IT Dış Kaynak Sözleşmesinde Siber Saldırı: Tedarikçi Tazminat Öder mi?

Kısa cevap: IT dış kaynak sağlayıcısı, siber saldırı gerçekleşti diye otomatik olarak tazminat ödemez; saldırının varlığı da onu kendiliğinden sorumsuz kılmaz. Sorumluluk için tedarikçinin üstlendiği güvenlik borcu, makul teknik ve idari tedbirler, olayın kök nedeni, kusur, gerçek zarar ve nedensellik bağı incelenir. Güncellenmeyen sistem, zayıf ayrıcalıklı hesap, geciken bildirim veya denetlenmeyen alt yüklenici sözleşmeye aykırılık oluşturabilir. Müşterinin yanlış yapılandırması ve uyarıları izlememesi de paylaştırmaya etki edebilir. Olay anında öncelik; sistemi güvenli hâle getirmek, delilleri korumak, bildirim yükümlülüklerini ayrı yürütmek ve rücu hakkını kaybettirecek kontrolsüz kabullerden kaçınmaktır.

IT dış kaynak sözleşmesinde kim, neden sorumludur?

Yönetilen hizmet sağlayıcısı; sunucu yönetimi, kullanıcı desteği, yama, yedek, izleme veya güvenlik operasyonunu üstlenebilir. Buna bulut sağlayıcısı, yazılım üreticisi, veri merkezi ve alt yükleniciler eklenebilir. Siber saldırının tek bir kapıdan girmesi, bütün zararın tek tarafa yüklenebileceği anlamına gelmez. Önce saldırıya açık bileşenin sahibi ile sözleşmede o bileşeni yönetmekle yükümlü taraf bulunur.

“Endüstri standardında güvenlik” ifadesi tek başına ölçü vermez. Hizmet eki; varlık envanteri, yama sınıfları, çok faktörlü kimlik doğrulama, günlük izleme, güvenlik açığı taraması, yedek, şifreleme, ayrıcalıklı erişim ve olay müdahalesi için sorumluluk matrisi içermelidir. Müşterinin onayı gereken işlemde onayın gecikmesi, tedarikçinin uyarı ve geçici risk azaltma borcunu tamamen ortadan kaldırmayabilir.

Sözleşme ihlali ve zarar arasındaki genel bağ için sözleşmeye aykırılık nedeniyle tazminat rehberi incelenebilir. Bu yazı, özel olarak siber saldırı sonrası tedarikçiye yöneltilebilecek ticari talepleri ele alır.

Tedarikçinin güvenlik borcu nasıl ölçülür?

Tedarikçi mutlak saldırmazlık sonucu vaat etmedikçe, her ihlal doğrudan borca aykırılık sayılmaz. Buna karşılık sözleşmede açıkça taahhüt edilen kontrolün uygulanmaması, bilinen kritik açığın gerekçesiz ertelenmesi veya uyarıların kapatılması kusur değerlendirmesinde önemlidir. Makul güvenlik seviyesi; hizmetin kritikliği, işlenen veri, güncel tehdit, maliyet ve tarafın uzmanlığıyla birlikte belirlenir.

Ölçülebilir güvenlik taahhütleri

• Kritik yamanın risk sınıfına göre uygulanma süresi,
• Yönetici hesaplarında çok faktörlü kimlik doğrulama,
• Günlüklerin kaynakları, saklama süresi ve alarm eşikleri,
• Yedeklerin ağdan ayrılması ve geri yükleme testi,
• Zafiyet taraması ile sızma testinin periyodu,
• Olayın bildirilmesi, ilk rapor ve kök neden raporu zamanı,
• Çalışan taraması, eğitim ve erişim sonlandırma süreci,
• Alt yüklenicilere aktarılacak asgari kontroller.

Bir standarda genel atıf yapılacaksa hangi sürümün, hangi hizmet kapsamına uygulanacağı yazılmalıdır. Sertifika bulunması olay anındaki belirli kontrolün çalıştığını tek başına kanıtlamaz. Denetim raporundaki istisnalar, düzeltme planı ve müşterinin erişebileceği özet de sözleşmeye bağlanmalıdır.

