Veri İhlali Yaşadık, Ne Yapmalıyız? İlk 72 Saatin Saat Saat Kriz Rehberi (2026)
İhlal anında yapılan ilk hatalar, cezadan pahalıya mal olur: sistemi formatlamak delilleri yok eder, olayı gizlemek bildirim süresini kaçırtır, panikle herkese duyurmak hukuki stratejiyi çökertir. Doğru akış saat esaslıdır. İlk 0-4 saat: etkilenen sistemleri ağdan izole edin ancak kapatıp formatlamayın; log kayıtlarını ve adli kopyaları koruyun; müdahale ekibini toplayın. 4-24. saat: ihlalin kaynağını, etkilenen veri kategorilerini, kişi ve kayıt sayısını tespit edin; özel nitelikli veri ve yurt dışı boyutunu işaretleyin; hukuki değerlendirmeyi başlatın. 24-48. saat: Kişisel Veri İhlali Bildirim Formunu eldeki verilerle doldurun, tedbir listesini yazın. 48-72. saat: Kurula bildirimi tamamlayın; süreyi son saate bırakmayın. 72 saat sonrası: ilgili kişileri makul en kısa sürede bilgilendirin, ihlal kayıt defterini işleyin, kök neden analizini ve kalıcı düzeltmeleri yapın; saldırgan biliniyorsa veya dış saldırı varsa TCK kapsamında suç duyurusunda bulunun, sözleşmesel bildirimler (müşteriler, sigorta) ile sektör düzenleyicisi bildirimlerini tamamlayın.
İlk Refleks: Yapılmaması Gereken 5 Şey
Kriz masasında en sık gördüğümüz beş hata: 1) sistemi formatlayıp “temizledik” demek (deliller ve kapsam tespiti yok olur); 2) olayı yönetim katında gizleyip bildirimi geciktirmek; 3) log kayıtlarını silmek veya üzerine yazmak; 4) koordinasyonsuz açıklamalarla çelişkili beyan üretmek; 5) saldırganla pazarlığı hukuk ve kolluk devre dışı yürütmek. Bu hataların her biri; 6698 sayılı Kanun m.12 sorumluluğunu ağırlaştırır, bazıları delil karartma boyutuyla ceza riski doğurur. Bildirimin usul kuralları 72 saat veri ihlali bildirimi yazımızda; bu rehber, o kurallara yetişmenin operasyon planıdır.
Saat 0-4: İzolasyon ve Delil Koruma
İlk Müdahale
İzole et, koru, toplan
Etkilenen sistemler ağdan ayrılır; hesap ve erişim anahtarları askıya alınır; log kayıtları ve disk imajları adli standartta yedeklenir; olay saati itibarıyla zaman çizelgesi tutulmaya başlanır. Müdahale ekibi (olay yöneticisi, IT, hukuk, iletişim, yönetim) toplanır ve tek kayıt kanalı açılır. Bu dört saatin kalitesi, kalan yetmiş saatin tamamını belirler; ekipsiz ve plansız yakalanmamak için müdahale planı ve tatbikat rehberimizi olay öncesinde uygulayın.
Saat 4-24: Kapsam Tespiti ve Hukuki Analiz
Teknik ekip; giriş vektörünü, hareket izini ve dışarı çıkan veri kümelerini belirlerken, hukuk ekibi paralel üç soruyu cevaplar: etkilenen veri kategorileri neler ve özel nitelikli veri var mı; etkilenen kişi ve kayıt sayısı hangi aralıkta; yurt dışı aktarım veya yurt dışı işleyen boyutu var mı? Özel nitelikli veri işareti, hem Kurul takdirini hem kişi bildiriminin aciliyetini büyütür. Veri işleyen kaynaklı olaylarda sözleşmedeki ihlal bildirim maddeleri işletilir ve işleyenden yazılı olay raporu istenir; zincirin kurgusu için yurt dışına veri aktarımı rehberine bakınız.
