5651 Loglama Cezaları 2025: Uyumsuzluğun Gerçek Bedeli — Cezalar, Riskler ve Nasıl Korunursunuz?

Çalışanlarına, müşterilerine veya misafirlerine internet erişimi sunan her kurum 5651 sayılı kanun kapsamındadır. Pek çok işletme bu yükümlülüğün farkında olsa da "biz küçüğüz, bize gelmez" ya da "henüz bir sorun yaşamadık" gibi gerekçelerle uyumu ertelemektedir. Ancak BTK denetimleri her geçen yıl daha sistematik bir hal almakta; özellikle otel, yurt, hastane ve fabrika gibi sektörlere yönelik hedefli incelemeler artmaktadır.

Bu yazıda 5651 loglamaya uymayan kurumların karşılaşabileceği yaptırımları, denetim sürecini ve kendinizi nasıl koruyabileceğinizi açıklıyoruz.

5651 Kapsamında Hangi Yaptırımlar Uygulanabilir?

5651 sayılı kanun ve BTK yönetmelikleri çerçevesinde uyumsuz kurumlara uygulanabilecek başlıca yaptırımlar şunlardır:

Sadece Para Cezası Değil: Göz Ardı Edilen Riskler

5651 uyumsuzluğunun bedeli yalnızca mali yaptırımlardan ibaret değildir. Pek çok kurum asıl büyük riski gözden kaçırmaktadır:

1. Hukuki Sorumluluk: Ağınız üzerinden bir suç işlendiğinde savcılık veya mahkeme, ilgili kullanıcıya ait kayıtları kurumunuzdan talep edebilir. Geçerli ve imzalı log sunamazsanız kurumunuz soruşturmanın muhatabı haline gelebilir. Bu durum, ağınızı kullanan kişiyle hiçbir ilginiz olmasa bile başınıza gelebilir.
2. İnternet Erişiminin Durdurulması: BTK, tekrarlayan veya ağır ihlallerde kurumun internet erişimini geçici ya da kalıcı olarak durdurabilir. Bir otel veya yurt için bu yaptırım, tüm operasyonun durması anlamına gelir. Oluşacak gelir kaybı ve müşteri memnuniyetsizliği, para cezasından çok daha büyük bir yük yaratabilir.
3. İtibar Kaybı: Kamu kurumları ve büyük işletmelerde BTK denetim sonuçları zaman zaman kamuoyuyla paylaşılmaktadır. Özellikle hastane, okul ve belediye gibi kurumlar için bu tür bir açıklama ciddi prestij zararına yol açabilir.
4. Sigorta ve Sözleşme Riskleri: Siber güvenlik sigortası veya büyük kurumsal ihaleler için 5651 uyumluluğu giderek daha sık bir ön koşul olarak aranmaktadır. Uyumsuz bir altyapı, bu kapıları tamamen kapayabilir.

"Biz Küçük Bir İşletmeyiz" Yanılgısı

BTK denetimlerinin yalnızca büyük şirketleri hedef aldığı yaygın bir yanlış anlamadır. Gerçekte denetimler sektör bazlı ve rastlantısal olarak yapılmakta; küçük bir otel, bir öğrenci yurdu veya küçük bir fabrika da eşit biçimde kapsama girebilmektedir.

Denetimde Ne Sorulur?

BTK denetimleri sırasında kurumunuzdan talep edilebilecek belgeler ve kontrol edilecek konular şunlardır:

• Belirli bir tarih aralığına ait imzalı ve SHA-256 hash'li log dosyaları
• TÜBİTAK veya yetkili kuruluş tarafından uygulanmış zaman damgası kayıtları
• Kullanıcı kimlik doğrulama mekanizmasının varlığı ve kayıtları
• Log saklama süresinin (1-2 yıl) karşılanıp karşılanmadığı
• Sistemin kesintisiz çalıştığına dair teknik kanıt

Bu belgelerden herhangi birini sunamazsanız veya sunduğunuz kayıtlar hash doğrulamasından geçemezse, denetim olumsuz sonuçlanır ve yaptırım süreci başlar.

Kendinizi Nasıl Korursunuz?

5651 uyumluluğunu sağlamak aslında düşündüğünüzden çok daha az karmaşıktır; yeter ki doğru altyapıyı kurmuş olasınız. Güvenli bir sistem için şu adımlar hayata geçirilmelidir:

• Kimlik doğrulama zorunluluğu: SMS, T.C. Kimlik No veya PMS entegrasyonu ile anonim bağlantı engellenmelidir
• Otomatik log üretimi: kullanıcı bazlı bağlantı kayıtları anlık olarak oluşturulmalıdır
• Günlük kriptografik imzalama: SHA-256 hash ve TÜBİTAK zaman damgası otomatik olarak uygulanmalıdır
• Güvenli arşiv: tüm kayıtlar minimum 1 yıl boyunca erişilebilir biçimde saklanmalıdır
• Denetim hazırlığı: herhangi bir tarih aralığı için kayıtlar dakikalar içinde sunulabilmelidir

Sonuç

5651 loglama cezaları artık göz ardı edilemeyecek kadar ciddi boyutlara ulaşmıştır. Para cezasının ötesinde; hukuki sorumluluk, operasyonel aksaklık ve itibar kaybı gibi riskler bir kurumun geleceğini doğrudan etkileyebilir.

En akıllı strateji, denetimi beklemeden uyumlu bir altyapı kurmaktır. Bugün attığınız bu adım, yarın çok daha büyük bir maliyetin önüne geçecektir.