Siber Güvenlik Başkanlığı'na Devredilen İnternet Yetkileri:
7590 Sayılı Kanun'la Ne Değişti?

Bir Gecede Değişen Muhatap

Bir hosting firması, veri merkezi işletmecisi veya internet servis sağlayıcısı için bir erişim engelleme kararının kimden geldiği, kâğıt üzerinde bir ayrıntı gibi görünür. Oysa uygulamada bu ayrıntı; kararın hangi mevzuata göre verildiğini, kaç saat içinde yerine getirilmesi gerektiğini, uyulmaması hâlinde hangi idari para cezasının uygulanacağını ve itirazın hangi mercie yapılacağını belirler. 31 Temmuz 2026 tarihli Resmî Gazete'de yayımlanan 7590 sayılı Kanun, işte tam da bu muhatabı değiştirdi.

Kısaca özetlemek gerekirse: internet ortamına ilişkin olarak yıllardır Bilgi Teknolojileri ve İletişim Kurumu (BTK) bünyesinde kullanılan görev ve yetkilerin önemli bir bölümü, Siber Güvenlik Başkanlığı'na devredildi. Bu yazıda, devrin hangi kanunlar üzerinden ve hangi tekniklerle gerçekleştirildiğini; kaldırılan ve yerine getirilen hükümleri; anayasal güvencelerin durumunu ve yükümlü kişiler bakımından pratik sonuçları ele alıyoruz.

Kısa Kronoloji: 7545'ten 7590'a

• 19.03.2025: 7545 sayılı Siber Güvenlik Kanunu, 32846 sayılı Resmî Gazete'de yayımlandı. Kanun, Siber Güvenlik Başkanlığı ile Siber Güvenlik Kurulu'nu kurdu; görev ve yetkilerini m.5 ve m.6'da düzenledi. Ancak internet ortamına ilişkin operasyonel yetkilerin çoğu hâlâ BTK'daydı.
• 24.07.2026: 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun kabul edildi.
• 31.07.2026: Kanun, 33326 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi. Devir hükümlerini içeren 21, 26 ve 27. maddeler bu tarihte hüküm ifade etmeye başladı.

Yani 7590, yeni bir kurum kurmuyor; 2025'te kurulan kurumun elini, dağınık hâlde duran yetkileri tek çatı altında toplayarak dolduruyor. Devir üç ayrı kanun üzerinden, üç farklı teknikle yapılmış.

Devrin Birinci Ayağı: 5651'de Tanım Değişikliği

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un erişim engelleme mimarisi, büyük ölçüde "Başkan" ve "Kurum" kavramları üzerine kuruludur. 7590'ın 27. maddesi, bu kavramların içini boşaltıp yeniden doldurdu:

• 5651 m.2/1-(c) uyarınca "Başkan" artık Siber Güvenlik Başkanı anlamına gelir.
• Aynı maddeye eklenen (v) bendiyle "Başkanlık: Siber Güvenlik Başkanlığı" tanımı getirilmiş; Kanun metninin çok sayıda fıkrasında yer alan "Kurum" ibareleri "Başkanlık" şeklinde değiştirilmiştir.
• BTK'nın 5651 kapsamındaki bazı görevlerini düzenleyen m.10/3 ve m.10/5 yürürlükten kaldırılmıştır.

Devrin İkinci Ayağı: EHK'ye Eklenen m.60/A

7590'ın 21. maddesiyle 5809 sayılı Elektronik Haberleşme Kanunu'na "Başkanlığın yetkisi ve idari yaptırımlar" başlıklı yeni bir 60/A maddesi eklendi. Bu madde, Başkanlığa üç ayrı yetki kümesi veriyor:

• İnternet alan adları (m.60/A-1): Alan adlarına ilişkin strateji ve politikaları belirlemeye ve düzenleme yapmaya Başkanlık yetkilidir.
• Gecikmesinde sakınca bulunan hâllerde tedbir (m.60/A-2): Anayasa'nın 22. maddesinde sayılan sebeplerden birine veya birkaçına bağlı olarak Başkanlık, güvenlik ve istihbarat kurumlarının talebi üzerine veya re'sen alınması gereken tedbirleri belirleyebilir; kararı işletmecilere, erişim sağlayıcılara, veri merkezlerine ve ilgili içerik ve yer sağlayıcılara derhâl bildirir.
• İdari para cezası (m.60/A-3): Bu Kanundaki görev ve yetkilerle ilgili yükümlülüğünü yerine getirmeyenlere, ihlal teşkil eden eylem başına 20.000 TL'den 100.000 TL'ye kadar idari para cezası verilebilir.

