Fidye Yazılımı Sonrası KVKK'ya 72 Saat İçinde Bildirim

Fidye yazılımı saldırısına uğrayan bir kurumda ilk refleks neredeyse her zaman aynıdır: "Verileri nasıl geri getiririz?" Oysa kişisel veri içeren sistemler etkilendiyse, aynı anda ikinci bir saat de işlemeye başlar — KVKK'ya bildirim süresi. Bu süreyi kaçırmak, saldırının kendisinden bağımsız, ayrı bir yaptırıma yol açabilir.

KVKK'ya bildirim yükümlülüğü nedir?

Kişisel Verilerin Korunması Kurulu'nun 2019/10 sayılı kararı, veri sorumlusunun öğrendiği bir veri ihlalini Kurul'a "gecikmeksizin ve en geç 72 saat içinde" bildirmesini ister. İlgili kişilere de yine "en kısa sürede" bildirim yapılması gerekir. 72 saat bir "düşünme süresi" değil, bir üst sınırdır — amaç, ihlali öğrendikten sonra mümkün olan en kısa sürede harekete geçmektir.

Güncel bir örnek: gecikmenin bedeli

29 Ağustos 2026 tarihli bir haberde aktarılan bir KVKK kararına göre, sanayi sektöründe küresel ölçekte faaliyet gösteren bir şirkette bir çalışanın internetten indirip çalıştırdığı bir program sonrasında fidye yazılımı, şirketin küresel ağındaki 797 sunucuya yayılmış ve çok sayıda dosya şifrelenmişti. Olaydan 4.885 çalışan, müşteri ve tedarikçinin kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgileri etkilenmişti.

Kararda dikkat çeken nokta, cezanın yalnızca saldırının kendisinden değil, hazırlıksızlıktan kaynaklanmasıydı: kararda, önceki sızma testlerinde kritik seviyede güvenlik açıkları tespit edildiği ancak bunların giderildiğine dair herhangi bir bilgi veya belge sunulmadığı; ayrıca basit parola politikaları, yetersiz personel farkındalığı, gereğinden geniş ağ erişimi ve güncellenmemiş işletim sistemleri tespit edildiği belirtilmişti. İhlal bildirimi ise olaydan 23 gün sonra yapılmış ve bu, "en kısa sürede bildirim" yükümlülüğünün yerine getirilmediği şeklinde değerlendirilmişti. Sonuç: veri güvenliği yükümlülüğünün ihlali için 800.000 TL, geç bildirim için 200.000 TL olmak üzere toplam 1 milyon TL idari para cezası.

Bu bilgiler, konuyu haberleştiren tek bir basın kaynağına dayanmaktadır; kararın orijinal metnini veya ilan edilip edilmediğini kvkk.gov.tr üzerinden ayrıca doğrulamanızı öneririz.

İlk 72 saatte yapılması gerekenler

1. Etkilenen sistemleri izole edin: Ağ bağlantısını kesin, ancak sistemleri kapatmadan önce adli inceleme açısından önemli olabilecek izleri koruyun.
2. Kapsamı hızla belirleyin: Hangi sistemlerin, hangi veri kategorilerinin ve kaç kişinin etkilendiğini mümkün olduğunca erken netleştirin.
3. Hukuk/uyum ekibini ve yönetimi bilgilendirin: Bildirim kararı ve içeriği genellikle BT ekibinin tek başına vereceği bir karar değildir.
4. Bildirim taslağını hazırlayın: Ne olduğu, hangi verilerin etkilendiği, alınan önlemler ve ilgili kişilere yönelik tavsiyeler gibi başlıkları önceden hazırlamak, 72 saatlik pencereyi daraltmaz ama süreci hızlandırır.
5. 72 saat içinde Kurul'a bildirin: Bilgi eksikse bile, elinizdeki bilgiyle bildirim yapıp sonradan güncelleme yapmak, hiç bildirmemekten veya geç bildirmekten daha güvenli bir yoldur.

Yedeğin bu süreçteki rolü

Sağlam bir yedek stratejisi, hem olayın kapsamını belirlemeyi hem de olay sonrası kurtarmayı hızlandırır. KVKK kapsamında veri yedekleme yükümlülükleri yazımızda detaylandırdığımız gibi, yedekler de kişisel veri içerdiği için aynı güvenlik standartlarına tabidir — ama aynı zamanda olay anında da değerli bir araçtır:

• Zaman noktası karşılaştırması: Temiz bir yedekle üretim sistemi karşılaştırılarak hangi dosyaların ne zaman değiştiği/şifrelendiği daha hızlı anlaşılabilir.
• Üretim sistemine dokunmadan inceleme: Yedekten ayrı bir ortamda yapılan inceleme, olası adli incelemeyi bozma riskini azaltır.
• Hızlı geri dönüş: Bildirim sürecinden bağımsız olarak, iş sürekliliği de genellikle en kısa sürede sağlanmak zorundadır. Fidye yazılımına karşı 10 kritik önlem yazımızda değiştirilemez (immutable) ve izole yedeklerin neden önemli olduğunu anlattık.

Otomatik ve düzenli yedekleme planının nasıl kurulacağı için otomatik yedekleme nasıl oluşturulur? sayfamıza göz atabilirsiniz.

Sık yapılan hatalar

• Güvenlik açığını "biliyorduk ama" diyerek belgelemeden bırakmak — yukarıdaki örnekte olduğu gibi, pentest bulgusunun giderildiğine dair belge sunulamaması cezayı ağırlaştıran bir unsurdu.
• Bildirim kararını tek bir kişiye veya yalnızca BT ekibine bırakmak.
• "Tam bilgi toplanana kadar bekleyelim" diyerek 72 saati aşmak — eksik bilgiyle erken bildirim, hiç bildirmemekten iyidir.
• Yedeklerin de kişisel veri içerdiğini ve aynı güvenlik yükümlülüklerine tabi olduğunu unutmak.

Sık sorulan sorular

72 saat kuralı her veri ihlali için mi geçerli?

KVKK Kurul kararı, veri sorumlusunun öğrendiği ihlali gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirmesini öngörür. Bildirim gerekip gerekmediği ve kapsamı, somut olaya göre değerlendirilmelidir; bu konuda hukuk veya uyum danışmanınızla birlikte karar vermenizi öneririz.

Bildirim için tüm detayların netleşmesini beklemeli miyiz?

Hayır. Elinizdeki bilgiyle zamanında bildirim yapıp, araştırma ilerledikçe ek bilgi sunmak; tüm detayları beklerken süreyi aşmaktan daha güvenli bir yaklaşımdır.

Düzenli yedek almak, KVKK cezasını önler mi?

Tek başına önlemez. Yedek, veri kaybını ve kesintiyi azaltır; ancak yukarıdaki örnekte olduğu gibi ceza, zamanında bildirim yapılmaması ve önceden tespit edilmiş güvenlik açıklarının giderilmemesi gibi ayrı yükümlülüklerin ihlalinden de kaynaklanabilir. Yedekleme, kapsamlı bir güvenlik ve uyum stratejisinin yalnızca bir parçasıdır.