Avukata Sor
İhlal Anı Kriz Desteği ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Saat 24-48: Bildirim Formunun Hazırlanması
Form Disiplini
Eldeki veriyle yaz, tahmini işaretle
Kişisel Veri İhlali Bildirim Formu; zaman çizelgesi, kaynak, etkilenen kategoriler, kişi-kayıt sayısı tahmini, olası sonuçlar ve tedbirlerle doldurulur. Netleşmeyen alanlar tahmin olarak işaretlenir ve aşamalı bildirimle güncellenir; formda verilen her bilgi, sonraki incelemenin ölçütü olacağından abartısız ve savunulabilir yazılmalıdır. Tedbir bölümü, alınmış ve planlanmış adımları ayırmalı; “planlıyoruz” yazılan her kalem için takvim tutulmalıdır.
Saat 48-72: Kurula Bildirim
Takvim Disiplini
72. saat hedef değil, son çizgidir
Süre saat esasıyla işler ve hafta sonu durmaz; cuma akşamı öğrenilen ihlalin takvimi pazartesi başlamaz. Sağlıklı hedef, bildirimi 48. saat civarında tamamlayıp kalan süreyi güncellemelere ayırmaktır; son geceye kalan dosyalarda imza, KEP ve form aksaklıkları telafisiz süre aşımı üretir.
Bildirim son saate bırakılmaz: teknik aksaklık, imza ve evrak gecikmeleri 72 saatlik sürede mazeret değildir. Bildirimin yapıldığına dair kayıtlar (gönderi, teslim, sistem çıktısı) dosyalanır; sektör düzenleyicisine paralel bildirim gereken hallerde (bankacılık, sigorta, sağlık) takvim birlikte yürütülür, katmanlı rejim için sektörel KVKK uyumu yazımıza bakınız. Adli makam kısıtı gibi nedenlerle gecikilmişse gerekçe belgeleriyle sunulur.
72 Saat Sonrası: Kişi Bildirimi ve Kayıt
İlgili kişiler makul en kısa sürede, sade ve koruyucu öneriler içeren metinle bilgilendirilir; ulaşılamayanlar için web sitesi ilanı yapılır. İhlal kayıt defteri işlenir, kök neden analizi tamamlanır ve kalıcı düzeltmeler (yama, erişim mimarisi, eğitim tekrarı, imha disiplini) takvimlenir; saklama fazlalığı ihlalin etkisini büyütmüşse saklama ve imha politikası gözden geçirilir. Etkilenen kişilerden gelecek başvurular 30 günlük sürede yanıtlanmalıdır; bu başvuruların şikayete dönüşme zinciri KVKK şikayeti nasıl yapılır rehberinde anlatılmıştır.
Saldırgana Karşı: Suç Duyurusu Cephesi
Mağdur Konumunu Resmileştirin
TCK 243-245 ve iç fail senaryosu
Dış saldırılarda; bilişim sistemine girme (m.243), sistemi engelleme-bozma ve verileri yok etme-değiştirme (m.244) suçlarından savcılığa suç duyurusu yapılır; ödeme kartı verilerinde m.245 eklenir. İç faillerde kişisel verilere karşı suçlar devreye girer; log ve imaj delilleri iki cephenin de temelidir. Suç duyurusu; şirketin mağdur konumunu resmileştirir, Kurul ve tazminat cephelerindeki savunmayı güçlendirir. Kişisel verilere karşı suçların haritası için ilgili ceza hukuku yazılarımıza, ihlalden etkilenen bireylerin hakları için kişisel verilerim izinsiz paylaşıldı rehberimize bakınız.
Sözleşme, Sigorta ve İtibar Yönetimi
Üçüncü Cephe
Bildirim yükümlülükleri Kurulla bitmez
Kurumsal müşterilerle imzalı veri işleme sözleşmeleri çoğunlukla ihlalin belirli saatler içinde müşteriye bildirilmesini şart koşar; gecikme, sözleşmesel tazminat doğurur. Siber sigorta poliçesinin derhal ihbar şartı işletilir; onaylı hizmet sağlayıcı listesi kontrol edilir. İtibar cephesinde tek sözcü, tek metin ilkesi uygulanır: Kurul bildirimi, kişi bildirimi ve kamuoyu açıklaması birbiriyle tutarlı olmalıdır. Kriz kapanınca yapılacak en değerli yatırım, olaydan çıkan derslerle planın ve eğitimin güncellenmesidir; döngü için KVKK uyum süreci ana rehberimize dönünüz.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
İhlal Anı Kriz Desteği ve Avukat Desteği
İhlal şüphesi anından itibaren sürecin hukuki yönetimi, bildirimlerin hazırlanması ve sorumluluk stratejiniz için hızlı destek sağlıyoruz.