Kaldırılan m.60/10 ile Yeni m.60/A-2 Arasındaki Fark

Yeni hüküm boşluğa doğmadı: 7590'ın 27. maddesiyle, aynı işlevi gören ve 2016 tarihli 671 sayılı KHK'den gelen EHK m.60/10 yürürlükten kaldırıldı. İki metin karşılaştırıldığında, usul güvenceleri aynen korunmuş; buna karşılık kararı üreten mercii ile tetikleyici mekanizma değişmiştir:

• Tedbiri belirleyen: Eskiden Cumhurbaşkanlığı belirler, Kurum'a bildirir, Kurum Başkanı işletmecilere iletirdi. Yeni düzenlemede tedbiri doğrudan Başkanlık belirler ve bildirir.
• Tetikleyici: Eskiden yalnızca Cumhurbaşkanlığının gerekli görmesi. Yeni düzenlemede güvenlik ve istihbarat kurumlarının talebi veya Başkanlığın re'sen hareket etmesi.
• Süreler (değişmedi): Kararın gereği, bildirim anından itibaren en geç iki saat içinde yerine getirilir. Karar 24 saat içinde sulh ceza hâkiminin onayına sunulur; hâkim kararını 48 saat içinde açıklar, aksi hâlde karar kendiliğinden kalkar.

Hukuken kritik nokta budur: idari tedbir önce uygulanır, yargısal denetim sonra gelir. Bu model yeni değildir; ancak eskiden istisnai ve üst düzey siyasi karara bağlı olan yetkinin, artık daimî bir idari birim tarafından re'sen kullanılabilmesi, denetimin ağırlığını tümüyle sulh ceza hâkimliği aşamasına yüklemektedir.

Devrin Üçüncü Ayağı: 7545'e Eklenen Yetki ve Geçiş Hükmü

7590'ın 27. maddesiyle Siber Güvenlik Kanunu m.6/1'e eklenen (i) bendi uyarınca Başkanlık, artık "kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlamak ve bu konuda gerekli düzenlemeleri yapmak" yetkisine sahiptir. Yasal dinlemenin teknik altyapısının hangi kurumda duracağı, iletişimin gizliliği bakımından başlı başına bir meseledir.

Devrin fiilî yürütümü ise 7590'ın 26. maddesiyle eklenen 7545 sayılı Kanun'un geçici 2. maddesinde düzenlenmiştir:

• Başkanlık ikincil düzenlemeleri çıkarana kadar mevcut düzenlemeler uygulanmaya devam eder; bu düzenlemelerde BTK'ya ve Telekomünikasyon İletişim Başkanlığına yapılan atıflar Siber Güvenlik Başkanlığına yapılmış sayılır (geçici m.2/1).
• Devredilen görev ve yetkilerde kullanılan bilgi işlem altyapısı, sistemler, veri merkezleri, kayıt ve dokümanlar ile bunlardan doğan hak ve yükümlülükler üç ay içinde devredilir; devam eden dava ve icra takiplerinde Başkanlık taraf sıfatını kazanır (geçici m.2/2).
• İlgili BTK personeli, talep ve muvafakat şartıyla Başkanlıkta görevlendirilebilir ve bir yıl içinde atanabilir (geçici m.2/3).

Anayasal Çerçeve ve Yargısal Denetim

EHK m.60/A-2, dayanağını doğrudan Anayasa m.22'de (haberleşme hürriyeti) sayılan sınırlama sebeplerinden alır. Anayasa m.22/2 uyarınca bu hürriyet ancak kanunla ve usulüne göre verilmiş hâkim kararıyla; gecikmesinde sakınca bulunan hâllerde ise kanunla yetkili kılınan merciin yazılı emriyle sınırlanabilir ve bu karar 24 saat içinde hâkim onayına sunulur. Yeni hüküm bu şemayı takip etmektedir.

