Ulusal siber güvenlik kurumları karşılaştırması: Türkiye Siber Güvenlik Başkanlığı, CISA, NCSC, ANSSI, BSI
Siber Güvenlik Başkanlığı; ABD’deki CISA, Birleşik Krallık’taki NCSC,
Fransa’daki ANSSI ve Almanya’daki BSI; ulusal siber güvenlik alanında
temel referans kurumlardır. Ancak bu yapılar birebir eşdeğer değildir.
Türkiye Başkanlığı; doğrudan Cumhurbaşkanlığına bağlı, hem düzenleyici
hem operasyonel karma bir yapıdır. CISA; ABD İç Güvenlik Bakanlığı
(DHS) bünyesinde operasyonel bir federal ajanstır ve Binding
Operational Directive yayımlama yetkisine sahiptir. NCSC; GCHQ
bünyesinde teknik otoritedir ve bağlayıcı direktif yayımlamaz.
ANSSI; Fransa Başbakanlığı SGDSN altında konumlanan ulusal siber
güvenlik ajansıdır ve OIV rejiminde bağlayıcı talimat yayımlama
yetkisine sahiptir. BSI; Almanya İçişleri Bakanlığı bünyesinde,
BSI-Gesetz’e dayalı düzenleyici yetkiye sahip federal ofistir.
Aşağıdaki karşılaştırma tabloları; bu yapıların kuruluş, hukuki
dayanak, kritik altyapı rolü, düzenleyici yetki ve sertifikasyon
işlevleri bakımından farklarını özetlemektedir.
- Neden karşılaştırma?
- Temel karşılaştırma tablosu
- Türkiye Cumhurbaşkanlığı Siber Güvenlik Başkanlığı
- ABD CISA
- Birleşik Krallık NCSC
- Fransa ANSSI
- Almanya BSI
- Kritik altyapı rolü karşılaştırması
- Düzenleyici yetki karşılaştırması
- Sertifikasyon rolü karşılaştırması
- Sonuç: Türkiye modelinin konumu
- Sıkça sorulan sorular
- Kaynaklar ve doğrulama notu
Neden karşılaştırma?
Ulusal siber güvenlik kurumları; hukuki modelleri, bağlı oldukları
bakanlık, düzenleyici yetkileri ve kritik altyapı üzerindeki rolleri
bakımından ciddi farklılıklar taşımaktadır. Farklı ülkelerdeki
kurumların birbirinin eşdeğeri gibi sunulması; yanlış politika
karşılaştırmalarına ve yanlış kurumsal beklentilere yol açmaktadır.
Örneğin ABD’deki CISA’nın Binding Operational Directive yayımlama
yetkisi; Birleşik Krallık NCSC’de bulunmamaktadır. Fransa’daki ANSSI;
Başbakanlığa bağlı bir ajans olmasına karşın Almanya’daki BSI
İçişleri Bakanlığı bünyesindedir.
Türkiye Cumhurbaşkanlığı
Siber
Güvenlik Başkanlığı ise 8 Ocak 2025 tarih ve 177 sayılı
Cumhurbaşkanlığı Kararnamesi ile kurulmuş, 19 Mart 2025 tarihli 7545
sayılı Siber Güvenlik Kanunu ile hukuki çerçevesi güçlendirilmiş bir
yapıdır. Başkanlık; doğrudan Cumhurbaşkanlığına bağlıdır ve hem
düzenleyici hem operasyonel bir görev alanında konumlanmıştır. Bu
karşılaştırma; Türkiye Başkanlığının uluslararası kurumlarla nasıl
bir çerçevede benzeştiğini ve nerelerde ayrıştığını sistematik olarak
sunmaktadır.