Sık Sorulan Sorular
İhlali fark ettik; sistemi hemen kapatalım mı?
Etkilenen sistemleri ağdan izole edin; ancak kapatma, silme ve yeniden kurulum kararlarını adli kopya alınmadan vermeyin. Ani kapatma bazı saldırı türlerinde uçucu bellekteki delilleri yok eder; formatlama ise hem ihlalin kapsamını tespit imkanını hem savunmanızı ortadan kaldırır. Doğru sıra: izolasyon, log ve imaj koruması, sonra temizlik. Fidye yazılımında şifreli sistemlerin görüntüsü alınmadan müdahale edilmemesi özellikle önemlidir; adli bilişim desteği ilk saatlerde devreye girmelidir.
72 saati kaçırırsak bildirim yapmayalım mı?
Kesinlikle yapın. Geç bildirim, gerekçesiyle birlikte sunulduğunda yalnızca gecikme yönünden değerlendirilir; hiç bildirmemek ise ihlal başka kanaldan öğrenildiğinde (şikayet, basın, saldırganın verileri yayması) hem güvenlik hem bildirim kusurunu birleştirir ve en ağır takdirlere yol açar. Gecikme gerekçesi somut olmalıdır: kapsamın teknik olarak geç netleşmesi, adli soruşturma kısıtları gibi. ‘Hukuki değerlendirme uzun sürdü’ tek başına gerekçe kabul görmez; değerlendirme, aşamalı bildirimle paralel yürütülebilir.
Çalışanlarımıza ve basına ne zaman, ne söylemeliyiz?
İç iletişimde bilmesi gereken prensibi uygulayın: müdahale ekibi dışındaki çalışanlara, soruşturmayı ve delilleri riske atmayacak sınırlı bilgi verilir; müşteriyle temas eden ekiplere ise ilgili kişi sorularına verilecek onaylı cevap metni dağıtılır. Basın açıklaması; Kurul bildirimi ve ilgili kişi bilgilendirmesiyle tutarlı, hukuk onayından geçmiş tek metin üzerinden yapılmalıdır. Çelişkili açıklamalar, hem Kurul nezdinde hem tazminat davalarında aleyhe delil olur; iletişim yetkisinin tek elde toplanması bu yüzden plan unsurudur.
Saldırganı bulursak ne yapabiliriz?
İki cephe açılır. Ceza cephesi: bilişim sistemine girme (TCK m.243), sistemi engelleme-bozma ve verileri yok etme veya değiştirme (m.244) ile koşullarına göre banka-kredi kartlarına ilişkin m.245 kapsamında savcılığa suç duyurusu; iç faillerde kişisel verileri ele geçirme ve yayma suçları da gündeme gelir. Hukuk cephesi: saldırgan veya kusurlu iç fail aleyhine maddi ve manevi tazminat ile iş hukuku yaptırımları. Suç duyurusu, veri sorumlusunun mağdur konumunu resmileştirerek Kurul nezdindeki savunmayı da destekler; log ve imaj delilleri bu dosyanın temelidir.
Siber sigortamız var; süreç değişir mi?
Sigorta, mali riski devreder ama hukuki yükümlülükleri devretmez: 72 saatlik Kurul bildirimi, ilgili kişi bilgilendirmesi ve kayıt defteri yükümlülükleri aynen sizdedir. Poliçelerin çoğu, sigortacıya derhal ihbar ve onaylı hizmet sağlayıcılarla (adli bilişim, hukuk, PR) çalışma şartı içerir; ihbarın gecikmesi teminatı düşürebilir. Bu nedenle müdahale planına sigorta ihbar hattı ve poliçe şartları işlenmelidir. Sigortacının yönlendirdiği süreç ile KVKK takviminin çelişmesi halinde kanuni süreler önceliklidir; teminat tartışması sonraya kalır.
