BTK Denetiminde Ne Sorulur? 5651 Hazırlık Rehberi — Denetim Öncesi, Sırasında ve Sonrasında Yapmanız Gerekenler

BTK denetimi haberi pek çok kurumda paniğe yol açar. "Loglarımız var mı?", "Geçerli mi?", "Ne kadar süredir çalışıyor?" soruları art arda gelir. Oysa doğru bir altyapıyla bu süreci sakin, hazırlıklı ve güvenli biçimde geçirmek mümkündür.

Bu rehberde BTK'nın 5651 denetimlerinde hangi bilgi ve belgeleri talep ettiğini, denetim sürecinin nasıl işlediğini ve kendinizi nasıl hazırlayabileceğinizi adım adım açıklıyoruz.

BTK Denetimleri Nasıl Gerçekleşir?

Bilgi Teknolojileri ve İletişim Kurumu (BTK), 5651 sayılı kanun kapsamındaki denetimleri iki farklı yolla gerçekleştirir:

• 🔵 Planlı Sektörel Denetimler: BTK belirli dönemlerde otel, yurt, hastane veya kamu kurumu gibi sektörlere yönelik toplu denetimler düzenler. Bu denetimlerde kuruma yazılı tebligat gönderilir ve belirli bir süre içinde belgelerin sunulması istenir.
• 🔴 Şikayet veya Soruşturma Kaynaklı Denetimler: Ağınız üzerinden gerçekleştirildiği iddia edilen bir suç ya da vatandaş şikayeti nedeniyle savcılık veya BTK tarafından log talep edilebilir. Bu tür denetimler önceden haber verilmeksizin başlayabilir.

Denetimde Talep Edilen Belgeler ve Bilgiler

BTK denetimlerinde kurumunuzdan talep edilebilecek başlıca unsurlar şunlardır:

• Belirli tarih aralığına ait internet erişim log dosyaları
• Her log dosyasına ait SHA-256 hash değerleri
• TÜBİTAK Kamu SM veya yetkili kuruluştan alınan zaman damgası sertifikaları
• Kullanıcı kimlik doğrulama kayıtları (SMS logu, TC kimlik eşleşmesi veya PMS kaydı)
• IP adresi–kullanıcı kimliği eşleşme tabloları
• Log sisteminin kesintisiz çalıştığını gösteren sistem kayıtları
• Saklama süresine uyulduğuna dair arşiv belgesi

Denetim Senaryoları: Hazırlıklı mı, Değil mi?

• 🟢 Senaryo 1 — Hazırlıklı Kurum: BTK tebligatı gelir. IT sorumlusu sisteme girer, ilgili tarih aralığını seçer, imzalı log dosyalarını ve zaman damgası sertifikalarını dakikalar içinde dışa aktarır. Denetim sorunsuz kapanır, herhangi bir yaptırım uygulanmaz.
• 🔴 Senaryo 2 — Hazırlıksız Kurum: BTK tebligatı gelir. Log sistemi ya hiç kurulmamıştır, ya yanlış yapılandırılmıştır ya da kayıtlar imzasız metin dosyası olarak tutulmaktadır. Sunulan belgeler geçersiz sayılır. Para cezası kesilir, tekrar denetim kararı çıkar, operasyonel risk başlar.
• 🟠 Senaryo 3 — Kısmen Hazırlıklı Kurum: Log sistemi kurulu ve çalışmaktadır ancak zaman damgası eksik ya da bazı tarihlerde sistem kesintiye uğramıştır. Denetim kısmen olumlu kapanır; eksik dönem için uyarı ve ek süre verilebilir ya da kısmi ceza uygulanabilir.

Denetim Öncesi 10 Maddelik Kontrol Listesi

Aşağıdaki kontrol listesini düzenli aralıklarla gözden geçirerek denetim hazırlığınızı her an güncel tutabilirsiniz:

Denetim Sırasında Yapılması ve Yapılmaması Gerekenler

✅ Yapılması Gerekenler

• Tebligatı aldığınız anda IT sorumlusunu ve varsa hukuk danışmanınızı bilgilendirin
• Talep edilen tarih aralığına ait tüm log dosyalarını, hash değerlerini ve zaman damgası sertifikalarını eksiksiz hazırlayın
• Yanıtı verilen süre içinde (genellikle 5-15 iş günü) ve yazılı olarak BTK'ya iletin
• Sunduğunuz belgelerin bir kopyasını kurumunuzda arşivleyin

❌ Yapılmaması Gerekenler

• Geriye dönük log oluşturmaya ya da mevcut kayıtları düzenlemeye çalışmayın — bu durum ağır hukuki sonuçlar doğurabilir
• Tebligatı görmezden gelmeyin ya da süreyi kaçırmayın — yanıtsız kalan tebligat doğrudan yaptırım gerekçesi oluşturur
• Sisteminizin durumunu bilmeden "her şey yolunda" beyanında bulunmayın

BTK Denetimine Hazır Olmak İçin Ne Zaman Harekete Geçmeli?

En yaygın yanıt "denetim gelince bakarız" olmaktadır. Ancak bu yaklaşım hem teknik hem hukuki açıdan işe yaramaz. Zaman damgalı kayıtlar geriye dönük olarak oluşturulamaz; denetim tebligatı geldiğinde geçmişe ait geçerli log sunmanın tek yolu o kayıtların önceden oluşturulmuş olmasıdır.

Bu nedenle harekete geçmek için en doğru zaman, her zaman bugündür.