Temel karşılaştırma tablosu
| Boyut | Siber Güvenlik Başkanlığı (Türkiye) | CISA (ABD) | NCSC (Birleşik Krallık) | ANSSI (Fransa) | BSI (Almanya) |
|---|---|---|---|---|---|
| Kuruluş | 8 Ocak 2025 (CBK 177) | 16 Kasım 2018 (CISA Act) | 3 Ekim 2016 | 7 Temmuz 2009 (Kararname 2009-834) | 1 Ocak 1991 (BSI-Errichtungsgesetz) |
| Bağlı olduğu makam | Cumhurbaşkanlığı | ABD İç Güvenlik Bakanlığı (DHS) | GCHQ (istihbarat teşkilatı) | Fransa Başbakanlığı SGDSN | Almanya Federal İçişleri Bakanlığı (BMI) |
| Kurumsal yapı | Doğrudan Cumhurbaşkanlığına bağlı Başkanlık | Federal operasyonel ajans | GCHQ bünyesinde teknik otorite | Başbakanlığa bağlı sivil ajans | Federal ofis (Bundesoberbehörde) |
| Hukuki dayanak | CBK 177; 7545 sayılı Kanun (19 Mart 2025) | Cybersecurity and Infrastructure Security Agency Act (2018) | Ulusal Siber Güvenlik Stratejisi 2016-2021; NIS Regulations 2018 | 2009-834 sayılı Kararname; LPM 2013; SREN 2024 | BSI-Errichtungsgesetz 1990; BSI-Gesetz; IT-SiG 2.0 (2021) |
| Merkez | Ankara | Arlington, Virginia | Londra (ve Cheltenham/GCHQ) | Paris | Bonn |
| Bağlayıcı direktif yayımlama | 7545 sayılı Kanun kapsamında ikincil düzenleme | Binding Operational Directive; Emergency Directive | Yok (teknik rehberlik ve koordinasyon) | OIV rejimi kapsamında bağlayıcı talimatlar | BSI-Gesetz kapsamında teknik yönergeler ve bildirim eşikleri |
| Ulusal CSIRT rolü | USOM ile koordinasyon | CISA JCDC / CSIRT işlevi | NCSC merkezî CSIRT | ANSSI CERT-FR | BSI CERT-Bund |
| Sertifikasyon rolü | 7545 sayılı Kanun kapsamında; TÜBİTAK BİLGEM Ortak Kriterler işbirliği | Doğrudan sertifikasyon otoritesi değil; FedRAMP ve NIST çerçevesi | Cyber Essentials; Cyber Essentials Plus | Common Criteria; ANSSI Qualified etiketleri; SecNumCloud | BSI Grundschutz; TR (Teknik Yönerge) serisi; C5 bulut denetimi |
Türkiye Cumhurbaşkanlığı Siber Güvenlik Başkanlığı
Türkiye Cumhurbaşkanlığı
Siber
Güvenlik Başkanlığı; 8 Ocak 2025 tarihli 177 sayılı Cumhurbaşkanlığı
Kararnamesi ile kurulmuştur. Başkanlığın hukuki çerçevesi; 19 Mart 2025
tarihli
7545
sayılı Siber Güvenlik Kanunu ile güçlendirilmiştir. Başkanlık;
doğrudan Cumhurbaşkanlığına bağlıdır ve
Siber
Güvenlik Kurulu sekretaryasını yürütmektedir. 5 Mayıs 2026 Kurul
kararlarında Türkiye’nin
kritik
altyapı sektörleri tanımlanmış, sektörel siber güvenlik yükümlülük
çerçevesi belirlenmiştir. Başkanlığın operasyonel siber koordinasyonu;
USOM ve sektörel
SOME‘ler
üzerinden yürütülmektedir.
ABD CISA
CISA (Cybersecurity
and Infrastructure Security Agency); 16 Kasım 2018 tarihli
Cybersecurity and Infrastructure Security Agency Act ile ABD İç
Güvenlik Bakanlığı (Department of Homeland Security, DHS) bünyesinde
federal ajans olarak kurulmuştur. Ajans; federal sivil kurumlar için
Binding Operational Directive ve Emergency Directive yayımlama yetkisine
sahiptir. Known Exploited Vulnerabilities (KEV) kataloğu, Joint Cyber
Defense Collaborative (JCDC) yapısı, çok uluslu ortak siber güvenlik
uyarıları ve kritik altyapı sektör risk yönetim ajansı görevleri
merkezî işlevleri arasındadır.
