7590 sayılı Kanun: İnternet yetkileri BTK’dan Siber Güvenlik Başkanlığına geçti

Ne oldu?

TBMM Genel Kurulu 24 Temmuz 2026’da, bazı kanun ve kanun hükmünde
kararnamelerde değişiklik yapan 7590 sayılı Kanunu kabul etti. Kanun 31 Temmuz
2026 tarihli ve 33326 sayılı Resmî Gazete’de yayımlandı. Otuz iki maddelik
düzenleme; Damga Vergisi Kanunundan Karayolları Trafik Kanununa, Posta
Hizmetleri Kanunundan Siber Güvenlik Kanununa kadar yirmiden fazla kanunu
değiştiriyor.

Siber güvenlik açısından düzenlemenin ana ekseni, Türkiye’nin internet
yönetiminde uzun süredir merkezde olan BTK’nın bazı görevlerinin
Siber
Güvenlik Başkanlığına aktarılması. Bu, Başkanlığın Ocak 2025’teki
kuruluşundan bu yana yetki alanındaki en kapsamlı genişleme.

Hangi yetkiler devredildi?

Düzenleme dört ana kanunu doğrudan etkiliyor: 5809 sayılı Elektronik
Haberleşme Kanunu, 7545 sayılı Siber Güvenlik Kanunu, 5651 sayılı İnternet
Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun ve 2559 sayılı Polis
Vazife ve Salâhiyet Kanunu.

5651 sayılı Kanun metnindeki “Kurum” atıflarının Siber Güvenlik Başkanlığı
olarak değiştirilmesi, uygulamada erişim sağlayıcılar, yer sağlayıcılar ve
içerik sağlayıcıların muhatabının kurumsal olarak değişmesi anlamına
geliyor.

BTK’da ne kaldı?

BTK ortadan kalkmıyor; görev tanımı daralıyor. Kurumda kalan başlıklar:
elektronik haberleşme sektörünün ekonomik düzenlemesi, işletmeci
yetkilendirmesi, spektrum ve numara kaynaklarının yönetimi, tarife ve piyasa
analizleri ile tüketici hakları. Yani BTK sektörün düzenleyici kurumu olmayı
sürdürüyor; kaybettiği, operasyonel siber güvenlik ve internet erişimi
yönetimine ilişkin işlevler.

Acil hâl kararları ve iki saatlik uygulama süresi

Düzenlemenin en çok konuşulan teknik ayrıntısı, acil hâllerde alınan
Başkanlık kararlarının uygulanma süresi. Erişim sağlayıcılar ve veri
merkezleri, millî güvenliğin tehdit altında olduğu acil durumlarda alınan
kararları iki saat içinde uygulamakla yükümlü. Karar ise
kırk sekiz saat içinde yargı denetimine sunuluyor.

Düzenlemenin gerekçesinde ve metninde, iletişim hürriyetine ilişkin
Anayasa’nın 22 nci maddesindeki sınırlama sebeplerine atıf yapılıyor: millî
güvenlik, kamu düzeni, suç işlenmesinin önlenmesi, genel sağlık ve genel ahlâk
ile başkalarının hak ve özgürlüklerinin korunması.

İdari yaptırımlar

Kanun kapsamında öngörülen idari para cezalarının, aykırılık başına
20.000 TL ile 100.000 TL arasında uygulanacağı; tahsilatın genel usullere göre
yapılacağı aktarılıyor. Bu tutarlar, 7545 sayılı Kanunun milyon TL ölçeğindeki
idari para cezalarından farklı bir kalemdir; ikisi birbirinin yerine
geçmez.

Devir takvimi

BTK’dan Siber Güvenlik Başkanlığına personel, veri merkezi, bilişim
sistemleri, yazılım ve kayıtların devrinin kanunun yürürlüğünden itibaren
üç ay içinde tamamlanması öngörülüyor. Mevcut ikincil düzenlemeler ise
Başkanlık yeni usul ve esasları yayımlayana kadar uygulanmaya devam ediyor.
Bu, sektöre bir geçiş dönemi tanıyor.

