının dijital dönüşümü ve bilgi güvenliği politikalarının hazırlanmasında daha etkin rol üstlenmeye başladı.
En büyük kurumsal dönüşüm ise 8 Ocak 2025'te yaşandı. Cumhurbaşkanlığı Kararnamesi ile Siber Güvenlik Başkanlığı kuruldu. Başkanlık; ulusal siber güvenlik politikalarını belirlemek, strateji ve eylem planlarını hazırlamak, mevzuat çalışmalarını yürütmek ve kurumlar arası koordinasyonu sağlamakla görevlendirildi.
Böylece yaklaşık on yıl boyunca BTK merkezli yürüyen ulusal siber güvenlik yapısı, Cumhurbaşkanlığına bağlı yeni bir çatı kuruma doğru evrilmeye başladı.
Bu dönüşüm, 12 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ile yasal zemine oturtuldu. Kanun, Başkanlığın görev ve yetkilerini, siber güvenlik denetimlerini, sertifikasyon süreçlerini ve kritik altyapılara ilişkin yükümlülükleri ayrıntılı biçimde düzenledi.
Aynı süreçte USOM da yeni kurumsal yapıya entegre edilmeye başlandı; USOM tarafından yürütülen birçok hizmet ve duyuru, Siber Güvenlik Başkanlığının resmî internet sitesi üzerinden sunulmaya başladı.
Son olarak da, 2025 Siber Güvenlik Kanunu ve son torba kanun, başkanlığın görev alanını genişletmiş oldu.
Euro News