Birleşik Krallık NCSC
NCSC; 3 Ekim 2016
tarihinde Hükümet İletişim Merkezi (Government Communications
Headquarters, GCHQ) bünyesinde operasyonel duruma geçen ulusal siber
güvenlik teknik otoritesidir. Bağlayıcı direktif yayımlama yetkisine
sahip değildir. Active Cyber Defence programı, Cyber Essentials
sertifikasyon şeması, NCSC Annual Review ve Weekly Threat Report
yayınları ile NIS Regulations 2018 kapsamında tek temas noktası ve
merkezî CSIRT rolü öne çıkan işlevleridir.
Fransa ANSSI
ANSSI (Agence nationale de la sécurité des systèmes d’information);
7 Temmuz 2009 tarihli 2009-834 sayılı Kararname ile Fransa
Başbakanlığı bünyesindeki Savunma ve Ulusal Güvenlik Genel Sekreterliği
(Secrétariat général de la défense et de la sécurité nationale, SGDSN)
altında kurulmuştur. 2013 tarihli Askerî Programlama Kanunu (Loi de
programmation militaire, LPM); ANSSI’ya opérateurs d’importance vitale
(OIV, hayati önem taşıyan operatör) rejimi çerçevesinde bağlayıcı
talimat yayımlama ve yükümlülük denetleme yetkisi vermiştir. Ajans;
CERT-FR ulusal olay müdahale ekibini yürütmekte, Common Criteria ve
ANSSI Qualified sertifikasyon çerçevelerini işletmekte, SecNumCloud
bulut güvenlik referans çerçevesini yayımlamaktadır. 2024 tarihli
SREN (Sécuriser et réguler l’espace numérique) Kanunu; ANSSI’nın
görev alanını yeni dijital düzenlemeler kapsamında genişletmiştir.
Almanya BSI
BSI (Bundesamt für Sicherheit in der Informationstechnik); 1 Ocak
1991 tarihinde BSI-Errichtungsgesetz ile Almanya Federal İçişleri
Bakanlığı (Bundesministerium des Innern, BMI) bünyesinde federal
ofis olarak kurulmuştur. BSI-Gesetz; ofisin görev ve yetkilerini
tanımlar; 2015’te IT-Sicherheitsgesetz ve 2021’de IT-Sicherheitsgesetz
2.0 ile KRITIS (kritische Infrastrukturen) rejimi güncellenmiş, olay
bildirim eşikleri ve tedarik zinciri güvenliği yükümlülükleri
sıkılaştırılmıştır. BSI; CERT-Bund federal olay müdahale ekibini
yürütmekte, BSI Grundschutz metodolojisini, TR (Teknik Yönerge) serisini
ve C5 bulut güvenlik denetim çerçevesini yayımlamaktadır. NIS2
Direktifi’nin Alman ulusal hukukuna aktarımı olan NIS2UmsuCG
düzenlemesinin uygulamasında BSI ana yetkili otoritedir.