Siber saldırı sonrası ilk 24 saatte ne yapılmalı?

İlk saatlerde güvenlik ve delil hedefleri birlikte yürütülmelidir. Etkilenen hesaplar kontrollü biçimde kapatılır, saldırganın kalıcılığı araştırılır ve temiz iletişim kanalı kurulur. Ancak bütün cihazları formatlamak, günlükleri silmek veya tehdidi incelemeden yedeği üretime bağlamak delili ve kurtarma şansını yok edebilir.

1. Olay yöneticisi ve hukuk irtibatı belirlenir; karar günlüğü açılır.
2. Etkilenen kullanıcı, sunucu, ağ ve tarih aralığı sınırlandırılır.
3. Log döndürme ve otomatik silme işleri güvenli biçimde durdurulur.
4. Tedarikçiye sözleşmedeki acil kanal üzerinden yazılı bildirim yapılır.
5. Adli kopya veya salt okunur görüntü, bütünlük kaydıyla alınır.
6. Kişisel veri, ticari sır ve operasyon etkisi ayrı ekiplerce değerlendirilir.
7. Siber sigortacıya ihbar ve onaylı uzman koşulu kontrol edilir.
8. Geçici çözüm sonrası kök neden ve kalıcı düzeltme takvimi istenir.

Tedarikçiye gönderilen ilk yazıda kesin kusur kabulü veya nihai zarar rakamı vermek zorunlu değildir. Bilinen olgular, korunması istenen kayıtlar ve hakların saklı tutulduğu belirtilir. Olay komuta yazışmaları ile ticari pazarlık yazışmaları ayrılarak gereksiz veri yayılması önlenir.

KVKK bakımından veri sorumlusu ve işleyen ayrımı

Dış kaynak sağlayıcısı çoğu ilişkide müşteri talimatıyla veri işlese de sıfat, sözleşmedeki etikete göre değil fiilî rol ve karar yetkisine göre değerlendirilir. Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için uygun tedbirleri almakla yükümlüdür. Veriyi kendi adına işleyen kişiyle birlikte güvenlik tedbirleri bakımından sorumluluk gündeme gelebilir.

Kişisel veri ihlali bildirimi ile tedarikçiden tazminat istemek ayrı süreçlerdir. Tedarikçi, müşterinin zamanında değerlendirme yapabilmesi için olayı gecikmeksizin, yeterli içerikle bildirmelidir. Etkilenen veri kategorisi, kişi sayısı, zaman aralığı, alınan önlem ve iletişim noktası raporda bulunmalıdır. Bildirimin eksikliği, müşterinin düzenleyici yükümlülüğünü ve zararını artırabilir.

Veri sorumlusu, Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararındaki usule göre ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurula bildirim yapmalıdır; etkilenen kişilere bildirim de makul olan en kısa sürede yürütülür. Tedarikçinin müşteriye erken uyarısı bu kamu hukuku bildirimlerinin yerine geçmez. Ayrıca 7545 sayılı Siber Güvenlik Kanunu ile bankacılık, ödeme, elektronik haberleşme veya benzeri sektörlerin özel bildirimleri, kuruluş ve olay kapsamına göre ayrı takvimde kontrol edilmelidir.

İlgili kişilerin maddi veya manevi zarar iddiaları bakımından kişisel veri ihlalinde tazminat rehberi ayrıca incelenmelidir. Buradaki ticari rücu, Kurumun idari süreciyle aynı şey değildir.

Alt yüklenici saldırısında ana tedarikçi sorumlu olur mu?

Yönetilen hizmet sağlayıcısı uzaktan izleme aracı, çağrı merkezi, bulut veya güvenlik operasyonu için alt yüklenici kullanabilir. Müşteriye “olay alt sağlayıcıda oldu” demek, ana sözleşmedeki borcu kendiliğinden sona erdirmez. Alt yüklenici kullanım izni, ön bildirim, itiraz hakkı ve aynı güvenlik yükümlülüklerinin zincirleme aktarılması düzenlenmelidir.