Bu değişiklik ne anlama geliyor?

Türkiye’nin internet yönetimi 2007’den bu yana 5651 sayılı Kanun ve BTK
ekseninde kurgulanmıştı. 7590 sayılı Kanunla bu eksen, doğrudan
Cumhurbaşkanlığına bağlı bir güvenlik kurumuna taşınıyor.

Yapısal olarak üç sonuç doğuyor:

1. Tek muhatap: Kritik altyapı işletmecileri, erişim sağlayıcılar ve
   veri merkezleri için siber güvenlik yükümlülüğü ile internet erişimi
   yükümlülüğünün muhatabı aynı kurum hâline geliyor.
2. Hız: İki saatlik uygulama süresi, olay müdahalesinde reaksiyon
   süresini kısaltmayı hedefliyor.
3. Yoğunlaşma: Operasyon, düzenleme, denetim ve erişim yönetimi
   yetkilerinin tek kurumda toplanması, Türkiye modelini CISA, NCSC veya BSI gibi
   örneklerden ayrıştırıyor.

Tartışma ve eleştiriler

Düzenleme, sivil toplum kuruluşlarınca eleştirildi. Öne çıkan itiraz,
daha önce adı konmuş ve sınırı belirli olan bant daraltma gibi yetkilerin
yerine, kapsamı tanımlanmamış “tedbir” ifadesinin geçmesi. Eleştiriye göre bu
belirsizlik, hangi müdahalelerin hukuken mümkün olduğu sorusunu açık
bırakıyor. İkinci itiraz, içerik erişimine ilişkin teknik altyapının güvenlik
kurumuna taşınmasının yarattığı yoğunlaşma.

Savunucu görüş ise siber olayların artık dakikalar içinde yayıldığını, ayrı
kurumlar arasındaki koordinasyonun müdahale hızını düşürdüğünü ve tek
merkezden yönetimin bu gecikmeyi ortadan kaldırdığını öne sürüyor.

Kimleri ilgilendiriyor?

• Erişim sağlayıcılar ve internet servis sağlayıcıları: Muhatap kurum
  değişikliği, iletişim noktası bildirimi, yirmi dört saat esaslı müdahale
  kabiliyeti.
• Veri merkezi işletmecileri: Acil hâl kararlarının uygulanmasına
  ilişkin süre yükümlülüğü ve iç prosedür güncellemesi.
• İçerik ve yer sağlayıcılar: 5651 kapsamındaki bildirim ve teknik
  işlemlerde yeni muhatap.
• Alan adı tescil kuruluşları: Alan adı politikasının yeni
  yürütücüsü.
• Kritik altyapı işletmecileri: 7545 sayılı Kanun yükümlülükleriyle
  birleşen tek çatı.

Sıkça sorulan sorular

Kaynaklar ve doğrulama notu

• Resmî Gazete, 31 Temmuz 2026, Sayı 33326 — 7590 sayılı Kanun.
• TBMM Genel Kurul tutanakları — 24 Temmuz 2026 tarihli kabul.
• Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
• Euronews Türkçe, 27 Temmuz 2026 — düzenlemenin kapsamı ve sivil toplum eleştirilerine ilişkin aktarım.
• Teknoblog — devredilen yetkilerin ve devir takviminin aktarımı.
• Hukuk bürolarının kamuya açık sirkülerleri — değişen kanun maddeleri ve süreler.

Kanunun yayım tarihi ve sayısı Resmî Gazete kaydından; devredilen yetkilerin kapsamı, süreler ve idari para cezası aralıkları düzenlemeye ilişkin kamuya açık hukuki değerlendirmelerden ve haber kaynaklarından derlenmiş, en az iki kaynakta teyit edilmiştir. Eleştiriler kaynağı belirtilerek aktarılmıştır.

Son güncelleme: 13 Ağustos 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.