Kritik altyapı rolü karşılaştırması
| Ülke | Kritik altyapı çerçevesi | Ana kurum |
|---|---|---|
| Türkiye | 7545 sayılı Kanun; 5 Mayıs 2026 Siber Güvenlik Kurulu kararları (14 sektör) | Siber Güvenlik Başkanlığı; USOM; sektörel SOME’ler |
| ABD | Presidential Policy Directive 21 (PPD-21) ile 16 kritik altyapı sektörü | CISA (Sector Risk Management Agency olarak birden fazla sektörde); diğer sektörler için ilgili federal ajanslar |
| Birleşik Krallık | NIS Regulations 2018; 13 kritik ulusal altyapı (Critical National Infrastructure, CNI) sektörü | NCSC (tek temas noktası, CSIRT); sektörel Competent Authority’ler (Ofgem, DfT, NHS, FCA, BoE, ICO gibi) |
| Fransa | LPM 2013 OIV rejimi; NIS ve NIS2 aktarımı SIIV/EE rejimleri | ANSSI; sektörel bakanlıklar (enerji, ulaştırma, sağlık, finans, savunma) |
| Almanya | IT-Sicherheitsgesetz 2.0 ve NIS2UmsuCG; KRITIS sektörleri | BSI; sektörel yetkili otoriteler (BNetzA, BaFin, BAG gibi) |
Düzenleyici yetki karşılaştırması
| Yetki | Başkanlık (TR) | CISA (ABD) | NCSC (BK) | ANSSI (FR) | BSI (DE) |
|---|---|---|---|---|---|
| Bağlayıcı direktif yayımlama | 7545 kapsamında ikincil düzenleme | BOD ve ED | Yok | OIV kapsamında bağlayıcı talimat | Bildirim eşikleri ve teknik yönergeler |
| Zorunlu olay bildirim | Var (7545) | Var (CIRCIA 2022) | Var (NIS Regulations 2018) | Var (LPM ve NIS2 aktarımı) | Var (IT-SiG 2.0 ve NIS2UmsuCG) |
| Denetim ve idari yaptırım | Var (7545) | CIRCIA yaptırım süreçleri; sektörel ajanslar üzerinden | Sektörel Competent Authority’ler üzerinden | Var (ANSSI ve sektörel bakanlıklar) | Var (BSI ve sektörel yetkili otoriteler) |
| Tedarikçi ve ürün yasağı | 7545 kapsamında değerlendirme | Federal alım yasakları; ICTS kuralları | Ulusal Güvenlik ve Yatırım Kanunu 2021 ile hükümet düzeyinde | OIV ve SecNumCloud çerçevesinde | BSI-Gesetz 9b (kritik bileşen bildirim ve yasak) |
| Ulusal siber tatbikat | Ulusal Siber Kalkan; NATO tatbikatlarına katılım | Cyber Storm (iki yılda bir) | NATO Locked Shields’a katkı; ulusal tatbikatlar | DEFNET; NATO tatbikatları | LÜKEX; NATO tatbikatları |
Sertifikasyon rolü karşılaştırması
| Sertifikasyon | Başkanlık (TR) | CISA (ABD) | NCSC (BK) | ANSSI (FR) | BSI (DE) |
|---|---|---|---|---|---|
| Temel siber güvenlik sertifikasyonu | 7545 sayılı Kanun; ilgili yönetmelikler | Yok (federal düzeyde) | Cyber Essentials; Cyber Essentials Plus | SecNumCloud (bulut); ANSSI Qualified etiketleri | BSI Grundschutz; C5 bulut denetimi |
| Common Criteria | TÜBİTAK BİLGEM Ortak Kriterler Sertifikasyon Merkezi | NIAP CCEVS | CSEC (CESG); Cyber Essentials’tan bağımsız | ANSSI CC şeması (dünyada en aktif üç şemadan biri) | BSI CC şeması |
| Bulut güvenliği referans çerçevesi | 7545 kapsamında değerlendirme; TÜBİTAK BİLGEM | FedRAMP | NCSC Cloud Security Guidance | SecNumCloud (egemenlik dahil) | C5 |
| AB düzeyinde sertifikasyon rolü | AB üyesi değil; dolaylı etki | — | AB üyesi değil; ikili ilişki | EUCC ve EUCS’nin en aktif üye devlet paydaşları arasında | EUCC ve EUCS’nin en aktif üye devlet paydaşları arasında |
Sonuç: Türkiye modelinin konumu
Türkiye Siber Güvenlik Başkanlığı; kurumsal statü, hukuki dayanak
ve görev alanı bakımından yukarıdaki dört yapının doğrudan eşdeğeri
değildir. Doğrudan Cumhurbaşkanlığına bağlı olması yönüyle Fransa
ANSSI’nın Başbakanlığa bağlı yapısına, hem düzenleyici hem operasyonel
işlev taşıması yönüyle ABD CISA’ya, kritik altyapı sektörleri için
merkezî çerçeve yayımlaması yönüyle Almanya BSI’ya, teknik rehberlik
ve koordinasyon rolü yönüyle Birleşik Krallık NCSC’ye
benzemektedir.