Ana tedarikçinin alt yüklenici seçim ve gözetim yükümlülüğü, sözleşmedeki sorumluluk rejimi ve Türk Borçlar Kanunu’nun yardımcı kişilere ilişkin kuralları birlikte incelenir. Alt sağlayıcının sorumluluk tavanı çok düşükse ana tedarikçinin bu açığı müşteriye aynen yansıtıp yansıtamayacağı açık yazılmalıdır. Müşteri, alt sözleşmenin tamamını göremese bile güvenlik özeti, denetim sonucu ve olayda iş birliği taahhüdü isteyebilir.

Kusur ve nedensellik nasıl belirlenir?

Siber olaylar birden fazla zayıflığın birleşmesiyle meydana gelebilir. Kimlik avına uğrayan kullanıcı, devre dışı bırakılmış çok faktörlü doğrulama, fazla yetkili servis hesabı ve izlenmeyen alarm aynı zincirde yer alabilir. Teknik kök neden raporu, hukuki kusur dağılımının başlangıç verisidir; nihai hukuki değerlendirme değildir.

Tedarikçinin ihlali olmasaydı aynı zarar doğar mıydı sorusu nedensellik bakımından incelenir. Örneğin yama gecikmiş olsa bile saldırı bambaşka ve bilinmeyen bir açık üzerinden gerçekleşmişse bağlantı zayıflayabilir. Buna karşılık ilk giriş müşteriden olsa dahi tedarikçinin segmentasyon ve alarm borcuna aykırılığı zararın genişlemesine neden olmuş olabilir.

Müşterinin ortak kusuru; reddedilen güvenlik önerileri, paylaşılan yönetici hesabı veya yedeklerin aynı ağa bırakılmasıyla gündeme gelebilir. Uyarının yalnız teknik jargonla bir e-postaya gömülmesi yeterli kabul edilmeyebilir; riskin etkisi ve gerekli karar açıkça üst yönetime iletilmelidir.

Talep edilebilecek zararlar ve sorumluluk tavanı

Olay müdahale uzmanı, sistem geri yükleme, geçici altyapı, fazla çalışma, müşteri bildirimleri, çağrı merkezi ve doğrulanmış iş kesintisi giderleri talep konusu olabilir. Üçüncü kişi talepleri veya idari yaptırımların tedarikçiye aktarılması ise otomatik değildir; emredici hukuk, kusur, sözleşme ve yaptırımın amacı birlikte incelenir. Soyut itibar kaybı yerine gerçek müşteri kaybı ve olağan dışı gider belgelenmelidir.

Sorumluluk çoğu sözleşmede yıllık hizmet bedeline bağlanan bir tavanla sınırlandırılır. Siber olay, gizlilik ve kişisel veri ihlali için daha yüksek ayrı tavan veya sigorta limiti öngörülebilir. Kasıt ve ağır kusur bakımından sorumsuzluk anlaşmalarının kanuni sınırları saklıdır. Tavanın alt yüklenici, savunma gideri ve veri kurtarma masrafını kapsayıp kapsamadığı yazılmalıdır.

Zarar gören tarafın makul azaltma önlemi alması beklenir. Bilinen saldırıya rağmen sistemi günlerce açık bırakmak veya erişilebilir temiz yedeği kullanmamak zarar hesabını etkileyebilir. Bununla birlikte olay anındaki kararlar, sonradan edinilen bilgiyle değil o anda bilinen riskle değerlendirilmelidir.

Siber sigorta ile tedarikçi talebi nasıl koordine edilir?

Siber sigorta poliçesi olay müdahale ekibi, veri kurtarma, iş durması veya üçüncü kişi sorumluluğu teminatı içerebilir. Sigortacıya ihbar, onaylı danışman kullanımı ve fidye karar süreci poliçeye göre yürütülmelidir. Sigorta ödemesi tedarikçinin sorumluluğunu kendiliğinden kaldırmaz; ödeme sonrası sigortacının rücu hakkı doğabilir.