İnternet erişimine yönelik idari tedbirlerin anayasal sınırları, Anayasa Mahkemesi'nin norm denetimi kararlarıyla da şekillenmiştir. 5651'in resmî metnine işlenmiş hâliyle iki karar bu bakımdan yönlendiricidir:

• AYM, E.2015/76, K.2017/153, 15/11/2017 — 5651 m.8/4'ün birinci cümlesindeki "içerik veya yer sağlayıcısının yurt dışında bulunması hâlinde…" ve re'sen erişimin engellenmesine ilişkin ibareler, m.8/1-(a)-(5) yönünden iptal edilmiştir (RG: 7/2/2018 – 30325).
• AYM, E.2020/76, K.2023/172, 11/10/2023 — 5651 m.8/4'ün birinci cümlesinde yer alan "…içeriğin çıkarılması ve/veya…" ibaresi iptal edilmiştir.

Bu kararların ortak çizgisi, tedbirin ölçülü ve ihlalle sınırlı olması gereğidir. Nitekim 5651 m.8/A-3 de erişim engellemenin kural olarak URL bazında yapılmasını, sitenin tümüne yönelik engellemenin ancak teknik zorunluluk hâlinde mümkün olmasını öngörür. Yetkinin el değiştirmesi, bu ölçülülük ölçütünü ortadan kaldırmaz.

Yaptırım ve Başvuru Yolu

EHK m.60/A'nın son iki fıkrası, yeni yetkinin yaptırım ve dava ayağını kurar:

• Tahsil: İdari para cezaları 6183 sayılı Kanun hükümlerine tabidir; tebliğ tarihinden itibaren 30 gün içinde Başkanlık hesaplarına ödenir. Ödenmeyen cezalar, Başkanlığın bildirimi üzerine vergi dairesince tahsil olunur (m.60/A-4).
• Dava yolu: Başkanlığın idari para cezası ve diğer idari yaptırım kararlarına karşı yetkili idare mahkemesinde dava açılabilir; bu davalar öncelikli işlerden sayılır. Başkanlığın açacağı davalarda teminat aranmaz (m.60/A-5).

Bu noktada bir ayrıma dikkat edilmelidir: 5651 m.8/A kapsamındaki erişim engelleme kararının denetimi sulh ceza hâkimliğinde, buna bağlı idari para cezasının ve EHK m.60/A kapsamındaki yaptırımların denetimi ise idare mahkemesinde yürür. Aynı olaydan doğan iki farklı işlem, iki farklı yargı koluna gidebilir.

Kimler Etkileniyor? Kontrol Listesi

Düzenleme yalnızca büyük operatörleri değil, internet üzerinden hizmet veren geniş bir kesimi ilgilendiriyor: elektronik haberleşme işletmecileri, erişim sağlayıcılar, veri merkezi ve hosting/barındırma hizmeti verenler, içerik ve yer sağlayıcılar. Uyum bakımından gözden geçirilmesi önerilen başlıklar:

1. Muhatap ve tebligat kanalını güncelleyin. Kurum içi prosedürlerde, sözleşmelerde ve otomatik iş akışlarında "BTK" olarak tanımlı merci artık birçok başlıkta Siber Güvenlik Başkanlığıdır.
2. İki saatlik icra süresine göre nöbet kurgusu yapın. EHK m.60/A-2 kararlarının iki saat, 5651 m.8/A kararlarının dört saat içinde yerine getirilmesi gerekir. Mesai dışı ve tatil günlerini kapsayan bir ulaşılabilirlik/nöbet düzeni, bu sürelerin fiilen tek güvencesidir.
3. Kayıt tutun. Kararın bildirim anı, içeriği ve uygulama anı; hem idari para cezası savunmasında hem de sulh ceza hâkimliği aşamasında esas delildir.
4. Devir dönemine özgü belirsizliği yönetin. Geçici m.2/1 uyarınca ikincil düzenlemeler çıkana kadar mevcut yönetmelik ve tebliğler uygulanmaya devam edecektir; eski metinlerde geçen kurum adlarının yeni Başkanlığa yapılmış sayıldığını unutmayın.
5. Derdest uyuşmazlıkları gözden geçirin. Devredilen yetkilere ilişkin davalarda taraf değişikliğini takip edin (geçici m.2/2).