Bu açıdan Türkiye modeli; farklı ulusal deneyimlerden alınan
unsurları birleştiren özgün bir çerçevedir. 7545 sayılı Siber
Güvenlik Kanunu; bu çerçevenin hukuki temelini oluşturmakta ve
Başkanlığa hem düzenleyici hem operasyonel yetkileri bir arada
tanımlamaktadır. Türkiye’nin uluslararası konumu; NATO müttefikleri
ve AB komşuluk çerçevesinde
CISA,
NCSC ve
ENISA ile teknik
iş birliği kanalları üzerinden geliştirilmektedir.
Sıkça sorulan sorular
Ulusal siber güvenlik kurumları neden karşılaştırılır?
Türkiye Siber Güvenlik Başkanlığı; CISA’ya mı yoksa NCSC’ye mi daha yakın?
Hangi ülkede kritik altyapı işletmecisi için en katı düzenleme var?
Bu kurumlardan hangilerinin bağlayıcı direktif yayımlama yetkisi vardır?
Sertifikasyon rolü hangi kurumlarda öne çıkıyor?
Türkiye NIS2 direktifiyle uyumlu mu?
Kaynaklar ve doğrulama notu
- T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı — 177 sayılı Cumhurbaşkanlığı Kararnamesi (8 Ocak 2025).
- 7545 sayılı Siber Güvenlik Kanunu (Resmî Gazete, 19 Mart 2025).
- 5 Mayıs 2026 Siber Güvenlik Kurulu kararları — Türkiye kritik altyapı sektörleri listesi.
- Cybersecurity and Infrastructure Security Agency Act (ABD, 2018).
- Presidential Policy Directive 21 (ABD) — Kritik altyapı sektörleri çerçevesi.
- Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA, ABD, 2022).
- Birleşik Krallık Ulusal Siber Güvenlik Stratejisi 2016-2021 ve Ulusal Siber Strateji 2022.
- Network and Information Systems Regulations 2018 (UK SI 2018 No. 506).
- Fransa 2009-834 sayılı Kararname (7 Temmuz 2009) — ANSSI’nın kuruluşu.
- Loi de programmation militaire 2013 (Fransa) — OIV rejimi.
- Loi SREN 2024 (Fransa) — dijital düzenlemelerin genişletilmesi.
- BSI-Errichtungsgesetz 1990 ve BSI-Gesetz (Almanya).
- IT-Sicherheitsgesetz 2.0 (2021) ve NIS2UmsuCG (Almanya).
- Directive (EU) 2022/2555 (NIS2) — AB üye devletlerinde ulusal aktarım referansı.
Bu içerikteki karşılaştırma; yalnızca ilgili ülkelerin kamuya açık resmî belgeleri, mevzuat metinleri ve kurumsal yayınlarına dayanmaktadır. Kurumsal statü, kuruluş tarihi ve yetki çerçevesi bilgileri; ilgili kurumların kendi web sitelerinden ve ulusal yasama belgelerinden derlenmiştir. Türkiye çerçevesi için 7545 sayılı Kanun’un Resmî Gazete metni ve Siber Güvenlik Başkanlığının kurumsal duyuruları esas alınmıştır. Envanter Medya bu içerikte hedef sisteme yönelik istismar kodu, payload veya sistem aşma adımı paylaşmamıştır.
Son güncelleme: 15 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.