Müşteri, tedarikçiyle acele bir ibra veya sulh imzalarsa sigortacının haklarını etkileyebilir. Tedarikçinin mesleki sorumluluk veya siber poliçesi varsa bildirim yükümlülüğü de eş zamanlı kontrol edilir. Aynı zarar iki kez tahsil edilemez; ödenen tutarlar ve kalan zarar şeffaf tabloyla izlenmelidir.

İhtar, zamanaşımı ve arabuluculuk

Sözleşmede olay bildirimi, hizmet kredisi veya tazmin talebi için farklı süreler bulunabilir. Olay kaydı açmak, hukuki ihtar ve sigorta ihbarının yerine geçmez. İlk ihtarda olay tarihi, etkilenen hizmet, saklanacak deliller, talep edilen iş birliği ve bilinen ön zarar belirtilmelidir. Kök neden araştırması sürüyorsa ek talep hakkı açık tutulabilir.

Zamanaşımı, talebin sözleşmeye aykırılık, haksız fiil veya başka bir temele dayanmasına göre değişebilir. Özel süre yoksa genel sözleşme süresi gündeme gelebilir; ancak zararın üçüncü kişi talebi veya devam eden hizmetle bağlantısı başlangıcı etkileyebilir. Sözleşmedeki kısa ihbar penceresi kanuni zamanaşımıyla aynı değildir.

Tarafların ticari işletmesine ilişkin para alacağı ve tazminat talebinde dava açmadan önce arabuluculuk kural olarak zorunludur. Ticari arabuluculuğun belge hazırlığı için ticari alacak ve arabuluculuk rehberi kullanılabilir. Logların korunması veya erişimin durdurulması gibi acil, para dışı talepler ayrıca ele alınır.

Görevli mahkeme ve yetki

İşletmeler arasındaki IT dış kaynak sözleşmesinden doğan uyuşmazlık çoğunlukla asliye ticaret mahkemesinde görülür. Geçerli tahkim şartı varsa uyuşmazlık hakem önüne taşınabilir. Kişisel Verileri Koruma Kuruluna yapılacak bildirim veya şikâyet ile özel hukuk mahkemesindeki tazminat ve rücu davası ayrı mercilere aittir.

Yetki bakımından davalının yerleşim yeri, sözleşmenin ifa yeri ve tacirler arasındaki yetki şartı incelenir. Yabancı alt sağlayıcının dâhil olduğu olayda ana tedarikçi sözleşmesinin hukuk seçimi ile alt sözleşmenin seçimi farklı olabilir. Delilin yabancı bulutta bulunması da erişim ve tenfiz stratejisini etkiler.

İspat yükü ve belge tablosu

Müşteri tedarikçinin üstlendiği kontrolü, ihlali ve zararını; tedarikçi ise sözleşmeye uygun ifa, müşteri talimatı veya alternatif saldırı nedeni savunmasını delillendirir. Logun yokluğu bazen ihlali değil, loglama borcunun yerine getirilmediğini gösterir. Teknik raporda varsayım ile doğrulanmış bulgu ayrılmalıdır.

İhtiyati tedbir ve delil tespiti

Tedarikçinin günlükleri sileceği, yönetim erişimini kapatacağı veya alt sağlayıcıdaki kayıtların kısa sürede kaybolacağı yönünde somut risk varsa delil tespiti ve ihtiyati tedbir değerlendirilebilir. Talep; hesap, sistem, tarih aralığı ve kayıt türünü sınırlamalıdır. Güvenliği zayıflatacak veya üçüncü kişilerin verisini açığa çıkaracak ölçüsüz erişim istenmemelidir.

Mahkeme yaklaşık ispat ve teminat koşullarını inceler. Acil teknik kopya alınırken teslim zinciri, hash ve uzman işlemi kaydedilir. Tedbirin amacı saldırının bütün sorumluluğunu belirlemek değil; mevcut delili ve mümkünse güvenli hizmet durumunu korumaktır.