KVKK ile Kesişim

Devredilen yetkilerin bir bölümü doğrudan kişisel veri işleme sonucu doğurur. 7545 sayılı Kanun m.6/1 uyarınca Başkanlık; log kayıtlarını bünyesinde toplayabilir, saklayabilir ve değerlendirebilir; ilgili kişilerden bilgi, belge, veri ve kayıtları alabilir. Kanun bu yetkiyi sınırsız bırakmamış, m.6/2'de KVKK m.4'teki genel ilkeleri tekrar etmiştir: veriler hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, işlendiği amaçla bağlantılı, sınırlı ve ölçülü olarak işlenir; erişimi gerektiren sebepler ortadan kalktığında elde edilen kişisel veriler ve ticari sırlar re'sen silinir, yok edilir veya anonim hâle getirilir. Ayrıca m.6/1-(ç) uyarınca alınan bilgi ve kayıtlar en fazla iki yıl süreyle çalışmaya konu edilir ve süre sonunda imha edilir.

Kendisinden veri talep edilen veri sorumluları bakımından bu hükümler iki yönlüdür: talebi karşılamak kanuni bir yükümlülüktür (KVKK m.5/2-(ç) anlamında bir hukuki sebep oluşturabilir), ancak talebin kapsamı da "yürütülen faaliyetle sınırlı" olmak zorundadır. Aktarımın kapsamını ve hukuki dayanağını kayıt altına almak, veri sorumlusunun hesap verebilirlik yükümlülüğünün parçasıdır.

Sonuç

7590 sayılı Kanun, internet ortamına ilişkin idari yetkileri tek elde toplayan bir yeniden yapılanma düzenlemesidir. Yeni bir sınırlama sebebi yaratmamış, mevcut sınırlama araçlarının sahibini değiştirmiş ve bir kısmını — özellikle re'sen tedbir belirleme yetkisini — daha erişilebilir hâle getirmiştir. Usul güvenceleri (iki saatlik icra, 24 saatte hâkim onayı, 48 saatte karar, aksi hâlde tedbirin kendiliğinden kalkması) metinde korunmuştur; bu güvencelerin pratikteki etkinliği ise büyük ölçüde sulh ceza hâkimliklerinin denetim yoğunluğuna ve çıkarılacak ikincil düzenlemelerin içeriğine bağlı olacaktır. İnternet üzerinden hizmet veren kuruluşlar bakımından ise yapılacak iş nettir: muhatabı, süreleri ve kayıt düzenini yeni çerçeveye göre güncellemek.

Kaynakça

• 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun (Kabul: 24/7/2026, RG: 31/7/2026 – 33326).
• 5809 sayılı Elektronik Haberleşme Kanunu m.60/A (Ek: 24/7/2026-7590/21 md.) ve mülga m.60/10 (Mülga: 24/7/2026-7590/27 md.) — mevzuat.gov.tr
• 5651 sayılı Kanun m.2/1-(c) ve (v), m.8/A, m.10 (Değişik/Mülga: 24/7/2026-7590/27 md.) — mevzuat.gov.tr
• 7545 sayılı Siber Güvenlik Kanunu m.5, m.6/1-(i) (Ek: 24/7/2026-7590/27 md.), m.6/2, geçici m.2 (Ek: 24/7/2026-7590/26 md.) — mevzuat.gov.tr
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4, m.5/2-(ç).
• Türkiye Cumhuriyeti Anayasası m.22 (Haberleşme hürriyeti).
• Anayasa Mahkemesi, E.2015/76, K.2017/153, 15/11/2017 (RG: 7/2/2018 – 30325).
• Anayasa Mahkemesi, E.2020/76, K.2023/172, 11/10/2023.
• T.C. Resmî Gazete — resmigazete.gov.tr