Üç tedarikçi sorumluluğu senaryosu

Senaryo 1: Kritik yama aylarca uygulanmamış

Yönetilen hizmet sağlayıcısının sorumlu olduğu internet sunucusu, bilinen açık üzerinden ele geçirilir. Tedarikçi müşterinin bakım penceresi vermediğini, müşteri ise hiç risk bildirimi almadığını söyler. Yama SLA’sı, tarama raporu, onay talepleri ve geçici önlem imkânı incelenir. Açığın ilk giriş noktası olduğu adli kayıtla doğrulanır; sistemin neden ağ içinde yayıldığı ayrıca değerlendirilir.

Senaryo 2: Müşterinin paylaşılan yönetici hesabı

Müşteri çalışanları ortak yönetici parolası kullanır; hesap çalınır. Tedarikçi çok faktörlü doğrulamayı sözleşmede üstlenmiş fakat devreye almamıştır. İlk hata müşteride olsa bile, vaat edilen kontrol saldırıyı veya yayılmayı önleyebilecek idiyse ortak kusur gündeme gelir. Parola geçmişi, MFA ayarı, uyarılar ve yetki kapsamı korunur.

Senaryo 3: Alt izleme aracından bütün müşterilere saldırı

Tedarikçinin kullandığı uzaktan yönetim aracı ele geçirilir ve müşteri ağına zararlı yazılım iner. Ana tedarikçi alt sağlayıcı tavanını ileri sürer. Müşteriyle olan sözleşmede alt yüklenici riski, güvenlik incelemesi, olay bildirimi ve sorumluluk tavanı araştırılır. Alt sağlayıcıya karşı başvuru ayrı olabilir; müşterinin ana sözleşmeden doğan hakkı yalnız alt sözleşme limitiyle otomatik sınırlanmayabilir.

Siber olay ve dış kaynak sözleşmesinde sık yapılan on hata

1. Her saldırıyı mücbir sebep saymak: Önlenebilir kontrol eksikliği ve bildirim borcu gözden kaçar.
2. Güvenliği soyut bırakmak: Yama, MFA ve log için ölçülebilir yükümlü belirlenmez.
3. Bütün cihazları hemen formatlamak: Kök neden ve rücu delilleri kaybedilebilir.
4. KVKK bildirimiyle tazminat ihtarını karıştırmak: Ayrı merciler, amaçlar ve kayıtlar vardır.
5. Alt yükleniciyi sözleşme dışında bırakmak: En kritik erişim denetimsiz üçüncü kişiye geçebilir.
6. Kök neden raporunu kesin hukuk görüşü sanmak: Teknik bulgu kusur ve nedensellik analizinin yalnız bir parçasıdır.
7. Sorumluluk tavanının kapsamını yazmamak: Müdahale, üçüncü kişi ve veri kurtarma gideri tartışmalı kalır.
8. Sigortacıya geç bildirim yapmak: Uzman seçimi ve teminat tartışması doğabilir.
9. Zararı yalnız toplam ciroyla hesaplamak: Gerçek kayıp ve olay bağlantısı gösterilemez.
10. Acele ibra imzalamak: Bilinmeyen zarar ve sigortacının rücu hakkı etkilenebilir.

Karar, bilirkişi ve kanun yolu

Siber olay dosyalarında teknik bilirkişi incelemesi çoğu kez belirleyicidir. Rapora itiraz, “katılmıyoruz” demek yerine hangi logun atlandığını, zaman çizelgesindeki çelişkiyi ve sözleşme kontrolünü göstermelidir. İlk derece kararına karşı istinaf ve gerekiyorsa temyiz, karar türü ile güncel parasal sınırlara bağlıdır; sabit tutar kullanılmamalıdır. Tahkim kararı için farklı iptal ve icra rejimi uygulanır.

Siber olay dosyası için inceleme paketi

Türkiye’nin her yerinden çevrim içi ön inceleme için sözleşme ve bütün güvenlik ekleri, varlık-yetki envanteri, olay zaman çizelgesi, adli rapor, ham log listesi, yama ve zafiyet kayıtları, tedarikçi yazışmaları, sigorta poliçesi ve zarar faturaları hazırlanmalıdır. Ticari sır içeren dosyalar güvenli kanalla paylaşılmalı, gereksiz kişisel veri ayıklanmalıdır. Amaç tedarikçinin otomatik suçlu veya sorumsuz olduğunu ilan etmek değil; her kontrolü, delili ve zarar kalemini doğru tarafa bağlamaktır.

IT dış kaynak ve siber saldırı hakkında sık sorulan sorular

1. Siber saldırı mücbir sebep midir?

Her saldırı otomatik mücbir sebep değildir. Öngörülebilirlik, kontrol eksikliği, sözleşme tanımı ve zarar azaltma çabası incelenir.

2. Tedarikçi saldırıyı durduramadıysa mutlaka kusurlu mudur?

Hayır. Üstlendiği ve makul güvenlik tedbirlerini uygulayıp uygulamadığı ile saldırının niteliği belirleyicidir.

3. Alt yüklenici hatasında ana sağlayıcıya başvurulabilir mi?

Ana sözleşmedeki ifa ve alt yüklenici hükümlerine göre başvuru mümkün olabilir; olay sırf üçüncü kişide diye hak kendiliğinden düşmez.

4. KVKK ihlal bildirimini tedarikçi mi yapar?

Fiilî roller ve kanuni yükümlülük incelenir. Tedarikçi, veri sorumlusunun zamanında karar verebilmesi için gerekli bilgiyi gecikmeden sağlamalıdır.

5. İdari para cezası tedarikçiye rücu edilir mi?

Otomatik değildir. Kusur, sözleşme, cezanın nedeni ve emredici hukuk birlikte değerlendirilir.

6. Fidye ödemesi tazminat olarak istenebilir mi?

Hukuka uygunluk, zorunluluk, poliçe, karar süreci ve tedarikçi ihlali incelenmeden genel cevap verilemez.

7. Log yoksa tedarikçi sorumluluktan kurtulur mu?

Hayır. Log tutma borcu varsa kayıt yokluğu ayrıca ihlal oluşturabilir; yine de diğer delillerle nedensellik kurulmalıdır.

8. Siber sigorta tedarikçiye dava açmayı engeller mi?

Genellikle engellemez; ödeme sonrası sigortacının rücu hakkı ve mükerrer tahsil yasağı dikkate alınır.

9. Sorumluluk tavanı siber olayda da geçerli midir?

Hükmün kapsamı, özel siber tavan, kusur derecesi ve emredici sınırlamalar incelenir.

10. Tazminat davasından önce arabuluculuk zorunlu mudur?

Ticari para alacağı ve tazminat talebinde kural olarak zorunludur. Acil delil ve tedbir talepleri ayrı yürütülebilir.

11. Olay raporu ne zaman paylaşılmalıdır?

İlk bildirim hızla, doğrulanmış bilgilerle yapılmalı; ayrıntılı kök neden raporu sözleşmedeki makul süre içinde tamamlanmalıdır.

Resmî kaynaklar

• 6098 sayılı Türk Borçlar Kanunu
• 6102 sayılı Türk Ticaret Kanunu
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6100 sayılı Hukuk Muhakemeleri Kanunu
• Kişisel Verileri Koruma Kurumu: Veri güvenliği yükümlülükleri
• Kişisel Verileri Koruma Kurumu: 2019/10 sayılı karar ve veri ihlali bildirimi
• 7545 sayılı Siber Güvenlik Kanunu

Son kontrol tarihi: 19 Eylül 2026

Yazar: Av. Emirhan Keskin

Bu metin genel bilgilendirme amacı taşır. Siber olayın teknik nedeni, sözleşme matrisi, taraf rolleri ve deliller görülmeden kesin sorumluluk sonucu çıkarılamaz. İçerik hukuki başarı garantisi değildir.